AI Act européen : une réglementation fondée sur les risques
Le règlement européen sur l’intelligence artificielle, appelé AI Act, encadre la conception, la commercialisation et l’utilisation des systèmes d’IA dans l’Union européenne. Entré en vigueur le 1er août 2024, il déploie ses obligations progressivement afin de tenir compte des risques et des usages concernés.
Son principe central est l’approche par les risques : un outil de recommandation courant ne relève pas des mêmes exigences qu’un système utilisé pour recruter, évaluer un dossier de crédit ou contribuer à un diagnostic médical. Pour une entreprise, la première question consiste donc à préciser le rôle du système et le contexte dans lequel il sera utilisé.
Quatre niveaux pour classer les systèmes d’IA
Cette classification distingue les pratiques interdites, les systèmes à haut risque, les outils soumis à des obligations de transparence et les usages présentant un risque minimal. Les exigences augmentent avec les conséquences potentielles pour la santé, la sécurité ou les droits fondamentaux.
Une petite société qui intègre un chatbot à son site doit notamment informer les utilisateurs qu’ils échangent avec une machine. À l’inverse, un fournisseur qui développe un outil de tri de candidatures doit examiner si celui-ci relève des systèmes à haut risque et préparer des garanties adaptées.
Les différences pratiques entre catégories apparaissent dans leurs principales obligations :
| Catégorie | Exemple général | Réponse attendue |
|---|---|---|
| Pratiques interdites | Usages prohibés par le règlement | Ne pas mettre le système en œuvre |
| Haut risque | Certains usages en emploi ou en santé | Gestion des risques et conformité renforcées |
| Transparence | Interaction avec un agent conversationnel | Informer clairement les personnes |
| Risque minimal | Usages sans obligation spécifique comparable | Appliquer les autres règles pertinentes |
Selon la Commission européenne, l’AI Act établit un cadre commun pour les systèmes d’IA mis sur le marché européen. Cette classification détermine les premières démarches à entreprendre, mais les obligations concrètes dépendent aussi du rôle de chaque acteur.
Pratiques interdites par l’AI Act et protections des personnes
À mesure que l’analyse se rapproche des usages concrets, certaines applications sont exclues du marché européen. Depuis le 2 février 2025, les premières dispositions relatives aux pratiques interdites s’appliquent, notamment à certains usages jugés incompatibles avec les droits fondamentaux.
Des usages à examiner avant tout déploiement
Selon la Commission européenne, ces interdictions visent des pratiques définies par le règlement, plutôt que toute utilisation d’une technologie donnée. Les organisations doivent donc examiner la finalité et les conditions d’emploi, au lieu de se limiter au nom commercial ou à la description du logiciel.
Une entreprise hypothétique, NovaRH, envisage un outil d’analyse des candidatures. Avant de l’acheter, elle devrait établir quelles données sont traitées, quelles décisions le système influence et si son usage entre dans une catégorie encadrée ou interdite.
Pour conduire ce premier examen, les équipes peuvent documenter les points suivants :
- Finalité précise et personnes concernées
- Contexte d’utilisation et décisions soutenues
- Données traitées et origine des informations
- Rôle du fournisseur et responsabilités du déployeur
Transparence et information des utilisateurs
Les obligations de transparence concernent notamment les situations où une personne interagit avec une IA ou consulte certains contenus générés artificiellement. L’information doit être compréhensible et fournie au moment utile, plutôt que dissimulée dans des conditions générales difficiles à repérer.
Pour NovaRH, cela signifie expliquer aux candidats si un outil automatise une étape de présélection et quelle place conserve l’examen humain. Selon le texte européen, la transparence complète les autres protections : informer ne suffit pas à rendre acceptable un usage interdit ou à satisfaire les exigences applicables au haut risque.
IA à haut risque : conformité, données et contrôle humain
Lorsqu’un système entre dans la catégorie à haut risque, la démarche dépasse la simple information des utilisateurs. Le fournisseur doit notamment organiser la gestion des risques, la qualité des données pertinentes, la documentation et la surveillance humaine, selon les obligations applicables à son système.
Préparer l’évaluation de conformité
L’évaluation de conformité sert à vérifier que les exigences applicables sont respectées avant la mise sur le marché ou la mise en service. Les démarches varient selon le système et son rattachement à d’autres textes européens ; il faut donc examiner le cas précis plutôt que supposer une procédure identique pour tous.
La gouvernance des données constitue un volet essentiel : les données d’entraînement, de validation et de test doivent être gérées avec soin, en tenant compte des risques de biais ou d’erreurs. Pour l’outil de NovaRH, des données mal représentatives pourraient défavoriser certains profils, même si le logiciel paraît fonctionner correctement lors d’une démonstration.
Les principaux éléments de préparation peuvent être répartis ainsi :
| Volet | Question de contrôle | Élément à documenter |
|---|---|---|
| Risques | Quels dommages sont envisageables ? | Mesures de prévention et suivi |
| Données | Les informations sont-elles adaptées ? | Origine, qualité et limites |
| Supervision | Qui peut intervenir ou corriger ? | Rôles, compétences et procédures |
| Conformité | Quelles exigences s’appliquent ? | Évaluation et documentation requises |
La surveillance humaine dans les décisions sensibles
La surveillance humaine ne consiste pas à laisser une personne valider mécaniquement chaque résultat. Elle suppose que les responsables comprennent les limites de l’outil, puissent interpréter ses sorties et disposent d’une capacité réelle d’intervention lorsque la situation l’exige.
Pour NovaRH, un recruteur devrait pouvoir examiner un dossier écarté par l’algorithme et demander une réévaluation, plutôt que suivre automatiquement le classement. Cette organisation réduit le risque d’une décision opaque et relie l’évaluation technique aux pratiques quotidiennes de l’entreprise.
Calendrier de l’AI Act et nouvelles obligations en 2026
Après les premières règles applicables en 2025, le calendrier atteint une étape importante en 2026. La majorité des dispositions du règlement doit s’appliquer à partir du 2 août 2026, sous réserve des échéances particulières prévues pour certaines catégories.
Les principales échéances à suivre
Selon le calendrier publié par les institutions européennes, les interdictions et certaines obligations de maîtrise de l’IA à usage général ont commencé à s’appliquer avant l’échéance générale. Les systèmes à haut risque intégrés à des produits réglementés disposent, eux, d’une échéance ultérieure prévue par le règlement.
Cette progression invite les organisations à distinguer la date d’entrée en vigueur du texte de la date d’application de chaque obligation. En 2026, un fournisseur et un organisme utilisateur doivent vérifier le calendrier correspondant à leur catégorie, à leur rôle et au contexte de déploiement.
Un calendrier pratique de suivi peut s’appuyer sur ces repères :
- 1er août 2024 : entrée en vigueur du règlement
- 2 février 2025 : application des premières interdictions
- 2 août 2025 : premières règles concernant les modèles d’IA à usage général
- 2 août 2026 : application générale de nombreuses dispositions
- 2 août 2027 : échéance prévue pour certains systèmes liés à des produits réglementés
Sanctions et responsabilités des organisations
Les sanctions prévues par l’AI Act dépendent de la nature du manquement et peuvent atteindre des montants importants. Leur application n’est pas une simple formalité comptable : le règlement prévoit différents plafonds, avec une prise en compte spécifique des petites et moyennes entreprises.
Pour limiter les risques, une organisation peut nommer un responsable interne, tenir un inventaire des systèmes utilisés et demander aux fournisseurs les informations nécessaires. Ces mesures facilitent aussi la réaction lorsqu’un outil change de fonction ou qu’une nouvelle mise à jour modifie ses résultats.
Les échéances et responsabilités étant réparties entre plusieurs catégories d’acteurs, une veille juridique et technique aide à éviter les oublis au moment du déploiement.
Source : Parlement européen et Conseil de l’Union européenne, « Règlement (UE) 2024/1689 », Journal officiel de l’Union européenne, 2024 ; Commission européenne, « AI Act », Commission européenne.
