La Loi sur l’IA de l’UE : Considérations Clés de Conformité Avant Août 2025
La Commission Européenne a affirmé que le calendrier pour la mise en œuvre de la Loi sur l’Intelligence Artificielle (Loi sur l’IA de l’UE) reste inchangé. Il n’y a pas de plans pour des périodes de transition ou des reports. Les premières réglementations sont en vigueur depuis le 2 février 2025, tandis que d’autres obligations clés entreront en vigueur le 2 août. Les violations de la Loi sur l’IA peuvent entraîner des sanctions significatives, y compris des amendes allant jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial.
La Loi sur l’IA marque le premier cadre juridique complet au monde pour l’utilisation et le développement de l’IA. Elle suit une approche basée sur le risque qui relie les exigences réglementaires au risque spécifique qu’un système d’IA présente. La mise en œuvre peut poser des défis structurels, techniques et de gouvernance pour les entreprises, en particulier dans le domaine de l’IA à usage général (GPAI).
Exigences et Obligations de Conformité Clés Sous la Loi sur l’IA de l’UE
La Loi sur l’IA se concentre sur les pratiques d’IA jugées risquées et interdites. Certaines applications ont été expressément interdites depuis le 2 février 2025, notamment :
- La catégorisation biométrique basée sur des caractéristiques sensibles ;
- Les systèmes de reconnaissance des émotions sur le lieu de travail ;
- Les systèmes manipulateurs qui influencent le comportement humain sans être détectés ;
- Le scoring social.
Ces interdictions s’appliquent à la fois au développement et à l’utilisation de tels systèmes.
À partir du 2 août 2025, des exigences de diligence raisonnable, de transparence et de documentation entreront également en vigueur pour divers acteurs le long de la chaîne de valeur de l’IA.
Le législateur allemand devrait confier à l’Agence Fédérale des Réseaux (Bundesnetzagentur) la supervision réglementaire. L’agence a déjà mis en place un point de contact central, le « Service Desk IA », pour servir de premier point de contact pour les petites et moyennes entreprises, particulièrement pour les questions liées à la mise en œuvre pratique de la Loi sur l’IA. Les entreprises doivent également surveiller de près les développements réglementaires, par exemple concernant le Code de Pratique final pour les modèles GPAI, qui a été publié le 10 juillet.
Quelles Entreprises et Parties Prenantes Sont Impactées par la Loi sur l’IA de l’UE ?
Fournisseurs de GPAI
Les fournisseurs de modèles GPAI – tels que les modèles de langage ou multimodaux – seront soumis à un régime réglementaire spécifique à partir d’août 2025. Ils devront maintenir une documentation technique qui rend le développement, l’entraînement et l’évaluation du modèle traçables. De plus, des rapports de transparence doivent être préparés, décrivant les capacités, les limitations, les risques potentiels et des conseils pour les intégrateurs.
Un résumé des données d’entraînement utilisées doit également être publié, incluant les types de données, les sources et les méthodes de prétraitement. L’utilisation de contenu protégé par des droits d’auteur doit être documentée et juridiquement permise. Parallèlement, les fournisseurs doivent garantir la protection des informations confidentielles.
GPAI avec Risque Systémique
Des obligations étendues s’appliquent aux modèles GPAI particulièrement puissants classés comme « systémiques ». La classification est basée sur des critères techniques tels que la puissance de calcul, la portée ou l’impact potentiel. Les fournisseurs de ces modèles doivent signaler le système à la Commission Européenne, subir des procédures d’évaluation et de test structurées, et documenter en permanence les incidents de sécurité.
Fournisseurs et Modificateurs en Aval
Les entreprises qui modifient substantiellement des modèles GPAI existants deviendront également des fournisseurs aux fins de la réglementation. Une modification est considérée comme substantielle si le modèle GPAI existant est changé par le biais de la réentraînement, d’un ajustement fin ou d’autres ajustements techniques de manière à modifier de manière significative la fonctionnalité, la performance ou les risques du modèle. Cela signifie que toutes les obligations qui s’appliquent aux développeurs GPAI originaux s’appliquent également aux modèles modifiés.
Utilisateurs de Systèmes d’IA
Les entreprises qui n’utilisent que des systèmes d’IA – en particulier dans des applications présentant des risques potentiellement élevés, telles que le recrutement, la médecine ou les infrastructures critiques – doivent également maintenir un inventaire complet des systèmes qu’elles utilisent. De plus, elles doivent s’assurer que les applications interdites ne sont pas utilisées. Des obligations supplémentaires s’appliqueront aux systèmes d’IA à haut risque à partir d’août 2026, telles que les évaluations d’impact sur la protection des données et la surveillance interne.
Exigences Techniques et Organisationnelles
La mise en œuvre de la Loi sur l’IA nécessite non seulement des mesures juridiques, mais aussi structurelles. Les entreprises devraient envisager les éléments suivants pour améliorer la conformité :
- Établir un inventaire complet de l’IA avec classification des risques ;
- Clarifier le rôle de l’entreprise (fournisseur, modificateur ou déployeur) ;
- Préparer la documentation technique et de transparence nécessaire ;
- Mettre en œuvre des exigences en matière de droits d’auteur et de protection des données ;
- Former et vérifier la compétence en IA parmi les employés (y compris le personnel externe) ;
- Adapter les structures de gouvernance internes, y compris la nomination de personnes responsables.
La Commission et les autorités de surveillance nationales ont annoncé qu’elles surveilleront de près la mise en œuvre. Les entreprises devraient régulièrement revoir et adapter leurs stratégies de conformité, notamment en ce qui concerne les Codes de Pratique et les futures normes techniques.
Préparation Précoce pour la Conformité à la Loi sur l’IA de l’UE et Atténuation des Risques
Le 2 août 2025 est une date limite contraignante. Faire le point, clarifier les rôles et évaluer les systèmes peut aider à créer une base solide pour la certitude réglementaire. Les fournisseurs et modificateurs de GPAI en particulier devraient se préparer à un niveau de responsabilité accru. Mais les déployeurs traditionnels doivent également garantir la transparence et le contrôle de leurs applications d’IA.
Une action précoce peut atténuer les risques juridiques et financiers, tout en soulignant la responsabilité et la viabilité future dans le domaine de l’intelligence artificielle.
