AI Act : comment l’Europe veut bâtir un espace numérique de confiance

L’Union européenne ne cherche pas à créer une plateforme numérique unique estampillée « européenne ». Son ambition est plus vaste et moins visible : installer un ensemble de règles communes pour que les citoyens, les administrations et les entreprises puissent utiliser l’intelligence artificielle avec davantage de garanties. L’AI Act, le règlement européen sur l’intelligence artificielle, en est la pièce maîtresse.

Publié au Journal officiel de l’Union européenne en juillet et entré en vigueur le 1er août 2024, ce texte est souvent présenté comme le premier cadre juridique complet consacré à l’IA. Il répond à une question simple, mais décisive : comment bénéficier de systèmes capables d’automatiser, de prédire ou de générer des contenus, sans laisser ces outils porter atteinte à la sécurité, à la vie privée, à l’égalité de traitement ou aux libertés fondamentales ?

Le pari européen consiste à ne pas soumettre tous les logiciels aux mêmes contraintes. Un filtre antispam, un assistant conversationnel et un outil qui classe des candidatures à l’embauche ne présentent pas les mêmes conséquences pour les personnes concernées. L’AI Act adopte donc une logique de risque : plus l’usage peut avoir d’effets importants sur un individu, plus les obligations sont élevées.

Un règlement adopté en 2024, mais applicable par étapes

Le Parlement européen a adopté l’AI Act en mars 2024, avant son adoption définitive par le Conseil de l’Union européenne en mai. Le règlement est juridiquement entré en vigueur le 1er août 2024. Cela ne signifie pas que toutes ses obligations s’imposent déjà à toutes les entreprises : le législateur a prévu un déploiement progressif pour laisser le temps aux autorités et aux organisations de se préparer.

Cette progressivité est essentielle pour comprendre le texte. En septembre 2024, une entreprise qui développe ou achète une solution d’IA doit déjà anticiper ses futures responsabilités, mais une grande partie des obligations ne s’appliquera que dans les deux années suivantes.

Le calendrier ne doit pas être compris comme un délai d’inaction. Les systèmes d’IA sont souvent conçus, entraînés, testés puis intégrés pendant plusieurs mois. Pour les acteurs concernés, documenter les données, cartographier les usages et prévoir une supervision humaine dès la conception est généralement moins coûteux que de revoir un produit une fois les obligations devenues applicables.

Comment l’AI Act classe-t-il les risques ?

Le cœur du dispositif repose sur quatre niveaux. Cette classification ne dépend pas de la technologie seule, mais surtout de l’usage prévu. Une même technique peut être peu préoccupante dans un contexte et devenir sensible dans un autre.

Les interdictions constituent le signal le plus net envoyé par l’Union européenne. Elles visent les pratiques considérées comme incompatibles avec les droits fondamentaux, par exemple des systèmes exploitant les vulnérabilités liées à l’âge ou au handicap, ou encore le « scoring social », qui consisterait à évaluer des personnes à partir de leurs comportements ou caractéristiques afin de leur réserver un traitement défavorable dans des contextes injustifiés.

Les systèmes à haut risque occupent, eux, une place centrale. Lorsqu’un outil participe au tri de candidatures, à l’admission dans un établissement d’enseignement ou à l’accès à certains services essentiels, une erreur ou un biais peut avoir des conséquences concrètes : être écarté d’un emploi, d’une formation ou d’un crédit. L’AI Act ne proscrit pas ces usages, mais demande qu’ils soient encadrés et vérifiables.

Quelles obligations pour les entreprises et les concepteurs d’IA ?

Le règlement ne promet pas qu’un algorithme sera parfait ou totalement exempt de biais. Une telle promesse serait irréaliste. En revanche, il impose aux fournisseurs de systèmes à haut risque une organisation permettant d’identifier, de limiter et de documenter les risques.

Concrètement, les obligations prévues pour ces systèmes comprennent notamment :

• un système de gestion des risques tout au long du cycle de vie du produit ;
• des pratiques de gouvernance et de qualité pour les jeux de données utilisés ;
• une documentation technique permettant de comprendre le fonctionnement et la finalité du système ;
• la conservation de journaux d’événements afin de favoriser la traçabilité ;
• une information claire pour les organisations qui déploient le système ;
• des mesures de supervision humaine, de précision, de robustesse et de cybersécurité.

L’enjeu est particulièrement sensible pour les données. Des données incomplètes, mal étiquetées ou peu représentatives peuvent produire des résultats discriminatoires ou erronés. L’AI Act demande donc de prêter attention à leur pertinence et à leurs éventuels biais, mais il ne remplace pas les règles de protection des données personnelles.

Le règlement comporte également des dispositions spécifiques pour les modèles d’IA à usage général, catégorie dans laquelle entrent les grands modèles capables de générer du texte, des images, du code ou d’autres contenus et d’être intégrés à de nombreux produits. Les fournisseurs de ces modèles devront notamment fournir de la documentation technique et des informations aux entreprises qui les utilisent. Les modèles présentant un risque systémique feront l’objet d’exigences supplémentaires.

Un cadre européen qui complète le RGPD

L’AI Act est parfois présenté comme une extension du Règlement général sur la protection des données, le RGPD. Les deux textes sont complémentaires, mais leur objet n’est pas le même.

Le RGPD s’applique lorsqu’un traitement porte sur des données à caractère personnel. Il fixe notamment des règles sur la base juridique de la collecte, l’information des personnes, la minimisation des données, leur sécurité et l’exercice des droits individuels. Il peut concerner une IA, mais aussi n’importe quel autre logiciel traitant des données personnelles.

L’AI Act, lui, s’intéresse aux risques liés aux systèmes d’intelligence artificielle, y compris lorsque ceux-ci n’exploitent pas nécessairement de données personnelles. Il traite de la sécurité, de la transparence, de la surveillance humaine et des effets possibles sur les droits fondamentaux. Un outil d’IA peut donc devoir respecter les deux règlements simultanément.

En France, la CNIL joue déjà un rôle majeur sur les questions de données personnelles. Elle a renforcé ses travaux consacrés à l’intelligence artificielle depuis 2023, avec l’objectif d’accompagner l’innovation tout en veillant au respect des droits. Son action ne se confond pas automatiquement avec l’ensemble de la future surveillance de l’AI Act, qui suppose une organisation nationale plus large, mais son expertise est appelée à compter.

Une règle européenne qui concerne aussi les entreprises étrangères

L’AI Act ne s’adresse pas uniquement aux sociétés établies dans l’Union européenne. Son champ d’application peut viser des fournisseurs situés à l’étranger lorsqu’ils mettent un système d’IA sur le marché européen, le mettent en service dans l’Union, ou lorsque les résultats produits par leur système sont utilisés dans l’Union européenne.

Cette portée est stratégique. Les entreprises internationales qui veulent proposer un outil de recrutement, un service génératif ou une solution destinée à des secteurs sensibles sur le marché européen devront tenir compte des exigences européennes. L’Union espère ainsi éviter que les protections promises aux citoyens puissent être contournées par la simple localisation du fournisseur hors de ses frontières.

Cette logique rappelle l’influence internationale du RGPD. Elle peut contribuer à diffuser des pratiques communes au-delà de l’Europe, mais elle soulève aussi une difficulté : les règles devront être suffisamment claires et applicables pour ne pas se transformer en obstacle bureaucratique disproportionné, notamment pour les petites structures et les jeunes entreprises.

C’est dans cet esprit que la Commission européenne a aussi lancé un pacte sur l’IA, une démarche volontaire invitant les organisations à anticiper certaines mesures du règlement. Cet engagement ne remplace pas les obligations légales. Il cherche plutôt à encourager des pratiques responsables avant l’entrée en application complète de l’AI Act.

Des sanctions élevées, mais graduées selon les manquements

Le règlement prévoit des amendes importantes afin de rendre ses exigences crédibles. Dans sa version finale, les manquements les plus graves peuvent être sanctionnés jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Des plafonds distincts sont prévus pour d’autres obligations et pour la fourniture d’informations inexactes aux autorités.

Ces montants sont plus élevés que les plafonds de 30 millions d’euros ou 6 % du chiffre d’affaires mondial parfois associés aux versions antérieures du projet. Pour les petites et moyennes entreprises, le règlement prévoit que le montant le plus faible entre le pourcentage applicable et le plafond en euros soit retenu.

L’objectif n’est pas de pénaliser mécaniquement toute erreur technique. La mise en œuvre devra tenir compte de la nature, de la gravité et de la durée du manquement. Mais la perspective de sanctions élevées incite les fournisseurs comme les organisations utilisatrices à prendre la conformité au sérieux, surtout dans les secteurs où une décision algorithmique peut affecter fortement une personne.

Ce qu’il faut surveiller pour bâtir une confiance durable

L’adoption de l’AI Act est un jalon, non un aboutissement. La confiance dans l’IA dépendra de la manière dont les règles seront interprétées, contrôlées et adaptées à des technologies qui évoluent rapidement. Les lignes directrices attendues, les normes techniques et l’organisation des autorités nationales seront déterminantes pour traduire le texte dans la pratique.

La création d’un espace numérique européen de confiance repose aussi sur un équilibre délicat. Des règles trop vagues laisseraient les citoyens sans protection réelle. Des procédures trop lourdes risqueraient de décourager l’expérimentation, en particulier chez les PME, les chercheurs et les acteurs publics disposant de moyens limités. L’approche par les risques tente précisément de résoudre cette tension en concentrant les contraintes les plus fortes là où les conséquences humaines sont les plus importantes.

Pour les citoyens, le principal changement devrait être une meilleure visibilité sur les systèmes auxquels ils sont confrontés et davantage de garanties dans les domaines sensibles. Pour les entreprises, le défi sera d’intégrer conformité, qualité des données et supervision humaine comme des composantes normales de la conception d’un produit. C’est à cette condition que la régulation européenne pourra devenir non seulement une contrainte, mais aussi un facteur de confiance et d’adoption de l’intelligence artificielle.