Code de pratique de l’IA : Washington conteste la voie choisie par l’UE

L’affrontement ne porte pas seulement sur un document technique. À quelques jours de l’échéance fixée pour son élaboration, le code de pratique de l’Union européenne sur l’intelligence artificielle cristallise deux conceptions opposées de l’innovation. D’un côté, Bruxelles cherche à rendre opérationnelles les règles de l’AI Act pour les modèles d’IA à usage général. De l’autre, des responsables américains, y compris au sein de l’administration de Donald Trump, dénoncent des obligations susceptibles de pénaliser les entreprises technologiques.

Le terme d’« annulation » mérite toutefois d’être précisé. Les États-Unis ne disposent évidemment d’aucun pouvoir juridique leur permettant de supprimer un texte européen. Leur intervention relève d’une pression politique et diplomatique sur le contenu d’un code encore en préparation. Pour les entreprises qui conçoivent ou utilisent de grands modèles d’IA en Europe, l’enjeu est concret : ce code pourrait devenir la référence pratique pour démontrer leur conformité aux règles européennes.

Un code de pratique distinct de l’AI Act

L’AI Act, le règlement européen sur l’intelligence artificielle, est entré en vigueur le 1er août 2024. Il établit un cadre fondé sur le niveau de risque des systèmes d’IA. Certaines pratiques sont interdites, les systèmes à haut risque sont soumis à des obligations renforcées, tandis que les modèles d’IA à usage général, capables d’être réemployés dans une grande variété de produits et de services, sont concernés par des règles spécifiques.

Le code de pratique discuté au printemps 2025 ne remplace pas ce règlement et n’en modifie pas le texte. Il s’agit d’un instrument volontaire prévu pour aider les fournisseurs de modèles à usage général à appliquer leurs obligations, notamment en matière de transparence, de respect du droit d’auteur, de gestion des risques et, pour les modèles présentant un risque systémique, de sûreté et de sécurité.

Sa rédaction doit être achevée avant le 2 mai 2025, une date inscrite dans le calendrier de l’AI Act. Les obligations applicables aux fournisseurs de modèles d’IA à usage général doivent ensuite commencer à s’appliquer le 2 août 2025.

Pourquoi l’administration américaine critique-t-elle ce projet ?

La contestation américaine s’inscrit dans une orientation plus large. En janvier 2025, Donald Trump a signé l’Executive Order 14179, consacré au renforcement de la position américaine dans l’intelligence artificielle. Le texte met l’accent sur la réduction des obstacles réglementaires susceptibles de ralentir le développement et le déploiement de l’IA aux États-Unis.

Dans ce contexte, des responsables américains estiment que le projet européen pourrait aller au-delà de ce qu’impose formellement l’AI Act. Leur inquiétude porte sur le risque que des engagements volontaires deviennent, dans les faits, des standards incontournables pour accéder au marché européen. Pour les grandes entreprises américaines qui développent des modèles largement diffusés, l’enjeu n’est pas marginal : un cadre européen détaillé peut influencer l’architecture technique des modèles, leurs procédures internes et les informations communiquées aux clients ou aux autorités.

Cette opposition reflète une divergence de méthode. L’Union européenne cherche à encadrer en amont les risques associés aux systèmes les plus puissants. L’administration américaine privilégie davantage une approche qui évite d’imposer trop tôt des contraintes uniformes à un secteur en évolution rapide.

Il ne s’agit pas pour autant d’un choix simple entre régulation et absence de régulation. Les entreprises qui déploient de l’IA dans des secteurs sensibles, comme les ressources humaines, la finance, la santé ou les services publics, font déjà face à des exigences de protection des données, de sécurité, de non-discrimination et de responsabilité. Le débat porte donc aussi sur la question suivante : faut-il harmoniser ces pratiques par un cadre européen précis ou laisser une plus grande marge de manœuvre à chaque organisation ?

Les exigences qui inquiètent les acteurs technologiques

Les critiques visent particulièrement certaines attentes discutées dans le cadre du code. Elles incluent les tests de modèles par des tiers et une transparence accrue sur les données utilisées pour l’entraînement. Thomas Randall, directeur de la recherche sur le marché de l’IA, a souligné que de telles exigences pourraient compliquer considérablement la mise en œuvre, en particulier dans les entreprises de grande taille.

Les évaluations externes peuvent répondre à un objectif compréhensible : vérifier qu’un modèle ne présente pas de vulnérabilités graves, qu’il résiste raisonnablement aux détournements ou que ses capacités ne créent pas des risques insuffisamment anticipés. Mais elles posent aussi des questions pratiques. Qui réalise ces tests ? À quel moment du cycle de développement ? Selon quel protocole ? Et quelles informations confidentielles un fournisseur doit-il partager pour qu’un audit soit réellement utile ?

La question des données d’entraînement est tout aussi sensible. Les détracteurs du code évoquent une « divulgation complète » des données. Or, dans le débat européen, il importe de distinguer une transparence utile, par exemple des résumés suffisamment détaillés sur les contenus employés, d’une publication brute et exhaustive des jeux de données. Cette dernière pourrait se heurter à des secrets d’affaires, à des contraintes contractuelles et à la difficulté matérielle de retracer l’origine de volumes gigantesques de données.

Le cœur du désaccord tient donc moins au principe de transparence qu’à son degré, à ses modalités et à son coût opérationnel. Une exigence trop vague peut manquer son objectif. Une exigence trop lourde peut écarter des acteurs plus petits et renforcer encore les grandes plateformes capables de financer d’importants dispositifs de conformité.

Un code volontaire, mais une influence très réelle

Le fait que le code soit volontaire ne signifie pas qu’il soit sans effet. Un fournisseur qui s’y conforme disposerait d’un cadre reconnu pour organiser ses obligations. À l’inverse, une entreprise qui choisirait une autre méthode devrait être en mesure de démontrer, avec des preuves équivalentes, que ses pratiques respectent bien les exigences du règlement.

La distinction est essentielle pour ne pas confondre trois niveaux de responsabilité : la loi européenne fixe les obligations, le code propose des moyens de les mettre en œuvre, et chaque organisation reste responsable de ses propres décisions d’utilisation de l’IA.

Pour les fournisseurs, adhérer au code peut simplifier le dialogue avec les clients, les partenaires et les autorités. Pour les entreprises utilisatrices, il peut fournir des indicateurs utiles lors du choix d’un modèle ou d’un prestataire. Mais aucune adhésion ne dispense automatiquement une organisation de contrôler son usage concret de l’IA, notamment lorsqu’elle traite des données personnelles ou prend des décisions qui affectent des personnes.

Pourquoi les entreprises doivent définir leurs propres contrôles

L’idée selon laquelle toute la responsabilité se déplacerait des fournisseurs vers les entreprises utilisatrices doit être nuancée. L’AI Act répartit les obligations entre plusieurs acteurs : fournisseurs, importateurs, distributeurs, déployeurs et, dans certains cas, représentants autorisés. Un éditeur de modèle ne porte donc pas la même responsabilité qu’une entreprise qui intègre ce modèle dans un outil de recrutement ou un service client.

Dans la pratique, toutefois, l’entreprise qui déploie une IA ne peut pas se contenter de faire confiance aux déclarations de son fournisseur. Elle doit savoir quels outils sont utilisés, quelles données y sont envoyées, quelles décisions sont automatisées ou assistées, et qui intervient en cas d’erreur.

Ces contrôles ne doivent pas être conçus comme une formalité isolée du reste de l’entreprise. Ils relèvent de son infrastructure de gouvernance, au même titre que la cybersécurité, la protection des données ou le contrôle interne. Les organisations qui attendent un incident ou une mise en demeure pour documenter leurs usages risquent de découvrir trop tard des pratiques dispersées, des données mal protégées ou une absence de responsabilité identifiée.

Des sanctions élevées, mais à interpréter correctement

L’AI Act prévoit des sanctions importantes. Son plafond le plus élevé peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce niveau concerne notamment certaines violations des pratiques interdites ou d’exigences particulières fixées par le règlement.

Il serait cependant trompeur d’affirmer que le seul refus d’adhérer au code de pratique expose automatiquement une entreprise à une amende de 7 %. Le code est volontaire. Les sanctions découlent d’un manquement aux obligations légales applicables et dépendent de la nature de l’infraction. D’autres plafonds sont prévus par l’AI Act pour d’autres violations.

La conformité ne se réduit d’ailleurs pas au risque financier. Une entreprise incapable d’expliquer comment son IA est contrôlée s’expose aussi à des conséquences contractuelles, opérationnelles et réputationnelles. Dans les marchés professionnels, les clients demandent déjà davantage de garanties sur la confidentialité, la sécurité, le droit d’auteur et la traçabilité des systèmes employés.

Deux visions de la gouvernance mondiale de l’IA

La controverse autour du code européen dépasse le seul marché de l’Union. L’Europe tente de faire de ses règles un point de référence pour les entreprises qui souhaitent proposer des outils à ses citoyens et à ses organisations. Les États-Unis, eux, cherchent à préserver une capacité d’innovation rapide pour leurs entreprises, dans un contexte de concurrence technologique mondiale.

L’issue de la rédaction du code pourrait donc être observée bien au-delà de Bruxelles. Un texte très détaillé serait susceptible de fixer une barre élevée en matière de documentation, de sécurité des modèles et de transparence. Un texte allégé offrirait davantage de flexibilité, mais laisserait aux entreprises la charge de bâtir des pratiques robustes là où les orientations communes seraient moins précises.

Cette opposition ne signifie pas nécessairement que l’un des deux ensembles renoncera à toute règle. Les législations nationales, les obligations sectorielles, les exigences contractuelles et les règles de protection des données continuent de structurer les usages de l’IA. La différence se situe dans le rôle que l’autorité publique souhaite jouer pour définir, en amont, un socle commun de gestion des risques.

Ce qu’il faut surveiller d’ici à août 2025

Le premier point à suivre est le texte final du code de pratique attendu à l’issue des négociations. Les choix relatifs aux tests, aux informations sur les données d’entraînement et à la gestion des risques systémiques permettront de mesurer si les préoccupations exprimées par Washington ont conduit à un assouplissement substantiel.

Le deuxième sera l’adhésion des grands fournisseurs de modèles. Un code volontaire n’a de portée pratique que si les acteurs qu’il vise l’adoptent et l’intègrent à leurs procédures. Leur position donnera aussi un signal aux entreprises clientes, qui devront décider quelles garanties exiger de leurs prestataires.

Enfin, les organisations européennes ne devraient pas attendre que ce débat se termine pour cartographier leurs usages de l’IA. Identifier les outils, limiter les données sensibles, prévoir une supervision humaine et conserver des traces de décision constituent des précautions utiles, quel que soit le degré de détail finalement retenu dans le code. Dans un paysage réglementaire mouvant, la capacité à prouver une gestion sérieuse des risques devient un avantage autant qu’une obligation.