La Commission européenne a récemment dévoilé deux jeux de lignes directrices pour guider les parties prenantes dans l’application du règlement sur l’IA et faciliter la mise en conformité des SIA avec la réglementation.
Le règlement sur l’IA ou AI Act[1] est partiellement entré en application le 2 février 2025. À compter de cette date, les systèmes d’intelligence artificielle (SIA) présentant des risques inacceptables pour les valeurs de l’Union européenne et les droits de l’homme sont devenus interdits sur le marché européen[2].
Afin d’accompagner les acteurs dans la mise en œuvre de l’AI Act[3], la Commission a publié deux projets de lignes directrices[4]. Le premier vise à préciser la définition des SIA figurant à l’article 3(1)[5] de l’IA Act, afin d’identifier les systèmes concernés par la réglementation tandis que le second a pour objectif de clarifier les pratiques interdites en matière d’IA telles que définies à l’article 5 de du règlement précité[6].
Une définition structurée des SIA reposant sur sept critères
L’AI Act établit un cadre juridique harmonisé pour le développement et l’utilisation des SIA dans l’Union européenne. L’objectif est de favoriser l’innovation tout en protégeant la santé, la sécurité, les droits fondamentaux et la démocratie. Toutefois, l’AI Act ne s’applique qu’aux systèmes répondant à la définition d’un « système d’intelligence artificielle » (AI system) selon l’article 3(1).
Cet article défini un système d’IA comme « un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ».
Les lignes directrices visent à clarifier cette définition. La Commission européenne considère qu’un système doit répondre aux sept critères suivants pour être considéré comme un SIA au sens de l’AI Act :
- Caractère automatisé : un SIA est un système basé sur une machine automatisée (« machine-based system »), comprenant des composants logiciels et matériels intégrés, qui lui permettent de fonctionner.
- Autonomie : un SIA doit fonctionner avec un certain degré d’autonomie, c’est-à-dire qu’il peut générer des résultats sans intervention humaine constante.
- Capacité d’apprentissage et d’adaptation : le SIA doit être capable d’auto-apprentissage et d’évolution après son déploiement. Ce critère est cependant facultatif.
- Existence d’objectifs explicites ou implicites : le SIA doit être programmé avec des objectifs clairs ou inférer des objectifs implicites à partir de son environnement. À titre d’exemple, un assistant virtuel peut être conçu pour répondre aux questions des utilisateurs, mais son objectif implicite peut être d’optimiser l’efficacité des réponses.
- Capacité d’inférence : un SIA doit être capable de déduire des résultats (prédictions, contenus, recommandations…) à partir de données d’entraînement.
- Génération de résultats pouvant influencer les environnements physiques ou virtuels : un SIA doit pouvoir générer des résultats appartenant à l’une des quatre catégories suivantes : prédictions, recommandations, contenus ou décisions automatisées.
- Interaction avec l’environnement : un SIA doit avoir une influence active sur les environnements physiques ou virtuels. La Commission indique que cette influence peut s’exercer aussi bien sur des objets physiques tangibles, que des environnements numériques ou des flux de données.
La qualification d’un système en tant que SIA entraîne des conséquences pratiques, notamment en matière d’obligations réglementaires, et plus spécifiquement en matière de gestion des risques, de transparence et de supervision humaine. En particulier, les SIA identifiés comme présentant un risque inacceptable sont soumis à un régime d’interdiction strict.
Les pratiques interdites en matière d’IA : clarifications et exemples concrets
L’AI Act repose sur une approche fondée sur le risque et classe les SIA en quatre catégories de risques : inacceptables, élevés, limités, minimes ou nuls.
L’article 5 de l’AI Act pose un principe d’interdiction des systèmes d’IA présentant en risque inacceptable.
La Commission européenne a dévoilé des lignes directrices sur ces pratiques interdites afin de garantir une application cohérente et uniforme de ce principe à l’échelle de l’Union européenne.
Pour chacune des catégories de pratiques interdites, la Commission européenne détaille leurs objectifs, les conditions cumulatives qui les caractérisent, fournit des exemples concrets et exclut les pratiques qui seraient autorisées, afin d’aider les parties prenantes à mieux appréhender les exigences de l’IA Act.
À titre d’illustration :
- Manipulation trompeuse : les SIA qui influencent de manière intentionnelle ou non le comportement d’un utilisateur au point de fausser ses choix relationnels sont interdits. Cette manipulation doit causer ou être susceptible de causer un préjudice important. Ainsi, un chatbot conçu pour aider les utilisateurs à adopter un mode de vie sain pourrait, de manière involontaire, les inciter à adopter des comportements dangereux, et entrerait dans le cadre de l’interdiction, et ce, même si le fournisseur n’avait pas l’intention de provoquer de tels effets ;
- Systèmes de reconnaissance biométrique à distance en temps réel : les SIA utilisant des systèmes de catégorisation biométrique sont interdits lorsque les données biométriques sont utilisées pour catégoriser individuellement des personnes physiques. À l’inverse, si la catégorisation concerne un groupe entier de personnes, sans distinction individuelle, le SIA ne relèvera pas de cette interdiction.
La Commission européenne souligne que l’application de ces interdictions devra faire l’objet d’une évaluation au cas par cas, en tenant compte des circonstances propres à chaque situation.
Enfin, les lignes directrices précisent que certaines pratiques, bien qu’exclues du champ d’application de l’article 5, peuvent néanmoins être régies par d’autres réglementations européennes. Par exemple, le RGPD pourra s’appliquer aux systèmes de reconnaissance des émotions tandis que le droit de la consommation pourra s’appliquer aux systèmes de notations sociales utilisés dans les relations BtoC.
Les obligations incombant aux principaux acteurs
Les fournisseurs d’IA doivent veiller à ne pas commercialiser de systèmes dont l’interdiction, en raison de leur risque inacceptable, est raisonnablement prévisible. Leurs contrats avec les développeurs d’IA doivent également inclure des mécanismes de protection et d’interdiction des pratiques prohibées.
De leur côté, les déployeurs d’IA sont responsables de l’utilisation des systèmes et ne doivent pas contourner les dispositifs de sécurité mis en place par les fournisseurs.
Les lignes directrices insistent également sur les mécanismes de contrôle et les sanctions applicables. Elles confirment que les autorités nationales de surveillance désignées par les États membres, en coopération avec la Commission, devront veiller à une application cohérente des interdictions.
Ces autorités pourront prendre des mesures pour faire respecter les interdictions applicables, soit de manière proactive, soit en réponse à une plainte déposée par toute personne concernée ou toute autre personne justifiant d’un motif légitime.
Enfin, la Commission rappelle que les infractions aux interdictions prévues à l’article 5 de l’IA Act sont parmi les plus graves, et exposent les contrevenants à des sanctions pouvant atteindre 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu)[7].
Lire les lignes directrices sur la définition des systèmes d’IA et sur les pratiques interdites en matière d’IA
[1] Règlement (UE) 2024/1689 du 13 juin 2024 établissement des règles harmonisées concernant l’intelligence artificielle.
[2] Communiqué de presse de la Commission européenne du 3 février 2025
[3] Lire notre billet sur l’AI Act
[4] À noter que ces lignes directrices n’ont pas de valeur contraignante et n’ont pas encore été officiellement adoptées par la Commission européenne. Elles ont vocation à être mises à jour en fonction des évolutions technologiques, des retours d’expérience et des questions soulevées par les parties prenantes.
[5] IA Act, Article 3(1)
[6] IA Act, Article 5
[7] IA Act, Article 99(3)
