EU AI Act
L'EU AI Act est la législation complète de l'Union européenne sur l'intelligence artificielle, basée sur le risque. Il classe les systèmes d'IA en différents niveaux de risque — inacceptable (interdit), haut risque (obligations strictes), risque limité (devoirs de transparence) et risque minimal — et ajoute des obligations spécifiques pour les modèles d'IA à usage général. Il s'applique de manière extraterritoriale à quiconque met sur le marché de l'UE des systèmes d'IA et entre en vigueur de manière progressive sur plusieurs années, avec des sanctions pouvant atteindre jusqu'à 7 % du chiffre d'affaires annuel mondial pour les infractions les plus graves.
Définition
L'EU AI Act est un règlement européen horizontal qui encadre l'IA par niveau de risque, imposant aux fournisseurs et aux déployeurs des obligations proportionnelles au risque qu'un système d'IA présente pour la santé, la sécurité et les droits fondamentaux.
Portée
Les fournisseurs et déployeurs qui mettent sur le marché de l'UE des systèmes d'IA ou des modèles d'IA à usage général, ou dont les résultats sont utilisés dans l'UE — quel que soit leur lieu d'établissement. Certains usages (par exemple, purement personnels ou certaines recherches) sont hors du champ d'application.
Exigences clés
- Niveaux basés sur le risque : inacceptable (interdit), haut risque, risque limité (transparence), risque minimal.
- Les pratiques interdites incluent la notation sociale ainsi que certains usages biométriques et de manipulation.
- Les systèmes à haut risque requièrent une gestion des risques, une gouvernance des données, une documentation technique, une journalisation, une surveillance humaine, de la précision/robustesse et un suivi après commercialisation.
- Les modèles d'IA à usage général (GPAI) comportent leurs propres obligations de transparence et, pour les modèles à risque systémique, des obligations supplémentaires.
- Devoirs de transparence : les utilisateurs doivent être informés lorsqu'ils interagissent avec une IA, et les contenus synthétiques doivent être marqués.
- Application progressive avec des sanctions importantes en cas de non-conformité.
Contrôles
- Classification des risques
- Déterminez d'abord le niveau de risque de chaque système — il conditionne toutes les autres obligations. Une mauvaise classification d'un système à haut risque est l'erreur initiale la plus coûteuse.
- Surveillance humaine (Art. 14)
- Les systèmes à haut risque doivent pouvoir être surveillés par une personne capable d'intervenir ou de les arrêter — le fondement réglementaire des jalons d'approbation humaine.
- Documentation technique et journalisation
- Maintenez la documentation et les journaux d'événements automatiques afin que le système soit traçable et auditable tout au long de son cycle de vie.
- Transparence envers les utilisateurs
- Divulguez l'interaction avec l'IA et étiquetez les contenus générés ou manipulés par l'IA (deepfakes).
- Suivi après commercialisation
- Surveillez les performances sur le terrain et signalez les incidents graves ; la gouvernance ne s'arrête pas au déploiement.
Liste de contrôle
- 01Inventoriez vos systèmes d'IA et classifiez chacun d'eux par niveau de risque.
- 02Confirmez qu'aucun ne relève de pratiques interdites.
- 03Pour les systèmes à haut risque, mettez en place une gestion des risques, une gouvernance des données et une documentation technique.
- 04Mettez en œuvre une surveillance humaine avec la capacité d'intervenir ou d'arrêter le système.
- 05Activez la journalisation/traçabilité et définissez le suivi après commercialisation ainsi que la notification des incidents.
- 06Ajoutez la transparence envers les utilisateurs et l'étiquetage des contenus là où cela est requis.
- 07Suivez les dates d'application progressive qui s'appliquent à vos systèmes.
Pièges courants
- Supposer que le règlement ne s'applique pas parce que vous êtes en dehors de l'UE — il est extraterritorial.
- Traiter les obligations relatives aux GPAI comme identiques à celles des systèmes d'IA ; elles sont distinctes.
- Greffer à la va-vite une surveillance humaine qui ne peut pas réellement intervenir à temps.
- Sous-documenter : l'absence de documentation technique et de journaux est une lacune courante.
Exemples
- Un outil de présélection des candidatures classé à haut risque, nécessitant une documentation, une surveillance humaine et un suivi.
- Un chatbot ajoutant une mention claire « vous parlez à une IA » pour répondre aux devoirs de transparence.
- Un fournisseur de GPAI publiant la documentation du modèle et un résumé des données d'entraînement.
FAQ
- L'EU AI Act s'applique-t-il aux entreprises situées en dehors de l'UE ?
- Oui. Il s'applique aux fournisseurs et déployeurs dont les systèmes d'IA sont mis sur le marché de l'UE ou dont les résultats sont utilisés dans l'UE, quel que soit le lieu d'établissement de l'entreprise.
- Qu'est-ce qu'un système d'IA « à haut risque » ?
- Des systèmes utilisés dans des domaines sensibles (par exemple, l'emploi, le crédit, les infrastructures critiques, certains systèmes biométriques) ou comme composants de sécurité de produits réglementés. Ils comportent les obligations les plus strictes juste avant l'interdiction.
- Quel est le rapport avec le principe de l'humain dans la boucle (human-in-the-loop) ?
- L'article 14 exige une surveillance humaine efficace pour les systèmes à haut risque — une personne capable de comprendre, d'intervenir ou d'arrêter le système. Le modèle du jalon d'approbation humaine est un moyen de le mettre en œuvre.