AI Act : l’Europe active de nouvelles règles qui inquiètent les géants américains

Le 2 août 2025 ne marque pas l’entrée en vigueur complète de l’AI Act, mais une étape décisive de son calendrier. Un an après la publication du règlement européen sur l’intelligence artificielle, de nouvelles obligations deviennent applicables, en particulier pour les entreprises qui fournissent des modèles d’IA à usage général. Ces modèles, capables de produire ou d’analyser du texte, des images, du son ou du code, constituent aujourd’hui le socle de nombreux assistants et services numériques.

L’enjeu dépasse largement les frontières de l’Union européenne. Toute entreprise, américaine ou non, qui met un système d’IA sur le marché européen peut être concernée. L’AI Act devient ainsi un test grandeur nature : l’Europe peut-elle protéger les citoyens et instaurer la confiance sans affaiblir sa capacité à innover, ni décourager les acteurs étrangers qui dominent encore une grande partie du marché ?

Le 2 août 2025, une nouvelle phase dans l’application de l’AI Act

L’AI Act, officiellement le règlement européen sur l’intelligence artificielle, est le premier grand texte horizontal au monde à encadrer l’IA selon les risques qu’elle fait peser sur les personnes et la société. Il est entré en vigueur le 1er août 2024, mais ses règles s’appliquent par étapes afin de laisser aux administrations et aux entreprises le temps de s’organiser.

Depuis le 2 août 2025, plusieurs dispositions importantes s’ajoutent aux interdictions déjà applicables depuis le 2 février 2025. Elles concernent notamment la gouvernance, les sanctions et les modèles d’IA à usage général, souvent désignés par l’acronyme anglais GPAI, pour general-purpose AI.

Il faut donc éviter un raccourci fréquent : l’AI Act n’impose pas, au 2 août 2025, l’ensemble de ses contraintes à toutes les applications d’intelligence artificielle. Son déploiement est progressif. En revanche, cette date est particulièrement importante pour les grands fournisseurs de modèles polyvalents, dont les technologies peuvent ensuite être intégrées dans une multitude de services destinés au grand public ou aux professionnels.

Une régulation fondée sur le niveau de risque

La logique de l’AI Act est simple dans son principe : plus les conséquences possibles d’un système d’IA sont graves pour les droits, la sécurité ou l’accès à des services essentiels, plus les obligations sont strictes. Cette approche ne cherche donc pas à interdire l’intelligence artificielle en bloc. Elle distingue les usages ordinaires des usages susceptibles d’affecter fortement la vie d’une personne.

Les pratiques présentant un risque inacceptable sont interdites. Le texte vise notamment certaines techniques de manipulation, l’exploitation de vulnérabilités liées à l’âge ou au handicap, la notation sociale par les autorités publiques, ou encore la constitution non ciblée de bases de données de visages par récupération d’images sur internet ou par vidéosurveillance. L’usage de l’identification biométrique à distance en temps réel dans les espaces accessibles au public est lui aussi très encadré et ne peut relever que d’exceptions limitées.

Les systèmes dits à haut risque restent autorisés, mais leurs fournisseurs et leurs utilisateurs doivent démontrer qu’ils maîtrisent leurs effets. Cette catégorie peut concerner des outils utilisés pour le recrutement, l’accès à l’éducation, l’évaluation de la solvabilité, l’accès à certaines prestations, le maintien de l’ordre, la gestion des frontières ou la justice. Les obligations attendues couvrent notamment :

• la gestion et l’évaluation des risques ;
• la qualité et la gouvernance des données utilisées ;
• une documentation technique suffisamment détaillée ;
• la traçabilité des opérations et la tenue de journaux ;
• une supervision humaine réelle ;
• des exigences de précision, de robustesse et de cybersécurité.

Enfin, de nombreux outils du quotidien relèvent d’un risque limité ou minimal. Ils ne sont pas soumis au même niveau de contrôle. Certaines applications devront néanmoins signaler à l’utilisateur qu’il interagit avec une IA ou indiquer qu’un contenu a été généré ou modifié artificiellement, selon les cas prévus par le règlement.

Ce qui change pour les modèles d’IA générative

Le 2 août 2025 met surtout en lumière une catégorie devenue centrale depuis la diffusion des assistants conversationnels : les modèles d’IA à usage général. Un même modèle peut servir à rédiger un texte, résumer un document, générer du code, répondre à des questions ou alimenter des applications développées par d’autres entreprises. Son impact ne dépend donc pas d’un usage unique.

Les fournisseurs concernés doivent désormais fournir une documentation technique, donner aux entreprises qui réutilisent le modèle les informations nécessaires pour l’intégrer de manière responsable, mettre en place une politique de respect du droit d’auteur de l’Union européenne et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement du modèle.

Cette dernière obligation est particulièrement observée dans les secteurs de la culture, des médias et de l’édition. Elle ne revient pas à publier l’intégralité des données d’entraînement. Elle vise toutefois à rendre plus visible la nature des sources mobilisées, dans un contexte où les créateurs et les titulaires de droits s’interrogent sur l’utilisation de leurs œuvres par les systèmes génératifs.

Certains modèles, en raison de leurs capacités et de leur diffusion, peuvent présenter un risque systémique. Le règlement établit une présomption à partir d’un volume de calcul d’entraînement supérieur à 10 puissance 25 opérations en virgule flottante. Les fournisseurs de ces modèles doivent alors évaluer et atténuer les risques systémiques, tester leurs modèles, signaler les incidents graves et renforcer leur cybersécurité.

Un code de bonnes pratiques pour les modèles d’IA à usage général a été publié par la Commission européenne en juillet 2025. Il est volontaire, mais peut aider les entreprises signataires à démontrer qu’elles respectent plus facilement certaines obligations du règlement. Refuser de le signer ne dispense toutefois pas une entreprise de respecter la loi.

Qui contrôlera l’AI Act en France ?

L’efficacité d’un règlement européen dépend largement de son application sur le terrain. Chaque État membre doit désigner des autorités compétentes capables de surveiller le marché, de recevoir des signalements, d’évaluer des risques et, si nécessaire, de sanctionner les manquements. La coordination entre les Vingt-Sept est essentielle : une même application ne doit pas être traitée de façon radicalement différente selon le pays où elle est commercialisée.

En France, la DGCCRF, la CNIL et le Défenseur des droits ont été désignés pour participer à cette architecture nationale. Le choix de ces trois institutions reflète les différents enjeux soulevés par l’IA : protection des consommateurs, protection des données personnelles et lutte contre les discriminations ou les atteintes aux droits fondamentaux.

La DGCCRF est familière de la surveillance des pratiques commerciales et de la protection économique des consommateurs. La CNIL dispose d’une expertise clé dès lors qu’un système d’IA traite des données personnelles, notamment des données biométriques. Le Défenseur des droits a vocation à éclairer les questions d’égalité de traitement et de respect des droits des personnes, particulièrement importantes lorsqu’un algorithme intervient dans le recrutement, l’accès à un service ou une décision publique.

À l’échelle européenne, le Bureau de l’IA de la Commission européenne joue également un rôle central, notamment pour les modèles à usage général. Cette organisation à plusieurs niveaux cherche à éviter deux écueils : une surveillance trop abstraite, incapable de comprendre les systèmes techniques, et une application purement nationale qui créerait une mosaïque de règles divergentes.

Europe et États-Unis, deux visions de la gouvernance numérique

La mise en œuvre de l’AI Act ravive une divergence ancienne entre l’Union européenne et les États-Unis. L’Europe privilégie un règlement directement applicable dans les États membres et fondé sur la protection des droits fondamentaux. Les États-Unis demeurent, en août 2025, dans une situation plus fragmentée, mêlant règles sectorielles, initiatives des États fédérés, action des agences et orientations de l’exécutif fédéral.

Cette différence ne signifie pas que les États-Unis sont dépourvus de règles. Des normes existent déjà en matière de consommation, de concurrence, de non-discrimination, de données de santé ou de protection de l’enfance. Mais il n’existe pas d’équivalent fédéral général à l’AI Act qui fixe, pour tous les secteurs, une classification harmonisée des risques de l’IA.

L’administration américaine met davantage l’accent sur la compétitivité, l’infrastructure de calcul, l’énergie nécessaire aux centres de données et le maintien de l’avance technologique des entreprises américaines. Cette orientation alimente les critiques de certaines entreprises technologiques, qui redoutent des obligations européennes lourdes, imprécises ou difficiles à appliquer à des modèles évoluant rapidement.

Leur inquiétude est aussi économique. Mettre en conformité un modèle suppose de documenter son développement, de revoir des procédures internes, d’organiser la réponse aux incidents et de dialoguer avec des régulateurs. Pour les très grandes plateformes, le coût est réel mais absorbable. Pour une jeune pousse ou un éditeur européen de taille modeste, il peut peser davantage, d’où l’importance d’un accompagnement proportionné et de règles compréhensibles.

Les entreprises américaines sont-elles directement visées ?

L’AI Act ne cible pas les entreprises américaines. Il s’applique selon un principe lié au marché européen : une société établie hors de l’Union peut être concernée si elle propose un système d’IA dans l’Union ou si le résultat produit par son système y est utilisé. Cette portée explique l’attention portée au texte par les grands groupes technologiques américains.

Pour ces entreprises, le défi consiste à éviter de créer une version de leurs produits pour l’Europe et une autre pour le reste du monde, tout en respectant des règles locales. Dans certains cas, elles pourraient choisir d’appliquer certaines exigences européennes plus largement, parce qu’il est plus simple de maintenir un cadre commun. C’est l’une des raisons pour lesquelles le règlement européen pourrait influencer les pratiques internationales, même en dehors de l’Union.

Mais l’effet dit de Bruxelles n’est pas automatique. Il dépendra de la capacité des autorités européennes à faire respecter le texte, de la clarté des lignes directrices publiées et de la réaction des autres puissances réglementaires. La conformité ne doit pas se réduire à remplir des formulaires : elle doit permettre d’identifier les risques avant qu’un système ne cause un préjudice.

Des amendes élevées, mais pas une sanction automatique

L’AI Act prévoit des sanctions administratives importantes. Les violations des interdictions les plus graves peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. D’autres manquements peuvent être sanctionnés jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, tandis que la fourniture d’informations inexactes ou trompeuses peut entraîner une amende allant jusqu’à 7,5 millions d’euros ou 1,5 % du chiffre d’affaires mondial.

Ces plafonds ne sont pas des amendes automatiques. Les autorités doivent apprécier la gravité et la durée de l’infraction, son caractère intentionnel ou négligent, les mesures correctrices prises, la coopération de l’entreprise et les conséquences pour les personnes concernées. Les petites et moyennes entreprises doivent bénéficier de montants proportionnés, sans être exonérées de leurs responsabilités.

Ce qu’il faut surveiller

La prochaine grande échéance est fixée au 2 août 2026, date à laquelle la plupart des obligations de l’AI Act deviendront applicables. D’ici là, les entreprises devront cartographier leurs usages de l’IA, déterminer leur rôle juridique, fournisseur, déployeur, importateur ou distributeur, et identifier la catégorie de risque de chaque système.

Pour les citoyens, le véritable test sera concret. Les nouvelles règles permettront-elles de mieux contester une décision automatisée injuste, de limiter les usages intrusifs de la biométrie et de mieux comprendre quand un contenu ou une interaction repose sur l’IA ? Pour les entreprises européennes, l’enjeu sera de transformer la conformité en avantage de confiance plutôt qu’en frein administratif.

L’Europe a choisi de faire de l’IA un sujet de droit avant qu’elle ne devienne un espace sans règles. Son ambition sera jugée sur la qualité de l’application du texte, sur la cohérence entre les États membres et sur sa capacité à préserver un environnement où la recherche, les start-up et les usages utiles de l’intelligence artificielle peuvent continuer à se développer.