Brubru
Intelligence politique de l'UE
Le règlement (UE) 2024/1689 est le premier cadre juridique mondial complet et horizontal dédié à l'intelligence artificielle. Il interdit un ensemble limité de pratiques inacceptables, soumet les systèmes d'IA à haut risque à des exigences obligatoires et à une évaluation de la conformité, et crée un régime spécifique pour les modèles d'IA à usage général, dont les plus grands modèles de fondation.
Le premier cadre juridique complet au monde consacré à l'intelligence artificielle
L'intelligence artificielle offre des opportunités économiques et sociétales majeures, mais présente également des risques pour la santé, la sécurité et les droits fondamentaux. En l'absence d'un cadre harmonisé au niveau de l'UE, la divergence des règles nationales menaçait de fragmenter le marché intérieur et de réduire la sécurité juridique pour les fournisseurs et les déployeurs opérant dans plusieurs États membres. La loi sur l'IA comble cette lacune par un règlement horizontal unique, fondé sur l'article 114 TFUE (rapprochement du marché intérieur) et l'article 16 TFUE pour les dispositions relatives aux données biométriques dans le cadre de l'application de la loi (considérants 3 et 38).
Le principe organisateur est une approche fondée sur les risques : plutôt que de réglementer tous les systèmes d'IA de manière uniforme, le règlement répartit les systèmes d'IA en quatre niveaux et module les obligations en fonction du potentiel de préjudice. Il est neutre sur le plan technologique et s'applique à tout système d'IA quelle que soit son architecture, sa méthode d'apprentissage ou ses modalités de déploiement. Ses objectifs déclarés sont de promouvoir le développement et l'adoption d'une IA centrée sur l'humain et digne de confiance, tout en protégeant la santé, la sécurité, les droits fondamentaux, la démocratie, l'état de droit et l'environnement, et en soutenant l'innovation.
La Commission a publié sa proposition sous la référence COM(2021) 206 le 21 avril 2021, à la suite de la stratégie sur l'IA de 2018 et du plan coordonné sur l'IA de 2021. Le Conseil a adopté une orientation générale le 6 décembre 2022. Les commissions IMCO et LIBE du Parlement européen ont conduit les travaux du Parlement dans le cadre d'une procédure conjointe, avec pour corapporteurs Brando Benifei (S&D, Italie) et Dragos Tudorache (Renew, Roumanie). Un accord politique en trilogue a été conclu le 8 décembre 2023 ; le Parlement a formellement adopté le texte le 13 mars 2024 (523 voix pour, 46 contre, 49 abstentions). Le Conseil l'a formellement adopté le 21 mai 2024. Le règlement a été publié au Journal officiel le 12 juillet 2024 (JO L, 2024/1689) et est entré en vigueur le 1er août 2024. Direction générale responsable à la Commission : DG CNECT ; organe central chargé de l'application : le Bureau de l'IA (institué par décision de la Commission du 24 janvier 2024).
Le règlement couvre les fournisseurs qui mettent des systèmes d'IA sur le marché de l'UE ou les mettent en service dans l'UE, ainsi que les déployeurs de systèmes d'IA établis dans l'UE. Principales exclusions (article 2) : les utilisations militaires, de défense et de sécurité nationale (considérant 24, art. 2, paragraphe 3) ; les systèmes d'IA développés exclusivement à des fins de recherche et développement scientifiques (considérant 25, art. 2, paragraphe 6) ; la recherche et le développement purs préalables à la mise sur le marché (art. 2, paragraphe 8) ; l'usage personnel purement non professionnel (art. 2, paragraphe 10) ; et les systèmes d'IA libres et à code source ouvert, sauf s'ils présentent un risque élevé, sont interdits ou sont soumis aux obligations de transparence prévues à l'article 50 (art. 2, paragraphe 12).
La loi sur l'IA contient 113 articles répartis en 13 chapitres, ainsi que 180 considérants et 13 annexes. Les annexes concentrent l'essentiel des détails techniques et opérationnels : l'annexe I énumère la législation d'harmonisation de l'Union qui déclenche la voie des systèmes à haut risque au titre de l'annexe I ; l'annexe II fournit la liste de la législation de l'annexe II ; l'annexe III recense les huit domaines d'utilisation à haut risque de l'annexe III ; l'annexe IV précise le contenu obligatoire de la documentation technique ; les annexes XI et XII définissent les exigences de documentation pour les modèles d'IA à usage général ; et l'annexe XIII fixe les critères de désignation du risque systémique dans les modèles d'IA à usage général. Le règlement modifie également neuf instruments existants (règlements et directives relevant de l'acquis en matière de sécurité des produits et de sécurité des transports), énumérés aux articles 102 à 110.
Quatre niveaux, obligations calibrées : considérant 26 et article 5 et suivants
Article 5 : utilisations de l'IA interdites de plein droit à compter du 2 février 2025
Le chapitre II du règlement, qui contient l'article 5, a commencé à s'appliquer le 2 février 2025, six mois après son entrée en vigueur. Toute violation de l'une des huit interdictions entraîne le niveau de sanction le plus élevé : jusqu'à 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les PME et les jeunes entreprises se voient appliquer le montant le moins élevé entre le pourcentage et le montant fixe.
Les systèmes d'IA qui déploient des techniques subliminales, trompeuses ou manipulatrices opérant en dessous du seuil de conscience d'une personne, ou qui exploitent des faiblesses psychologiques, avec pour effet de modifier substantiellement le comportement d'une personne d'une manière susceptible de causer un préjudice significatif à cette personne ou à une autre personne.
Les systèmes d'IA qui exploitent les vulnérabilités spécifiques d'une personne ou d'un groupe en raison de leur âge, d'un handicap ou d'une situation sociale ou économique particulière, afin de modifier substantiellement leur comportement d'une manière susceptible de causer un préjudice significatif à cette personne ou à une autre personne.
Les systèmes d'IA destinés à la notation sociale de personnes physiques par des acteurs publics ou privés, qui évaluent ou classent les individus sur la base de leur comportement social ou de leurs caractéristiques personnelles, aboutissant à un traitement préjudiciable ou disproportionné sans rapport avec le contexte d'origine des données ou qui n'est pas justifié.
Les systèmes d'IA utilisés par les services répressifs pour évaluer le risque qu'une personne physique commette une infraction pénale, sur la seule base du profilage de cette personne ou de l'évaluation de ses traits et caractéristiques de personnalité, sans fondement factuel. Cette interdiction ne couvre pas les évaluations des risques fondées sur des faits objectifs concernant la personne en question.
Les systèmes d'IA qui créent ou enrichissent des bases de données de reconnaissance faciale par la collecte non ciblée d'images faciales sur internet ou à partir d'enregistrements de vidéosurveillance. Cette interdiction vise la collecte massive et indiscriminée de données biométriques en l'absence de sujet ou d'objectif d'enquête spécifique.
Les systèmes d'IA qui déduisent les émotions de personnes physiques sur le lieu de travail et dans les établissements d'enseignement. Une exception s'applique aux systèmes d'IA utilisés à des fins médicales ou de sécurité (par exemple, la détection de la fatigue du conducteur dans un véhicule).
Les systèmes d'IA qui catégorisent individuellement des personnes physiques sur la base de leurs données biométriques afin de déduire ou d'inférer leur race, leurs opinions politiques, leur appartenance syndicale, leurs convictions religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle. Cette interdiction se distingue de celle portant sur l'identification biométrique à distance en temps réel : elle vise la catégorisation, et non l'identification.
L'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives est interdite, sous réserve de trois exceptions limitativement énumérées : la recherche ciblée de victimes d'enlèvement, de traite des êtres humains ou d'exploitation sexuelle, ainsi que de personnes disparues ; la prévention d'une attaque terroriste spécifique, substantielle et imminente ou d'une menace pour la vie ; et l'identification ou la localisation d'un suspect d'une infraction visée à l'annexe II passible d'une peine d'emprisonnement d'au moins quatre ans. Ces trois exceptions requièrent une autorisation préalable délivrée par une autorité judiciaire ou administrative indépendante (dans un délai de 24 heures en cas d'urgence), une évaluation de l'impact sur les droits fondamentaux ainsi qu'une inscription dans la base de données de l'UE.
Articles 6 à 49, annexes I et III : deux voies de classification, six exigences obligatoires
Un système d'IA est à haut risque selon cette voie s'il constitue un composant de sécurité d'un produit couvert par la législation d'harmonisation de l'Union figurant à l'annexe I, et que ce produit fait l'objet d'une évaluation de conformité par un tiers. La section A de l'annexe I couvre la législation relevant du nouveau cadre législatif, notamment les machines, les jouets, les embarcations de plaisance, les ascenseurs, les équipements ATEX, les équipements radio, les équipements sous pression, les équipements de protection individuelle, les appareils à gaz, les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro. La section B couvre la sûreté de l'aviation civile, les véhicules à deux et trois roues, les véhicules agricoles et forestiers, les équipements marins, l'interopérabilité ferroviaire, les véhicules à moteur et l'aviation EASA. L'application de cette voie est reportée au 2 août 2027.
Une dérogation (art. 6, paragraphe 3) permet à un système relevant de l'annexe III d'échapper à la qualification de haut risque lorsqu'il n'effectue pas de profilage de personnes physiques et ne présente pas de risque significatif. La Commission doit publier des lignes directrices accompagnées d'exemples pratiques au plus tard le 2 février 2026 (art. 6, paragraphe 5).
Les fournisseurs de systèmes d'IA à haut risque doivent veiller à ce que leurs systèmes satisfassent à six exigences, applicables tout au long du cycle de vie :
En outre, l'article 15 exige un niveau approprié d'exactitude, de robustesse et de cybersécurité, ainsi qu'une résilience face aux modifications non autorisées par des tiers.
Les systèmes d'IA à haut risque portent le marquage CE (considérant 129, articles 47 à 48), attestant leur conformité au règlement. La plupart des systèmes à haut risque doivent également être enregistrés dans une base de données publique de l'UE (article 49, considérant 131) avant leur déploiement. La base de données de l'UE est gérée par la Commission. L'enregistrement comprend l'identité du fournisseur, le nom et la version du système, une description de sa finalité prévue, la procédure d'évaluation de conformité utilisée, ainsi que des informations sur le plan de surveillance après commercialisation.
Les déployeurs qui sont des organismes publics, des prestataires de services publics, ainsi que les déployeurs du secteur bancaire ou des assurances utilisant des systèmes d'IA à haut risque relevant de l'annexe III, doivent réaliser une analyse d'impact sur les droits fondamentaux avant le déploiement (art. 27, considérant 96). L'analyse doit recenser les droits menacés, les préjudices attendus, les mesures d'atténuation et, lorsqu'un risque résiduel est identifié, consulter les personnes concernées ou leurs représentants dans la mesure du possible. Les résultats doivent être enregistrés dans la base de données de l'UE (pour les systèmes soumis à cette obligation).
Chapitre V, Articles 51 à 56 : règles horizontales pour les modèles de fondation, avec des obligations supplémentaires pour les fournisseurs présentant un risque systémique
Un modèle d'IA à usage général se définit par sa généralité et sa capacité à effectuer de manière compétente un large éventail de tâches distinctes (considérant 97). Les grands modèles génératifs en constituent l'exemple paradigmatique (considérant 99). Le chapitre s'applique aux fournisseurs de modèles GPAI, et non aux déployeurs ou intégrateurs qui incorporent ces modèles dans leurs propres produits, sauf s'ils modifient eux-mêmes un modèle GPAI et mettent une nouvelle version sur le marché.
Tout fournisseur d'un modèle GPAI, quelle que soit sa taille, doit :
Les modèles GPAI à source ouverte sont exemptés des obligations de documentation prévues aux Annexes XI et XII, mais doivent néanmoins se conformer aux obligations relatives à la politique en matière de droit d'auteur et au résumé d'entraînement, et perdent cette exemption s'ils présentent un risque systémique (Art 53(2)).
Un modèle GPAI est classifié comme présentant un risque systémique lorsqu'il dispose de capacités à fort impact. Cette qualification est présumée lorsque la quantité cumulée de calcul utilisée pour l'entraînement dépasse 1025 opérations en virgule flottante (FLOPs). Les critères supplémentaires figurant à l'Annexe XIII comprennent le nombre de paramètres, la taille de l'ensemble de données d'entraînement, les modalités, les performances sur les tests de référence, ainsi qu'une présomption de portée d'au moins 10 000 utilisateurs professionnels enregistrés dans l'UE. La Commission peut également désigner un modèle selon les critères de l'Annexe XIII par voie de décision. Les fournisseurs doivent notifier le Bureau de l'IA dans un délai de deux semaines à compter du moment où ils atteignent (ou s'attendent à atteindre) le seuil de risque systémique (Article 52).
L'outil de conformité principal pour les obligations GPAI est un ensemble de codes de pratique élaborés conjointement par le Bureau de l'IA et les fournisseurs de modèles GPAI, les déployeurs en aval et d'autres parties prenantes. L'adhésion à un code de pratique crée une présomption de conformité avec les obligations correspondantes du règlement sur l'IA. Les codes devaient être prêts pour le 2 mai 2025, et les règles GPAI sont devenues applicables le 2 août 2025. Les fournisseurs n'adhérant pas à un code peuvent démontrer leur conformité par d'autres moyens. Les signataires comprennent OpenAI, Anthropic, Google DeepMind, Mistral, Meta et Microsoft.
Article 50, Chapitre IV : obligations de divulgation applicables indépendamment du niveau de risque
Les fournisseurs de systèmes d'IA destinés à interagir directement avec des personnes physiques doivent veiller à ce que ces personnes soient informées qu'elles interagissent avec un système d'IA, sauf si cela est évident au vu du contexte ou si le système est utilisé à des fins de détection, de prévention, d'enquête ou de poursuite d'infractions pénales. La divulgation doit intervenir au plus tard au moment de la première interaction.
Les fournisseurs de systèmes d'IA qui génèrent des contenus audio, image, vidéo ou texte synthétiques doivent veiller à ce que les résultats soient marqués dans un format lisible par machine en tant que contenu généré ou manipulé artificiellement, au moyen de solutions techniques telles que le filigranage. Cette obligation soutient la détection et la divulgation en aval par les déployeurs et les plateformes. La Commission est chargée de préciser les normes techniques. Le délai relatif au filigranage a fait l'objet d'une courte prorogation dans le cadre du Digital Omnibus 2025/0359.
Les déployeurs de systèmes d'IA fonctionnant sur la base de la reconnaissance des émotions ou de la catégorisation biométrique doivent informer les personnes physiques exposées à ces systèmes du fonctionnement du système. Cette obligation de divulgation s'applique même lorsque le système ne relève pas par ailleurs du niveau de risque élevé, et indépendamment de la localisation de la personne par rapport au déployeur.
Les déployeurs utilisant des systèmes d'IA pour générer ou manipuler des contenus image, audio ou vidéo constituant un hypertrucage doivent divulguer que le contenu a été généré ou manipulé artificiellement. Une règle allégée s'applique aux œuvres manifestement artistiques, créatives, satiriques ou fictives, pour lesquelles la divulgation peut se limiter à éviter toute tromperie quant à l'authenticité. Les textes générés par l'IA publiés dans l'intérêt public doivent également faire l'objet d'une divulgation, sauf si le contenu a été soumis à une vérification humaine sous responsabilité éditoriale.
Chapitres VII et IX : l'architecture à cinq organes de l'Union et les autorités nationales
Chaque État membre doit créer au moins un bac à sable réglementaire pour l'IA, opérationnel au plus tard le 2 août 2026, afin de faciliter le développement, les essais et la validation de systèmes d'IA innovants dans un environnement contrôlé avant leur mise sur le marché. Les bacs à sable doivent offrir des conditions d'accès prioritaires et simplifiées aux PME et aux jeunes entreprises. Le règlement prévoit également des essais en conditions réelles de systèmes d'IA en dehors des bacs à sable, sous des conditions garantissant une protection adéquate (Articles 58 à 60). Des recherches de l'EPRS (avril 2026) ont mis en évidence des difficultés liées à la conception, à la fragmentation et au calendrier dans la mise en œuvre des bacs à sable par les États membres.
Articles 99 à 101 : une structure d'amendes à trois niveaux fondée sur la gravité et le type d'acteur
| Catégorie de violation | Base juridique | Amende maximale | Remarques |
|---|---|---|---|
| Pratiques interdites (Article 5) | Art 99(3) | EUR 35 000 000 ou 7 % du chiffre d'affaires annuel mondial | Le montant le plus élevé est retenu. Le niveau de sanction le plus élevé reflète la gravité des comportements interdits. |
| Autres obligations (fournisseurs, déployeurs, importateurs, distributeurs, organismes notifiés, obligations de transparence) | Art 99(4) | EUR 15 000 000 ou 3 % du chiffre d'affaires annuel mondial | S'applique à l'ensemble des exigences relatives aux systèmes d'IA à haut risque et aux obligations relatives aux modèles d'IA à usage général autres que celles de l'Art 5. |
| Informations incorrectes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités nationales compétentes | Art 99(5) | EUR 7 500 000 ou 1 % du chiffre d'affaires annuel mondial | Couvre les fausses déclarations, les faux documents et l'obstruction aux activités de surveillance. |
| PME et jeunes entreprises | Art 99(6) | Le montant le moins élevé entre le pourcentage et le montant fixe | Proportionnalité : pour chaque niveau, les PME et les jeunes entreprises acquittent le montant le moins élevé entre le pourcentage du chiffre d'affaires et le plafond fixe. |
| Fournisseurs de modèles d'IA à usage général | Art 101 | EUR 15 000 000 ou 3 % du chiffre d'affaires annuel mondial | La Commission peut sanctionner directement les fournisseurs de modèles d'IA à usage général. Applicable à compter du 2 August 2025. |
| Institutions, organes et organismes de l'Union | Art 100 | EUR 1 500 000 (Art 5) ou EUR 750 000 (autres) | Imposées par le CEPD. Le calcul fondé sur le chiffre d'affaires ne s'applique pas aux organes de l'Union. |
Dans tous les cas, la sanction applicable correspond au montant le plus élevé entre le plafond fixe et le montant calculé en pourcentage du chiffre d'affaires, sauf pour les PME et les jeunes entreprises (pour lesquelles c'est le montant le moins élevé qui s'applique). Les autorités compétentes doivent tenir compte de la nature, de la gravité, de la durée et des effets de l'infraction, du degré de responsabilité de la personne concernée, ainsi que des circonstances atténuantes ou aggravantes. Les violations répétées dans un délai de cinq ans relèvent le plafond maximal. Le Comité européen de la protection des données peut également imposer des amendes au titre du RGPD lorsque le traitement effectué par l'IA implique des données à caractère personnel.
Article 113 et considérant 179 : une mise en oeuvre progressive de l'entrée en vigueur jusqu'à l'application complète
Mise à jour (16 juin 2026) : le Parlement européen a adopté l'omnibus de simplification de l'acte sur l'IA (2025/0359(COD)) en première lecture le 16 juin 2026 par 423 voix pour, 57 contre et 174 abstentions, à la suite de l'accord interinstitutionnel provisoire du 7 mai 2026 (le Coreper a entériné l'accord le 13 mai 2026). Le texte adopté rend les nouvelles dates contraignantes : une nouvelle interdiction à l'article 5 des systèmes d'IA créant des images intimes non consensuelles et du matériel d'abus sexuel sur enfants (conformité au plus tard le 2 décembre 2026) ; tatouage numérique des contenus générés par IA à partir du 2 décembre 2026 ; systèmes à haut risque autonomes (annexe III) à partir du 2 décembre 2027 ; et systèmes à haut risque intégrés dans des produits réglementés à partir du 2 août 2028. La plupart des autres dispositions de l'acte sur l'IA continuent de s'appliquer à partir du 2 août 2026. Seule l'adoption formelle par le Conseil reste à venir ; le texte existant du règlement (UE) 2024/1689 reste en vigueur jusqu'à la publication de l'acte modificatif au Journal officiel. Rapporteurs conjoints du PE (IMCO et LIBE) : Arba Kokalari (PPE, Suède) et Michael McNamara (Renew, Irlande). Source : communiqué de presse du PE 20260611IPR45207.
Termes essentiels tirés de l'article 3 du règlement (UE) 2024/1689
Principales abréviations et organes référencés dans le règlement (UE) 2024/1689
Documentation primaire relative au règlement (UE) 2024/1689
Six outils pour analyser, suivre et travailler avec la réglementation européenne sur l'intelligence artificielle
Essai gratuit de 14 jours. Aucune carte requise.
Démarrer l'essai gratuit