Règlement de l'Union européenne sur l'intelligence artificielle

Vue d'ensemble

L'EU AI Act (Règlement 2024/1689) est le premier cadre juridique complet au monde pour l'intelligence artificielle. Adopté le 13 juin 2024, il établit des règles harmonisées pour le développement, la mise sur le marché, la mise en service et l'utilisation des systèmes d'IA au sein de l'Union européenne.

Le règlement adopte une approche fondée sur les risques, classant les systèmes d'IA en quatre niveaux : risque inacceptable (interdit), risque élevé (strictement réglementé), risque limité (obligations de transparence) et risque minimal (largement non réglementé). Ce cadre par paliers garantit que les exigences les plus strictes s'appliquent aux systèmes d'IA qui présentent le plus grand préjudice potentiel pour la santé, la sécurité et les droits fondamentaux.

Le règlement s'applique aux fournisseurs de systèmes d'IA mis sur le marché de l'UE, que ces fournisseurs soient établis dans l'UE ou dans un pays tiers. Il s'applique également aux déployeurs de systèmes d'IA situés dans l'UE ainsi qu'aux fournisseurs et déployeurs situés en dehors de l'UE lorsque les résultats produits par le système d'IA sont utilisés dans l'UE.

Parmi les innovations clés figurent la création de bacs à sable réglementaires pour l'IA, des évaluations de conformité obligatoires pour les systèmes d'IA à haut risque, des exigences de transparence et de supervision humaine, ainsi que la création du European AI Office chargé de coordonner l'application. Le règlement introduit également des règles spécifiques pour les modèles d'IA à usage général (GPAI), y compris des obligations supplémentaires pour les modèles GPAI présentant un risque systémique.

Les sanctions en cas de non-conformité sont importantes : jusqu'à €35 million ou 7% du chiffre d'affaires annuel mondial pour les pratiques d'IA interdites, jusqu'à €15 million ou 3% pour les violations d'autres dispositions, et jusqu'à €7.5 million ou 1% pour la fourniture d'informations incorrectes. Pour les PME et les jeunes entreprises, c'est le plus faible des deux montants qui s'applique.

L'EU AI Act représente un changement de paradigme dans la réglementation technologique, passant de règles sectorielles à un cadre horizontal couvrant l'IA dans tous les secteurs. Les professionnels de la conformité doivent comprendre que ce règlement aura une portée extraterritoriale comparable à celle du RGPD, affectant les organisations du monde entier qui desservent le marché de l'UE.

Le Bureau de l’IA, le Comité européen de l’intelligence artificielle et les autorités nationales compétentes ont des rôles distincts de mise en œuvre et de surveillance. Identifiez l’autorité et la procédure correspondant au système et à l’obligation concernés.

Les obligations de gestion des risques, de documentation technique, de gouvernance des données et de gestion de la qualité doivent être rattachées au rôle de fournisseur ou de déployeur et à la catégorie de risque applicables. Elles ne constituent pas une liste universelle pour toute organisation utilisant un outil d’IA.

Une analyse d’impact sur les droits fondamentaux est requise pour certains déployeurs et usages à haut risque selon l’article 27, dans les limites de son champ et de ses exclusions. Ne présumez pas qu’elle concerne tout système à haut risque ou d’infrastructure critique. Le cas échéant, elle complète l’analyse d’impact relative à la protection des données du RGPD sans la remplacer. Vérifiez le texte modifié pour le déploiement concerné.