Réglementation de l'Intelligence Artificielle en Europe

L'AI Act, officiellement règlement (UE) 2024/1689 du 13 juin 2024, est le premier cadre juridique horizontal au monde visant à encadrer l'intelligence artificielle. Il classe les systèmes d'IA selon quatre niveaux de risque (inacceptable, élevé, limité, minimal) et impose des obligations proportionnées aux fournisseurs, déployeurs, importateurs et distributeurs. Publié au JOUE le 12 juillet 2024, il est entré en vigueur le 1er août 2024.

L'application est échelonnée : interdictions de systèmes à risque inacceptable et obligation de littératie IA à partir du 2 février 2025 ; règles pour les modèles d'IA à usage général (GPAI) à partir du 2 août 2025 ; transparence (article 50) et application générale depuis le 2 août 2026. Le règlement (UE) 2026/1744 (« omnibus numérique sur l'IA », en vigueur depuis le 27 juillet 2026) a toutefois reporté les obligations relatives aux systèmes à haut risque : au 2 décembre 2027 pour ceux de l'annexe III et au 2 août 2028 pour ceux de l'annexe I. Les contrôles de marché et sanctions entrent en vigueur progressivement.

L'article 5 du règlement prohibe notamment : les systèmes d'IA manipulant subliminalement le comportement, ceux exploitant les vulnérabilités (âge, handicap, situation socio-économique), la notation sociale généralisée par les pouvoirs publics, certaines formes d'identification biométrique à distance en temps réel dans les espaces publics (avec exceptions strictes), l'analyse émotionnelle au travail et en milieu éducatif, le scraping non ciblé d'images faciales depuis internet ou la vidéosurveillance, et la catégorisation biométrique selon des attributs sensibles (origine, orientation, opinions politiques).

Les amendes administratives prévues à l'article 99 peuvent atteindre jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les pratiques interdites, 15 millions ou 3 % du CA pour les infractions aux obligations applicables aux systèmes à haut risque, et 7,5 millions ou 1 % du CA pour les informations inexactes ou incomplètes fournies aux autorités. Les PME et start-up bénéficient de plafonds proportionnés.

Un système est à haut risque s'il relève de l'annexe I (produit ou composant de sécurité soumis à législation d'harmonisation UE : dispositif médical, jouet, véhicule, ascenseur, équipement sous pression, etc.) ou de l'annexe III (huit domaines listés : biométrie, infrastructures critiques, éducation, emploi, services essentiels, maintien de l'ordre, migration, justice et démocratie). Des dérogations existent pour les tâches purement accessoires ou préparatoires. Une évaluation documenterée est obligatoire pour justifier le classement.