Loi européenne sur l'intelligence artificielle : ce que le texte adopté encadre réellement
L'adoption du règlement européen sur l'intelligence artificielle est souvent présentée comme le premier cadre juridique complet au monde pour cette technologie. Le constat mérite d'être nuancé : le texte encadre moins les modèles eux-mêmes que les usages qui en sont faits, et il repose largement sur la capacité des acteurs à documenter leurs propres pratiques. Autrement dit, la loi ne rend pas l'IA conforme par décret ; elle organise une obligation de transparence et de traçabilité dont l'effectivité dépendra des autorités de contrôle nationales.
Une régulation fondée sur le niveau de risque
Le règlement abandonne l'idée d'une autorisation préalable généralisée. Il classe les systèmes d'IA selon le risque qu'ils présentent pour les droits fondamentaux et la sécurité des personnes, et fait peser sur les fournisseurs des obligations proportionnées à ce risque. À consulter également : Le Jardin Des Saveurs.
Les usages jugés inacceptables sont interdits. Il s'agit notamment de certaines formes de notation sociale, de la manipulation subliminale visant à altérer le comportement, ou encore de systèmes d'identification biométrique en temps réel dans l'espace public, sous réserve d'exceptions strictement délimitées prévues par le texte.
Les systèmes dits à haut risque — recrutement, évaluation de la solvabilité, dispositifs médicaux, composants de sécurité dans des infrastructures critiques — sont soumis à un ensemble d'exigences : gestion des risques, qualité des données d'entraînement, documentation technique, journalisation des événements, supervision humaine et évaluation de conformité avant mise sur le marché.
Les systèmes à risque limité, comme les chatbots ou les contenus générés, relèvent surtout d'obligations d'information : l'utilisateur doit savoir qu'il interagit avec une machine ou que le contenu a été produit artificiellement. Les usages à risque minimal restent, eux, largement libres.
Les modèles d'IA à usage général dans le champ du texte
Le point le plus discuté concerne les modèles dits à usage général, capables de remplir des tâches très diverses sans avoir été conçus pour un usage unique. Le règlement leur impose des obligations propres, distinctes de celles qui pèsent sur les systèmes déployés en aval.
Les fournisseurs de ces modèles doivent notamment établir une documentation technique, respecter des règles sur les données utilisées pour l'entraînement, et publier un résumé suffisamment détaillé de ces données. Les modèles présentant un risque systémique, évalué selon des seuils de puissance de calcul définis par le texte, font l'objet d'exigences supplémentaires : évaluation des capacités, tests adversariales, déclaration des incidents graves.
Cette architecture crée une chaîne de responsabilités. Un fournisseur de modèle général ne répond pas de l'usage qu'un intégrateur en fait, mais il doit fournir les informations permettant à cet intégrateur de respecter ses propres obligations. La répartition exacte de cette charge, notamment pour les modèles open source partiellement exemptés, reste l'un des points que la pratique devra préciser.
Calendrier, sanctions et angles morts
Le texte n'entre pas en application en une seule fois. Les interdictions s'appliquent en premier, suivies des règles sur les modèles à usage général, puis de l'essentiel des obligations pour les systèmes à haut risque. Ce phasage laisse aux entreprises et aux administrations un délai d'adaptation, mais il rend la lecture du droit applicable dépendante de la date considérée.
Le volet répressif repose sur des amendes administratives dont le montant maximal est fixé en proportion du chiffre d'affaires mondial de l'entreprise, avec des plafonds en valeur absolue. Ces montants ne s'appliquent pas à tous les manquements de la même manière : le texte distingue selon la nature de l'infraction, et les PME bénéficient de plafonds réduits.
Plusieurs limites sont déjà identifiées. La supervision humaine exigée pour les systèmes à haut risque est difficile à définir en pratique : un opérateur qui valide mécaniquement des sorties automatisées constitue-t-il une réelle supervision ? La documentation exigée porte sur les processus déclarés par le fournisseur, ce qui suppose une capacité de contrôle technique dont les autorités nationales ne disposent pas toujours.
Le règlement laisse par ailleurs hors de son champ direct certains usages militaires, la recherche et les applications purement personnelles. Il ne traite pas non plus de la concentration du secteur : la conformité documentaire représente un coût fixe qui pèse proportionnellement plus lourd sur les petits acteurs que sur les grands fournisseurs de modèles.
L'application du texte dépendra enfin des autorités de surveillance désignées dans chaque État membre, de leurs moyens et de leur doctrine d'intervention. Le cadre juridique est posé ; la manière dont il sera interprété, contrôlé et contesté devant les juridictions reste, à ce stade, largement ouverte.
