L’IA Act européen : Le guide complet du premier cadre juridique mondial sur l’intelligence artificielle

Adopté par l’Union européenne sous le numéro officiel de Règlement (UE) 2024/1689, le Règlement sur l’Intelligence Artificielle (IA Act) constitue la toute première législation transversale et contraignante au monde visant à encadrer le développement, la mise sur le marché et l’utilisation des systèmes d’IA.

S’inspirant du modèle basé sur les risques déjà éprouvé par le droit de la sécurité des produits et le RGPD, l’IA Act poursuit un double objectif : protéger les droits fondamentaux, la sécurité et la démocratie, tout en stimulant l’innovation et la compétitivité du marché unique européen.

Structuré en 13 chapitres, le règlement établit une régulation complète s’étendant de la définition des usages interdits jusqu’aux mécanismes de sanctions et d’évaluation continue.

1. Chapitre I : Dispositions générales (Articles 1 à 4)

Le premier chapitre délimite le périmètre du texte. Il définit la notion de système d’IA (en alignement avec les travaux de l’OCDE) et établit une portée extraterritoriale : le règlement s’applique à tout fournisseur ou déployeur, qu’il soit établi dans l’UE ou dans un pays tiers, dès lors que le système est mis sur le marché européen ou que ses résultats sont utilisés au sein de l’Union. Sont exclus du champ d’application les systèmes utilisés à des fins exclusivement militaires, de défense nationale ou de recherche scientifique.

2. Chapitre II : Pratiques en matière d’IA interdites (Article 5)

L’IA Act classe les systèmes selon une approche par les risques. Ce chapitre traite du risque inacceptable, c’est-à-dire des usages strictement prohibés au sein de l’UE :

• La manipulation subliminale ou la tromperie altérant le comportement d’une personne.

• L’exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation socio-économique.

• Le scoring social (crédit social) par des autorités publiques ou privées.

• L’identification biométrique distante en temps réel dans l’espace public à des fins d’application de la loi (sauf exceptions judiciaires très encadrées).

• Le catégorisation biométrique déduisant des données sensibles (opinions politiques, orientation sexuelle, convictions religieuses).

• La constitution de bases de données de reconnaissance faciale par moissonnage non ciblé d’images.

3. Chapitre III : Systèmes d’IA à haut risque (Articles 6 à 49)

Cœur technique de la réglementation, ce chapitre définit les systèmes d’IA présentant un risque élevé pour la santé, la sécurité ou les droits fondamentaux (systèmes intégrés comme composants de sécurité dans des produits réglementés ou utilisés dans des secteurs critiques tels que la gestion des infrastructures, l’éducation, l’emploi, la justice, les services essentiels, etc.).

Les fournisseurs et déployeurs de ces systèmes doivent satisfaire à des exigences strictes :

• Mise en place d’un système de gestion des risques continu.

• Exigences sur la qualité des données d’entraînement.

• Documentation technique et tenue de journaux d’événements (logs).

• Transparence et information claire des utilisateurs.

• Contrôle humain effectif (human-in-the-loop).

• Robuste cybersécurité et précision technique.

• Procédure d’évaluation de la conformité et marquage CE avant la mise sur le marché.

4. Chapitre IV : Obligations de transparence pour certains systèmes d’IA (Article 50)

Ce chapitre impose des règles de transparence pour les systèmes d’IA interagissant directement avec les personnes physiques ou générant du contenu :

• Obligation d’informer l’utilisateur qu’il interagit avec une IA (ex: chatbots).

• Marquage clair et identification des contenus générés ou manipulés par IA (deepfakes, synthèses sonores ou visuelles, articles générés automatiquement). En revanche, cette obligation s’efface dès lors que le texte généré a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume formellement la responsabilité éditoriale de la publication.

5. Chapitre V : Modèles d’IA à usage général (GPAI) (Articles 51 à 56)

Introduit au cours des négociations pour répondre à l’émergence de l’IA générative et des modèles de fondation (ex: GPT, Gemini, Claude), le chapitre V établit un cadre dédié aux modèles d’IA à usage général :

• Tous les fournisseurs de modèles GPAI doivent fournir une documentation technique, respecter le droit d’auteur européen et publier un résumé suffisant des données d’entraînement.

• Les modèles présentant un risque systémique (définis par une capacité de calcul supérieure à $10^{25}$ FLOPs ou désignés par la Commission) doivent en outre réaliser des évaluations de modèle, des tests d’effort (red-teaming), déclarer leurs incidents graves et garantir une protection renforcée de leur cybersécurité.

6. Chapitre VI : Mesures d’appui à l’innovation (Articles 57 à 63)

Afin de ne pas brider la compétitivité des entreprises européennes, l’IA Act crée des espaces d’expérimentation réglementaire appelés bacs à sable réglementaires (regulatory sandboxes). Ces dispositifs permettent aux développeurs, en particulier les PME et start-ups, de tester des systèmes d’IA innovants sous le contrôle direct des autorités publiques avant leur mise sur le marché.

7. Chapitre VII : Gouvernance (Articles 64 à 70)

Pour veiller à l’application uniforme du texte, le chapitre VII met en place la structure institutionnelle :

• Au niveau européen : Création du Bureau de l’IA (AI Office) au sein de la Commission européenne, épaulé par un Comité européen de l’IA (AI Board) composé de représentants des États membres, un forum consultatif et un groupe scientifique d’experts indépendants.

• Au niveau national : Chaque État membre désigne des autorités nationales compétentes chargées de la surveillance du marché.

8. Chapitre VIII : Banque de données de l’UE pour les systèmes d’IA à haut risque (Article 71)

La Commission européenne met en place et gère une banque de données publique et centralisée à l’échelle de l’UE. Les fournisseurs de systèmes d’IA à haut risque ont l’obligation d’y enregistrer leurs systèmes avant toute mise en service, garantissant ainsi la transparence auprès des citoyens et des régulateurs.

9. Chapitre IX : Surveillance du marché, contrôle de l’application et clauses de sauvegarde (Articles 72 à 94)

Ce chapitre attribue aux autorités nationales et à la Commission des pouvoirs d’enquête, de contrôle et d’intervention. En cas de constatation d’un risque grave pour la sécurité ou les droits fondamentaux, les autorités peuvent ordonner le retrait du marché, la suspension ou la modification d’un système d’IA non conforme.

10. Chapitre X : Codes de conduite et lignes directrices (Articles 95 à 96)

L’IA Act encourage l’élaboration de codes de conduite volontaires permettant aux fournisseurs de systèmes d’IA non classés « à haut risque » d’appliquer volontairement les exigences de sécurité et de durabilité environnementale, favorisant une démarche d’autorégulation accompagnée.

11. Chapitre XI : Délégation de pouvoir et procédure de comité (Articles 97 à 98)

Ce chapitre technique définit les mécanismes juridiques permettant à la Commission européenne d’adopter des actes délégués et d’exécution afin de mettre à jour régulièrement les annexes, les seuils techniques et les modalités d’application en fonction des évolutions technologiques.

12. Chapitre XII : Sanctions (Articles 99 à 101)

Le chapitre XII établit le régime répressif avec un barème financier particulièrement dissuasif :

• Pratiques interdites : Jusqu’à 35 000 000 € ou 7 % du chiffre d’affaires mondial.

• Manquement aux exigences Haut Risque / Transparence : Jusqu’à 15 000 000 € ou 3 % du chiffre d’affaires mondial.

• Informations inexactes aux autorités : Jusqu’à 7 500 000 € ou 1 % du chiffre d’affaires mondial.

• Clause PME/Start-ups : Le montant le plus faible est retenu pour les petites structures afin de garantir leur viabilité économique.

• Modèles GPAI : La Commission peut imposer aux fournisseurs de modèles généraux des amendes allant jusqu’à 3 % du CA mondial.

13. Chapitre XIII : Dispositions finales (Articles 102 à 113)

Dernier pan du texte, ce chapitre adapte l’ensemble des législations sectorielles existantes (automobile, aviation, maritime, ferroviaire), instaure les périodes de transition applicables aux systèmes déjà existants et fixe l’échéancier d’entrée en application progressive :

• 2 février 2025 : Interdiction des pratiques d’IA à risque inacceptable.
• 2 août 2025 : Application des règles sur les modèles GPAI et la gouvernance.
• 2 août 2026 : Application générale du règlement (systèmes à haut risque).
• 2 août 2027 : Application des règles sur les systèmes à haut risque intégrés à des produits réglementés.

Calendrier synthétique d’application de l’IA Act

Date	Étape clé d’application
2 août 2024	Entrée en vigueur de l’IA Act (Publication au JO de l’UE)
2 février 2025	Interdiction des usages à risque inacceptable (Art. 5)
2 août 2025	Exigences sur les modèles d’IA à usage général (GPAI) & gouvernance
2 août 2026	Pleine application générale (Obligations sur l’IA à Haut Risque)
2 août 2027	Entrée en conformité des systèmes à haut risque intégrés aux produits
2030	Alignement complet des systèmes publics et des grands réseaux d’information

---

Référence : Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 [J.O. du 12 juillet 2024].

---