Le règlement européen sur l’intelligence artificielle, connu sous le nom d’AI Act, constitue le premier cadre juridique global au monde pour encadrer cette technologie. Adopté par l’Union européenne et publié au Journal officiel le 12 juillet 2024, il est entré en vigueur le 1er août 2024. Son objectif est double : encourager une innovation responsable tout en protégeant les droits fondamentaux des citoyens européens. Le texte s’applique à toute entreprise qui développe ou utilise des systèmes d’IA sur le marché européen, même si elle est établie hors de l’UE.
Une approche fondée sur les risques
Le législateur a adopté une méthode pragmatique : les exigences varient selon le niveau de risque de chaque système d’IA. Quatre catégories sont définies. La première concerne les risques inacceptables, qui sont interdits : notation sociale, manipulation subliminale, exploitation des vulnérabilités des enfants. La deuxième catégorie regroupe les systèmes à haut risque, comme ceux utilisés pour le recrutement, l’évaluation scolaire, l’octroi de crédits, certains diagnostics médicaux ou la gestion d’infrastructures critiques. Ceux-ci sont autorisés mais soumis à des obligations strictes de documentation, de transparence et de contrôle.
La troisième catégorie, à risque limité, concerne les chatbots et assistants vocaux : l’entreprise doit informer l’utilisateur qu’il interagit avec une IA. Enfin, les systèmes à risque minimal (filtres photo, jeux vidéo) ne sont soumis à aucune restriction particulière.
Obligations concrètes pour les systèmes à haut risque
Pour les systèmes classés à haut risque, les fournisseurs doivent réaliser une évaluation de conformité préalable, tenir une documentation technique détaillée (algorithmes, sources de données, mesures d’atténuation des risques) et assurer une surveillance continue après la mise sur le marché. Un marquage CE atteste de la conformité et permet la libre circulation dans l’Espace économique européen. Ces systèmes doivent également être inscrits dans un registre européen accessible au public.
Les sanctions en cas de non-respect sont lourdes. Une violation des interdictions de l’article 5 peut entraîner une amende allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Selon la CNIL, cet arsenal dissuasif vise à garantir une application effective du règlement.
Un calendrier progressif jusqu’en 2027
L’AI Act s’applique par étapes. Depuis le 2 février 2025, les dispositions générales et les interdictions concernant les systèmes à risque inacceptable sont en vigueur. Depuis le 2 août 2025, les chapitres sur les organismes notifiés, la gouvernance et les sanctions sont applicables. La majorité des dispositions entreront en application le 2 août 2026. Enfin, les obligations spécifiques de l’article 6, paragraphe 1, qui encadrent certaines catégories de systèmes, prendront effet le 2 août 2027. Cet échelonnement permet aux États membres et aux entreprises de s’adapter progressivement.
Comment se préparer dès maintenant
Pour se mettre en conformité, les entreprises doivent d’abord réaliser un inventaire de tous les systèmes d’IA qu’elles utilisent ou commercialisent, qu’ils soient développés en interne ou fournis par des tiers. Chaque système doit être classé selon sa catégorie de risque. Pour les systèmes à haut risque, une documentation approfondie est nécessaire, incluant une analyse des biais potentiels et une procédure de supervision humaine. La formation des équipes opérationnelles, juridiques et techniques aux nouvelles obligations est également un investissement stratégique. En France, la CNIL est pressentie pour jouer un rôle central dans l’application du texte, en complément de ses missions liées au RGPD.
