AI Act : les usages d’IA désormais interdits dans l’Union européenne

Le règlement européen sur l’intelligence artificielle entre dans sa phase concrète. Le 2 février 2025, six mois après son entrée en vigueur formelle, l’AI Act rend applicables ses premières règles majeures dans les 27 pays de l’Union européenne. Le changement le plus visible est l’interdiction de pratiques que l’Union juge incompatibles avec les droits fondamentaux, notamment lorsqu’une IA sert à manipuler, surveiller ou classer des personnes de manière abusive.

Ce texte, officiellement appelé règlement sur l’intelligence artificielle, ne cherche pas à interdire l’IA. Il met en place une logique de risque : plus un système est susceptible d’affecter la sécurité, l’accès à un emploi, à une formation, à un crédit ou à des services essentiels, plus les obligations qui l’entourent seront importantes. Certaines pratiques franchissent toutefois une ligne rouge et sont donc interdites.

À quelques jours du Sommet pour l’action sur l’IA de Paris, prévu les 10 et 11 février 2025, cette première échéance donne un aperçu concret de l’ambition européenne : favoriser l’innovation tout en imposant des garde-fous communs à un marché de plus de 400 millions de consommateurs.

Le 2 février 2025, première date d’application de l’AI Act

Il faut distinguer deux dates souvent confondues. L’AI Act, le règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l’Union européenne. Mais un règlement européen peut prévoir une application différée de ses différentes dispositions. C’est précisément le cas ici.

Depuis le 2 février 2025, les dispositions sur les pratiques interdites s’appliquent. Cette échéance active aussi l’obligation dite de « maîtrise de l’IA ». Les fournisseurs de systèmes d’IA et les organisations qui les utilisent doivent prendre des mesures pour que les personnes qui les emploient disposent d’un niveau suffisant de connaissances, compte tenu de leur rôle, de leurs compétences et du contexte d’utilisation.

Dans les faits, cela ne signifie pas qu’un salarié devra obligatoirement décrocher un diplôme d’IA. En revanche, une entreprise qui confie un outil de recrutement, de synthèse documentaire, de détection de fraude ou de génération de contenu à ses équipes devra se demander si celles-ci savent en comprendre les limites, vérifier ses résultats et l’utiliser de façon appropriée.

Quels usages de l’IA sont interdits ?

L’article 5 de l’AI Act liste les pratiques considérées comme présentant un « risque inacceptable ». L’objectif est de prévenir des atteintes particulièrement graves à la dignité, à la vie privée, à l’égalité de traitement ou à la liberté de chacun. Les interdictions ne visent pas seulement les grandes plateformes : elles peuvent concerner toute organisation qui met un système sur le marché ou l’emploie dans l’Union européenne.

Parmi les usages interdits figurent les systèmes de notation sociale. Il s’agit d’évaluer ou de classer des personnes sur la base de leur comportement social ou de caractéristiques personnelles, lorsque ce score entraîne un traitement défavorable dans un contexte sans rapport avec les données utilisées, ou un traitement disproportionné. L’AI Act vise ainsi à empêcher qu’un score algorithmique conditionne abusivement l’accès à des droits, à des services ou à des opportunités.

Le règlement prohibe également les IA qui recourent à des techniques subliminales, manipulatrices ou trompeuses lorsqu’elles altèrent de manière significative la capacité d’une personne à prendre une décision éclairée et sont susceptibles de lui causer un préjudice important. Même logique pour les systèmes exploitant les vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique afin d’influencer le comportement d’une personne au risque de lui nuire.

Le texte cible aussi plusieurs usages de la biométrie et de la surveillance :

• la constitution ou l’enrichissement de bases de données de reconnaissance faciale au moyen de la collecte non ciblée d’images de visages sur internet ou issues de caméras de vidéosurveillance ;
• la catégorisation biométrique permettant de déduire des attributs sensibles, comme l’origine raciale, les opinions politiques, les convictions religieuses, l’appartenance syndicale, la vie sexuelle ou l’orientation sexuelle ;
• la reconnaissance des émotions au travail et dans les établissements d’enseignement, sauf motifs médicaux ou de sécurité ;
• l’évaluation du risque qu’une personne commette une infraction, lorsqu’elle repose uniquement sur un profilage ou sur l’évaluation de traits de personnalité et de caractéristiques personnelles.

La dernière interdiction est parfois résumée par l’expression « police prédictive ». Cette formule mérite une nuance. L’AI Act ne proscrit pas tout outil informatique susceptible d’aider une enquête. Il interdit de prédire le risque criminel d’un individu sur la seule base de son profil ou de ses caractéristiques personnelles. Une évaluation fondée sur des faits objectifs et vérifiables relève d’un autre cadre, qui reste soumis à d’autres règles applicables, notamment en matière de protection des données et de procédure pénale.

La reconnaissance faciale dans l’espace public n’est pas autorisée par défaut

La reconnaissance biométrique à distance en temps réel dans les espaces accessibles au public est l’un des sujets les plus sensibles. L’AI Act en pose le principe d’interdiction lorsqu’elle est utilisée par les forces de l’ordre. Il ne s’agit toutefois pas d’une interdiction sans aucune exception.

Le règlement prévoit des dérogations étroitement encadrées, par exemple pour rechercher certaines victimes d’infractions, prévenir une menace précise et imminente contre la vie ou la sécurité physique, ou rechercher une personne soupçonnée d’une infraction grave figurant dans une liste définie par le droit européen. Ces usages doivent répondre à des conditions strictes de nécessité et de proportionnalité, être limités dans le temps, dans l’espace et quant aux personnes recherchées, et faire l’objet d’une autorisation préalable, sauf urgence dûment justifiée.

Cette architecture illustre l’approche retenue par l’Union européenne. L’AI Act ne traite pas tous les usages d’une même technologie de la même façon. Il observe le contexte, l’objectif poursuivi, la catégorie de personnes concernées et le niveau de risque pour les libertés publiques.

Qui est concerné par le règlement européen ?

L’AI Act s’applique notamment aux entreprises et organismes qui développent un système d’IA, le commercialisent, le mettent en service ou l’utilisent dans l’Union européenne. Sa portée peut aussi s’étendre à certains acteurs établis hors de l’UE lorsque le résultat produit par leur système est utilisé sur le territoire européen.

Une entreprise française qui utilise une solution américaine pour trier des candidatures ou aider un service client n’est donc pas extérieure au dispositif. Sa responsabilité exacte dépendra de son rôle : fournisseur du système, distributeur, importateur ou utilisateur professionnel, appelé « déployeur » dans le règlement.

Les systèmes conçus exclusivement à des fins militaires, de défense ou de sécurité nationale ne relèvent pas du champ d’application de l’AI Act. Certaines activités de recherche et développement bénéficient également d’exclusions, tant que les systèmes ne sont pas mis sur le marché ou mis en service. Ces limites ne créent pas pour autant une zone sans règles : d’autres textes européens ou nationaux peuvent rester applicables.

Pour les organisations, la première étape utile consiste à dresser un inventaire des outils d’IA employés, y compris ceux intégrés à des logiciels de bureautique, de ressources humaines, de relation client ou de cybersécurité. Il devient ensuite possible d’identifier les usages interdits, de prévoir des règles internes et de former les équipes concernées.

Un calendrier progressif jusqu’en 2027

L’AI Act ne fait pas basculer toutes les entreprises dans un nouveau régime réglementaire le même jour. L’Union européenne a choisi une montée en charge par étapes afin de laisser aux entreprises, aux autorités de surveillance et aux organismes chargés d’évaluer la conformité le temps de s’organiser.

Cette progressivité corrige une confusion fréquente : les obligations détaillées relatives aux grands modèles génératifs ne s’appliquent pas dès février 2025. Elles doivent s’appliquer à partir du 2 août 2025. Cela concerne les modèles d’IA à usage général, capables d’être intégrés à de multiples produits et services, par exemple pour générer du texte, des images, du code ou analyser de grandes quantités de documents.

Quelles règles pour les modèles comme ChatGPT ou Gemini ?

Les modèles d’IA à usage général occupent une place particulière dans l’AI Act. Leur polyvalence est utile, mais elle complique l’évaluation de leurs effets : un même modèle peut être employé pour un assistant rédactionnel, une application éducative, un outil de programmation ou un service professionnel sensible.

À compter d’août 2025, les fournisseurs de ces modèles devront notamment préparer et tenir à disposition une documentation technique, transmettre certaines informations aux entreprises qui intègrent leurs modèles dans d’autres systèmes et mettre en place une politique de respect du droit d’auteur européen. Ils devront aussi publier un résumé suffisamment détaillé du contenu utilisé pour l’entraînement du modèle, selon un modèle fourni au niveau européen.

Cela ne signifie pas la publication exhaustive, ligne par ligne, de toutes les données d’entraînement. L’enjeu est plutôt de donner une visibilité accrue sur la nature et les principales catégories de contenus employés, tout en permettant le respect des règles de propriété intellectuelle.

Les modèles présentant des risques systémiques devront satisfaire à des exigences renforcées. L’AI Act prévoit notamment l’évaluation de leurs capacités, l’analyse et la réduction des risques systémiques, le suivi des incidents graves et la protection contre certains risques de cybersécurité. Les modèles les plus puissants sont ainsi soumis à un niveau de vigilance supérieur à celui des systèmes plus spécialisés.

Des sanctions élevées, mais une conformité à préciser

Le règlement prévoit des amendes qui peuvent être très importantes. La violation des pratiques interdites peut être sanctionnée par une amende allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. D’autres manquements au règlement peuvent exposer une entreprise à des plafonds de 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel.

Ces montants donnent une dimension concrète au texte, mais la conformité ne se résumera pas à éviter une pénalité. Pour les entreprises, le défi est aussi organisationnel : déterminer qui décide des usages autorisés, documenter les outils, prévoir une supervision humaine lorsque celle-ci est nécessaire, signaler les incidents et dialoguer avec les fournisseurs de logiciels.

Les petites structures n’ont pas les mêmes moyens que les groupes technologiques mondiaux. L’AI Act prévoit que les autorités doivent tenir compte des intérêts et des besoins spécifiques des petites et moyennes entreprises, y compris des jeunes pousses. La question de l’accompagnement pratique, des standards techniques et des guides de conformité sera donc décisive pour éviter que les nouvelles règles ne deviennent une barrière disproportionnée à l’innovation.

Ce qu’il faut surveiller d’ici août 2025

Le 2 février 2025 ne constitue pas l’aboutissement de l’AI Act, mais le début de sa mise en œuvre opérationnelle. Les premiers enjeux seront de faire connaître les pratiques désormais interdites, d’aider les organisations à respecter l’exigence de maîtrise de l’IA et de préciser l’articulation du règlement avec les législations déjà existantes, notamment sur les données personnelles, la consommation et le droit du travail.

À l’approche de l’application des règles sur les modèles d’IA à usage général, les discussions se concentreront aussi sur les codes de bonnes pratiques, la documentation attendue et les moyens d’évaluer les risques des modèles les plus avancés. L’équilibre recherché par l’Union européenne reste délicat : protéger les personnes sans empêcher les entreprises, les chercheurs et les services publics d’utiliser des outils qui évoluent très vite.

L’AI Act fixe néanmoins un principe clair : dans l’Union européenne, la performance technique d’un système ne suffit pas à justifier son déploiement. Son impact sur les droits, la sécurité et la capacité des citoyens à prendre des décisions libres devient désormais un critère réglementaire à part entière.