Le 2 août 2025, la phase 2 de la mise en œuvre du règlement (UE) 2024/1689 établissant des règles harmonisées en matière d’intelligence artificielle, entrée en vigueur le 1er août 2024, a commencé.
Pour rappel, ce règlement (appelé « AI Act » ou RIA) est la première législation au monde qui encadre la mise sur le marché, la mise en service et l’utilisation des systèmes d’intelligence artificielle. Son objectif est de garantir que les systèmes d’intelligence artificielle commercialisés au sein de l’Union européenne soient utilisés de manière éthique, sûre et respectueuse de ses droits fondamentaux. En se focalisant sur la manière dont les systèmes d’intelligence artificielle prennent des décisions, l’AI Act partage ces systèmes en quatre catégories selon le niveau de risques qu’ils présentent, et prévoit des obligations que les acteurs du marché de l’intelligence artificielle doivent respecter selon le niveau desdits systèmes.
Certaines de ces obligations imposées aux acteurs du marché de l’intelligence artificielle prévues par l’AI Act sont déjà applicables dans les Etats membres de l’Union européenne selon le niveau de risque présenté par ces systèmes. Il s’agit notamment de l’interdiction des systèmes d’IA présentant des risques inacceptables tels que ceux portant atteinte aux droits fondamentaux, interdiction entrée en vigueur le 2 février 2025.
Le cadre juridique de l’AI Act et sa particularité sont les suivants :
La classification des systèmes d’intelligence artificielle selon les risques (« risk-based approach »)
1. IA interdits (Article 5)
Il s’agit notamment de systèmes de notation sociale ou de technologies exploitant la vulnérabilité des individus, qui présentent des risques inacceptables quant aux droits fondamentaux de dignité et d’égalité des individus.
• systèmes d’intelligence artificielle qui ont recours à des techniques subliminales ou des techniques délibérément manipulatrices voire trompeuses, pour altérer substantiellement le comportement d’un individu (ou d’un groupe) en portant significativement atteinte à sa capacité à prendre une décision éclairée,
• systèmes d’intelligence artificielle exploitant les éventuelles vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique spécifique d’un individu (ou d’un groupe) pour altérer substantiellement son comportement d’une manière susceptible de lui causer un préjudice important,
• systèmes d’intelligence artificielle conçus pour l’évaluation ou la classification de personnes en fonction de leur comportement social ou de leurs caractéristiques personnelles ou de traits de personnalité connus, pouvant entraîner, dans certains contextes, un traitement préjudiciable injustifié ou disproportionné,
• systèmes d’intelligence artificielle conçus pour évaluer des risques sur des personnes physiques en mesurant la probabilité qu’une personne physique commette une infraction pénale,
• systèmes d’intelligence artificielle qui créent ou développent des bases de données de reconnaissance faciale par le moissonnage non ciblé d’images issues d’internet ou de vidéosurveillance,
• systèmes d’intelligence artificielle utilisés pour inférer les émotions d’une personne physique sur le lieu de travail ou dans un établissement d’enseignement (sauf pour des raisons médicales ou de sécurité),
• systèmes de catégorisation biométrique qui catégorisent individuellement les individus sur la base de leurs données biométriques (sauf dans le domaine répressif),
• systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public utilisés à des fins répressives. Cette interdiction comporte trois exceptions :
– La recherche de victimes de criminalité,
– La prévention d’une menace spécifique, substantielle et imminente pour la vie ou la sécurité des personnes ou la prévention d’une attaque terroriste,
– La recherche des auteurs des infractions pénales les plus graves.
2. IA à haut risque (Article 6)
Il s’agit des systèmes d’intelligence artificielle qui peuvent avoir des conséquences sérieuses sur la sécurité des personnes ou sur leurs droits fondamentaux. Ces systèmes sont listés dans l’Annexe III :
• Biométrie (ex. systèmes d’identification biométrique à distance, reconnaissance des émotions) ;
• Infrastructures critiques (du trafic routier ou de la fourniture d’eau, de gaz, de chauffage ou d’électricité)
• Éducation et formation professionnelle (ex. l’admission, l’évaluation des acquis d’apprentissage, l’évaluation du niveau d’enseignement)
• Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant (ex. le recrutement, la promotion, l’attribution des tâches, l’évaluation des performances)
• Accès et droit aux services privés essentiels et aux services publics et prestations sociales essentiels (ex. l’évaluation de l’éligibilité des personnes physiques aux prestations et services d’aide sociale essentiels, l’évaluation des risques en matière d’assurance)
• Répression
• Migration, asile et gestion des contrôles aux frontières
• Administration de la justice et processus démocratiques (ex. ex. systèmes pour influencer le résultat d’une élection ou d’un référendum ou le comportement électoral de personnes physiques dans l’exercice de leur vote lors d’élections ou de référendums).
Les systèmes d’intelligence artificielle à haut risque sont soumis à des obligations strictes avant de pouvoir être mis sur le marché (Section 2, articles 8-15 de l’AI Act). Ces obligations comprennent la mise en place de systèmes de gestion des risques, de systèmes assurant une qualité élevée de l’ensemble de données alimentant le système, d’une documentation technique, de dispositifs d’enregistrement automatique des événements (journaux), de procédures garantissant la transparence d’informations à destination des déployeurs, d’un contrôle humain et d’un niveau élevé de robustesse, de sécurité et de précision.
3. IA à risque spécifique/limité ou modéré
La législation sur l’IA introduit des obligations de transparence spécifiques pour veiller à ce que les êtres humains soient informés et éclairés lorsque cela est nécessaire (Chapitre IV).
Exemple :
• Les fournisseurs doivent veiller à ce que les systèmes d’intelligence artificielle destinés à interagir directement avec des personnes physiques (ex. chatbots) soient conçus et développés de manière à ce que les personnes physiques concernées soient informées qu’elles interagissent avec un système d’IA.
• Les fournisseurs de systèmes d’IA, y compris les fournisseurs de systèmes d’intelligence artificielle à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, veillent à ce que les sorties des systèmes d’intelligence artificielle soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA.
• Les déployeurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel.
• Les déployeurs d’un système d’intelligence artificielle qui génère ou manipule des textes publiés dans le but d’informer le public sur des questions d’intérêt public indiquent que le texte a été généré ou manipulé par une IA.
4. IA à d’usage général présentant un risque minimal (systémique)
Tous les autres systèmes d’intelligence artificielle qui n’entrent pas dans les catégories mentionnées ci-dessus ne sont soumis à aucune restriction ni obligation obligatoire. Ce sont par exemple les jeux vidéo compatibles avec l’IA ou les filtres anti-spam.
La portée extraterritoriale du champ d’application de l’AI Act (article 2)
– Les fournisseurs qui mettent sur le marché ou mettent en service des systèmes d’intelligence artificielle ou qui mettent sur le marché des modèles d’intelligence artificielle à usage général dans l’Union, que ces fournisseurs soient établis ou situés dans l’Union ou dans un pays tiers,
– Les déployeurs de systèmes d’intelligence artificielle (à savoir les utilisateurs professionnels de systèmes d’intelligence artificielle) qui ont leur lieu d’établissement ou sont situés dans l’Union,
– Les fournisseurs et les déployeurs de systèmes d’IA qui ont leur lieu d’établissement ou sont situés dans un pays tiers, lorsque les résultats produits par le système d’intelligence artificielle sont utilisés dans l’Union,
– Les importateurs et les distributeurs de systèmes d’intelligence artificielle,
– Les fabricants de produits qui mettent sur le marché ou en service un système d’IA avec leur produit et sous leur propre nom ou marque,
– Les représentants autorisés des fournisseurs qui ne sont pas établis dans l’Union.
Les sanctions en cas de violation des obligations
Les États membres doivent établir, et notifier à la Commission avant la date d’entrée en application, les règles relatives aux sanctions et autres mesures d’exécution, qui peuvent également comprendre des avertissements et des mesures non monétaires, applicables aux violations du présent règlement par les opérateurs. L’AI Act prévoit, selon leur gravité, les sanctions maximales suivantes (Article 99) :
| Le non-respect de l’interdiction des pratiques de l’article 5 | Amendes administratives de 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total réalisé par l’entreprise concernée au cours de l’exercice précédent |
| La non-conformité avec les obligations autres que l’interdiction de l’article 5 | Amende administrative de 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total réalisé par l’entreprise concernée au cours de l’exercice précédent |
| La fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes compétents | Amende administrative pouvant aller jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial total réalisé par l’entreprise concernée au cours de l’exercice précédent |
La sanction retenue est celle dont le montant est le plus élevé.
« Bac à sable » réglementaire en matière d’IA
L’article 57 de l’AI Act oblige les États membres à mettre en place, au niveau national, au moins un bac à sable réglementaire en matière d’IA, qui devra être opérationnel au plus tard le 2 août 2026.
Ce « bac à sable » réglementaire désigne un cadre contrôlé où des entreprises innovantes peuvent tester leur technologie ou services sans devoir nécessairement respecter l’ensemble du cadre réglementaire qui s’appliquerait normalement.
Ce dispositif vise à permettre aux entreprises d’évaluer les risques liés à leur technologie ou service et à aider l’adaptation de la réglementation, tout en favorisant l’innovation.
En France, la CNIL a publié en avril 2025 le bilan de son « bac à sable » 2023-2024 consacré aux projets innovants intégrant de l’intelligence artificielle et visant à améliorer les services publics (lire le rapport de la CNIL).
La mise en œuvre graduée
Le législateur européen a décidé une entrée en vigueur progressive du texte.
1. Les dispositions relatives aux systèmes d’intelligence artificielle interdits ont été mises en œuvre en priorité, dès le 2 février 2025.
2. La désignation des autorités compétentes dans les Etats membres de l’UE et les règles relatives aux modèles d’intelligence artificielle à usage général s’appliquent à compter du 2 août 2025.
3. Les principales mesures de l’AI Act – notamment celles concernant les systèmes d’IA à haut risque et les obligations des opérateurs de ces systèmes – seront pleinement applicables 2 ans après son entrée en vigueur, à savoir le 2 août 2026.
Par exception, les dispositions relatives aux règles applicables aux systèmes d’intelligence artificielle à haut risque figurant dans l’Annexe I de l’AI Act (jouets, équipements radio, dispositifs médicaux de diagnostic in vitro, sécurité de l’aviation civile, véhicules agricoles, etc.) entreront en vigueur le 2 août 2027, soit 3 ans après l’entrée en vigueur de l’AI Act.
Voir le calendrier de mise en œuvre
