Loi européenne sur l'intelligence artificielle : ce que le texte adopté encadre réellement
Le règlement européen sur l'intelligence artificielle est souvent présenté comme une loi qui s'appliquera à tous les usages de l'IA. Dans les faits, il ne couvre pas les systèmes d'IA en général, mais les produits et services qui intègrent ces systèmes et sont mis sur le marché européen. Un logiciel d'IA développé et utilisé en interne, sans lien avec la mise sur le marché d'un produit, entre dans un champ d'application différent de celui d'un système embarqué dans un dispositif médical ou un service en ligne accessible aux utilisateurs européens.
Le texte repose sur une logique de risque. Plus un usage est susceptible de porter atteinte à la sécurité, aux droits fondamentaux ou à l'égalité de traitement, plus les obligations qui pèsent sur le fournisseur sont lourdes. Cette gradation explique pourquoi le règlement ne fixe pas une règle unique, mais plusieurs régimes qui se superposent selon le rôle des acteurs. À consulter également : www.chantier-maison.fr.
Une classification par niveaux de risque
Le règlement distingue plusieurs catégories. Les pratiques interdites constituent le premier niveau : certains usages sont proscrits en tant que tels, indépendamment des précautions prises par l'opérateur. Les systèmes à haut risque forment le deuxième ensemble : ils restent autorisés, mais sous conditions strictes. Les systèmes à risque limité, puis les systèmes à risque minimal, complètent l'échelle et n'entraînent que des obligations d'information ou aucune obligation spécifique.
La qualification d'un système dépend de sa destination prévue, c'est-à-dire de l'usage pour lequel le fournisseur le conçoit, et non de la manière dont un utilisateur détourne éventuellement l'outil. Cette distinction est centrale : un même modèle technique peut relever de régimes différents selon la fonction qui lui est assignée et le contexte dans lequel il est déployé.
Les obligations qui pèsent sur les systèmes à haut risque portent notamment sur la documentation technique, la gestion des risques, la qualité des données d'entraînement, la traçabilité des décisions et la supervision humaine. Le fournisseur doit également prévoir un dispositif de surveillance après mise sur le marché, afin de détecter les dérives une fois le système en service.
Les rôles distincts des fournisseurs et des utilisateurs
Le règlement ne s'adresse pas à une catégorie unique d'acteurs. Il répartit les responsabilités entre le fournisseur, qui met le système sur le marché ou en service sous son propre nom, et le déployeur, qui utilise le système dans un cadre professionnel. Un déployeur peut, dans certaines situations, assumer les obligations d'un fournisseur : lorsqu'il modifie la destination prévue du système, ou lorsqu'il met lui-même un système sur le marché sous sa propre marque.
Les importateurs et les distributeurs sont également visés. Ils doivent vérifier que le fournisseur a accompli les démarches requises avant de proposer le système dans l'Union. Cette chaîne de responsabilités vise à éviter qu'un produit non conforme circule parce que chaque intermédiaire suppose que l'étape précédente a été correctement réalisée.
Le texte prévoit aussi des obligations spécifiques pour certains systèmes dits à usage général, capables de remplir des tâches variées. Ces modèles peuvent être intégrés dans de nombreux produits en aval, ce qui rend difficile l'identification d'un usage unique. Le règlement impose donc aux fournisseurs de ces modèles de documenter leurs capacités et limites, et de se conformer à des exigences renforcées lorsqu'ils présentent un risque systémique.
Les limites du dispositif et les points en suspens
L'application du règlement est progressive. Les dispositions relatives aux pratiques interdites entrent en vigueur plus tôt que celles concernant les systèmes à haut risque, et les modèles d'usage général suivent un calendrier distinct. Cette progressivité laisse aux acteurs un délai d'adaptation, mais crée une période où plusieurs régimes coexistent, ce qui complique la lecture pour les entreprises concernées par plusieurs catégories à la fois.
Le texte ne règle pas toutes les questions. Les définitions de certaines notions, comme celle de système d'intelligence artificielle, reposent sur des critères qui pourront être précisés par des normes techniques et des actes d'exécution. La conformité ne se déduit donc pas directement de la lecture du règlement seul : elle dépendra aussi des standards harmonisés qui seront adoptés pour en faciliter l'application.
Un autre point de tension concerne l'articulation avec les législations nationales et sectorielles. Dans des domaines déjà encadrés, comme la protection des données ou la sécurité des produits, le règlement s'ajoute aux règles existantes sans les remplacer. Les acteurs doivent donc identifier les obligations cumulatives, ce qui peut alourdir les démarches pour les petites structures disposant de moyens limités.
Le contrôle du respect du texte relève des autorités nationales de surveillance, désignées par chaque État membre, avec une coordination au niveau européen. Les sanctions prévues varient selon la gravité du manquement. Leur application effective dépendra des moyens alloués à ces autorités et de la manière dont elles interpréteront des dispositions encore récentes.
Le règlement constitue ainsi un cadre en construction, dont la portée réelle se précisera au fil des premières décisions d'application et des normes techniques à venir.
