Si vous vivez dans l’Union européenne et utilisez des produits ou services alimentés par l’IA à des fins personnelles ou professionnelles, le règlement européen sur l’IA est susceptible de vous concerner d’une manière ou d’une autre.

Vous avez peut-être déjà constaté l’un de ses effets : des labels ou des mentions indiquant qu’une image, une vidéo, un extrait audio ou un autre contenu a été généré ou manipulé à l’aide de l’IA sur des plateformes comme Instagram ou TikTok(nouvelle fenêtre). Ces règles sont devenues applicables en août 2026 dans le cadre des règles de transparence du règlement européen sur l’IA, et elles font partie d’une loi beaucoup plus vaste introduite par étapes.

Le règlement européen sur l’IA interdit également certaines utilisations de l’IA, impose des exigences strictes aux systèmes considérés comme à haut risque et établit des règles pour les entreprises qui développent, fournissent ou utilisent l’IA, avec différentes dispositions entrant en vigueur à des moments différents.

Qu’est-ce que le règlement européen sur l’IA exactement, quels sont les systèmes d’IA concernés et qu’est-ce que cela signifie pour vous ou votre entreprise ? Voici ce que vous devez savoir.

Qu’est-ce que le règlement européen sur l’IA ?

Le règlement européen sur l’IA est la loi de l’Union européenne visant à réglementer l’intelligence artificielle. Officiellement connu sous le nom de Règlement (UE) 2024/1689, son objectif est de rendre l’IA plus sûre, plus transparente, digne de confiance et centrée sur l’humain, tout en protégeant les droits fondamentaux et en permettant l’innovation et l’adoption de l’IA dans l’UE.

En termes simples, vous pouvez considérer le règlement européen sur l’IA comme le GDPR pour l’IA, bien qu’il réglemente des choses différentes : le GDPR régit principalement la manière dont les données personnelles sont collectées et traitées, tandis que le règlement européen sur l’IA régit la manière dont les systèmes d’IA sont développés, fournis, déployés et utilisés, en particulier lorsqu’ils pourraient affecter les droits des personnes, leur sécurité ou des décisions importantes de leur vie.

Comment le risque lié à l’IA est traité dans le cadre de la législation européenne sur l’intelligence artificielle

Au lieu de réglementer toutes les IA de la même manière, le règlement européen sur l’IA adopte une approche fondée sur les risques, qui peuvent être classés en quatre niveaux :

  • Inacceptable (interdit)
  • Haut risque
  • Risque limité (transparence)
  • Risque faible ou nul

Les huit premières interdictions sont entrées en vigueur en février 2025, tandis que la dernière prend effet en décembre 2026.

En règle générale, plus le préjudice potentiel qu’un système d’IA peut causer est grand, plus les règles sont strictes. La loi ne définit pas formellement quatre « niveaux de risque », mais ses règles sont souvent regroupées en quatre grandes catégories pour les rendre plus faciles à comprendre.

Les exemples concrets ci-dessous ne sont pas des affaires portées en vertu du règlement européen sur l’IA. Ils illustrent plutôt les types de préjudices ou d’utilisations que la loi sur l’IA vise à prévenir, limiter ou réglementer dans l’UE.

IA à risque inacceptable

Certaines utilisations de l’IA sont considérées comme intrinsèquement inacceptables plutôt que comme quelque chose pouvant être géré par l’atténuation des risques, la documentation ou la surveillance. Voici ce qui est interdit :

Manipulation et tromperie

Les IA qui manipulent ou trompent les personnes pour qu’elles prennent des décisions préjudiciables qu’elles n’auraient pas prises autrement.

Un Belge s’est suicidé en 2023(nouvelle fenêtre) après qu’un agent conversationnel d’IA l’a encouragé et a reflété ses sentiments pendant des semaines.

Exploitation des personnes vulnérables

Les IA qui profitent des personnes en raison de leur âge, d’un handicap ou de leur situation sociale ou économique.

La plateforme d’agents conversationnels Character.AI et Google ont accepté en janvier 2026 de régler des poursuites judiciaires(nouvelle fenêtre) concernant des préjudices causés à des adolescents, notamment la plainte d’une mère dont le fils adolescent s’est suicidé après avoir développé un attachement émotionnel profond pour un agent conversationnel qui l’encourageait à « rentrer à la maison » auprès de lui.

Notation sociale

Les IA qui classent les personnes en fonction de leur comportement ou de leurs traits personnels et utilisent ces scores pour les traiter de manière injuste.

Le système de crédit social chinois a été utilisé pour interdire aux citoyens mal notés d’acheter des billets d’avion ou de train. En 2021, la Chine a signé un engagement non contraignant de l’ONU(nouvelle fenêtre) visant à mettre fin à la notation sociale, mais elle n’a fait que développer ce système depuis lors, et on ne sait pas quelle proportion fonctionne encore grâce à l’IA.

Police prédictive

Les IA qui prédisent si quelqu’un va commettre une infraction sur la seule base du profilage ou de traits de personnalité. D’autres utilisations de l’IA par les forces de l’ordre, comme l’évaluation des preuves ou l’évaluation des risques sur la base de faits vérifiables, sont à haut risque mais ne sont pas interdites.

En décembre 2025, la police néerlandaise a abandonné CAS, un algorithme utilisé depuis 2017 pour prédire où la criminalité était susceptible de se produire, après qu’un audit a révélé un biais renforcé causé par la sur-présence policière historique dans certains quartiers.

Bases de données de reconnaissance faciale

Les IA qui collectent de manière indifférenciée des images sur Internet ou des images de vidéosurveillance pour créer des bases de données de reconnaissance faciale.

L’entreprise américaine Clearview AI a collecté des milliards de photos en ligne (dont de nombreuses de citoyens de l’UE) pour les forces de l’ordre et les agences gouvernementales, et a été condamnée à des dizaines de millions d’euros d’amendes par les autorités de régulation de l’UE(nouvelle fenêtre).

Reconnaissance des émotions

Les IA qui tentent de déduire ce que ressentent les employés ou les élèves sur le lieu de travail ou à l’école, sauf pour des raisons médicales ou de sécurité réelles. La reconnaissance des émotions en dehors de ces deux cadres relève des règles relatives au haut risque au lieu d’être interdite.

En 2018, un collège de Hangzhou, en Chine, a installé des caméras dans les salles de classe(nouvelle fenêtre) qui scannaient le visage des élèves pour mesurer leur attention et leur concentration, ce qui a déclenché un débat national sur la surveillance des enfants. Ce programme aurait été suspendu après les réactions négatives, mais une surveillance similaire s’est rapidement étendue à d’autres écoles.

En 2022, certains étaient passés aux bandeaux à ondes cérébrales, la surveillance s’étendant à l’apprentissage à distance et au suivi des devoirs de vacances(nouvelle fenêtre).

Profilage biométrique sensible

Les IA qui utilisent des données biométriques pour déduire des caractéristiques telles que la race, les opinions politiques, l’appartenance syndicale, la religion, la vie sexuelle ou l’orientation sexuelle. La catégorisation biométrique à d’autres fins est considérée comme à haut risque, et non interdite.

En 2025, le Congrès mondial ouïghour a poursuivi en justice(nouvelle fenêtre) Hikvision, Huawei et Dahua en France, soutenant que la technologie de reconnaissance faciale avait aidé à identifier et à persécuter les Ouïghours.

Reconnaissance faciale en direct par la police

La reconnaissance faciale en temps réel utilisée par les forces de l’ordre dans les espaces publics, sauf dans un petit nombre de cas strictement contrôlés, comme la recherche de personnes disparues ou enlevées, la prévention d’une menace imminente ou la localisation de suspects de crimes graves. La reconnaissance faciale qui n’est pas en temps réel, qui ne se déroule pas dans un espace public ou qui n’est pas utilisée par les forces de l’ordre est considérée comme à haut risque au lieu d’être interdite.

En 2025, la Hongrie a interdit les événements de la Pride LGBTQ et a adopté une loi autorisant la police à utiliser la reconnaissance faciale en direct pour identifier les participants. Des groupes de défense des libertés civiles ont contesté la loi(nouvelle fenêtre), soutenant qu’elle violait directement l’article 5 du règlement européen sur l’IA. En avril 2026, la plus haute juridiction de l’UE a conclu que la Hongrie avait violé les droits fondamentaux des personnes LGBTQ ; les accusations contre les organisateurs de la Pride ont été abandonnées, et un changement de gouvernement le même mois a révoqué l’interdiction.

Abus sexuels et contenus intimes non consentis

Les systèmes d’IA qui génèrent du matériel d’abus sexuel sur des enfants (CSAM), ou qui génèrent ou manipulent des représentations sexuellement explicites ou intimes de personnes réelles et identifiables sans leur consentement.

Grok, l’agent conversationnel d’IA intégré à X, disposait d’un « mode spicy » qui générait des deepfakes sexualisés de personnes réelles, y compris d’enfants, produisant plus de 4,4 millions d’images en un peu plus de 9 jours. En janvier 2026, les procureurs généraux d’États américains ont exigé que xAI élimine cette fonctionnalité, et plusieurs poursuites judiciaires ont suivi(nouvelle fenêtre).

IA à haut risque

Les systèmes d’IA à haut risque sont autorisés sur le marché de l’UE à condition que le fournisseur respecte un ensemble d’obligations exigeantes. Un système d’IA est considéré comme à haut risque de deux manières :

  1. Il s’agit d’un produit ou d’un composant de sécurité d’un produit déjà couvert par la législation de l’UE sur la sécurité des produits et faisant l’objet d’une évaluation de la conformité par un tiers, comme les dispositifs médicaux, les machines, les ascenseurs ou les jouets. Ces systèmes sont classés comme étant à haut risque en vertu de l’article 6(1) et de l’annexe I, et deviennent soumis aux obligations relatives au haut risque à partir d’août 2028.
  2. Il relève de l’une des catégories d’utilisation spécifiques énumérées à l’article 6(2) et à l’annexe III. Les obligations pour ce groupe débutent en décembre 2027 et comprennent les éléments suivants :

Données biométriques

Cela inclut l’identification biométrique à distance qui n’est pas en temps réel, qui ne se déroule pas dans un espace accessible au public ou qui n’est pas utilisée par les forces de l’ordre, la catégorisation biométrique à des fins autres que la déduction des caractéristiques sensibles interdites ci-dessus, et la reconnaissance des émotions en dehors du contexte professionnel ou éducatif (cela exclut la vérification biométrique de base, comme le déverrouillage de votre téléphone avec votre visage).

Un lycée en Suède a expérimenté la reconnaissance faciale pour suivre la présence des élèves en 2019. L’autorité suédoise de protection des données a infligé une amende à l’école(nouvelle fenêtre), estimant que les élèves ne pouvaient pas donner un consentement valide étant donné leur lien de dépendance vis-à-vis de l’établissement.

Infrastructures critiques

L’IA qui gère les infrastructures numériques, le trafic routier ou l’approvisionnement en eau, en gaz, en chauffage ou en électricité est considérée comme à haut risque.

En août 2024, Prague a déployé un système de contrôle du trafic par IA(nouvelle fenêtre) qui ajuste la synchronisation des feux de signalisation en temps réel en fonction des conditions actuelles et donne la priorité aux transports publics et aux véhicules d’urgence. Il s’agit de l’un des premiers déploiements à grande échelle de ce type en Europe.

Éducation et formation professionnelle

L’IA qui décide de l’admission dans une école ou un programme de formation, attribue des notes, évalue le niveau d’études approprié pour une personne ou effectue la surveillance d’élèves pendant des examens est considérée comme à haut risque.

L’organisme de régulation des examens en Angleterre a utilisé un algorithme pour attribuer les notes de 2020 après que la pandémie de COVID a annulé les examens, réduisant les notes de nombreux élèves(nouvelle fenêtre) et désavantageant ceux des établissements historiquement moins performants. Cela a provoqué des manifestations et une rétractation du gouvernement.

Emploi et gestion des travailleurs

Cela concerne l’IA utilisée pour sélectionner ou évaluer des candidats à un emploi, ou qui influence les promotions, l’attribution des tâches ou la surveillance des performances au travail.

Un tribunal italien a jugé l’algorithme de classement des livreurs de Deliveroo(nouvelle fenêtre) discriminatoire(nouvelle fenêtre), car il pénalisait les livreurs de repas pour faible disponibilité sans identifier de motifs légitimes, tels que la maladie ou les grèves. Deliveroo a été condamné à verser des dommages-intérêts.

Services essentiels

L’IA qui décide de l’admissibilité aux prestations publiques ou aux soins de santé, évalue la solvabilité, fixe le prix de l’assurance vie ou santé, ou trie les appels d’urgence est considérée comme à haut risque.

L’administration fiscale néerlandaise a utilisé un système algorithmique de risque de fraude qui a signalé à tort environ 26 000 parents(nouvelle fenêtre), en ciblant de manière disproportionnée les personnes ayant une double nationalité, pour le remboursement de prestations. Le scandale a fait tomber le gouvernement néerlandais en janvier 2021.

Forces de l’ordre

L’IA évaluant le risque d’une victime ou d’un auteur d’infraction, évaluant la fiabilité des preuves ou profilant des personnes lors d’enquêtes pénales est considérée comme à haut risque.

L’Angleterre et le Pays de Galles utilisent OASys pour évaluer le risque de récidive de plus de 7 millions de personnes(nouvelle fenêtre), ce qui alimente les décisions de libération sous caution, de condamnation et de libération conditionnelle. Les évaluations officielles ont révélé qu’il est moins précis pour les personnes noires, asiatiques et métisses que pour les délinquants blancs, et les détenus ont une capacité limitée à contester les données inexactes utilisées pour leurs scores. Un système de remplacement (ARNS) est en cours de développement, avec un déploiement national prévu pour 2026.

Migration, asile et contrôle aux frontières

Cela concerne l’IA qui évalue les risques de sécurité ou de migration, examine les demandes d’asile ou identifie les personnes à la frontière.

Le ministère de l’Intérieur britannique a refusé la demande d’asile d’une Marocaine et de son enfant(nouvelle fenêtre) en citant un document de sécurité qui s’est avéré inexistant. En appel, un juge de la haute cour a suggéré que la lettre de refus montrait des signes d’hallucination de l’IA, la qualifiant d’« analogue à l’utilisation de preuves factices ».

Justice et processus démocratiques

L’IA qui assiste les juges dans l’interprétation des faits ou du droit, ou les systèmes susceptibles d’influencer les résultats des élections ou la façon dont les gens votent, sont considérés comme à haut risque.

L’exemple le plus connu est peut-être celui-ci : Cambridge Analytica a collecté les données de jusqu’à 87 millions d’utilisateurs de Facebook sans leur consentement pour établir des profils psychographiques pour des publicités politiques ciblées(nouvelle fenêtre), notamment pour la campagne de Trump en 2016 et le référendum sur le Brexit.

Exigences pour les systèmes d’IA à haut risque

En vertu du règlement européen sur l’IA, les systèmes d’IA à haut risque doivent répondre à des exigences strictes avant de pouvoir être mis sur le marché ou mis en service. Il s’agit notamment de :

Gestion des risques : les fournisseurs doivent identifier, évaluer et réduire les risques potentiels tout au long du cycle de vie du système.

Qualité des données : les données d’entraînement, de validation et de test doivent être appropriées et gérées pour réduire les erreurs et les résultats discriminatoires.

Journalisation et traçabilité : les systèmes doivent conserver des enregistrements de leur activité afin de pouvoir tracer leur fonctionnement et leurs résultats.

Documentation technique : les fournisseurs doivent documenter le fonctionnement du système, ce pour quoi il a été conçu et sa conformité avec le règlement sur l’IA.

Informations pour les utilisateurs : les personnes et les organisations qui utilisent le système doivent recevoir des instructions claires sur ses capacités, ses limites et son utilisation appropriée.

Contrôle humain : les systèmes doivent être conçus pour que des personnes qualifiées puissent comprendre, surveiller et intervenir dans leur fonctionnement si nécessaire.

Exactitude, robustesse et cybersécurité : les systèmes doivent répondre aux normes appropriées en matière d’exactitude, de fiabilité, de résilience et de protection contre les menaces de sécurité.

Toutefois, l’article 6(3) prévoit certaines dérogations pour les systèmes d’IA énumérés à l’annexe III. Ils ne doivent pas être considérés comme à haut risque s’ils ne « présentent pas de risque significatif de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, notamment en n’influençant pas de manière significative le résultat de la prise de décision. » L’article 6(3) comprend plus d’informations sur la manière de définir si un système d’IA relève de cette dérogation.

IA à risque de transparence (risque limité)

Concernant le risque de transparence, l’article 50 se concentre sur l’IA qui peut rendre difficile pour les personnes la distinction entre un contenu généré par l’IA ou créé par un humain. Les inquiétudes concernent principalement la tromperie, l’usurpation d’identité, la désinformation, la manipulation et la fraude envers les consommateurs. Ces systèmes sont généralement autorisés, mais les fournisseurs et les déployeurs doivent rendre l’utilisation de l’IA suffisamment transparente. Les obligations de transparence de l’article 50 sont entrées en vigueur en août 2026.

Les règles de transparence de l’IA couvrent quatre situations principales :

Interactions avec l’IA

Lorsqu’un système d’IA interagit directement avec une personne, le fournisseur doit indiquer clairement à cette personne qu’elle interagit avec une IA et non avec un humain. Cela peut s’appliquer aux systèmes interactifs comprenant une IA conversationnelle ou des agents de service client.

Une mention d’information sur l’IA doit être fournie dès le début de la première interaction, d’une manière accessible, claire et distincte. L’IA fonctionnant uniquement en arrière-plan ou communiquant de machine à machine n’est pas couverte par cette exigence particulière.

Contenu standard généré par l’IA

Les fournisseurs de systèmes d’IA qui génèrent ou manipulent du texte, des images, de l’audio ou de la vidéo doivent rendre le résultat techniquement identifiable comme étant généré ou manipulé par une IA, par exemple au moyen de métadonnées lisibles par machine.

Cela ne signifie pas nécessairement l’ajout d’un label visible pour la personne qui consulte le contenu. Les outils d’édition simples qui ne modifient pas substantiellement les données d’entrée ou leur sens en sont exemptés.

Deepfakes et certains contenus d’intérêt public

Si une organisation crée ou manipule des images, de l’audio ou de la vidéo de type deepfake, un simple marqueur lisible par machine ne suffit pas. Elle doit le divulguer clairement au public d’une manière facilement percevable, par exemple au moyen d’un label visible ou d’un avertissement sonore.

La même norme s’applique au texte généré ou manipulé par une IA publié pour informer le public sur des questions d’intérêt public, à moins qu’un humain ne l’ait révisé de manière significative et en ait pris la responsabilité éditoriale.

Reconnaissance des émotions et catégorisation biométrique

Les personnes doivent être informées lorsque l’IA est utilisée pour détecter leurs émotions ou les catégoriser à l’aide de données biométriques ; cela s’applique, que le système soit également classé à haut risque ou non.

IA à risque faible ou nul

La plupart des systèmes d’IA tombent dans cette catégorie et ne sont pas soumis à des exigences obligatoires supplémentaires en vertu du règlement sur l’IA. Les exemples incluent les filtres anti-indésirables/spam et l’IA utilisée dans les jeux vidéo. Les fournisseurs peuvent toujours suivre volontairement les meilleures pratiques et les codes de conduite.

Que sont les modèles GPAI et quelles sont leurs obligations ?

Les modèles GPAI (IA à usage général) sont des modèles d’IA conçus pour gérer de nombreuses tâches différentes plutôt qu’un objectif spécifique et restreint. Parmi les exemples de modèles GPAI figurent les grands modèles de langage (LLM) qui alimentent ChatGPT, Gemini, Claude et Meta AI. Ils peuvent générer ou analyser du contenu et peuvent être intégrés dans d’autres systèmes et applications d’IA.

Les modèles GPAI sont soumis à leurs propres exigences en vertu du règlement sur l’IA. Les fournisseurs doivent tenir à jour une documentation technique, fournir aux développeurs en aval des informations sur les capacités et les limites du modèle, se conformer aux règles de l’UE sur le droit d’auteur et publier un résumé public décrivant les types de données (tels que texte, images, audio ou vidéo) et les sources (par exemple, ensembles de données publics, ensembles de données privés, sites internet collectés, données d’utilisateurs ou données synthétiques) utilisées pour entraîner le modèle.

Les modèles GPAI qui présentent un risque systémique — suffisamment puissants ou largement utilisés pour que des problèmes puissent causer des préjudices à grande échelle dans toute l’UE — sont confrontés à des exigences supplémentaires, notamment des évaluations de modèles et des tests adverses, une gestion continue des risques, le signalement des incidents et une protection renforcée de la cybersécurité.

Le règlement européen sur l’IA interdit-il aux systèmes d’IA d’utiliser les données des personnes pour l’entraînement de l’IA ?

Non. Le règlement européen sur l’IA n’interdit pas l’utilisation des données des personnes pour l’entraînement de l’IA. Il exige toutefois des systèmes à haut risque qu’ils utilisent des données de bonne qualité et des fournisseurs d’IA à usage général qu’ils soient transparents sur les éléments utilisés pour leur entraînement, mais l’utilisation légale des données personnelles pour entraîner l’IA est principalement régie par le GDPR. Les entreprises doivent disposer d’une base juridique valide pour traiter les données personnelles et respecter les droits et garanties applicables en matière de protection des données.

Le règlement européen sur l’IA protège-t-il la propriété intellectuelle ?

Oui, mais seulement de manière limitée et indirecte. Le règlement européen sur l’IA ne crée pas de nouveaux droits de propriété intellectuelle et ne remplace pas la législation existante sur le droit d’auteur. Toutefois, il exige des fournisseurs de GPAI qu’ils se conforment aux règles de l’UE en matière de droit d’auteur, qu’ils respectent les options de retrait opt-out des titulaires de droits pour la fouille de textes et de données, et qu’ils publient un résumé du contenu utilisé pour entraîner leurs modèles.

Calendrier de mise en œuvre du règlement européen sur l’IA

Voici les dates importantes que vous devez connaître :

1er août 2024 : le règlement européen sur l’IA est entré en vigueur.

2 février 2025 : les dispositions générales et les définitions du règlement sont devenues applicables, tout comme les huit premières interdictions concernant les pratiques d’IA interdites. Les exigences imposées aux fournisseurs et aux déployeurs pour soutenir la culture de l’IA au sein du personnel sont également devenues applicables.

2 août 2025 : les règles applicables aux modèles GPAI sont entrées en vigueur, ainsi que les dispositions relatives à la gouvernance de l’IA et aux sanctions.

27 juillet 2026 : l’AI Omnibus est entré en vigueur. Officiellement connu sous le nom de Règlement (UE) 2026/1744, l’AI Omnibus est une modification apportée en 2026 au règlement européen sur l’IA visant à simplifier sa mise en œuvre, à réduire la charge de conformité et à donner aux entreprises et aux autorités de régulation plus de temps pour se préparer, tout en conservant les garanties essentielles du règlement en matière de sécurité et de droits fondamentaux.

2 août 2026 : la majeure partie du reste du règlement sur l’IA est devenue applicable, notamment les règles de transparence exigeant une divulgation ou un marquage technique pour certains systèmes d’IA et contenus générés par l’IA.

2 décembre 2026 : la neuvième interdiction couvrant le CSAM généré par l’IA et les représentations à caractère sexuel explicite ou intime non consenties prend effet. Les fournisseurs de systèmes d’IA mis sur le marché avant le 2 août 2026 qui génèrent du texte, des images, de l’audio ou de la vidéo synthétiques doivent également se conformer aux exigences de marquage lisible par machine avant cette date.

2 août 2027 : les États membres de l’UE doivent disposer d’au moins un bac à sable réglementaire national pour l’IA avant cette date afin de permettre aux entreprises de développer et de tester des systèmes d’IA sous contrôle réglementaire.

2 décembre 2027 : les règles relatives à l’IA à haut risque commencent à s’appliquer aux systèmes utilisés dans des domaines sensibles tels que les données biométriques, les infrastructures critiques, l’éducation, l’emploi, les services essentiels, le maintien de l’ordre, la migration et l’administration de la justice.

2 août 2028 : les exigences relatives au haut risque commencent à s’appliquer aux systèmes d’IA qui font partie de produits réglementés couverts par la législation de l’UE sur les produits, ou qui en sont des composants de sécurité, tels que certaines machines, appareils médicaux, jouets et ascenseurs.

Comment préparer votre entreprise à la conformité au règlement européen sur l’IA

Pour les entreprises, le plus grand changement pratique est que la conformité commence par déterminer le rôle joué par l’entreprise et le type d’IA qu’elle utilise. Une entreprise qui utilise simplement un assistant de rédaction d’IA aura beaucoup moins d’obligations qu’une entreprise qui développe un algorithme de recrutement, vend un appareil médical alimenté par l’IA ou fournit un modèle GPAI. Le règlement peut également s’appliquer aux entreprises hors de l’UE si elles mettent des systèmes d’IA ou des modèles GPAI sur le marché de l’UE ou si le résultat de leur système d’IA est utilisé dans l’UE.

Pour vous préparer et maintenir votre conformité au règlement européen sur l’IA, votre entreprise devrait :

Savoir quelle IA vous utilisez : suivez les systèmes d’IA utilisés au sein de vos équipes (y compris les outils tiers), et comprenez à quoi ils servent. Cela peut inclure l’IA utilisée dans les RH, le service client, le marketing, la sécurité, l’analyse et d’autres processus d’entreprise.

Déterminer votre rôle : établissez si votre entreprise est un fournisseur qui développe ou vend un système d’IA, un déployeur qui en utilise un, ou un importateur ou distributeur. Des obligations différentes s’appliquent à chaque rôle.

Classer l’IA par risque : vérifiez si une utilisation de l’IA est interdite, à haut risque, soumise à des exigences de transparence ou à risque minimal. Si vous utilisez l’IA pour sélectionner des candidats à un emploi, par exemple, les règles sont considérablement plus strictes que pour les filtres anti-indésirables/spam par IA.

Cesser les utilisations d’IA interdites : auditez vos outils d’IA et vos flux de travail pour détecter toute pratique interdite et désactivez ou remplacez les systèmes qui franchissent la ligne. Concentrez-vous en particulier sur l’IA utilisée pour surveiller les employés, profiler les personnes, analyser les données biométriques, manipuler le comportement ou effectuer des évaluations sensibles sur des individus.

Former les employés qui utilisent l’IA : les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir la culture de l’IA parmi les employés et les autres personnes qui exploitent des systèmes d’IA en leur nom. La formation doit refléter la manière dont l’IA est réellement utilisée et les risques encourus.

Respecter les exigences de transparence de l’IA : vous devrez peut-être informer les personnes lorsqu’elles interagissent avec l’IA, ajouter un label à certains contenus générés ou manipulés par l’IA, ou informer les personnes lorsque des systèmes autorisés de reconnaissance des émotions ou de catégorisation biométrique sont utilisés.

Appliquer des contrôles plus stricts à l’IA à haut risque : les fournisseurs doivent gérer les risques, utiliser des données appropriées, conserver la documentation et le journal d’activités, garantir un contrôle humain et répondre aux exigences d’exactitude, de sécurité et de fiabilité. Ils peuvent également devoir réaliser des évaluations de conformité et enregistrer le système. Les entreprises utilisant une IA à haut risque doivent suivre les instructions du fournisseur, surveiller ses performances et conserver les enregistrements requis.

Vérifier les obligations relatives aux GPAI : si vous fournissez des modèles GPAI, vous avez des exigences distinctes concernant la documentation technique, les informations pour les développeurs en aval, le respect du droit d’auteur et les résumés du contenu d’entraînement. Les modèles qui présentent un risque systémique font face à des exigences de sécurité et de cybersécurité supplémentaires.

Examiner les fournisseurs d’IA : si vous utilisez une IA tierce, vérifiez les systèmes fournis par les vendeurs, la façon dont ils sont classés, la documentation disponible et qui est responsable du respect de chaque partie du règlement européen sur l’IA. La modification ou le changement de marque de certains systèmes d’IA peut également transférer les responsabilités du fournisseur à votre entreprise.

Maintenir la gouvernance de l’IA à jour : les systèmes d’IA, leurs utilisations et la loi peuvent évoluer. Les entreprises doivent documenter l’utilisation de l’IA, surveiller les systèmes pour détecter de nouveaux risques ou incidents, et réévaluer la conformité lorsqu’un système d’IA est substantiellement modifié ou réaffecté.

La conformité au règlement sur l’IA ne remplace pas les autres obligations légales. Les entreprises qui utilisent des données personnelles, du contenu protégé par le droit d’auteur ou l’IA dans des secteurs réglementés peuvent également devoir se conformer à des lois telles que le GDPR, les règles de l’UE sur le droit d’auteur, le droit de la protection des consommateurs et les réglementations spécifiques à chaque secteur.

Développer une approche de l’IA axée sur le respect de la vie privée

Le règlement européen sur l’IA adopte une approche fondée sur les risques, et vous n’avez pas nécessairement besoin d’utiliser vous-même l’IA pour être concerné par celui-ci. Si vous vivez dans l’UE, l’IA peut influencer le contenu que vous voyez, les services avec lesquels vous interagissez ou les décisions prises à votre sujet, comme la possibilité d’acheter certaines choses. Se familiariser avec le règlement peut donc vous aider à comprendre quand l’IA doit être divulguée, quelles protections s’appliquent et quand vous pourriez contester la façon dont un système d’IA est utilisé.

Pour les entreprises, les obligations dépendent du rôle joué par l’organisation, de la manière dont ses systèmes d’IA sont utilisés et du niveau de risque encouru.

Pour les personnes qui choisissent d’utiliser l’IA, Lumo propose une alternative d’IA européenne et axée sur le respect de la vie privée. Notre assistant IA ne conserve jamais de journal de vos conversations et ne s’entraîne pas sur vos données. Vos données sont protégées par un chiffrement à accès zéro afin que vous seul puissiez les lire. Pas même Proton ne peut voir vos données.

Les mêmes protections s’étendent à Lumo for Business, notre assistant IA pour les équipes, qui permet aux organisations de fournir à leurs employés un outil d’IA approuvé tout en aidant à garder privées les données confidentielles de l’entreprise, des clients et d’autres données sensibles. L’utilisation de Lumo ne rend pas à elle seule une entreprise conforme au règlement européen sur l’IA, mais elle peut soutenir une approche plus respectueuse de la vie privée pour adopter et régir l’IA au sein d’une organisation.

Discuter avec Lumo(nouvelle fenêtre) Obtenir Lumo for Business

Si vous débutez avec l’IA ou si vous souhaitez comprendre la technologie derrière ces règles, consultez notre guide sur l’IA pour une analyse approfondie du respect de la vie privée liée à l’IA, de la surveillance, des risques de sécurité et un aperçu des pratiques souvent trompeuses de certains des fournisseurs d’IA les plus populaires.