Loi européenne sur l'intelligence artificielle : ce que le texte encadre réellement
Le règlement européen sur l'intelligence artificielle est souvent présenté comme une régulation qui s'applique à toute entreprise développant ou utilisant un système d'IA. Dans les faits, il ne s'applique qu'à une partie d'entre eux. Le texte repose sur une logique de gradation : plus un système présente un risque pour les droits fondamentaux ou la sécurité, plus les obligations qui pèsent sur ses fournisseurs sont lourdes. Cette architecture produit des situations contrastées, où deux produits techniquement proches peuvent relever de régimes très différents selon l'usage qui en est fait.
Une régulation organisée par niveaux de risque
Le règlement classe les systèmes d'intelligence artificielle en plusieurs catégories. La première regroupe les pratiques jugées inacceptables, comme la notation sociale généralisée des individus ou certaines formes de manipulation comportementale. Ces usages sont interdits, avec des exceptions strictement délimitées.
Vient ensuite la catégorie des systèmes dits à haut risque. Elle couvre des domaines comme la gestion des infrastructures critiques, l'éducation, l'emploi, l'accès aux services publics ou la justice. Un logiciel de tri de candidatures, par exemple, entre dans cette catégorie, alors qu'un correcteur orthographique n'y entre pas. Pour ces systèmes, le texte impose une documentation technique détaillée, une gestion des risques, une supervision humaine et des mécanismes de traçabilité.
Une troisième catégorie concerne les systèmes soumis à des obligations de transparence, sans contraintes aussi lourdes. Les modèles génératifs et les systèmes dits à usage général relèvent de cette logique : l'utilisateur doit savoir qu'il interagit avec une machine, et les contenus générés doivent être identifiables comme tels. À consulter également : philippe-larroche.fr.
Enfin, les systèmes à risque minimal, qui constituent la majorité des applications déployées aujourd'hui, ne sont soumis à aucune obligation spécifique. C'est la principale nuance que les présentations générales du texte omettent souvent.
Les modèles d'IA générative et le régime des usages généraux
Le règlement distingue les systèmes conçus pour une tâche précise des modèles dits à usage général, capables de servir à des applications variées. Ces derniers font l'objet d'obligations propres, notamment en matière de documentation des données d'entraînement et de respect du droit d'auteur.
Les modèles présentant un risque systémique, évalué selon des critères de puissance de calcul et de portée, sont soumis à des exigences supplémentaires : évaluation des risques, tests contradictoires, déclaration des incidents graves. Ce seuil introduit une différence de traitement entre un modèle de taille moyenne et un très grand modèle, indépendamment de la qualité ou de la finalité de l'outil.
Cette approche par les capacités techniques, plutôt que par les usages, crée une zone d'incertitude. Un même modèle peut être utilisé pour des tâches anodines ou pour des applications sensibles. Le règlement fait peser la responsabilité sur le fournisseur du modèle pour certaines obligations, et sur celui qui le déploie pour d'autres. Cette répartition est l'un des points les plus discutés lors de la mise en œuvre.
Calendrier d'application et limites du dispositif
L'application du règlement est échelonnée. Les dispositions relatives aux pratiques interdites sont entrées en vigueur en premier. Celles concernant les systèmes à haut risque et les modèles à usage général suivent selon un calendrier distinct, avec des étapes réparties sur plusieurs années. Cette progressivité vise à laisser aux acteurs le temps de s'adapter, mais elle complique la lecture du texte pour les organisations qui doivent anticiper.
Plusieurs limites sont identifiées. Le règlement s'applique aux fournisseurs qui mettent un système sur le marché européen, y compris ceux établis hors de l'Union, dès lors que le système est utilisé dans l'Union. Cette portée extraterritoriale rappelle le mécanisme du RGPD, mais son application pratique dépend de la capacité des autorités nationales à contrôler des acteurs étrangers.
Le texte laisse également une marge d'interprétation importante aux autorités nationales chargées de la surveillance. Deux États membres peuvent donc appliquer des lectures différentes à un même cas. Enfin, le rythme d'évolution des modèles d'IA pose une difficulté structurelle : un règlement négocié sur plusieurs années court le risque d'être partiellement décalé par rapport aux pratiques techniques au moment de son application complète.
Ces caractéristiques expliquent pourquoi le débat porte moins sur l'existence de la régulation que sur son calibrage. Les acteurs concernés arbitrent entre conformité anticipée, adaptation au cas par cas et attente des précisions réglementaires à venir.
