- Il établit un cadre réglementaire fondé sur les niveaux de risque afin de protéger les droits fondamentaux et la sécurité des citoyens.
- Elle impose des obligations strictes de transparence et de gestion des risques pour les systèmes d'IA à haut risque et les modèles à usage général.
- Elle interdit catégoriquement l'utilisation des technologies d'IA jugées inacceptables, telles que la notation sociale ou la manipulation comportementale.
- Définir un calendrier de mise en œuvre progressive assorti de sanctions économiques sévères pour ceux qui ignorent la réglementation.
L'Union européenne a franchi une étape décisive en lançant le premier cadre juridique global au monde pour réglementer l'intelligence artificielle. Cette législation n'a pas pour but d'étouffer l'innovation, mais plutôt de garantir un développement sûr et fiable de cette technologie , en privilégiant toujours la protection des droits fondamentaux et en empêchant que l'IA ne devienne une boîte noire incontrôlée.
Pour ce faire, Bruxelles a opté pour une approche fondée sur les risques, ce qui signifie qu'un filtre anti-spam n'est pas comparable à un algorithme qui attribue un prêt bancaire. Selon le niveau de risque que le système présente pour la santé ou la sécurité, les exigences légales seront plus ou moins strictes, obligeant les entreprises à faire preuve de transparence quant au fonctionnement de leurs machines.
Systèmes interdits : la ligne rouge de l’UE
Certaines choses sont tout simplement impossibles. La loi est très claire : elle interdit toute intelligence artificielle présentant un risque inacceptable . Parmi celles-ci figurent les techniques subliminales ou de manipulation visant à pervertir le comportement humain à des fins nuisibles, ainsi que l’exploitation des vulnérabilités liées à l’âge ou au handicap. Le système de notation sociale , qui consiste à classer les personnes en fonction de leur comportement afin de leur infliger un traitement défavorable, est également interdit .
En matière de biométrie, toute catégorisation permettant de déduire des caractéristiques sensibles telles que l'origine ethnique ou la religion est interdite, de même que le scan systématique des visages en ligne pour la création de bases de données. L'identification biométrique à distance et en temps réel dans les espaces publics est limitée à des cas très spécifiques , comme la recherche de victimes de traite des êtres humains, la prévention d'attentats terroristes imminents ou la localisation de suspects dans des affaires de crimes graves, toujours sous contrôle judiciaire.
La catégorie à haut risque et ses exigences
Tout ce qui est interdit n'est pas forcément dangereux, mais certains systèmes, bien qu'autorisés, sont soumis à des contrôles stricts . C'est le cas notamment des composants de sécurité, des dispositifs médicaux et des algorithmes utilisés pour le recrutement et l'évaluation du crédit. Si une IA est chargée de créer des profils d'individus afin d'évaluer leurs performances professionnelles ou leur santé, elle entre sans conteste dans cette catégorie.
Les fournisseurs de ces outils doivent remplir de nombreuses obligations. Il est impératif de mettre en œuvre un système de gestion des risques tout au long du cycle de vie du produit et de garantir la représentativité et l'absence d'erreurs des données d'entraînement. De plus, ils doivent créer une documentation technique détaillée, enregistrer automatiquement les événements dans des journaux d'exploitation et assurer une supervision humaine permanente afin de prévenir les décisions automatisées erronées.
Modèles d'IA à usage général (GPAI)
C’est là qu’interviennent les modèles LLM et les modèles fondamentaux de référence . La loi établit une distinction entre les modèles GPAI standard et ceux qui présentent un risque systémique , généralement défini par une utilisation massive de la puissance de calcul (supérieure à 10^25 FLOPs). Les fournisseurs de ces modèles doivent faire preuve de transparence quant à leurs processus d’entraînement et respecter les directives relatives au droit d’auteur.
Pour les modèles présentant un risque systémique, les exigences sont plus élevées. Ils doivent mettre en œuvre des tests d'intrusion (red teaming) pour limiter les défaillances, signaler les incidents graves au Bureau de l'IA et garantir une cybersécurité robuste . Il convient de noter que les modèles open source présentent certains avantages, même s'ils sont tenus de publier des résumés du contenu utilisé pour l'entraînement du système.
Gouvernance, délais et coût de la violation de la loi
La supervision incombe principalement à l' AI Office , qui contrôle les géants de la tech afin de garantir leur conformité. La mise en œuvre de la loi est progressive : les interdictions ont débuté en février 2025, tandis que les obligations relatives aux systèmes à haut risque entreront en vigueur entre 2027 et 2028. Pour accompagner les entreprises, le Pacte pour l'IA a été créé comme un cadre volontaire de préparation à la réglementation.
Si une entreprise décide de bafouer les règles, les amendes sont exorbitantes. Fournir de fausses informations peut coûter jusqu'à 7,5 millions d'euros, soit 1,5 % du chiffre d'affaires annuel. Toutefois, le non-respect des obligations essentielles peut porter l'amende à 15 millions d'euros, soit 3 % du chiffre d'affaires mondial, voire 7 % dans certains cas extrêmes, selon certaines sources.
Ce cadre réglementaire positionne l'Europe comme la référence mondiale en matière de réglementation technologique , exigeant de toute entreprise au monde souhaitant opérer sur le marché commun qu'elle adapte ses algorithmes aux normes européennes de transparence et d'éthique, conciliant ainsi progrès technique et dignité humaine.
