Réglementation de l’IA en Europe : ce que cela implique pour…
Temps de lecture : 3 min
L’essentiel en bref
- Le Règlement européen sur l’intelligence artificielle (IA), ou « AI Act », est la première loi mondiale exhaustive régissant l’intelligence artificielle.
- Les systèmes d’IA sont classés en quatre catégories de risque : faible, limité, élevé et inacceptable.
- L’IA à haut risque (par exemple dans les domaines des ressources humaines, de l’octroi de crédits ou du secteur médical) exige une évaluation de conformité et une marque CE.
- Les amendes en cas de non-respect peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’entreprise.
- Les obligations entreront en vigueur progressivement : interdiction immédiate des systèmes d’IA inacceptables à compter de février 2025, puis application des règles relatives à l’IA à haut risque à partir d’août 2026.
L’Europe régule l’intelligence artificielle – en tant que premier espace économique au monde à le faire. L’« AI Act » est entré en vigueur le 1er août 2024 et sera pleinement applicable progressivement jusqu’en 2027. Pour les entreprises qui développent ou déploient des systèmes d’IA, cela implique des obligations concrètes : classification des risques, documentation rigoureuse, transparence accrue et, dans certains cas, certification obligatoire.
Bonne nouvelle : la plupart des applications d’IA utilisées par les petites et moyennes entreprises (PME) relèvent de la catégorie « risque faible » et ne sont soumises qu’à des obligations très légères. En revanche, toute entreprise qui utilise l’IA dans les domaines des ressources humaines, de l’octroi de crédits ou du secteur médical doit dès maintenant se préparer activement à la mise en œuvre du règlement.
Les quatre classes de risque du Règlement sur l’intelligence artificielle (IA)
Risque inacceptable (interdit) : notation sociale, surveillance de masse biométrique en temps réel, systèmes d’IA manipulatoires, reconnaissance des émotions sur le lieu de travail. Ces applications sont interdites à compter de février 2025.
Risque élevé : IA utilisée dans la sélection du personnel, l’octroi de crédits, l’éducation, la justice, les infrastructures critiques ou les dispositifs médicaux. Elle exige une évaluation de conformité, une gestion des risques, une qualité des données, une transparence accrue et une supervision humaine.
Risque limité : chatbots, deepfakes, contenus générés par l’IA. Obligation de transparence : les utilisateurs doivent être informés qu’ils interagissent avec un système d’IA ou que les contenus qu’ils consultent ont été créés par une IA.
Risque minimal : toutes les autres applications d’IA (filtres anti-spam, systèmes de recommandation, outils de traduction). Aucune obligation spécifique n’est prévue, mais des codes de conduite volontaires peuvent être adoptés.
Ce que requiert concrètement une IA à haut risque
Les entreprises exploitant des systèmes d’intelligence artificielle à haut risque doivent : mettre en œuvre et documenter un système de gestion des risques ; garantir la qualité des données – les jeux de données d’entraînement doivent être représentatifs, exempts d’erreurs et non biaisés ; rédiger une documentation technique détaillant l’architecture du modèle, les données d’entraînement, les indicateurs de performance ainsi que les limites connues du système ; assurer une supervision humaine – une personne doit pouvoir examiner et annuler toute décision prise par l’IA ; mettre en place un système de journalisation (logging) – chaque décision générée par le système doit être consignée de façon traçable.
La procédure d’évaluation de la conformité peut varier selon le cas d’usage : elle peut être réalisée soit par auto-évaluation, soit par un organisme notifié (audit externe).
Obligation de compétence en intelligence artificielle : une formation pour tous
Une exigence souvent sous-estimée : l’article 4 du Règlement sur l’intelligence artificielle (AI Act) impose à toutes les entreprises utilisant des systèmes d’IA l’obligation d’assurer une « littératie IA » – autrement dit, leurs collaborateurs doivent disposer d’une compétence suffisante pour utiliser ces systèmes de manière éclairée. Cette obligation est entrée en vigueur dès février 2025 et s’applique également aux entreprises déployant des systèmes d’IA classés dans la catégorie « risque minimal ».
Concrètement, cela implique des formations couvrant les fondamentaux de l’IA, son utilisation responsable, la détection des hallucinations et des biais algorithmiques, ainsi que les enjeux de protection des données dans un contexte d’IA. La durée et le contenu précis de ces formations ne sont pas fixés par le texte ; seuls leur caractère « approprié » et leur adéquation au rôle des employés sont requis. Il est toutefois fortement recommandé de documenter soigneusement ces formations.
Ce que les PME doivent faire dès maintenant
Étape 1 : Établir un inventaire des systèmes d’intelligence artificielle utilisés – quels outils sont déployés ? Chatbots, analyses assistées par IA, prises de décision automatisées ? N’oubliez pas les services externes d’IA (ChatGPT, Claude, Copilot).
Étape 2 : Classifier les risques – à quelle catégorie chaque système appartient-il ? La plupart relèvent de la catégorie « minimale » ou « limitée ». Soyez particulièrement vigilants concernant les outils RH (sélection des candidats), les systèmes financiers (décisions de crédit) et la communication client (obligation de transparence).
Étape 3 : Garantir une littératie IA – former les collaborateurs à l’IA et documenter ces formations. Il s’agit de l’obligation entrant en vigueur la plus précoce.
Étape 4 : Pour les systèmes à haut risque : élaborer une feuille de route de conformité, solliciter des conseils externes et préparer l’évaluation de conformité.
Opportunités : le Règlement IA comme avantage concurrentiel
Le Règlement IA (AI Act) est souvent critiqué comme un frein à l’innovation. Or, la réalité peut être tout autre : les entreprises capables de démontrer l’usage d’une intelligence artificielle fiable bénéficient d’un avantage concurrentiel auprès de leurs clients, partenaires et autorités de régulation. « Conforme au Règlement IA » devient ainsi un gage de qualité – tout comme la conformité au Règlement général sur la protection des données (RGPD) renforce aujourd’hui la confiance.
Par ailleurs, le Règlement IA s’applique à l’ensemble du marché intérieur européen. Les entreprises qui répondent à ses exigences obtiennent ainsi un accès direct à 450 millions de consommateurs. Les sociétés établies en dehors de l’Union européenne doivent respecter les mêmes normes dès lors qu’elles opèrent sur le territoire européen. Cela peut renforcer la position des fournisseurs européens face à des concurrents soumis à une régulation moins stricte.
Questions fréquentes
Le Règlement sur l’intelligence artificielle (AI Act) s’applique-t-il aussi aux systèmes d’IA que nous utilisons sans les avoir développés ?
Oui. Le Règlement distingue clairement les fournisseurs (développeurs) des utilisateurs professionnels (« deployers »). Ces derniers ont des obligations spécifiques, notamment pour les systèmes à haut risque : surveillance humaine, suivi continu, obligation de déclaration et formation à l’IA (« AI Literacy »).
Quelles sanctions sont prévues en cas de non-conformité ?
Des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour les pratiques interdites liées à l’IA. Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel pour les manquements aux exigences applicables aux systèmes à haut risque. La mise en œuvre relève des autorités nationales de surveillance.
L’utilisation de ChatGPT au sein de mon entreprise est-elle réglementée ?
En tant que modèle d’IA à usage général (« General-Purpose AI »), ChatGPT relève de l’obligation de transparence – les utilisateurs doivent être informés qu’ils interagissent avec un système d’IA. OpenAI, en tant que fournisseur, assume ses propres responsabilités. Pour votre entreprise, en tant qu’utilisatrice : veillez à assurer la formation à l’IA (« AI Literacy ») de vos équipes et à garantir la transparence vis-à-vis des personnes concernées.
Faut-il désigner un responsable dédié à l’IA (« AI Officer ») ?
Le Règlement sur l’IA ne rend pas obligatoire la nomination d’un « AI Officer » dédié. Toutefois, une personne doit être clairement désignée comme responsable de sa mise en œuvre. Dans les grandes entreprises, ce rôle tend à se structurer sous la forme d’un Chief AI Officer. En PME, la responsabilité peut être confiée au délégué à la protection des données, au directeur des systèmes d’information ou à l’officier conformité.
À quelle date mon entreprise doit-elle être pleinement conforme ?
La conformité est progressive : interdiction des pratiques liées à l’IA dès février 2025 ; obligation de formation à l’IA (« AI Literacy ») dès février 2025 ; règles applicables aux modèles d’IA à usage général à partir d’août 2025 ; exigences pour les systèmes à haut risque à partir d’août 2026 ; entrée en vigueur complète du Règlement à compter d’août 2027.
Source de l’image principale : Pexels / Pavel Danilyuk
Suggestions de lecture de la rédaction
- Qualité des données dans les petites et moyennes entreprises : pourquoi l’intelligence artificielle échoue sans données fiables
- Plateformes B2B : pourquoi les places de marché transforment le commerce
- Assurance cyber-risques pour les PME : ce qui est réellement couvert
