Le cadre européen de l'IA
L'Union européenne s'est dotée du premier cadre juridique complet consacré à l'intelligence artificielle. L'AI Act ne cherche pas à interdire l'IA, mais à l'encadrer selon les risques qu'elle fait courir aux personnes. Voici ce qu'il prévoit, son approche par niveau de risque, ses obligations de transparence pour l'IA générative, son calendrier d'application progressive, et comment il s'articule avec le RGPD sans le remplacer.
L'idée centrale
L'AI Act est un règlement de l'Union européenne qui encadre la conception, la mise sur le marché et l'usage des systèmes d'intelligence artificielle. Son principe fondateur est simple : les obligations sont proportionnées au niveau de risque que présente chaque système pour la santé, la sécurité et les droits fondamentaux des personnes. Un règlement européen s'applique directement dans tous les États membres, y compris en France, sans transposition nationale.
L'AI Act ne vise pas d'abord les particuliers, mais les fournisseurs qui conçoivent des systèmes d'IA et les organisations qui les déploient. Pour un usage personnel de ChatGPT, Claude ou Gemini, c'est surtout le RGPD qui protège vos données. L'AI Act ajoute une couche de garanties : transparence, sécurité et retrait des usages les plus dangereux. Le texte de référence est publié au Journal officiel de l'Union européenne (EUR-Lex) ; ce guide est informatif et ne constitue pas un conseil juridique.
L'approche par niveau de risque
C'est le cœur de l'AI Act. Chaque système d'IA est rattaché à un niveau de risque, qui détermine les règles qui lui sont applicables. Le classement dépend de l'usage réel du système, pas seulement de sa technologie.
Certaines pratiques sont purement interdites car jugées contraires aux valeurs de l'Union : par exemple des systèmes de notation sociale généralisée par les autorités, la manipulation qui exploite les vulnérabilités des personnes, ou certaines utilisations abusives de la biométrie. Ces usages ne peuvent pas être mis sur le marché.
Les systèmes utilisés dans des domaines sensibles (recrutement, accès au crédit, biométrie, éducation, certaines infrastructures et services essentiels) doivent respecter des exigences fortes : gestion des risques, qualité des données, documentation technique, supervision humaine, robustesse et enregistrement. Ils sont autorisés, mais très encadrés.
Certains systèmes, comme les chatbots ou les générateurs de contenus, présentent un risque plus faible mais posent une question de transparence. Les personnes doivent savoir qu'elles interagissent avec une IA et que des contenus ont été générés ou modifiés artificiellement, afin de ne pas être trompées.
La grande majorité des usages de l'IA (filtres anti-spam, recommandations, jeux, assistants du quotidien) relèvent du risque minimal et ne sont soumis à aucune obligation spécifique au titre de l'AI Act. Le RGPD continue toutefois de s'appliquer dès qu'il y a des données personnelles.
IA générative
Les IA génératives (ChatGPT, Gemini, Claude, générateurs d'images et de voix) sont visées par des obligations spécifiques de transparence, distinctes du régime « haut risque ». L'objectif est que le public sache ce qui est produit par une machine.
| Obligation | Ce qu'elle implique | Pour qui |
|---|---|---|
| Informer sur l'interaction avec une IA | Un utilisateur doit être averti lorsqu'il dialogue avec un système d'IA plutôt qu'avec un humain, sauf cas évident. | Fournisseurs et déployeurs de chatbots et assistants. |
| Marquer les contenus générés | Les contenus artificiels (textes, images, audio, vidéo) doivent être marqués ou rendus détectables comme tels, notamment les hypertrucages (deepfakes). | Fournisseurs d'IA générative. |
| Documenter les modèles à usage général | Les fournisseurs de grands modèles doivent fournir une documentation technique et respecter le droit d'auteur ; les modèles les plus puissants ont des obligations renforcées de gestion des risques. | Fournisseurs de modèles à usage général (GPAI). |
Les modalités techniques (marquage, watermarking, documentation) sont précisées dans le règlement et des lignes directrices européennes en cours de publication. Consultez la Commission européenne — cadre réglementaire de l'IA et EUR-Lex pour la version à jour.
Calendrier
L'AI Act n'est pas entré en vigueur d'un seul bloc. Son application s'étale sur plusieurs années, dispositions par dispositions, pour laisser aux acteurs le temps de se mettre en conformité. Les dates ci-dessous sont indicatives et peuvent être ajustées : reportez-vous au calendrier officiel.
| Étape | Ce qui s'applique | Repère |
|---|---|---|
| Entrée en vigueur | Le règlement entre en vigueur, mais la plupart des obligations ne s'appliquent pas encore : le compte à rebours des échéances commence. | Courant 2024 |
| Interdictions | Les pratiques à risque inacceptable deviennent interdites parmi les premières mesures applicables. | Début 2025 |
| Modèles à usage général | Les obligations pour les modèles d'IA à usage général (documentation, transparence) entrent en application. | Courant 2025 |
| Systèmes à haut risque | Les exigences les plus lourdes, pour les systèmes à haut risque, s'appliquent plus tard, après une période d'adaptation étalée. | 2026-2027 (échelonné) |
Le calendrier exact fait l'objet d'échéances précises et parfois d'ajustements. Vérifiez toujours les dates en vigueur auprès de la Commission européenne et sur EUR-Lex.
AI Act et RGPD
C'est une confusion fréquente : l'AI Act ne se substitue pas au RGPD. Les deux s'appliquent en même temps et couvrent des questions différentes mais complémentaires.
Dès qu'un système d'IA traite des données personnelles, le RGPD s'impose : base légale, minimisation, transparence, sécurité, droits d'accès, de rectification et d'effacement, encadrement des transferts hors UE. Rien de tout cela ne disparaît avec l'AI Act. Voir RGPD & IA.
L'AI Act se concentre sur la sécurité, la fiabilité et la transparence des systèmes d'IA eux-mêmes, indépendamment de la question des données personnelles. Il vise le produit et son usage plutôt que le seul traitement de données.
Pour tout ce qui touche à vos données personnelles, la CNIL demeure l'autorité de référence en France et peut être saisie. Elle publie aussi des recommandations sur l'IA. Voir la CNIL et l'IA.
Au quotidien, réglez vos paramètres de confidentialité, refusez l'entraînement quand c'est possible et limitez les données sensibles que vous saisissez. Répartir ses usages entre plusieurs outils aide aussi à ne pas tout confier à un seul acteur.
Approfondir : RGPD & IA · CNIL & IA · refuser l'entraînement · IA en entreprise
FAQ
L'AI Act (règlement européen sur l'intelligence artificielle) est le premier cadre juridique complet dédié à l'IA dans l'Union européenne. Il classe les systèmes d'IA selon leur niveau de risque et impose des obligations proportionnées : interdiction de certaines pratiques, exigences strictes pour l'IA à haut risque, obligations de transparence pour l'IA générative, et quasi-liberté pour les usages à risque minimal. Le texte de référence est publié au Journal officiel de l'Union européenne ; vérifiez toujours la version officielle sur EUR-Lex.
L'AI Act distingue quatre niveaux. Le risque inacceptable correspond à des pratiques interdites (par exemple certaines formes de notation sociale ou de manipulation). Le haut risque concerne des usages sensibles (recrutement, crédit, biométrie, éducation, certains services essentiels) soumis à des obligations strictes. Le risque limité impose surtout des obligations de transparence. Le risque minimal, qui couvre la grande majorité des usages courants, reste largement libre. Le classement précis d'un système dépend de son usage réel ; référez-vous au texte officiel.
Les fournisseurs d'IA générative doivent notamment informer les utilisateurs qu'ils interagissent avec une IA, marquer ou rendre détectables les contenus générés artificiellement (textes, images, audio, vidéo, y compris les hypertrucages/deepfakes), et documenter les données et le fonctionnement de leurs modèles. Des obligations supplémentaires visent les modèles à usage général les plus puissants. Les modalités techniques précises sont détaillées dans le règlement et ses lignes directrices ; consultez EUR-Lex et la Commission européenne.
L'application est progressive et échelonnée. Le règlement est entré en vigueur en 2024, puis ses dispositions s'appliquent par étapes : les interdictions de pratiques inacceptables en premier, suivies des règles sur les modèles à usage général, puis des obligations pour les systèmes à haut risque, qui arrivent plus tard. La pleine application s'étale sur plusieurs années. Les dates exactes évoluent et peuvent être ajustées : vérifiez le calendrier officiel publié par la Commission européenne.
Non. L'AI Act complète le RGPD, il ne le remplace pas. Dès qu'un système d'IA traite des données personnelles, le RGPD continue de s'appliquer pleinement : base légale, minimisation, information des personnes, droits d'accès et d'effacement, encadrement des transferts. L'AI Act ajoute des obligations propres à la sécurité et à la fiabilité des systèmes d'IA. Les deux textes se cumulent. En France, la CNIL veille au respect du volet données personnelles.
L'AI Act vise surtout les fournisseurs et les déployeurs de systèmes d'IA, pas les particuliers qui utilisent un chatbot pour un usage personnel. En pratique, il vous bénéficie indirectement : plus de transparence sur les contenus générés par IA, information lorsque vous parlez à une machine, et retrait des pratiques les plus dangereuses. Pour la protection de vos données personnelles, c'est le RGPD qui reste votre principal levier.
La gouvernance combine un Bureau européen de l'IA au niveau de la Commission européenne et des autorités désignées dans chaque État membre. En France, plusieurs autorités interviennent selon les aspects concernés, et la CNIL joue un rôle central pour tout ce qui touche aux données personnelles. La répartition précise des compétences se met en place progressivement ; consultez les sources officielles pour l'état à jour.
Le texte officiel du règlement sur l'intelligence artificielle est publié au Journal officiel de l'Union européenne et consultable sur EUR-Lex. La Commission européenne publie également des explications, des lignes directrices et un calendrier de mise en œuvre. Ce guide est informatif et ne remplace pas ces sources : pour toute question précise, reportez-vous à la version officielle et, si besoin, à un conseil juridique.