L'AI Act européen expliqué : quelles règles s'appliquent à quels systèmes ?
L'AI Act est le premier cadre juridique complet au monde pour l'intelligence artificielle. Il répartit les systèmes d'IA en niveaux de risque et impose des obligations à chaque niveau aux développeurs et aux utilisateurs — avec des conséquences pour les entreprises de toute l'UE, y compris le BeNeLux.
Points clés
- L'AI Act (Règlement (UE) 2024/1689) est le premier cadre juridique complet au monde pour l'IA et s'applique dans toute l'UE.
- La loi distingue quatre niveaux de risque : risque inacceptable (interdit), risque élevé (exigences strictes), risque de transparence et risque minimal ou nul.
- Huit pratiques d'IA sont interdites depuis février 2025, notamment la notation sociale, la reconnaissance des émotions sur le lieu de travail et l'identification biométrique en temps réel dans les espaces publics.
- Les obligations de transparence — telles que l'étiquetage des deepfakes et des contenus générés par l'IA — entrent en vigueur en août 2026.
L'AI Act — officiellement le Règlement (UE) 2024/1689 — est le premier cadre juridique complet au monde pour l'intelligence artificielle (IA). La loi vise à renforcer la confiance dans l'IA en Europe en traitant les risques et en protégeant les droits fondamentaux. Selon la Commission européenne, la plupart des systèmes d'IA peuvent contribuer à relever des défis sociétaux et présentent un risque limité ou nul ; il existe néanmoins des applications dont les risques nécessitent une réglementation légale.
L'AI Act repose sur une approche fondée sur les risques : plus le risque potentiel d'un système d'IA pour la sécurité ou les droits fondamentaux est élevé, plus les obligations sont strictes. La loi distingue quatre niveaux.
Les quatre niveaux de risque en bref
- Risque inacceptable — Interdit. Huit pratiques ne sont plus autorisées depuis février 2025.
- Risque élevé — Autorisé, mais avec des obligations étendues avant la mise sur le marché.
- Risque de transparence — Obligations d'information spécifiques ; les règles s'appliquent à partir d'août 2026.
- Risque minimal ou nul — Aucune obligation légale spécifique.
Qu'est-ce que cela signifie pour le BeNeLux ?
Les entreprises et organisations des Pays-Bas, de Belgique et du Luxembourg qui développent, déploient ou acquièrent des systèmes d'IA relèvent directement de l'AI Act dès lors qu'elles sont actives sur le marché de l'UE. Cela s'applique à des applications allant des logiciels RH et de l'évaluation de crédit aux systèmes de sécurité et aux processus gouvernementaux. Les pratiques interdites sont déjà en vigueur ; les organisations qui déploient des systèmes à risque élevé doivent satisfaire à des exigences strictes en matière de documentation, de supervision humaine et de qualité des données. La Commission européenne a lancé un Pacte IA volontaire permettant aux fournisseurs et aux utilisateurs de se conformer aux obligations essentielles avant les échéances finales de mise en œuvre.
Les pratiques interdites (risque inacceptable)
L'AI Act interdit huit pratiques d'IA spécifiques considérées comme une menace manifeste pour la sécurité, les moyens de subsistance ou les droits des personnes. Ces interdictions sont entrées en vigueur en février 2025 :
- Manipulation et tromperie nuisibles fondées sur l'IA
- Exploitation nuisible des vulnérabilités fondée sur l'IA
- Notation sociale
- Évaluation ou prédiction individuelle du risque de comportement criminel
- Collecte non ciblée d'images provenant d'internet ou de caméras de surveillance pour créer ou enrichir des bases de données de reconnaissance faciale
- Reconnaissance des émotions sur les lieux de travail et dans les établissements d'enseignement
- Catégorisation biométrique visant à déduire certaines caractéristiques protégées
- Identification biométrique à distance en temps réel à des fins répressives dans des espaces accessibles au public
La Commission a publié des lignes directrices sur les pratiques interdites et sur la définition d'un système d'IA afin d'aider les organisations à déterminer le champ d'application de la loi.
IA à risque élevé : quelles applications sont concernées ?
Les systèmes d'IA sont classés à risque élevé lorsqu'ils sont susceptibles de présenter des risques sérieux pour la santé, la sécurité ou les droits fondamentaux. L'AI Act mentionne notamment :
- Les composants de sécurité IA dans les infrastructures critiques (p. ex. les transports)
- Les applications d'IA dans l'éducation qui influencent l'accès à la formation ou à la carrière professionnelle (p. ex. les systèmes d'évaluation d'examens)
- Les composants de sécurité IA dans les produits (p. ex. les applications en chirurgie robotisée)
- Les outils d'IA pour la sélection du personnel et la gestion des employés (p. ex. les logiciels de tri de CV)
- L'IA pour l'accès aux services privés et publics essentiels (p. ex. les systèmes de notation de crédit)
- Les systèmes d'identification biométrique à distance, de reconnaissance des émotions et de catégorisation biométrique
- L'IA dans le domaine répressif susceptible d'affecter les droits fondamentaux (p. ex. l'évaluation de la fiabilité des preuves)
- L'IA dans les domaines de la migration, de l'asile et de la gestion des frontières (p. ex. le traitement automatisé des demandes de visa)
- L'IA dans l'administration de la justice et les processus démocratiques (p. ex. la préparation de décisions judiciaires)
Obligations pour les systèmes à risque élevé
Avant qu'un système d'IA à risque élevé puisse être mis sur le marché, des exigences strictes s'appliquent :
- Une évaluation adéquate des risques et des mesures d'atténuation
- Une haute qualité des jeux de données alimentant le système, afin de minimiser les résultats discriminatoires
- La journalisation des activités pour garantir la traçabilité des résultats
- Une documentation technique détaillée à l'intention des autorités de surveillance
- Des informations claires à destination de l'utilisateur (déployeur)
- Des mesures appropriées de supervision humaine
- Un niveau élevé de robustesse, de cybersécurité et de précision
Obligations de transparence
Des obligations d'information spécifiques s'appliquent aux systèmes d'IA présentant un risque de transparence. Les personnes doivent être informées lorsqu'elles interagissent avec un système d'IA — par exemple avec des chatbots. Les fournisseurs d'IA générative doivent veiller à ce que les contenus générés par l'IA soient identifiables. Les deepfakes et les textes destinés à informer le public sur des questions d'intérêt général doivent être clairement et visiblement étiquetés. Ces règles de transparence entrent en vigueur en août 2026.
Calendrier : quelles règles s'appliquent et à partir de quand ?
- Février 2025 — Les pratiques interdites (risque inacceptable) entrent en vigueur
- Août 2026 — Les obligations de transparence entrent en vigueur
- La mise en œuvre de l'AI Act se déroule de manière progressive ; la Commission a lancé le Pacte IA comme initiative volontaire pour les organisations souhaitant se conformer plus tôt
Contexte plus large : l'AI Act dans le cadre d'un ensemble de politiques plus vaste
L'AI Act ne s'inscrit pas de manière isolée. Selon la Commission européenne, la loi fait partie d'un ensemble plus large de mesures politiques en faveur d'une IA digne de confiance, comprenant également l'AI Continent Action Plan, l'AI Innovation Package et le lancement des AI Factories. La Commission a également mis en place un AI Act Service Desk qui informe les organisations et les accompagne dans la mise en œuvre.
Questions fréquentes
- À qui s'applique l'AI Act ?
- L'AI Act établit des règles pour les fournisseurs (développeurs) et les utilisateurs (déployeurs) de systèmes d'IA, pour des applications spécifiques de l'IA. S'agissant d'un règlement de l'UE, il s'applique dans tous les États membres, dont les Pays-Bas, la Belgique et le Luxembourg.
- Quelles applications d'IA sont déjà interdites ?
- Huit pratiques sont interdites depuis février 2025, notamment la notation sociale, la reconnaissance des émotions sur les lieux de travail et dans les établissements d'enseignement, la catégorisation biométrique visant à déduire des caractéristiques protégées, et l'identification biométrique à distance en temps réel à des fins répressives dans les espaces publics.
- Que doit faire une organisation qui déploie un système d'IA à risque élevé ?
- Les systèmes d'IA à risque élevé doivent, avant leur mise sur le marché, satisfaire à des obligations telles qu'une évaluation des risques, une haute qualité des données, la journalisation des activités, une documentation détaillée, des informations claires à destination de l'utilisateur, une supervision humaine et un niveau élevé de robustesse et de cybersécurité.
- Quand les règles de transparence entrent-elles en vigueur ?
- Les obligations de transparence — notamment l'étiquetage des deepfakes et des contenus générés par l'IA, ainsi que l'information des utilisateurs qu'ils interagissent avec un système d'IA — entrent en vigueur en août 2026.
- Qu'est-ce que le Pacte IA et pourquoi est-il pertinent ?
- Le Pacte IA est une initiative volontaire de la Commission européenne permettant aux fournisseurs et aux utilisateurs d'IA de se conformer aux obligations essentielles de l'AI Act avant les échéances finales de mise en œuvre. Il vise à faciliter la transition vers le nouveau cadre réglementaire.