Règlement européen sur l'intelligence artificielle : ce qui change vraiment pour les utilisateurs

L'Union européenne s'est dotée d'un cadre juridique dédié à l'intelligence artificielle, souvent désigné sous le nom d'AI Act. Le texte ne se contente pas de fixer des principes : il classe les systèmes d'IA selon le risque qu'ils présentent et attache à chaque catégorie des obligations différentes. Pour un utilisateur ordinaire, l'enjeu est simple : savoir ce qui devient interdit, ce qui doit être signalé, et ce que l'on peut exiger d'une entreprise qui utilise un algorithme pour prendre une décision vous concernant.

Une régulation construite autour du niveau de risque

La logique du texte est graduée. Plus un système est susceptible d'affecter les droits fondamentaux, la sécurité ou la santé des personnes, plus les exigences sont lourdes. Quatre grandes catégories structurent l'ensemble.

Les usages interdits

Certaines pratiques sont considérées comme incompatibles avec les valeurs européennes et sont donc prohibées. On y trouve notamment la notation sociale généralisée des individus par les autorités publiques, les techniques de manipulation subliminale destinées à altérer le comportement d'une personne à son détriment, ou encore l'exploitation des vulnérabilités liées à l'âge ou au handicap. L'usage de l'identification biométrique à distance en temps réel dans l'espace public par les forces de l'ordre est également très strictement encadré, avec des exceptions limitées et soumises à autorisation.

Les systèmes à haut risque

C'est la catégorie la plus détaillée. Elle vise des systèmes déployés dans des domaines sensibles : recrutement et gestion des travailleurs, accès à l'éducation, évaluation de la solvabilité, gestion des infrastructures critiques, certains usages dans la justice ou le contrôle aux frontières. Les fournisseurs de ces systèmes doivent documenter leurs données d'entraînement, évaluer les risques, assurer une supervision humaine réelle, garantir un niveau de robustesse et de cybersécurité approprié, et conserver des journaux techniques.

Les obligations de transparence

Une troisième couche concerne des systèmes moins risqués mais susceptibles de tromper. Un utilisateur doit pouvoir savoir qu'il interagit avec une machine et non avec un humain. Les contenus synthétiques — images, sons, vidéos générés ou manipulés artificiellement — doivent être identifiables comme tels. C'est la disposition qui aura sans doute l'effet le plus visible dans la vie quotidienne, notamment face aux deepfakes.

Le risque minimal

La grande majorité des applications — filtres antispam, moteurs de recommandation basiques, correcteurs orthographiques, IA intégrée aux jeux vidéo — relève de cette dernière catégorie et ne subit pas d'obligation spécifique au titre du règlement.

Les modèles d'IA à usage général

Le texte comporte un volet dédié aux grands modèles polyvalents, ceux qui servent de brique de base à de nombreuses applications. Leurs fournisseurs doivent publier une documentation technique, respecter le droit d'auteur de l'Union et fournir un résumé suffisamment détaillé des contenus utilisés pour l'entraînement. Lorsqu'un modèle est jugé porteur d'un risque systémique, des obligations supplémentaires s'ajoutent : évaluation des capacités, tests contradictoires, signalement des incidents graves.

Ce que cela change concrètement pour vous

• Vous devriez savoir quand vous parlez à une machine. Les agents conversationnels doivent l'indiquer, sauf lorsque c'est évident au regard du contexte.
• Les contenus générés artificiellement doivent être marqués. Cela ne supprime pas la désinformation, mais cela donne un point d'appui aux plateformes et aux régulateurs.
• Une décision automatisée sensible n'est plus une boîte noire absolue. Dans les domaines à haut risque, une intervention humaine doit rester possible et les personnes concernées doivent pouvoir obtenir des explications.
• Les entreprises doivent former leurs équipes. Le texte impose un niveau suffisant de culture de l'IA chez ceux qui déploient ces systèmes.

Un calendrier progressif

L'application ne s'est pas faite d'un seul coup. Les interdictions ont pris effet en premier, suivies des règles relatives aux modèles à usage général, puis des obligations les plus lourdes pesant sur les systèmes à haut risque, dont l'entrée en vigueur s'échelonne sur plusieurs années. Cette progressivité vise à laisser aux fabricants et aux administrations le temps de se mettre en conformité. Elle explique aussi pourquoi certaines dispositions dont on parle beaucoup ne sont pas encore pleinement opposables.

Les limites du dispositif

Un règlement ne produit d'effet que s'il est appliqué. La mise en œuvre repose sur des autorités nationales de surveillance et sur un bureau européen dédié à l'IA. La question des moyens humains et techniques de ces structures est régulièrement soulevée, de même que celle de la capacité à contrôler des modèles dont le fonctionnement interne reste partiellement opaque, y compris pour leurs concepteurs. Le texte prévoit par ailleurs des marges d'interprétation importantes, notamment sur la qualification exacte d'un système comme « à haut risque ».

Reste que l'Union a fait un choix assumé : réguler avant que les usages ne se figent, au risque de contraindre l'innovation, plutôt que de constater les dégâts a posteriori. C'est ce pari qui sera jugé dans les années à venir.

Sources et pour aller plus loin

• Commission européenne — politique numérique et intelligence artificielle : digital-strategy.ec.europa.eu
• Textes publiés au Journal officiel de l'Union européenne : eur-lex.europa.eu
• CNIL — intelligence artificielle et protection des données : cnil.fr