Le règlement européen sur l’IA : ce qu’il signifie pour la prochaine décennie

Le règlement européen sur l’IA (AI Act), règlement (UE) 2024/1689, est généralement présenté comme la première législation complète encadrant l’intelligence artificielle en fonction du risque qu’un système fait courir aux personnes. Il classe les usages de l’IA par niveaux de risque, fait peser la plupart des obligations sur les fournisseurs de systèmes à haut risque, s’applique par étapes de 2025 à 2028 et s’impose à tout fournisseur qui met un système sur le marché de l’UE, où qu’il soit établi.

Une loi construite autour du risque, et non de la technologie

À l’exception des modèles à usage général (voir plus bas), le règlement n’encadre pas la technologie en tant que telle, mais l’usage qui est fait d’un système et le préjudice que cet usage pourrait causer. Les systèmes sont répartis en quatre niveaux :

• une courte liste de pratiques interdites
• une liste plus longue d’usages à haut risque
• des obligations de transparence pour les systèmes qui interagissent avec des personnes ou génèrent du contenu
• une vaste catégorie résiduelle soumise uniquement à une obligation de maîtrise de l’IA pour le personnel

Le même modèle de langage présente un risque minimal lorsqu’il rédige une newsletter et fait partie d’un système à haut risque lorsqu’il classe des candidatures à un emploi. Le risque tient surtout à l’usage prévu, et non au code.

Pratiques interdites et usages à haut risque

Les interdictions initiales s’appliquent depuis le 2 février 2025. Elles visent notamment la notation sociale qui conduit à un traitement défavorable injustifié, les techniques manipulatrices qui causent un préjudice important, le moissonnage non ciblé d’images faciales pour constituer des bases de données de reconnaissance faciale, et la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, hors usages médicaux ou de sécurité. L’identification biométrique à distance en temps réel par les autorités répressives dans les espaces accessibles au public est interdite, sauf exceptions étroitement définies. La modification de 2026 a ajouté deux interdictions, applicables à partir du 2 décembre 2026 : les systèmes d’IA qui génèrent ou manipulent des images, des vidéos ou des contenus audio réalistes à caractère intime ou sexuellement explicite représentant une personne identifiable sans son consentement explicite, et les systèmes d’IA qui génèrent ou manipulent du matériel relatif à des abus sexuels sur enfants. Les infractions exposent aux amendes les plus élevées du règlement : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

La qualification de haut risque peut résulter de deux situations. Un composant de sécurité d’un produit couvert par l’une des législations européennes sur les produits énumérées dans le règlement, comme un dispositif médical ou un ascenseur, est à haut risque si cette législation impose une évaluation de la conformité par un tiers, et il suit alors la procédure de conformité applicable au produit. Les systèmes non intégrés à un produit et utilisés pour des finalités énumérées dans huit domaines sont à haut risque par défaut :

• biométrie
• infrastructures critiques
• éducation
• emploi
• services essentiels (y compris l’évaluation de la solvabilité ainsi que l’assurance-vie et l’assurance-maladie)
• activités répressives
• migration, asile et contrôle aux frontières
• administration de la justice et processus démocratiques

La notation des examens et les décisions relatives aux prestations sociales en sont des exemples typiques.

Obligations des fournisseurs et des déployeurs

Un fournisseur développe un système et le met sur le marché sous son propre nom ; un déployeur l’utilise dans un cadre professionnel. La plupart des obligations pèsent sur les fournisseurs de systèmes à haut risque, qui doivent :

• mettre en œuvre un processus documenté de gestion des risques tout au long du cycle de vie du système
• assurer la gouvernance des données d’entraînement, de validation et de test, y compris leur examen à la recherche de biais
• établir une documentation technique et prévoir l’enregistrement automatique des événements
• concevoir le système de manière à permettre la supervision humaine et à assurer l’exactitude, la robustesse et la cybersécurité
• réaliser une évaluation de la conformité (le plus souvent interne), apposer le marquage CE et enregistrer les systèmes non intégrés à un produit dans la base de données de l’UE

Les déployeurs doivent suivre la notice d’utilisation, confier la supervision à des personnes compétentes ayant le pouvoir d’intervenir, conserver les journaux, informer les personnes lorsqu’un tel système contribue à des décisions qui les concernent, et prévenir les travailleurs et leurs représentants avant d’en utiliser un au travail. Les organismes publics, les opérateurs privés de services publics et les déployeurs qui utilisent des systèmes à haut risque pour l’évaluation de la solvabilité ou pour l’assurance-vie et l’assurance-maladie doivent au préalable réaliser une analyse d’impact sur les droits fondamentaux.

Tester la présence de biais exige souvent des attributs sensibles, comme l’origine ethnique ou l’état de santé, dont le droit de la protection des données restreint le traitement. Depuis la modification de 2026, l’article 4a du règlement autorise le traitement de ces données pour détecter et corriger les biais, et non plus seulement pour les systèmes à haut risque, moyennant des garanties et uniquement lorsque des données synthétiques, anonymisées ou d’autres données ne suffiraient pas. Savoir si elles suffisent est une question technique, examinée dans le rapport technique de la Fondation sur les données synthétiques, anonymisées et à confidentialité différentielle pour la détection des biais.

Le calendrier et le volet consacré à l’IA à usage général

Le règlement s’applique par étapes :

• 1er août 2024 : entrée en vigueur
• 2 février 2025 : les interdictions initiales et l’obligation de maîtrise de l’IA
• 2 août 2025 : les obligations relatives aux modèles d’IA à usage général
• 2 août 2026 : la plupart des autres règles, dont les obligations de transparence pour les systèmes qui interagissent avec des personnes ou génèrent du contenu
• 2 décembre 2026 : les deux interdictions ajoutées en 2026 et l’obligation de marquage des contenus générés par l’IA pour les systèmes génératifs mis sur le marché avant le 2 août 2026
• 2 décembre 2027 : la plupart des obligations relatives aux systèmes à haut risque (initialement le 2 août 2026)
• 2 août 2028 : les obligations relatives à l’IA à haut risque intégrée dans des produits couverts par la législation européenne sur les produits (initialement le 2 août 2027)

En novembre 2025, la Commission européenne a proposé des modifications, l’omnibus numérique sur l’IA ; le Parlement et le Conseil les ont adoptées, avec des amendements, sous la forme du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026.

Les fournisseurs de modèles à usage général, c’est-à-dire de modèles adaptables à de nombreuses tâches, doivent tenir une documentation technique, informer les développeurs qui s’appuient sur ces modèles, adopter une politique en matière de droit d’auteur et publier un résumé des contenus utilisés pour l’entraînement. Les modèles présentant un risque systémique sont en outre soumis à des obligations d’évaluation, d’atténuation des risques, de signalement des incidents et de cybersécurité. Le code de bonnes pratiques pour l’IA à usage général, publié en 2025, offre un moyen de démontrer la conformité sur une base volontaire ; le Bureau européen de l’IA, au sein de la Commission, veille à l’application de ces règles.

Pourquoi ses effets dépassent l’Europe

Trois mécanismes étendent la portée du règlement hors d’Europe. Le champ d’application : il s’impose à tout fournisseur qui met un système sur le marché de l’UE, où qu’il soit établi, ainsi qu’aux fournisseurs et déployeurs établis à l’étranger lorsque les résultats produits par leur système sont utilisés dans l’Union. L’économie : beaucoup d’entreprises préfèrent une seule version mondiale d’un produit, si bien qu’une règle stricte sur un grand marché peut devenir la norme ailleurs, un phénomène connu sous le nom d’effet Bruxelles et largement commenté après le RGPD. La normalisation : les normes européennes harmonisées, une fois leurs références publiées au Journal officiel de l’Union européenne, conféreront une présomption de conformité aux exigences applicables aux systèmes à haut risque, et les pratiques qu’elles codifient peuvent circuler avec les produits.

Aux côtés du règlement figurent les Principes de l’OCDE sur l’IA, le cadre de gestion des risques liés à l’IA du NIST, la norme ISO/IEC 42001 et la Convention-cadre du Conseil de l’Europe sur l’intelligence artificielle. La prochaine décennie montrera si ces cadres convergent vers des preuves techniques communes ou se fragmentent en formalités administratives incompatibles.

Ce qu’il faut surveiller, et ce que l’on peut faire dès maintenant

Des questions restent ouvertes : dans quels délais les normes harmonisées verront le jour, comment les exceptions à la qualification de haut risque seront interprétées en pratique, et comment le droit à l’explication prévu par le règlement s’articulera avec l’article 22 du RGPD.

Toute école, commune, ONG ou petite entreprise peut commencer dès maintenant en recensant les systèmes d’IA qu’elle utilise, en vérifiant lesquels touchent à l’un des domaines à haut risque énumérés, en demandant la documentation aux fournisseurs, en désignant un responsable de la supervision et en formant son personnel, une obligation qui s’applique déjà. Les particuliers bénéficient de protections inscrites dans la loi : être informés lorsqu’ils interagissent avec un système d’IA, obtenir une explication des décisions importantes fondées sur un système à haut risque, et disposer d’une voie de réclamation auprès d’une autorité de surveillance du marché. La Fondation étudie les preuves techniques qu’exigent de telles règles et publie ses résultats sous forme de rapports techniques et d’analyses.

En bref

Le règlement européen sur l’IA, le règlement (UE) 2024/1689, est largement décrit comme la première loi complète à réguler l’IA selon le risque qu’un système fait peser sur les personnes. Il classe les usages en niveaux de risque, charge surtout les fournisseurs de systèmes à haut risque et s’applique par étapes de 2025 à 2028. Il lie tout fournisseur visant le marché de l’UE, où qu’il soit établi.

Questions fréquentes

Quels sont les niveaux de risque du règlement européen sur l’IA ?

Le règlement européen sur l’IA classe les systèmes en quatre niveaux : une courte liste de pratiques interdites, une liste plus longue d’usages à haut risque, des obligations de transparence pour les systèmes qui interagissent avec des personnes ou génèrent du contenu, et un large reste soumis seulement à une obligation de maîtrise de l’IA pour le personnel. Le risque tient surtout à la finalité prévue, non au code.

Quelles pratiques d’IA le règlement européen sur l’IA interdit-il ?

Les interdictions d’origine, applicables depuis le 2 février 2025, comprennent la notation sociale entraînant un traitement défavorable injustifié, les techniques de manipulation causant un préjudice important, le moissonnage non ciblé d’images faciales et la reconnaissance des émotions au travail et à l’école, hors usages médicaux ou de sécurité. Deux autres interdictions, ajoutées en 2026, s’appliquent à partir du 2 décembre 2026.

Qu’est-ce qu’un système d’IA à haut risque selon le règlement européen sur l’IA ?

Le haut risque naît de deux façons. Un composant de sécurité d’un produit couvert par une législation européenne énumérée, comme un dispositif médical, est à haut risque si cette législation exige une évaluation de la conformité par un tiers. Les systèmes autonomes utilisés à des fins listées dans huit domaines le sont par défaut, dont la biométrie, l’éducation, l’emploi et les services essentiels comme l’évaluation de la solvabilité.

Quand les règles du règlement européen sur l’IA s’appliquent-elles ?

Entré en vigueur le 1er août 2024, le règlement applique les interdictions d’origine et la maîtrise de l’IA depuis le 2 février 2025, les obligations des modèles à usage général depuis le 2 août 2025, l’essentiel du reste à partir du 2 août 2026, les règles des systèmes à haut risque à partir du 2 décembre 2027, et celles de l’IA intégrée aux produits réglementés à partir du 2 août 2028.

Le règlement européen sur l’IA s’applique-t-il aux entreprises hors de l’UE ?

Oui. Le règlement européen sur l’IA lie tout fournisseur qui met un système sur le marché de l’UE, où qu’il soit établi, ainsi que les fournisseurs et déployeurs situés à l’étranger dont le système produit des résultats utilisés dans l’Union. Beaucoup d’entreprises préfèrent aussi une seule version mondiale d’un produit : une règle stricte dans un grand marché peut ainsi devenir la norme ailleurs, un schéma connu sous le nom d’effet Bruxelles.

Comment citer Fondation LASTHUMAN. (2026, 15 octobre). Le règlement européen sur l’IA : ce qu’il signifie pour la prochaine décennie. https://lasthuman.today/fr/insights/eu-ai-act-next-decade.html