Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

L'AI Act (Règlement UE 2024/1689) : comment l'Europe régule l'intelligence artificielle

Contexte

Avec l'essor des systèmes d'intelligence artificielle, et plus encore depuis la diffusion massive des modèles génératifs, l'Union européenne a voulu se doter d'un cadre juridique dédié. C'est l'objet du règlement (UE) 2024/1689 du 13 juin 2024, communément appelé « AI Act », entré en vigueur le 1er août 2024. Il s'agit du premier cadre horizontal au monde — c'est-à-dire transversal à tous les secteurs — visant spécifiquement l'IA. Comme le RGPD avant lui, il ambitionne de devenir une référence mondiale, par un mécanisme que les juristes appellent l'« effet Bruxelles » : une norme européenne qui finit par s'imposer de fait au-delà des frontières de l'Union, parce que les entreprises préfèrent un standard unique pour accéder au marché intérieur.

Une approche fondée sur le risque

La logique centrale de l'AI Act n'est pas de réguler la technologie en tant que telle, mais ses usages, gradués selon le risque qu'ils font peser sur les droits fondamentaux, la sécurité et la santé. Quatre niveaux structurent le texte. Le risque « inacceptable » correspond à des pratiques interdites : la notation sociale par les autorités, l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale, certaines formes de manipulation, ou encore la constitution de bases de reconnaissance faciale par moissonnage (scraping) non ciblé d'images. Le « haut risque » vise des usages autorisés mais lourdement encadrés : biométrie, infrastructures critiques, éducation, emploi, accès aux services essentiels, justice, migration. Le risque « limité » impose surtout des obligations de transparence (informer qu'on interagit avec une IA, signaler les contenus générés ou les hypertrucages). Le risque « minimal », enfin, reste libre.

Le calendrier d'application

L'AI Act ne s'applique pas d'un bloc : son déploiement est échelonné, ce qui en fait un cas typique de « droit qui se construit » dans le temps. Depuis le 2 février 2025, les pratiques à risque inacceptable sont interdites, et une obligation générale de « littératie » de l'IA pèse sur les organisations. Depuis le 2 août 2025, les règles applicables aux modèles à usage général (GPAI) sont entrées en jeu, de même que la désignation des autorités nationales compétentes et la gouvernance européenne (Bureau de l'IA). Le 2 août 2026 marquera l'application pleine des obligations relatives aux systèmes à haut risque listés à l'annexe III, et le 2 août 2027 étendra le régime aux IA à haut risque incorporées dans des produits déjà réglementés (jouets, dispositifs médicaux, machines).

Les modèles à usage général

L'irruption des grands modèles de langage a conduit le législateur à ajouter un régime spécifique pour les GPAI. Tout fournisseur d'un tel modèle doit fournir une documentation technique, respecter le droit d'auteur et publier un résumé des données d'entraînement. Lorsqu'un modèle présente un « risque systémique » — apprécié notamment à partir de la puissance de calcul mobilisée pour l'entraînement — des obligations renforcées s'ajoutent : évaluation des modèles, tests contradictoires, suivi des incidents, et exigences de cybersécurité.

Enjeux pour la sécurité et la conformité

Pour un professionnel de la cybersécurité, plusieurs points méritent l'attention. D'abord, les systèmes à haut risque doivent satisfaire des exigences d'exactitude, de robustesse et de cybersécurité (article 15) : résilience face aux erreurs, aux manipulations de données (data poisoning), aux attaques adversariales et aux tentatives d'altération du modèle. Ensuite, la traçabilité et la journalisation deviennent des obligations légales, ce qui rejoint les bonnes pratiques de sécurité. Enfin, l'articulation avec le RGPD reste déterminante : un système peut être conforme à l'AI Act tout en posant des questions de protection des données, et inversement.

Débats

Le texte est critiqué sous deux angles opposés. Certains estiment qu'il bride l'innovation européenne et alourdit la charge des PME et des développeurs open source ; des aménagements et lignes directrices ont d'ailleurs été publiés pour clarifier l'application. D'autres jugent au contraire que les exemptions, notamment en matière de sécurité nationale et de certains usages biométriques par les forces de l'ordre, affaiblissent la protection des droits fondamentaux. Ce débat illustre la tension permanente du droit du numérique : protéger sans figer, encadrer sans étouffer.

Références