AI Act : les pratiques d’intelligence artificielle interdites en Europe dès le 2 février

Le 2 février 2025, l’intelligence artificielle entre dans une phase réglementaire inédite en Europe. Six mois après l’entrée en vigueur de l’AI Act, le grand règlement européen consacré à l’IA, ses premières règles directement applicables prennent effet. Elles ne concernent pas tous les outils d’IA, mais elles fixent une ligne rouge claire : certains usages sont désormais considérés comme incompatibles avec les droits fondamentaux et ne peuvent plus être proposés ou utilisés dans l’Union européenne.

Cette première échéance intervient dans un contexte où les assistants conversationnels, les outils de reconnaissance d’images et les systèmes d’automatisation se diffusent rapidement auprès du public, des entreprises et des administrations. L’AI Act ne bannit donc pas l’intelligence artificielle. Il établit une gradation des risques, avec des obligations d’autant plus strictes que l’usage est susceptible d’influencer la sécurité, l’accès à des services essentiels ou les libertés individuelles.

Pourquoi le 2 février 2025 est une date importante pour l’AI Act

Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Son application est progressive afin de laisser aux organisations le temps d’adapter leurs outils, leurs procédures et leurs compétences. Le 2 février 2025, les premières interdictions entrent en application, ainsi que les règles générales du texte et l’obligation de promouvoir une maîtrise suffisante de l’IA au sein des organisations concernées.

La logique européenne est simple : les systèmes présentant un « risque inacceptable » ne doivent pas être régulés par de simples précautions, ils doivent être interdits. Les outils présentant des risques élevés, par exemple dans certains domaines liés à l’emploi, à l’éducation ou à l’accès à des services, seront soumis à d’autres obligations lors des prochaines étapes du calendrier.

Quelles pratiques d’intelligence artificielle sont interdites ?

L’article 5 de l’AI Act liste les pratiques interdites à compter du 2 février 2025. Le texte vise des situations précises. Il ne suffit pas qu’un outil soit persuasif, prédictif ou qu’il traite des images pour être illégal. Encore faut-il qu’il corresponde aux conditions définies par le règlement, notamment en matière de manipulation, de préjudice ou d’atteinte aux libertés.

Manipuler une personne ou exploiter ses fragilités

L’Union européenne interdit les systèmes qui utilisent des techniques subliminales, ou des méthodes délibérément manipulatrices ou trompeuses, lorsque celles-ci altèrent de manière significative le comportement d’une personne et risquent de lui causer, ou lui causent, un préjudice important.

Le règlement interdit également les systèmes qui exploitent les vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique particulière, lorsque cette exploitation altère substantiellement le comportement d’une personne et peut lui porter préjudice. L’objectif est notamment d’éviter qu’un outil ne tire parti de la fragilité d’un enfant, d’une personne dépendante ou en situation de précarité pour orienter ses décisions.

Ces formulations impliquent une nuance importante : toute personnalisation ou toute recommandation algorithmique n’est pas automatiquement interdite. Le texte cible des pratiques qui franchissent un seuil élevé de manipulation et de dommage potentiel.

Noter les citoyens selon leur comportement social

L’AI Act proscrit certains systèmes de notation sociale. Il s’agit de dispositifs qui évalueraient ou classeraient des personnes ou des groupes selon leur comportement social ou des caractéristiques personnelles, puis entraîneraient un traitement défavorable.

L’interdiction vise notamment deux cas : lorsque ce traitement est sans rapport avec les données ayant servi à l’évaluation, ou lorsqu’il est injustifié ou disproportionné par rapport à ce comportement. Cette règle répond à la crainte de voir se développer des mécanismes où une note attribuée par un algorithme conditionnerait arbitrairement l’accès à des droits, des services ou des opportunités.

Prédire la criminalité sur la seule base d’un profil

Les autorités ne peuvent pas utiliser un système d’IA pour évaluer ou prédire le risque qu’une personne commette une infraction pénale en se fondant uniquement sur le profilage ou sur l’évaluation de traits de personnalité et de caractéristiques personnelles.

Le règlement ne remet pas en cause toute analyse de données dans le champ de la sécurité. Il distingue toutefois clairement les systèmes qui s’appuient sur une évaluation humaine et sur des éléments objectifs et vérifiables, de ceux qui prétendraient désigner une personne comme dangereuse à partir de son seul profil.

Biométrie et reconnaissance des émotions : des limites strictes

Une part essentielle des premières interdictions concerne les données biométriques, c’est-à-dire les caractéristiques permettant d’identifier ou d’analyser une personne, comme son visage.

D’abord, il devient interdit de constituer ou d’enrichir des bases de données de reconnaissance faciale en récupérant sans ciblage des images de visages sur internet ou dans des images de vidéosurveillance. L’enjeu est de freiner la création de gigantesques fichiers biométriques à partir de photos mises en ligne ou captées dans l’espace public.

Le règlement interdit aussi certains systèmes de catégorisation biométrique qui chercheraient à déduire des données sensibles, comme l’origine raciale, les opinions politiques, l’appartenance syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l’orientation sexuelle. Déduire ces informations à partir d’un visage ou d’autres signaux corporels soulève des risques considérables de discrimination et d’erreur.

Enfin, les systèmes de reconnaissance des émotions sont interdits sur les lieux de travail et dans les établissements d’enseignement. Un employeur ne peut donc pas, dans ce cadre, utiliser une IA pour prétendre mesurer l’humeur, l’attention ou l’état émotionnel de ses salariés. De même, une école ne peut pas généraliser ce type de dispositif pour analyser ses élèves. Le règlement prévoit toutefois une exception lorsque l’usage répond à une finalité médicale ou de sécurité.

La reconnaissance biométrique à distance et en temps réel dans les espaces accessibles au public est également fortement limitée lorsqu’elle est utilisée à des fins répressives. Le texte prévoit des exceptions très encadrées, notamment pour rechercher certaines victimes, prévenir une menace imminente grave ou localiser des suspects dans le cadre d’infractions graves. Ces usages doivent respecter des conditions strictes.

L’IA est-elle interdite en Europe ? Non, les usages sont classés selon les risques

L’AI Act ne signifie pas la fin des assistants conversationnels, des traducteurs automatiques, des logiciels de retouche, des outils de recommandation ou des systèmes capables de résumer un document. Ces applications ne relèvent pas, par nature, des pratiques prohibées le 2 février 2025.

Le règlement européen repose sur une approche par niveaux de risque. Les pratiques inacceptables sont interdites. Les systèmes à haut risque seront autorisés, mais devront répondre à des exigences renforcées, par exemple sur la qualité des données, la documentation, la supervision humaine, la précision et la cybersécurité. Les outils présentant un risque plus limité pourront être soumis à des obligations de transparence dans les étapes ultérieures du règlement.

Cette méthode cherche à concilier deux impératifs : protéger les personnes contre les usages les plus intrusifs ou dangereux, sans bloquer tous les usages économiques, scientifiques ou créatifs de l’intelligence artificielle.

Une obligation souvent méconnue : mieux former les personnes qui utilisent l’IA

Le 2 février 2025 ne marque pas seulement le début des interdictions. L’AI Act prévoit aussi que les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour assurer un niveau suffisant de maîtrise de l’IA chez les personnes qui exploitent ces outils en leur nom.

Cette exigence doit être adaptée aux connaissances techniques, à l’expérience, à la formation et au contexte d’utilisation des personnes concernées. Il ne s’agit pas nécessairement d’imposer la même formation à tout le monde. Une équipe qui utilise un outil d’IA dans un cadre sensible n’a pas les mêmes besoins qu’un salarié qui s’en sert ponctuellement pour organiser des notes ou reformuler un texte.

Concrètement, les organisations doivent se poser plusieurs questions : leurs équipes savent-elles que l’outil repose sur de l’IA ? Comprennent-elles ses limites et ses risques d’erreur ? Savent-elles quelles données ne doivent pas y être saisies ? Peuvent-elles repérer une réponse manifestement erronée, biaisée ou inadaptée ?

Cette dimension est particulièrement importante dans un contexte de diffusion rapide des outils génératifs. Une politique interne claire, des consignes sur les données sensibles et une vérification humaine des résultats peuvent réduire des risques très concrets, sans empêcher les gains de productivité associés à ces technologies.

Ce que les entreprises, administrations et citoyens doivent surveiller

À partir du 2 février 2025, les organisations européennes qui développent, achètent ou déploient des systèmes d’IA doivent d’abord vérifier qu’aucun de leurs usages ne relève des pratiques interdites. Cet examen doit aller au-delà du nom commercial ou de la promesse marketing d’un logiciel : il faut s’intéresser aux données traitées, aux personnes visées, aux décisions influencées et aux conséquences possibles.

Pour les citoyens, la date constitue surtout un nouveau repère. Un outil prétendant déduire les émotions d’élèves ou de salariés, attribuer une note sociale à des individus, ou prédire la criminalité d’une personne à partir de son profil doit désormais susciter une vigilance particulière. L’AI Act ne résout pas, à lui seul, toutes les questions posées par l’IA, mais il fixe des interdits explicites là où les risques pour la dignité, l’égalité et la liberté sont les plus élevés.

La prochaine étape consistera à suivre la mise en œuvre effective de ces règles. Les entreprises devront transformer des principes juridiques en procédures concrètes, les autorités devront veiller au respect du règlement et les utilisateurs devront apprendre à identifier les usages acceptables de ceux que l’Union européenne refuse désormais de tolérer.