Législation sur l’IA

Une approche fondée sur les risques

La législation sur l’IA définit quatre niveaux de risque pour les systèmes d’IA:

Risque inacceptable

Tous les systèmes d’IA considérés comme une menace manifeste pour la sécurité, les moyens de subsistance et les droits des personnes sont interdits. La législation sur l’IA interdit neuf pratiques, à savoir:

1. manipulation et tromperie préjudiciables fondées sur l’IA
2. exploitation nocive des vulnérabilités fondée sur l’IA
3. notation sociale
4. Évaluation ou prévision des risques d’infraction pénale individuelle
5. grattage non ciblé de matériel internet ou CCTV pour créer ou développer des bases de données de reconnaissance faciale
6. la reconnaissance des émotions sur les lieux de travail et dans les établissements d’enseignement;
7. catégorisation biométrique pour déduire certaines caractéristiques protégées
8. identification biométrique à distance en temps réel à des fins répressives dans des espaces accessibles au public
9. Systèmes d’IA qui génèrent du contenu sexuellement explicite et intime non consensuel ou du matériel relatif à des abus sexuels sur enfants (CSAM), tels que des applications de «nudification» de l’IA 

Les interdictions 1 à 8 sont entrées en vigueur en février 2025. La Commission a publié deux documents clés à l’appui de l’application pratique des pratiques interdites:

• les lignes directrices sur les pratiques d’IA interdites au titre de la législation sur l’IA, qui fournissent des explications juridiques et des exemples pratiques pour aider les parties prenantes à comprendre les interdictions et à s’y conformer.
• Lignes directrices sur la définition du système d’IA de la législation sur l’IA, afin d’aider les parties prenantes à déterminer le champ d’application de la législation sur l’IA

La prohibition 9 entre en vigueur en décembre 2026 et a été introduite dans le cadre de l'Omnibus de l'IA.

Risque élevé

Les cas d’utilisation de l’IA qui peuvent présenter des risques graves pour la santé, la sécurité ou les droits fondamentaux sont classés comme étant à haut risque. Ces cas d'utilisation à haut risque comprennent:

• Composants de sécurité de l’IA dans les infrastructures critiques (par exemple, les transports), dont la défaillance pourrait mettre en danger la vie et la santé des citoyens
• Solutions d’IA utilisées dans les établissements d’enseignement, qui peuvent déterminer l’accès à l’éducation et le cours de la vie professionnelle d’une personne (par exemple, la notation des examens)
• Composants de sécurité des produits basés sur l’IA (par exemple, application de l’IA en chirurgie assistée par robot)
• Outils d’IA pour l’emploi, la gestion des travailleurs et l’accès au travail indépendant (par exemple, logiciels de tri de CV pour le recrutement)
• Certains cas d’utilisation de l’IA utilisés pour donner accès à des services privés et publics essentiels (par exemple, notation de crédit empêchant les citoyens d’obtenir un prêt)
• Systèmes d’IA utilisés pour l’identification biométrique à distance, la reconnaissance des émotions et la catégorisation biométrique (par exemple, système d’IA permettant d’identifier rétroactivement un voleur à l’étalage)
• Cas d’utilisation de l’IA dans les services répressifs susceptibles d’interférer avec les droits fondamentaux des personnes (par exemple, évaluation de la fiabilité des éléments de preuve)
• Cas d’utilisation de l’IA dans la gestion des migrations, de l’asile et des contrôles aux frontières (par exemple, examen automatisé des demandes de visa)
• Solutions d’IA utilisées dans l’administration de la justice et les processus démocratiques (par exemple, solutions d’IA pour préparer les décisions de justice)

À compter du 2 décembre 2027, les systèmes d’IA à haut risque seront soumis à des obligations strictes avant de pouvoir être mis sur le marché:

• des systèmes adéquats d'évaluation et d'atténuation des risques
• haute qualité des ensembles de données alimentant le système afin de réduire au minimum les risques de résultats discriminatoires
• journalisation de l'activité pour assurer la traçabilité des résultats
• une documentation détaillée fournissant toutes les informations nécessaires sur le système et son objectif pour permettre aux autorités d’évaluer sa conformité;
• des informations claires et adéquates à l’intention du déployeur;
• mesures de surveillance humaine appropriées
• niveau élevé de robustesse, de cybersécurité et de précision

Risque de transparence

Il s’agit des risques associés à un besoin de transparence concernant l’utilisation de l’IA. La législation sur l’IA introduit des obligations de divulgation spécifiques afin de veiller à ce que les êtres humains soient informés lorsque cela est nécessaire pour préserver la confiance. Par exemple, lors de l’utilisation de systèmes d’IA tels que les chatbots, les humains devraient être informés qu’ils interagissent avec une machine afin de pouvoir prendre une décision en connaissance de cause.

En outre, les fournisseurs d’IA générative doivent veiller à ce que les contenus générés par l’IA soient identifiables. En outre, certains contenus générés par l’IA devraient être étiquetés de manière claire et visible, à savoir les faux profonds et les textes publiés dans le but d’informer le public sur des questions d’intérêt public.

Les règles de transparence de la législation sur l’IA entreront en vigueur en août 2026.

Risque minimal ou nul

La législation sur l’IA n’introduit pas de règles pour l’IA qui est considérée comme présentant un risque minimal ou nul. La grande majorité des systèmes d’IA actuellement utilisés dans l’UE relèvent de cette catégorie. Cela inclut des applications telles que les jeux vidéo compatibles avec l'IA ou les filtres anti-spam.

Comment tout cela fonctionne-t-il dans la pratique pour les fournisseurs de systèmes d’IA à haut risque?

Une fois qu’un système d’IA est sur le marché, les autorités sont chargées de la surveillance du marché, les déployeurs assurent la surveillance et le suivi humains, et les fournisseurs disposent d’un système de surveillance après commercialisation. Les fournisseurs et les déployeurs signaleront également les incidents graves et les dysfonctionnements.

Quelles sont les règles pour les modèles d'IA à usage général?

Les modèles d’IA à usage général (GPAI) peuvent accomplir un large éventail de tâches et deviennent la base de nombreux systèmes d’IA dans l’UE. Certains de ces modèles pourraient comporter des risques systémiques s'ils sont très performants ou largement utilisés. Afin de garantir une IA sûre et digne de confiance, la législation sur l’IA met en place des règles – par exemple en matière de transparence et de droit d’auteur – pour les fournisseurs de modèles d’IAGP. Pour les modèles d’IAGP susceptibles de présenter des risques systémiques, les fournisseurs devraient évaluer et atténuer ces risques. Les règles du règlement sur l’IA relatives au GPAI sont entrées en vigueur en août 2025.

Soutenir la conformité

En juillet 2025, la Commission a publié trois instruments visant à soutenir le développement et le déploiement responsables de modèles d’IAGP:

• Les lignes directrices sur le champ d’application des obligations pour les fournisseurs de modèles d’IAGP clarifient le champ d’application des obligations d’IAGP au titre de la législation sur l’IA, en aidant les acteurs tout au long de la chaîne de valeur de l’IA à comprendre qui doit se conformer à ces obligations.
• Le code de bonnes pratiques GPAI est un outil de conformité volontaire soumis à la Commission par des experts indépendants, qui offre des orientations pratiques pour aider les fournisseurs à se conformer aux obligations qui leur incombent en vertu de la législation sur l’IA en matière de transparence, de droit d’auteur et de sécurité.
• Le modèle de résumé public du contenu de formation des modèles GPAI exige que les fournisseurs donnent un aperçu des données utilisées pour former leurs modèles. Il s’agit notamment des sources à partir desquelles les données ont été obtenues (comprenant de grands ensembles de données et des noms de domaine de premier plan). Le modèle demande également des informations sur les aspects liés au traitement des données afin de permettre aux parties ayant des intérêts légitimes d’exercer leurs droits en vertu du droit de l’Union.

Ces outils sont conçus pour travailler main dans la main. Ensemble, ils fournissent un cadre clair et exploitable permettant aux fournisseurs de modèles d’IAGP de se conformer à la législation sur l’IA, de réduire la charge administrative et de favoriser l’innovation tout en préservant les droits fondamentaux et la confiance du public.

La Commission a également élaboré d’autres orientations pour soutenir le respect des règles de transparence de la législation sur l’IA:

• Le code de bonnes pratiques pour le marquage et l’étiquetage des contenus générés par l’IA est un outil volontaire destiné à guider les fournisseurs et les déployeurs de systèmes d’IA générative dans le respect des obligations de transparence. Il s’agit notamment d’un ensemble d’icônes que les créateurs, les éditeurs et d’autres déployeurs de systèmes d’IA générative peuvent utiliser pour révéler la nature artificielle de certaines images, de l’audio – y compris les deepfakes – et du texte.
• Les lignes directrices sur les obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d’IA précisent le champ d’application, les définitions juridiques pertinentes, les obligations de transparence et les exceptions.

En savoir plus sur d’autres lignes directrices soutenant la mise en œuvre de la législation sur l’IA.

Gouvernance et application

À partir du 2 août 2026, le Bureau de l’IA et les autorités des États membres sont responsables de la mise en œuvre, de la supervision et de l’application de la législation sur l’IA. Le Bureau de l’IA détient des pouvoirs d’exécution sur les modèles GPAI. Il peut demander une documentation technique, évaluer des modèles, exiger des mesures correctives et infliger des amendes en cas de non-conformité.

À l’appui de l’application, le comité de l’IA, le groupe scientifique et le forum consultatif orientent et conseillent la gouvernance de la législation sur l’IA.

Le plan d’action de juillet 2026 sur la cybersécurité et l’IA définit une approche coordonnée pour aider les États membres, les entreprises et les autorités publiques à relever les défis en matière de cybersécurité et de résilience posés par les modèles d’IA les plus avancés. La Commission lancera un appel en vue d’accroître la capacité d’évaluation de l’UE des modèles d’IA, avant qu’ils ne soient mis sur le marché de l’UE. Il devrait être opérationnel d’ici à 2027, ce qui renforcera l’évaluation par des tiers des capacités et des risques en matière d’IA et contribuera à la fonction réglementaire du Bureau de l’IA.

La Commission et l’Agence de l’Union européenne pour la cybersécurité (ENISA) élaboreront également un plan pour sécuriser l’accès aux systèmes d’IA avancés à des fins de cybersécurité et mettront en place une plateforme d’essai sécurisée pour aider les organisations des secteurs critiques, tels que l’énergie, les transports, la santé, les finances et l’administration publique, à tester et à déployer en toute sécurité des solutions d’IA.

Calendrier des demandes

La législation sur l’IA est entrée en vigueur le 1er août 2024 et est devenue applicable le 2 août 2026, à quelques exceptions près:

• les pratiques d’IA interdites et les obligations en matière de littératie en matière d’IA sont entrées en application à partir du 2 février 2025
• les règles de gouvernance et les obligations applicables aux modèles d’IAGP sont devenues applicables le 2 août 2025;
• les règles applicables aux systèmes d’IA à haut risque intégrés dans des produits réglementés (annexe I ) ont une période de transition prolongée jusqu’au 2 août 2028 et les règles applicables aux cas d’utilisation à haut risque dans certains domaines sensibles (annexe III ) ont été prolongées jusqu’au 2 décembre 2027 à la suite de l’accord politique sur la proposition de simplification de la législation sur l’IA – «omnibus sur l’IA»

Comment la Commission a-t-elle simplifié la mise en œuvre de la législation sur l’IA?

Le paquet numérique sur la simplification a proposé des modifications visant à simplifier la mise en œuvre de la législation sur l’IA et à faire en sorte que les règles restent claires, simples et propices à l’innovation. Cette proposition législative (appelée «omnibus de l’IA») a été adoptée le 19 novembre 2025, un accord politique a été conclu le 7 mai 2026 et est entré en vigueur le 27 juillet 2026. Retrouvez le texte final du règlement omnibus sur l’IA.

En conséquence, un calendrier de mise en œuvre clair est fixé pour les règles régissant les systèmes d’IA à haut risque:

• Les règles applicables aux systèmes utilisés dans certains domaines à haut risque, notamment la biométrie, les infrastructures critiques, l’éducation, l’emploi, la migration, l’asile et le contrôle aux frontières, s’appliqueront à partir du 2 décembre 2027.
• Pour les systèmes intégrés dans des produits tels que des ascenseurs ou des jouets, les règles s’appliqueront à partir du 2 août 2028.

Cela garantit que les règles s'appliquent lorsque les entreprises disposent des outils de soutien appropriés pour faciliter la mise en œuvre, tels que les normes.

Ces modifications ont également été ajoutées à la législation sur l’IA:

• Interdiction des systèmes d’IA qui génèrent du contenu sexuellement explicite et intime non consensuel ou du matériel pédopornographique, tels que les applications de «nudification» de l’IA
• Renforcer les pouvoirs du Bureau de l’IA et centraliser la surveillance des systèmes d’IA fondés sur les modèles GPAI, en réduisant la fragmentation de la gouvernance
• Certaines exigences simplifiées accordées aux petites et moyennes entreprises sont étendues aux petites entreprises à moyenne capitalisation (PME et PME), y compris des exigences simplifiées en matière de documentation technique.
• Un plus grand nombre d’innovateurs auront accès à des bacs à sable réglementaires, y compris un bac à sable au niveau de l’UE, pour tester leurs solutions d’IA dans des conditions réelles
• L’interaction entre la législation sur l’IA et la législation de l’UE en matière de sécurité des produits, en particulier le règlement relatif aux machines, est clarifiée, ce qui évite les doubles emplois entre les règles sectorielles et celles relatives à l’IA.

Tout cela complète les actions déjà mises en place par le Bureau de l’IA pour apporter de la clarté aux entreprises et aux autorités nationales. Par exemple, au moyen de lignes directrices, de codes de bonnes pratiques et du service d’assistance de la législation sur l’IA.