La Loi sur l’IA de l’UE est en vigueur : Ce que les entreprises mondiales doivent savoir
La Loi sur l’IA de l’UE prend effet avec une portée mondiale. Les entreprises américaines sont confrontées à de nouvelles règles, risques et pénalités sévères. Voici ce que les dirigeants doivent savoir dès maintenant.
Les deux premiers chapitres de la Loi sur l’IA de l’UE ont pris effet le 2 février 2025. Ces dispositions abordent les pratiques en matière d’IA et de l’alphabétisation de l’IA. Le reste des dispositions de la loi sera déployé progressivement.
La portée mondiale de la Loi sur l’IA
Bien que les plus grandes implications de la loi concernent les entreprises basées dans l’UE, celles situées en dehors de l’Union européenne sont également affectées. La loi s’applique à tous les fournisseurs de systèmes d’IA sur le marché de l’UE, qu’ils opèrent au sein de l’UE ou non.
« La portée mondiale de la Loi sur l’IA de l’UE, les pénalités significatives pour non-conformité et les exigences étendues couvrant toute la chaîne de valeur de l’IA garantissent que les organisations du monde entier utilisant des technologies d’IA doivent se conformer à la réglementation », a déclaré un analyste principal.
La loi aura un impact significatif sur la gouvernance de l’IA à l’échelle mondiale. « Avec ces réglementations, l’UE a établi le standard de facto pour une IA digne de confiance et la gestion des risques liés à l’IA », a-t-il ajouté.
Comprendre le cadre de risque de la Loi sur l’IA
Le cœur de la Loi sur l’IA de l’UE est son approche basée sur le risque. Plus le risque d’utilisation de l’IA ou d’un cas d’utilisation d’IA à usage général (GPAI) est élevé, plus les exigences auxquelles il doit se conformer sont strictes. À mesure que le risque diminue, le nombre et la complexité des exigences que doit suivre une entreprise diminuent également.
Les quatre niveaux de risque incluent :
- IA à risque inacceptable : Interdite. Exemples : notation sociale, IA manipulatrice et identification biométrique en temps réel dans les espaces publics.
- IA à haut risque : Strictement réglementée. Exemples : IA dans la santé, le recrutement, la finance et l’application de la loi, nécessitant une conformité en matière de transparence, de gouvernance des données et de supervision humaine.
- IA à risque limité : Nécessitant de la transparence. Exemples : chatbots et deep fakes, garantissant que les utilisateurs soient conscients qu’ils interagissent avec de l’IA.
- IA à risque minimal : Non réglementée. Exemples : moteurs de recommandation et IA de jeux vidéo.
Les obligations des fournisseurs de systèmes d’IA diffèrent de celles des déployeurs, mais la conformité de chaque acteur dépend de l’autre. Les fournisseurs doivent fournir aux déployeurs une documentation détaillée sur le système (par exemple, capacités, limitations, utilisation prévue) afin qu’ils puissent déployer les systèmes correctement et comprendre leurs résultats de manière appropriée.
Le mandat sur l’alphabétisation de l’IA
La Loi sur l’IA exige que les fournisseurs et déployeurs prennent des mesures pour garantir, dans la mesure du possible, que le personnel et les autres personnes traitant des systèmes d’IA en leur nom (y compris les consultants) possèdent un niveau suffisant d’alphabétisation en IA.
Pour ces personnes, la formation à l’alphabétisation doit tenir compte de leurs connaissances techniques, de leur expérience, de leur éducation, de leur formation et du contexte dans lequel les systèmes d’IA sont utilisés.
Cette exigence s’applique à tous les systèmes d’IA et pas seulement à ceux considérés comme à haut risque selon la loi.
Ce que les entreprises doivent également préparer
Au-delà des niveaux de risque et de l’alphabétisation, la Loi sur l’IA de l’UE introduit de vastes responsabilités touchant aux modèles fondamentaux, aux chaînes d’approvisionnement et à l’écosystème plus large de l’IA.
Nouveaux standards pour les systèmes d’IA à usage général
La loi fait de grands progrès pour aborder les obligations des systèmes d’IA à usage général pour les déployeurs, selon un consultant.
« Un pas important est la reconnaissance au-delà des règles de transparence de l’UE pour imposer un seuil plus élevé sur les modèles fondamentaux qui pourraient entraîner des risques beaucoup plus élevés et infecter l’ensemble de la chaîne d’approvisionnement logicielle, ce qui pourrait avoir des implications directes pour les consommateurs/utilisateurs », a-t-il déclaré.
Préparez-vous aux audits, évaluations et plus
Les entreprises doivent passer des audits, respecter des normes de transparence et effectuer des évaluations, ce qui complique la concurrence des startups avec les grandes entreprises technologiques.
La Commission européenne peut infliger des amendes aux fournisseurs de modèles d’IA à usage général allant jusqu’à 3 % de leur chiffre d’affaires mondial total annuel de l’année financière précédente, ou 15 000 000 € — le montant le plus élevé étant retenu.
Ces amendes peuvent être imposées si la Commission constate que le fournisseur a intentionnellement ou par négligence :
- Enfreint les dispositions pertinentes de la loi.
- Échoué à se conformer aux demandes de documentation ou fourni des informations incorrectes, incomplètes ou trompeuses.
- Échoué à se conformer aux mesures demandées.
- Échoué à rendre l’accès au modèle d’IA à usage général disponible à la Commission.
Conception des systèmes d’IA pour l’explicabilité
La loi exige une transparence dans la prise de décision de l’IA, ce qui devrait réduire les risques d’IA en boîte noire dans des domaines tels que le recrutement, la notation de crédit et la santé.
« Les consommateurs à travers les régions s’attendent à ce que les entreprises soient explicites sur leur utilisation de toute IA », a-t-il déclaré. « La loi mandate que vous informiez clairement les personnes exposées à un système d’IA et de GPAI d’une manière facile à repérer et à comprendre. »
Les principales dispositions de la Loi sur l’IA de l’UE à venir
La Loi sur l’IA de l’UE est déployée par étapes. D’autres règles, telles que celles concernant les modèles GPAI, s’appliqueront à partir de juin 2025. Les exigences sur les cas d’utilisation à haut risque entreront en vigueur après 24 à 36 mois. Même si certaines exigences prennent effet à des dates ultérieures, elles nécessiteront un effort et un temps substantiels pour qu’une entreprise respecte les règles de la loi.
« Il reste des questions significatives quant aux conséquences involontaires potentielles et aux défis d’implémentation », a-t-il ajouté. Le calendrier de plein effet avant août 2026 pourrait être perçu comme un défi pour l’industrie, surtout à mesure que les avancées futures continuent de se développer.
