Voté en 2024, le règlement européen sur l’IA ou « IA Act » se met en œuvre d’ici à 2028. Mais certaines dispositions sont d’ores et déjà applicables. Votre entreprise utilise l’IA de manière structurée ? Ou sans que ce soit clairement défini, vos employés l’utilisent de manière informelle ?
Découvrez en quoi vous êtes concerné par ce règlement et ce que vous devez faire.
IA Act : le règlement européen sur l’IA
Le règlement européen sur l’intelligence artificielle ou « IA Act » encadre toutes les phases des outils IA, que ce soit le développement, la mise sur le marché ou l’utilisation des systèmes d’IA et ce l’ensemble du territoire européen.
Comme le RGPD (Règlement Général sur la Protection des Données), l’IA Act établit des règles harmonisées dans l’ensemble de l’Union Européenne. Il s’agit de créer un marché suffisamment intéressant et cohérent pour garantir que les systèmes d’IA respectent les droits fondamentaux et les valeurs européennes.
Ce texte s’appuie sur une approche basée sur les risques et l’impact potentiel des systèmes d’IA. Par ailleurs, un système de bac à sable réglementaire est présent pour permettre l’innovation, notamment pour des petites et moyennes entreprises.
Les acteurs particulièrement concernés sont ceux qui fournissent ou utilisent des systèmes d’IA dits « à haut risque » dans l’UE.
L’approche par risque des systèmes d’IA :
Les systèmes d’IA sont classés sur 4 niveaux, de risque inacceptable à risque minimal ou nul.
Systèmes d’IA et pratiques inacceptables et interdites en matière d’IA :
(Pour plus de détails, n’hésitez pas à consulter l’article 5 du texte de loi : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689#cpt_III ) :
- Les techniques subliminales ou délibérément manipulatrices ou trompeuses.
- L’exploitation de la vulnérabilité de personnes (âge, handicap, situation sociale ou économique, etc. ) d’une manière susceptible de causer un préjudice important.
- La notation sociale : soit l’évaluation ou la classification de personnes physiques ou de groupes de personnes avec un risque de traitement préjudiciable ou défavorable.
- L’identification biométrique, notamment à distance, en temps réel dans les lieux publics
- Le profilage avec le risque de traitement préjudiciable ou défavorable.
Ces systèmes d’IA et pratiques associées sont strictement interdits depuis février 2025.
Les systèmes d’IA et pratiques à haut risque :
(Pour plus de détails, n’hésitez pas à consulter l’article 6 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689#cpt_III et l’annexe III du règlement européen : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689#anx_III ).
- Les systèmes d’identification biométrique à distance
- Les systèmes d’IA utilisés dans les infrastructures critiques : par exemple en tant que composants de sécurité dans la gestion et l’exploitation d’infrastructures numériques critiques, du trafic routier ou de la fourniture d’eau, de gaz, de chauffage ou d’électricité.
- Dans l’éducation et la formation professionnelle :
- L’utilisation de l’IA pour déterminer l’accès, l’admission ou l’affectation de personne à des établissements d’enseignement et des formations
- L’utilisation de l’IA pour évaluer les acquis d’apprentissage
- L’utilisation de l’IA pour évaluer le niveau d’enseignement approprié qu’une personne recevra ou sera en mesure d’atteindre
- L’utilisation de l’IA pour surveiller et détecter des comportements interdits chez les étudiants lors d’examens
- Dans l’emploi, la gestion de la main d’œuvre et l’accès à l’emploi indépendant :
- L’utilisation de l’IA dans le recrutement, la sélection des candidats, le ciblage des offres, etc.
- L’utilisation de l’IA dans la prise de décisions influant les conditions des relations professionnelles, la promotion ou le licenciement
- Accès et droits aux services privés essentiels, services publics et prestations sociales :
- L’utilisation de l’IA pour évaluer l’éligibilité des personnes aux prestations et services d’aides sociale, services de santé, etc.
- L’utilisation de l’IA pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance vie et d’assurance maladie.
- L’utilisation de l’IA pour évaluer et hiérarchiser les appels d’urgence, ainsi que les systèmes de tri des patients admis dans les services de santé d’urgence
- Dans le domaine de la répression, (dans la mesure où leur utilisation est autorisée par le droit de l’Union ou le droit national applicable).
- L’utilisation de l’IA par les autorités répressives pour évaluer le risque qu’une personne physique devienne la victime d’infractions pénales
- L’utilisation de l’IA pour évaluer la fiabilité des preuves au cours d’enquêtes ou de poursuites pénales
- L’utilisation de l’IA pour évaluer les traits de personnalité, les caractéristiques ou les antécédents judiciaires de personnes
- L’utilisation de l’IA pour la détection d’infraction pénales, d’enquêtes ou de poursuites en la matière
- Migration, asile et gestion des contrôles aux frontières (dans la mesure où leur utilisation est autorisée par le droit de l’union ou le droit de l’Union ou le droit national applicable).
- Les outils de type polygraphes (captation des réactions physiques d’une personne lorsqu’elle répond à des questions)
- Outils d’évaluation des risques de migration irrégulière ou risque pour la santé d’une personne physique qui migre.
- L’utilisation de l’IA visant à établir l’éligibilité des personnes physiques demandant un statut, y compris les évaluations de la fiabilité des éléments de preuves.
- L’utilisation de l’IA dans gestion des contrôles aux frontières
- Administration de la justice et processus démocratiques :
- L’utilisation de l’IA par les autorités judiciaires pour les aider à rechercher et à interpréter les faits ou la loi, appliquer la loi
- L’utilisation de l’IA pour influencer le résultat d’une élection ou d’un référendum ou le comportement électoral de personnes physiques dans l’exercice de leur vote.
Si votre entreprise met en place un outil IA ou des usages de l’IA classés à haut risque, il convient de mettre en place un système de gestion des risques. Ce système doit consister en un processus itératif continu planifié et se dérouler sur l’ensemble du cycle de vie de ce système.
Systèmes d’IA et pratiques à risques limités :
- Ces systèmes doivent essentiellement informer les utilisateurs qu’ils consultent un contenu généré par IA ou qu’ils interagissent avec une IA.
- Les outils d’IA Génératives doivent également marquer leur contenu et indiquer que celui-ci est artificiel.
Risque minimal ou nul
Les systèmes présentant peu ou pas de risques.
Quelles sont les règles transversales liées au règlement européen sur l’IA ?
Principes éthiques non contraignants :
7 principes éthiques non contraignants ont été élaborés par le GEHN (Groupement d’Expert de Haut Niveau) sur l’ IA, afin de faire en sorte que l’IA soit digne de confiance et saine sur le plan éthique :
- Action humaine et contrôle humain ;
- Robustesse technique et sécurité ;
- Respect de la vie privée et gouvernance des données ;
- Transparence ;
- Diversité ;
- Non-discrimination et équité ;
- Bien-être sociétal et environnemental ;
- Et responsabilité.
Toutes les parties prenantes sont invitées à en tenir compte pour intégrer ses principes, autant que possible, dans la conception et l’utilisation des modèles d’IA. Mais également, dans l’élaboration de codes de conduite.
Surveillance, transparence et supervision humaine :
Les systèmes d’IA à haut risque doivent être surveillés : Ces systèmes doivent être rigoureusement testés avant leur mise sur le marché et surveillés tout au long de leur utilisation.
Les systèmes d’IA doivent être transparents : signalement du contenu produit avec une IA ou que des utilisateurs interagissent avec des chatbot gérés par IA.
Il est également obligatoire de prévoir une supervision humaine.
Des bacs à sable réglementaire pour soutenir l’innovation
Des bacs à sable réglementaires en soutien à l’innovation. Un bac à sable réglementaire est un cadre contrôlé où des entreprises innovantes peuvent tester leurs produits ou services y compris en conditions réelles, sous la supervision d’un régulateur et avec une souplesse temporaire des règles. Cela favorise l’innovation, permet d’évaluer les risques et aide à adapter la réglementation.
Faut-il former ses salariés à l’IA ?
L’article 4 du texte de Loi, intitulé « Maîtrise de l’IA » n’impose pas une formation systématique des salariés à l’IA. Il faut que les entreprises qui proposent un outil d’IA (nommées les fournisseurs) ou les entreprises qui déploient une IA dans leurs services (nommées les déployeurs) s’assurent d’un niveau suffisant de maîtrise de l’IA pour le personnel s’occupant du fonctionnement et de l’utilisation des systèmes d’IA.
« Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés. »
Pour plus d’information, l’article 4 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202401689#art_4
Usages de l’IA et l’engagement de votre responsabilité
Dans tous les cas, n’oubliez pas que vous restez responsables des résultats et actions produites par vos outils d’intelligence artificielle.
Suite du calendrier d’application de l’IA Act et les mesures à venir
- 1ᵉʳ août 2024 : Entrée en vigueur du règlement.
- 2 février 2025 : Interdiction des systèmes d’IA présentant des risques jugés inacceptables.
- 2 août 2025 : Mise en place des règles pour les modèles d’IA à usage général et désignation des autorités compétentes dans chaque Etat membre.
- 2 août 2026 : Application complète aux systèmes d’IA à haut risque déjà identifiés, tels que ceux utilisés dans la biométrie, les infrastructures critiques, l’éducation, l’emploi ou la justice.
Mise en place de bacs à sable réglementaires pour accompagner les entreprises. - 2 août 2027 : Application aux systèmes d’IA intégrés dans des produits soumis à une législation sectorielle (jouets, dispositifs médicaux, voitures autonomes, machines…)
- 2028 – 2031 : Evaluation du règlement et des dispositions à échéances régulières.
(Pour plus de détail : https://artificialintelligenceact.eu/fr/implementation-timeline/ )
Sources :
- Le texte de loi – IA Act (Site de l’Union Européenne – 2024)
- Le Règlement européen sur l’intelligence artificielle : publics concernés, dates clés, conséquences pour les entreprises (Direction Générale des Entreprises – Fév. 2025).
- Le code de bonnes pratiques de l’IA à usage général (commission Européenne )
