Guide synthétique sur AI Act européen
1. Qu'est-ce que l'AI Act ?
L'AI Act (Règlement (UE) 2024/1689) est le premier cadre réglementaire mondial dédié à l'intelligence artificielle.
Son objectif est double :
➡️ Favoriser l'innovation en IA ;
➡️ Protéger les citoyens européens contre les risques liés à l'utilisation de l'IA.
Contrairement au RGPD qui protège les données personnelles, l'AI Act réglemente les systèmes d'intelligence artificielle eux-mêmes, en fonction du niveau de risque qu'ils présentent. Il s'appuie sur une approche graduée fondée sur les risques.
2. Qui est concerné ?
Le règlement s'applique à toute organisation qui développe, commercialise, intègre ou utilise des systèmes d'IA dans l'Union européenne, y compris lorsque le fournisseur est situé hors UE si les résultats du système sont utilisés dans l'UE.
Les principaux acteurs sont :
➡️ Fournisseur
➡️ Entreprise ayant déployée IA
➡️ Utilisateur
➡️ Importateur / Distributeur
➡️ Editeur / Constructeur embarquant IA dans un produit
3. Les quatre niveaux de risque
A. Risque interdit
Certaines pratiques sont interdites car elles portent atteinte aux droits fondamentaux.
Exemples :
➡️ Manipulation cognitive des personnes ;
➡️ Exploitation des personnes vulnérables ;
➡️ Notation sociale;
➡️ certaines formes de reconnaissance biométrique en temps réel dans l'espace public (avec exceptions limitées).
➡ Interdiction de mise sur le marché européen. (Stratégie numérique européenne)
B. Risque élevé
Systèmes pouvant avoir un impact important sur les personnes.
Exemples :
➡️ Recrutement RH
➡️ Sélection de CV
➡️ Notation des candidats
➡️ Education
➡️ Crédit bancaire
➡️ Assurance
➡️ Santé
➡️ Infrastructures critiques
Ces systèmes sont autorisés uniquement s'ils respectent des exigences strictes. (Stratégie numérique européenne)
C. Risque limité
Principalement des obligations de transparence.
Exemples :
➡️ Chatbots
➡️ Assistants virtuels
➡️ Génération d'images
➡️ Deepfakes
L'utilisateur doit être informé qu'il interagit avec une IA ou que le contenu est généré artificiellement. (Stratégie numérique européenne)
D. Risque minimal
La majorité des applications.
Exemples :
➡️ Filtres anti-spam
➡️ optimisation logistique
Aucune obligation spécifique imposée par l'AI Act.
4. Les obligations des systèmes à haut risque
Les systèmes à haut risque doivent respecter plusieurs exigences.
Gouvernance des données
➡️ Qualité des données
➡️ Réduction des biais
➡️ Documentation des jeux de données
➡️ Traçabilité
Documentation technique
Le fournisseur a un devoir d'information sur :
➡️ Fonctionnement du système
➡️ Architecture
➡️ Algorithmes utilisés
➡️ Limites
➡️ Performances
➡️ Risques connus
Gestion des risques
Mise en place d'un processus continu :
➡️ Identification
➡️ Evaluation
➡️ Réduction
➡️ Surveillance
Supervision humaine
L'IA ne doit jamais fonctionner sans possibilité d'interruption ou de contrôle humain lorsque cela est requis.
Journalisation (Logs)
Les décisions importantes doivent être enregistrées afin de permettre :
➡️ Audits
➡️ Investigations
➡️ Démonstration de conformité
Robustesse et cybersécurité
Le système doit résister aux :
➡️ Erreurs
➡️ Attaques
➡️ Manipulations
➡️ Dégradations de performance
5. Les IA génératives (ChatGPT, Gemini, Claude, Copilot...)
L'AI Act introduit des obligations spécifiques pour les modèles d'IA à usage général (General Purpose AI – GPAI). Les fournisseurs doivent notamment fournir une documentation technique, respecter les règles relatives au droit d'auteur et publier un résumé des données d'entraînement. Les modèles présentant un risque systémique sont soumis à des exigences supplémentaires (évaluations, gestion des risques, cybersécurité). (Stratégie numérique européenne)
Les utilisateurs en entreprise doivent également :
➡️ Informer lorsqu'un contenu est généré par IA si nécessaire ;
➡️ Mettre en place une gouvernance interne ;
➡️ Former les utilisateurs ;
➡️ Vérifier les usages à risque.
6. Les sanctions
En cas de non-respect :
Infraction
Sanction maximale
Utilisation interdite
➡️ 35 M€ ou 7 % du CA mondial
Non-respect des obligations
➡️ 15 M€ ou 3 % du CA
Informations fausses
➡️ 7,5 M€ ou 1,5 % du CA
Les montants applicables dépendent notamment de la taille de l'entreprise et de la nature de l'infraction.
7. Calendrier d'application
L'AI Act est entré en vigueur le 1er août 2024 et ses dispositions s'appliquent progressivement selon les catégories de règles. Certaines échéances relatives aux systèmes à haut risque ont récemment été reportées dans le cadre d'un projet de simplification ("Digital Omnibus"), sous réserve de la finalisation des mesures correspondantes.
8. Les bonnes pratiques pour les entreprises
Avant tout projet IA, il est recommandé de :
➡️ Etablir un inventaire des IA utilisées ;
➡️ Classifier leur niveau de risque ;
➡️ Désigner les responsables ;
➡️ Documenter les usages ;
➡️ Vérifier les fournisseurs ;
➡️ Mettre en place une gouvernance IA ;
➡️ Former les collaborateurs ;
➡️ Réaliser des audits réguliers.
9. Les actions prioritaires
Une organisation utilisant l'IA devrait :
Recenser tous les systèmes d'IA.
Identifier ceux relevant du haut risque.
Définir une gouvernance IA.
Vérifier la conformité des fournisseurs.
Documenter les usages.
Former les collaborateurs
Mettre en place un suivi de conformité.
Commentaires