Voir aussi ma vidéo youtube: 🚨 IA Act : ce qui est REPORTÉ, ce qui entre en vigueur et ce qui change vraiment

L’intelligence artificielle est devenue un sujet incontournable. Elle transforme déjà notre manière de travailler, de communiquer, de recruter, de produire ou encore de prendre certaines décisions. Face à cette évolution rapide, l’Union européenne a adopté l’AI Act, premier règlement au monde visant à encadrer de manière globale les systèmes d’intelligence artificielle.

Contrairement à ce que l’on entend parfois, l’AI Act n’a pas pour objectif d’interdire l’intelligence artificielle ni de freiner l’innovation. Son ambition est beaucoup plus nuancée : permettre le développement de l’IA tout en protégeant les citoyens lorsque cette technologie peut avoir un impact sur leurs droits fondamentaux, leur sécurité ou leur santé.

Ces dernières semaines, de nombreuses informations parfois contradictoires ont circulé concernant un prétendu report général de l’AI Act. La réalité est plus complexe. Certaines obligations sont effectivement reportées, principalement parce que les normes techniques européennes ne sont pas encore finalisées. En revanche, plusieurs dispositions importantes sont déjà entrées en application, notamment celles concernant les pratiques interdites, la littératie en intelligence artificielle et les modèles d’IA à usage général (GPAI).

Qu’est-ce que l’AI Act ?

L’AI Act repose sur une idée relativement simple : toutes les applications d’intelligence artificielle ne présentent pas le même niveau de risque. Un outil qui aide à résumer un document n’a évidemment pas les mêmes conséquences qu’un système utilisé pour sélectionner automatiquement des candidats à un emploi ou pour assister un médecin dans un diagnostic.

Le règlement européen introduit donc un cadre commun destiné à l’ensemble du marché européen afin de limiter les usages les plus dangereux tout en permettant aux usages peu risqués de continuer à se développer librement. Par exemple, un simple chatbot conversationnel reste parfaitement autorisé, mais il devra parfois informer clairement l’utilisateur qu’il interagit avec une intelligence artificielle.

L’AI Act concerne principalement les fournisseurs de systèmes d’IA ainsi que les organisations professionnelles qui développent, commercialisent ou utilisent ces technologies sur le marché européen. Une entreprise qui met en place un système de recrutement automatisé ou qui commercialise une solution intégrant de l’IA entre directement dans le champ d’application du règlement.

L’un des principes fondamentaux de cette réglementation est l’approche fondée sur le risque. Plus un système est susceptible d’avoir des conséquences importantes sur les personnes, plus les obligations imposées seront nombreuses. À l’inverse, les usages présentant peu de risques restent largement libres.

Enfin, l’AI Act insiste sur plusieurs exigences transversales : documenter les systèmes, réaliser des tests, assurer une surveillance continue et maintenir un contrôle humain lorsque les décisions peuvent avoir un impact significatif sur les individus. Cette logique est particulièrement importante dans des domaines comme la santé, le crédit, l’emploi ou les infrastructures critiques.

Une réglementation fondée sur le niveau de risque

L’une des innovations majeures de l’AI Act est de ne pas réglementer les technologies elles-mêmes mais leur utilisation.

Un même modèle d’intelligence artificielle pourra être considéré comme présentant un risque très faible dans un contexte donné et un risque beaucoup plus élevé dans un autre.

Le règlement distingue ainsi quatre grandes catégories.

Les systèmes présentant un risque inacceptable sont interdits. On y retrouve notamment certaines formes de manipulation comportementale, le social scoring réalisé par les autorités publiques ou encore certaines utilisations particulièrement sensibles de la biométrie. Ces usages sont considérés comme incompatibles avec les valeurs fondamentales de l’Union européenne.

Les systèmes dits à haut risque concernent les secteurs dans lesquels une décision automatisée peut avoir des conséquences importantes sur la vie des citoyens. Cela inclut par exemple les outils de recrutement, certaines applications dans le domaine médical, l’éducation, les infrastructures critiques, le crédit ou encore certains services publics. Dans ces cas, les exigences deviennent beaucoup plus importantes puisqu’il faudra démontrer que le système est robuste, correctement documenté, surveillé et suffisamment fiable.

Le risque limité regroupe notamment les chatbots, les contenus générés par intelligence artificielle ou encore les deepfakes. Ici, la logique est essentiellement fondée sur la transparence : l’utilisateur doit savoir qu’il interagit avec une intelligence artificielle ou qu’un contenu a été généré artificiellement.

Enfin, les systèmes à risque minimal restent très largement libres. Les filtres anti-spam, les outils de traduction automatique ou encore les assistants de rédaction n’entraînent généralement pas d’obligations spécifiques supplémentaires au titre de l’AI Act.

Le point essentiel à retenir est que ce n’est jamais la technologie seule qui détermine le niveau de risque. C’est avant tout son usage concret.

Pourquoi certaines dispositions ont-elles été reportées ?

C’est probablement la question qui a suscité le plus de confusion.

Contrairement à ce qui a parfois été affirmé, le règlement européen n’a pas été suspendu.

Ce qui est reporté concerne essentiellement l’application de certaines obligations techniques.

L’explication est relativement simple.

Un règlement fixe des objectifs juridiques mais ne décrit pas nécessairement la manière précise de démontrer qu’ils sont atteints.

Par exemple, l’AI Act exige qu’un système soit « suffisamment robuste » ou « suffisamment résistant aux erreurs ».

Mais que signifie exactement cette obligation ?

Combien de tests doivent être réalisés ?

Quels scénarios doivent être simulés ?

Quel taux d’erreur reste acceptable ?

Comment démontrer qu’une mise à jour ne dégrade pas les performances du modèle ?

Le règlement ne répond volontairement pas à toutes ces questions. Ce rôle est confié aux normes techniques européennes qui doivent être élaborées par les organismes de normalisation CEN et CENELEC avec la participation de centaines d’experts issus de l’industrie, de la recherche et des autorités publiques.

Les premiers projets de normes ayant été jugés insuffisamment matures ou difficilement applicables, la Commission européenne a demandé qu’ils soient retravaillés avant leur adoption définitive.

Les reports concernant l’Annexe I

L’Annexe I concerne principalement les systèmes d’intelligence artificielle intégrés dans des produits déjà fortement réglementés, comme certains dispositifs médicaux, machines, ascenseurs ou véhicules.

Le report vise essentiellement à laisser le temps de finaliser les méthodes communes de certification.

L’objectif est d’éviter que chaque fabricant développe sa propre interprétation des exigences de robustesse ou de sécurité et d’assurer une harmonisation à l’échelle européenne.

Les reports concernant l’Annexe III

L’Annexe III regroupe les systèmes d’IA considérés comme présentant un haut risque en raison de leur domaine d’application.

On y retrouve notamment les outils utilisés dans le recrutement, l’éducation, certaines infrastructures critiques, les services publics ou encore certains usages dans la justice.

Là encore, le report est principalement lié à la nécessité de disposer de critères techniques harmonisés avant que les obligations ne deviennent pleinement applicables.

L’objectif est notamment d’éviter que deux entreprises appliquent des méthodes totalement différentes pour démontrer, par exemple, qu’un système de recrutement ne produit pas de discrimination.

Les AI Regulatory Sandboxes

Le règlement prévoit également la création d’AI Regulatory Sandboxes.

Il s’agit d’espaces contrôlés permettant aux entreprises de tester des systèmes innovants sous la supervision des autorités compétentes.

L’idée est de favoriser l’innovation tout en permettant aux régulateurs d’acquérir progressivement une meilleure compréhension des nouvelles technologies.

Leur mise en œuvre a également été reportée afin de laisser aux États membres le temps de mettre en place les structures administratives nécessaires.

Ce qui est déjà obligatoire

Contrairement à certaines idées reçues, plusieurs dispositions importantes sont déjà applicables.

Les pratiques d’intelligence artificielle considérées comme présentant un risque inacceptable sont désormais interdites.

Les organisations doivent également veiller à développer un niveau suffisant de littératie en intelligence artificielle. Cela signifie que les personnes qui développent, utilisent ou supervisent des systèmes d’IA doivent disposer des connaissances nécessaires pour comprendre leurs capacités, leurs limites ainsi que les risques associés.

Enfin, les fournisseurs de modèles d’intelligence artificielle à usage général sont désormais soumis à un ensemble d’obligations spécifiques qui constituent probablement l’une des parties les plus importantes du règlement.

Pourquoi les GPAI occupent-ils aujourd’hui une place centrale ?

Depuis plusieurs mois, une grande partie des discussions autour de l’AI Act concerne les General Purpose AI Models, plus connus sous l’acronyme GPAI.

Cette attention est logique.

Contrairement à un système développé pour une tâche unique, un modèle GPAI est conçu pour être réutilisé dans une multitude d’applications différentes.

ChatGPT, Gemini, Claude, Mistral ou encore Llama constituent de bons exemples de cette nouvelle génération de modèles.

Ils peuvent être utilisés pour rédiger un texte, générer du code informatique, traduire un document, analyser une image, produire un résumé ou encore servir de base à des centaines d’applications développées par des entreprises tierces.

Autrement dit, ces modèles deviennent progressivement une infrastructure numérique sur laquelle de nombreux autres systèmes d’intelligence artificielle vont être construits.

C’est précisément cette position centrale qui explique pourquoi l’AI Act leur consacre un régime particulier.

Le fournisseur d’un modèle GPAI ne contrôle pas nécessairement toutes les applications qui seront développées à partir de son modèle. Pourtant, les caractéristiques fondamentales du modèle auront une influence directe sur l’ensemble de cet écosystème.

Le règlement impose donc plusieurs obligations de transparence et de documentation.

Les fournisseurs doivent notamment fournir une documentation technique suffisante, décrire les capacités et les limites du modèle, communiquer certaines informations relatives aux données d’entraînement lorsque cela est requis et permettre aux entreprises intégrant ces modèles de comprendre correctement leurs performances et leurs contraintes.

L’AI Act distingue également une catégorie particulière : les GPAI présentant un risque systémique.

Ces modèles, en raison de leur puissance ou de leur impact potentiel, sont soumis à des exigences supplémentaires.

Les fournisseurs devront notamment renforcer leurs évaluations des risques, mettre en place des mesures d’atténuation adaptées, surveiller les incidents graves et coopérer davantage avec les autorités compétentes.

Cette partie du règlement suscite aujourd’hui de nombreux débats.

Les grands fournisseurs internationaux craignent parfois que certaines obligations deviennent particulièrement lourdes alors que les autorités européennes souhaitent disposer de garanties suffisantes compte tenu du rôle stratégique que jouent désormais ces modèles dans l’économie numérique.

En pratique, les GPAI représentent probablement le véritable changement de paradigme introduit par l’AI Act.

Jusqu’à présent, la réglementation européenne portait essentiellement sur des applications finales.

Avec les GPAI, le régulateur s’intéresse désormais également aux fondations mêmes de l’intelligence artificielle moderne.

Conclusion

L’AI Act constitue avant tout un changement de méthode.

Plutôt que d’interdire l’intelligence artificielle, le législateur européen cherche à adapter les obligations au niveau de risque présenté par chaque usage.

Les reports récemment annoncés ne remettent pas en cause cette philosophie. Ils traduisent essentiellement la difficulté de transformer des exigences juridiques générales en critères techniques précis et harmonisés dans toute l’Union européenne.

En revanche, plusieurs dispositions sont désormais pleinement applicables, notamment les interdictions de certains usages, les exigences en matière de littératie de l’IA et les obligations imposées aux fournisseurs de modèles d’IA à usage général.

Les GPAI occupent désormais une place centrale dans les débats, car ils constituent la base sur laquelle repose une part croissante de l’écosystème mondial de l’intelligence artificielle. Leur encadrement sera probablement l’un des éléments les plus structurants de l’AI Act dans les années à venir.