Le règlement européen sur l’intelligence artificielle (AI Act) est entré en vigueur le 1er août 2024. Il encadre le développement et l’utilisation des systèmes d’IA pour garantir le respect des droits fondamentaux et des valeurs européennes. Les entreprises développant ou utilisant des solutions d’IA, notamment à haut risque, doivent anticiper les échéances et obligations fixées par ce texte.
Qu’est-ce que le règlement européen sur l’intelligence artificielle (AI Act) ?
L’AI Act, ou règlement (UE) 2024/1689, est le premier cadre juridique contraignant au monde dédié à l’intelligence artificielle. Adopté par le Parlement européen et le Conseil de l’Union européenne, il vise à instaurer un équilibre entre innovation et protection des citoyens. Son objectif principal est de classer les systèmes d’IA en fonction de leur niveau de risque et d’imposer des obligations proportionnées à chaque catégorie.
Ce règlement s’applique à tous les acteurs du marché unique européen, qu’ils soient développeurs, importateurs, distributeurs ou utilisateurs de systèmes d’IA. Il complète d’autres textes européens, comme le Cyber Resilience Act (CRA) ou le Digital Services Act (DSA), en ciblant spécifiquement les enjeux liés à l’IA. Les entreprises certifiées ISO 42001, norme dédiée au management de l’IA, disposent d’un cadre structurant pour répondre à ces exigences.
Les quatre catégories de risques des systèmes d’IA selon l’AI Act
L’AI Act classe les systèmes d’IA en quatre niveaux de risque, chacun assorti d’obligations spécifiques. Cette classification détermine le degré de conformité requis et les échéances applicables.
- Risque inacceptable : les systèmes présentant une menace claire pour les droits fondamentaux sont interdits. Exemples : la notation sociale par les États ou les systèmes de reconnaissance faciale en temps réel dans les espaces publics, sauf exceptions strictement encadrées.
- Risque élevé : les systèmes utilisés dans des domaines sensibles, comme la biométrie, l’éducation, l’emploi ou la justice, sont soumis à des exigences strictes. Une évaluation de conformité et une surveillance continue sont obligatoires.
- Risque limité : les systèmes comme les chatbots ou les outils de génération d’images doivent respecter des obligations de transparence, comme informer les utilisateurs qu’ils interagissent avec une IA.
- Risque minimal ou nul : la plupart des applications d’IA, comme les filtres anti-spam ou les recommandations personnalisées, ne sont pas soumises à des obligations spécifiques.
Calendrier d’application du règlement : échéances clés de 2024 à 2027
Le règlement prévoit un déploiement progressif, avec des dates butoirs pour chaque catégorie de systèmes d’IA. Voici les principales échéances à retenir :
- 1er août 2024 : entrée en vigueur du règlement. Les États membres et les entreprises ont commencé à se préparer aux prochaines étapes.
- 2 février 2025 : interdiction des systèmes d’IA présentant un risque inacceptable. Les entreprises concernées ont dû adapter ou retirer leurs solutions avant cette date.
- 2 août 2025 : mise en place des règles pour les modèles d’IA à usage général (comme les grands modèles de langage) et désignation des autorités nationales compétentes. Les entreprises développant ces modèles doivent se conformer aux exigences de transparence et de documentation.
- 2 août 2026 : application complète aux systèmes d’IA à haut risque déjà identifiés. Les entreprises doivent avoir réalisé leur évaluation de conformité et mis en place les mesures nécessaires. Cette date marque également le lancement des bacs à sable réglementaires, des environnements contrôlés pour tester des solutions innovantes sous supervision.
- 2 août 2027 : application aux systèmes d’IA à haut risque incorporés dans des produits réglementés, comme les jouets, les dispositifs médicaux ou les machines. Les fabricants de ces produits doivent intégrer les exigences de l’AI Act dans leur processus de conformité.
Qui est concerné par l’AI Act et quelles sont les obligations ?
L’AI Act s’applique à toutes les organisations impliquées dans le cycle de vie d’un système d’IA, qu’elles soient basées dans l’Union européenne ou qu’elles commercialisent leurs solutions sur le marché européen. Les principaux acteurs concernés sont :
- Les développeurs de systèmes d’IA, qui doivent documenter leurs processus et garantir la conformité de leurs solutions.
- Les importateurs et distributeurs, responsables de vérifier que les systèmes qu’ils mettent sur le marché respectent le règlement.
- Les utilisateurs professionnels, comme les entreprises ou les administrations, qui doivent s’assurer que les systèmes d’IA qu’ils déploient sont conformes, notamment s’ils relèvent de la catégorie « haut risque ».
Les obligations varient selon le niveau de risque du système d’IA. Pour les systèmes à haut risque, les entreprises doivent notamment :
- Réaliser une évaluation des risques et documenter les mesures mises en place pour les atténuer.
- Mettre en place un système de management de la qualité, aligné sur des normes comme l’ISO 42001.
- Assurer la traçabilité des données utilisées pour entraîner les modèles et des décisions prises par les systèmes.
- Désigner un responsable de la conformité au sein de l’organisation, chargé de superviser le respect des exigences.
- Soumettre le système à une évaluation de conformité par un organisme notifié, si nécessaire.
Systèmes d’IA à haut risque : exemples et exigences spécifiques
Les systèmes d’IA à haut risque sont ceux qui peuvent avoir un impact significatif sur la santé, la sécurité ou les droits fondamentaux des personnes. Voici quelques exemples concrets, ainsi que les exigences qui leur sont applicables :
- Biométrie : les systèmes de reconnaissance faciale ou d’analyse des émotions utilisés dans les aéroports ou les lieux publics doivent faire l’objet d’une évaluation rigoureuse et d’une surveillance continue.
- Éducation et formation : les outils d’IA utilisés pour évaluer les compétences des apprenants, comme les plateformes de formation en ligne, doivent garantir l’équité et la transparence des algorithmes.
- Emploi et recrutement : les systèmes d’IA utilisés pour trier les CV ou évaluer les candidats doivent éviter les biais discriminatoires et permettre une explication des décisions.
- Justice et services publics : les outils d’IA utilisés pour prédire les risques de récidive ou attribuer des aides sociales doivent être audités régulièrement pour garantir leur impartialité.
- Santé : les dispositifs médicaux intégrant de l’IA, comme les outils de diagnostic, doivent respecter les normes de sécurité et de performance applicables aux produits de santé.
Pour ces systèmes, les entreprises doivent notamment :
- Documenter les données d’entraînement et les méthodes utilisées pour développer le modèle.
- Mettre en place des mécanismes de contrôle humain pour superviser les décisions prises par l’IA.
- Garantir la robustesse et la cybersécurité du système, en alignement avec des normes comme l’ISO 27001.
- Informer les utilisateurs des limites et des risques associés au système.
Comment se préparer à l’AI Act ? Ressources et bonnes pratiques
Pour anticiper les obligations de l’AI Act, les entreprises peuvent s’appuyer sur plusieurs ressources et bonnes pratiques. Voici quelques pistes pour se préparer efficacement :
- Se former et sensibiliser les équipes : comprendre les enjeux du règlement et former les collaborateurs aux exigences de conformité est une première étape essentielle.
- Cartographier les systèmes d’IA : identifier les solutions utilisées ou développées par l’entreprise et les classer selon les catégories de risque de l’AI Act.
- S’appuyer sur des normes existantes : des référentiels comme l’ISO 42001 (management de l’IA) ou l’ISO 27001 (sécurité de l’information) fournissent un cadre structurant pour répondre aux exigences du règlement.
- Documenter les processus : tenir à jour une documentation détaillée sur les données utilisées, les méthodes de développement et les mesures de mitigation des risques.
- Collaborer avec des experts : faire appel à des consultants spécialisés ou à des organismes certificateurs pour auditer les systèmes et identifier les écarts de conformité.
Pour les organismes de formation et les entreprises certifiées ou en cours de certification, BCI France propose des informations sur la norme ISO 42001, qui peut faciliter la mise en conformité avec l’AI Act.
Questions fréquentes
Quelles sont les sanctions en cas de non-respect de l’AI Act ?
Les sanctions prévues par l’AI Act peuvent atteindre des montants élevés en cas de non-conformité des systèmes à haut risque ou de violation des interdictions liées aux risques inacceptables. Les autorités nationales compétentes sont chargées de contrôler le respect du règlement et d’appliquer les sanctions.
Les entreprises certifiées ISO 42001 sont-elles automatiquement conformes à l’AI Act ?
La certification ISO 42001 fournit un cadre structurant pour le management de l’IA, mais elle ne garantit pas à elle seule la conformité à l’AI Act. Les entreprises doivent vérifier que leurs systèmes respectent les exigences spécifiques du règlement, notamment en matière d’évaluation des risques et de transparence. Une approche complémentaire, combinant ISO 42001 et les obligations de l’AI Act, est recommandée.
Comment savoir si un système d’IA est considéré comme à haut risque ?
Un système d’IA est considéré comme à haut risque s’il est utilisé dans des domaines sensibles listés par l’AI Act, comme la biométrie, l’éducation, l’emploi ou la justice. Le règlement fournit une liste exhaustive de ces domaines, ainsi que des critères pour évaluer le niveau de risque. Les entreprises peuvent consulter les textes officiels ou se faire accompagner par des experts pour déterminer la classification de leurs solutions.
Qu’est-ce qu’un bac à sable réglementaire et comment y participer ?
Un bac à sable réglementaire est un environnement contrôlé qui permet aux entreprises de tester des solutions innovantes sous la supervision des autorités compétentes. Ces dispositifs, prévus par l’AI Act, visent à faciliter l’innovation tout en garantissant le respect des exigences réglementaires. Les entreprises intéressées peuvent se renseigner auprès des autorités nationales désignées à partir du 2 août 2025 pour connaître les modalités de participation.
