I. Les pratiques d’intelligence artificielle interdites à partir du 2 février 2025.
Le règlement européen encadrant l’utilisation de l’intelligence artificielle (Règlement 2024/1689 du Parlement européen et du conseil du 13 juin 2024) marque une avancée cruciale dans la gestion des risques liés à ces technologies.
Dès le 2 février 2025, certaines interdictions entreront en vigueur, bien avant la pleine application prévue pour 2026, dans le but de répondre aux dangers jugés inacceptables. Ces mesures visent à protéger les droits fondamentaux tout en instaurant des garde-fous stricts contre les abus. Les interdictions peuvent être catégorisées en deux grands groupes : celles qui ne souffrent d’aucune exception et celles qui sont appliquées de manière relative et conditionnelle.
A. Les pratiques interdites de manière absolue : protéger l’individu à tout prix.
Certaines utilisations de l’intelligence artificielle sont jugées si nocives pour les individus et la société qu’elles sont bannies sans exception. Ces interdictions reposent sur la nécessité d’empêcher toute manipulation ou exploitation abusive par les systèmes d’IA.
1. Manipulation et exploitation des vulnérabilités.
La première de ces interdictions concerne les systèmes qui utilisent des techniques manipulatrices ou subliminales pour altérer les comportements humains. Lorsqu’un système influence subrepticement une personne ou un groupe à prendre des décisions qu’ils n’auraient pas envisagées autrement, souvent au détriment de leur bien-être ou de leur capacité à agir de manière éclairée, l’impact peut être dévastateur. De telles pratiques, visant par exemple à inciter une personne à adopter un comportement nuisible pour elle-même ou autrui, sont interdites sans réserve.
Un autre interdit absolu s’applique aux systèmes qui exploitent les vulnérabilités des personnes, qu’il s’agisse de leur âge, de leur handicap ou de leur situation sociale ou économique. Ces outils, en ciblant délibérément les fragilités d’une population pour influencer ses choix de manière préjudiciable, sont perçus comme une atteinte grave à la dignité humaine.
2. Interdiction des systèmes de "note sociale".
Un autre domaine strictement encadré est celui de la "note sociale". La pratique consistant à attribuer une note aux individus sur la base de leur comportement ou de caractéristiques personnelles est proscrite. Cette interdiction vise à empêcher la stigmatisation ou le traitement discriminatoire qui pourrait découler d’un tel système. Inspirée des exemples chinois, cette interdiction protège contre les risques de contrôle social oppressif et de sanctions injustifiées.
3. Restrictions liées aux données biométriques.
Plusieurs interdictions concernent l’usage des données biométriques. La création de bases de données biométriques à partir d’images collectées sans consentement, notamment sur Internet ou via des systèmes de vidéosurveillance, est strictement prohibée. De même, l’utilisation de l’IA pour déduire des informations sensibles sur des individus, telles que leur race, leurs opinions politiques ou leur orientation sexuelle, est bannie. Ces pratiques sont jugées incompatibles avec les droits fondamentaux et la vie privée.
B. Les pratiques interdites de manière relative : un encadrement sous haute vigilance.
Certaines utilisations des systèmes d’IA sont, en théorie, interdites, mais peuvent être autorisées sous des conditions très strictes, notamment lorsqu’elles sont nécessaires pour répondre à des objectifs légitimes.
1. L’encadrement de l’identification biométrique à distance.
L’exemple le plus notable concerne les systèmes d’identification biométrique à distance, utilisés en temps réel dans des espaces publics. En principe, ces systèmes, qui permettent de reconnaître une personne à partir de ses caractéristiques biométriques, sont interdits. Toutefois, des dérogations peuvent être accordées dans des contextes spécifiques : la recherche de victimes d’enlèvements ou de traite humaine, la prévention d’une menace imminente pour la vie ou la sécurité, ou encore la localisation de suspects dans le cadre d’enquêtes sur des infractions graves.
2. Des garanties rigoureuses pour limiter les abus.
Ces utilisations, bien que permises dans des circonstances exceptionnelles, doivent respecter des garanties rigoureuses : une autorisation préalable par une autorité judiciaire ou administrative indépendante est indispensable, tout comme la réalisation d’une analyse d’impact sur les droits fondamentaux. Même en cas d’urgence, l’utilisation doit être régularisée dans les 24 heures sous peine d’interruption immédiate et de destruction des données collectées.
Les États membres devront également définir des limites temporelles, géographiques et personnelles dans leurs législations nationales. Chaque utilisation devra être enregistrée dans une base de données européenne et fera l’objet de rapports réguliers auprès des autorités compétentes pour garantir une transparence maximale.
II. Le respect des Codes de bonne pratique pour l’IA à compter du 2 mai 2025.
Les codes de bonne pratique jouent un rôle essentiel dans la mise en œuvre du règlement sur l’intelligence artificielle (IA), en facilitant la conformité des acteurs et en établissant des standards de qualité et de sécurité. Ces codes, qui doivent être prêts au plus tard le 2 mai 2025, visent à harmoniser les pratiques et à accompagner les fournisseurs d’IA dans leur démarche de conformité, tout en tenant compte des évolutions technologiques et des exigences spécifiques définies par le Bureau de l’IA.
A. Une démarche structurée pour garantir la conformité.
Le Bureau de l’IA a pour mission d’encourager et de faciliter l’élaboration de ces codes au niveau de l’Union européenne, en veillant à ce qu’ils prennent en compte les approches internationales. En collaboration avec le Comité IA, le Bureau veille à ce que les codes de bonne pratique répondent aux obligations établies par le règlement, notamment celles des articles 53 et 55.
Ces obligations incluent :
- L’évaluation et la documentation des risques systémiques liés aux modèles d’IA à usage général.
- La mise en œuvre de politiques de cybersécurité adaptées pour protéger ces modèles et leur infrastructure.
- La notification sans délai des incidents graves et des mesures correctives aux autorités compétentes.
- La fourniture d’une documentation technique détaillée pour permettre aux fournisseurs de systèmes d’IA d’intégrer ces modèles de manière responsable.
Ces codes de bonne pratique offrent un cadre clair pour les fournisseurs afin de démontrer leur conformité, tout en laissant une marge de flexibilité pour innover dans les limites du règlement.
B. Un outil pour les fournisseurs d’IA à usage général.
Les codes de bonne pratique jouent un rôle particulier pour les fournisseurs de modèles d’IA à usage général. Ces modèles, souvent complexes et susceptibles de présenter des risques systémiques, nécessitent une vigilance accrue.
Grâce à ces codes, les fournisseurs peuvent s’appuyer sur des standards harmonisés pour :
- Évaluer et atténuer les risques liés au développement, à la mise sur le marché et à l’utilisation des modèles.
- Fournir aux utilisateurs des informations transparentes sur les capacités et les limites de leurs modèles.
- Respecter les exigences en matière de cybersécurité et de protection des données.
Pour les modèles présentant des risques systémiques, l’adhésion à ces codes est particulièrement cruciale. Elle permet aux fournisseurs de démontrer leur conformité jusqu’à la publication de normes européennes harmonisées. Ceux qui ne respectent pas ces codes devront prouver, à travers d’autres moyens appropriés, leur capacité à répondre aux exigences réglementaires.
III. Le respect des obligations des fournisseurs de modèles d’IA à usage général à compter du 2 août 2025.
Les modèles d’intelligence artificielle (IA) à usage général, par leur nature polyvalente et leur capacité à exécuter diverses tâches complexes, sont au cœur de la régulation européenne. Les obligations qui leur incombent visent à assurer leur sécurité, leur transparence et leur conformité aux normes éthiques, particulièrement lorsqu’ils présentent un risque systémique. Ces obligations, applicables à partir du 2 août 2025, constituent un cadre structurant pour les acteurs de l’IA en Europe.
A. Qu’est-ce qu’un modèle d’IA à usage général ?
Un modèle d’IA à usage général se caractérise par sa généralité et sa capacité à être intégré dans une variété de systèmes ou d’applications en aval. Il est souvent entraîné à l’aide de larges ensembles de données et peut exécuter plusieurs tâches distinctes. Toutefois, il ne concerne pas les modèles encore en phase de recherche, de développement ou de prototypage.
Certains de ces modèles sont classés comme présentant un risque systémique lorsqu’ils disposent de capacités à fort impact ou répondent à des critères définis par la Commission européenne. Ces modèles nécessitent une régulation accrue pour prévenir les dangers potentiels liés à leur déploiement.
B. Les obligations générales des fournisseurs de modèles d’IA à usage général.
Les fournisseurs de ces modèles doivent respecter un ensemble d’obligations clés définies par l’article 53 du règlement :
- Documentation technique et transparence : les fournisseurs doivent élaborer et mettre à jour une documentation technique détaillée, incluant les méthodes d’entraînement, les résultats des tests, ainsi que l’évaluation des performances et des risques. Cette documentation doit être disponible sur demande pour le Bureau de l’IA et les autorités compétentes.
- Partage d’informations avec les utilisateurs en aval : les fournisseurs doivent fournir aux intégrateurs des informations claires sur les capacités, les limites et les risques de leurs modèles. Cela inclut également des données minimales définies dans l’annexe XII du règlement.
- Conformité au droit d’auteur : une politique visant à se conformer aux droits de propriété intellectuelle de l’Union européenne est obligatoire, notamment pour identifier et respecter les droits sur les données utilisées pour entraîner le modèle.
- Résumé public des données d’entraînement : un résumé suffisamment détaillé des données utilisées pour entraîner le modèle doit être publié pour garantir une transparence accrue.
Ces obligations garantissent que les modèles sont développés et utilisés de manière responsable, tout en permettant une supervision appropriée des autorités compétentes.
C. Les obligations spécifiques pour les modèles présentant un risque systémique.
Un modèle est classé comme présentant un risque systémique s’il remplit des critères spécifiques, tels que des capacités à fort impact ou des seuils technologiques définis, comme l’utilisation cumulée de calcul dépassant 10²⁵ opérations. Les fournisseurs doivent notifier ces caractéristiques à la Commission dans les deux semaines suivant leur constatation. La Commission peut également désigner un modèle comme systémique après évaluation.
Une liste des modèles présentant un risque systémique sera publiée et régulièrement mise à jour, garantissant une surveillance accrue de leur déploiement.
Les modèles classés comme présentant un risque systémique (article 55) sont soumis à des exigences supplémentaires, reflétant leur impact potentiel sur la société et l’économie.
Ces obligations comprennent :
- Évaluation des risques systémiques : les fournisseurs doivent effectuer des tests approfondis pour identifier et atténuer les risques liés au développement, à la mise sur le marché et à l’utilisation de ces modèles. Ces tests s’appuient sur des protocoles normalisés reflétant l’état de l’art.
- Cybersécurité : les modèles doivent être accompagnés d’un niveau de protection adéquat en matière de cybersécurité, incluant à la fois les modèles eux-mêmes et l’infrastructure physique qui les supporte.
- Notification des incidents graves : les fournisseurs doivent informer rapidement le Bureau de l’IA et les autorités nationales compétentes en cas d’incidents graves ou de mesures correctives nécessaires.
Ces mesures visent à minimiser les risques potentiels pour la société, notamment ceux liés à la discrimination, à la surveillance excessive ou à l’utilisation abusive des capacités de ces modèles.
D. Flexibilité grâce aux codes de bonne pratique.
Les fournisseurs peuvent s’appuyer sur des codes de bonne pratique pour démontrer leur conformité. Ces codes, encouragés par le Bureau de l’IA, offrent un cadre harmonisé pour répondre aux exigences réglementaires, jusqu’à l’adoption de normes européennes harmonisées.
Pour les modèles qui ne respectent pas ces codes ou normes, les fournisseurs doivent démontrer qu’ils utilisent d’autres moyens appropriés pour assurer leur conformité, soumis à l’appréciation de la Commission.
E. Un rôle clé pour les mandataires en Union européenne.
Pour les fournisseurs établis en dehors de l’Union, la désignation d’un mandataire est obligatoire. Ce mandataire agit en tant qu’interlocuteur principal des autorités européennes, vérifie la documentation technique, et coopère avec les autorités pour assurer le respect des obligations réglementaires.
