Un cadre juridique en cours de déploiement
Le règlement européen sur l'intelligence artificielle, adopté en 2024, fixe pour la première fois un cadre juridique commun aux États membres. Son application est progressive : certaines obligations s'appliquent déjà, d'autres entrent en vigueur par étapes jusqu'en 2027. Les entreprises qui développent ou utilisent des systèmes d'IA doivent donc anticiper une mise en conformité étalée dans le temps.
Le texte repose sur une logique de risque. Plus un système est susceptible de porter atteinte aux droits fondamentaux ou à la sécurité des personnes, plus les obligations qui pèsent sur ses fournisseurs sont lourdes.
Une approche fondée sur les niveaux de risque
Le règlement distingue plusieurs catégories. Les usages jugés inacceptables, comme la notation sociale généralisée ou certaines formes de manipulation, sont interdits. Les systèmes dits à haut risque, par exemple dans le recrutement, l'éducation, la santé ou l'application de la loi, sont soumis à des exigences renforcées : documentation technique, gestion des risques, supervision humaine, traçabilité.
Les systèmes à risque limité font l'objet d'obligations de transparence. Un utilisateur doit savoir qu'il interagit avec une IA, notamment pour les contenus générés ou les agents conversationnels. Les applications à risque minimal restent, elles, largement libres, sans contraintes spécifiques autres que le droit commun.
Cette gradation évite d'imposer les mêmes charges à toutes les technologies. Elle suppose toutefois que la qualification du risque soit correctement établie, ce qui peut s'avérer délicat pour des usages hybrides ou des modèles polyvalents.
Les obligations concrètes pour les acteurs
Pour les fournisseurs de systèmes à haut risque, la conformité passe par une évaluation préalable, un système de management de la qualité et une surveillance après mise sur le marché. Les documents doivent permettre aux autorités de contrôle de reconstituer le fonctionnement du système.
Les modèles dits à usage général, capables de remplir des tâches très variées, relèvent d'un régime distinct. Leurs fournisseurs doivent documenter les données d'entraînement, publier un résumé des capacités et des limites du modèle, et respecter des obligations renforcées lorsque le modèle présente des risques systémiques.
Les utilisateurs professionnels ne sont pas en reste. Déployer une IA à haut risque implique de vérifier la conformité du système, d'assurer une supervision humaine et d'informer les personnes concernées. La responsabilité se répartit donc entre concepteur et déployeur, ce qui suppose une coopération contractuelle.
Gouvernance, sanctions et points de vigilance
La supervision s'organise à deux niveaux. Chaque État membre désigne une ou plusieurs autorités nationales chargées du contrôle. Au niveau européen, un bureau dédié à l'IA coordonne les travaux et accompagne la mise en œuvre.
Le règlement prévoit des sanctions financières proportionnées à la gravité des manquements, avec des plafonds exprimés en pourcentage du chiffre d'affaires mondial ou en montants fixes. Les petites structures bénéficient de certaines adaptations, sans exemption de fond.
Plusieurs limites demeurent. Le calendrier échelonné laisse subsister une période d'incertitude pour les acteurs. L'articulation avec les législations nationales et sectorielles reste à préciser dans plusieurs domaines. Enfin, le contrôle effectif dépendra des moyens humains et techniques alloués aux autorités, question encore ouverte dans plusieurs pays.
