AI Act : le règlement européen sur l'IA
L'AI Act est le règlement (UE) 2024/1689, premier cadre juridique complet consacré à l'intelligence artificielle. Entré en vigueur le 1er août 2024, il s'applique de manière échelonnée et concerne aussi bien les entreprises qui conçoivent des systèmes d'IA que celles qui les déploient dans l'Union européenne.
Pour une organisation qui met en ligne un service web, le texte se résume à une question : quel niveau de risque présente l'usage que vous faites de l'intelligence artificielle ?
Une approche par niveau de risque
Le règlement ne classe pas les technologies, mais les usages. Un même modèle peut relever de catégories différentes selon ce que vous en faites.
Risque inacceptable : interdit : notation sociale, exploitation des vulnérabilités d'une personne, reconnaissance des émotions sur le lieu de travail ou dans l'enseignement, extraction non ciblée d'images faciales pour constituer des bases de données.
Haut risque : fortement encadré : recrutement et gestion des travailleurs, accès à l'éducation, évaluation de solvabilité, services publics essentiels, dispositifs de sécurité intégrés à des produits. Documentation technique, gestion des risques, qualité des données, journalisation, supervision humaine et déclaration de conformité sont exigées.
Risque limité : obligation de transparence : c'est la catégorie de la plupart des projets web. Un utilisateur doit savoir qu'il s'adresse à une machine, et les contenus générés ou manipulés (images, sons, vidéos) doivent être signalés comme tels.
Risque minimal : aucune obligation spécifique : filtres anti-spam, recommandations de contenus éditoriaux, correction orthographique. La grande majorité des usages courants.
Ce que cela implique concrètement pour un site web
Si vous mettez en ligne un assistant conversationnel, une génération de contenus ou une aide à la décision, quelques principes s'appliquent dès la conception :
- Annoncer la machine : indiquer clairement que l'interlocuteur est un système automatisé, dès le premier échange et non dans une mention légale enfouie.
- Signaler les contenus générés : mention visible et, lorsque c'est possible, marquage technique des médias produits par une IA.
- Prévoir une "porte de sortie" humaine : permettre à tout moment de joindre une personne, en particulier pour un service public ou une relation client.
- Documenter ses choix : quel modèle, quelles données transmises, quel fournisseur, quelles limites connues. Cette documentation sert autant pour la conformité que pour la maintenance.
- Former les équipes : le règlement introduit une exigence de maîtrise suffisante de l'IA par les personnes qui l'utilisent professionnellement.
L'AI Act ne remplace pas le RGPD : les deux textes se cumulent. Dès que des données personnelles alimentent un traitement automatisé, les obligations de licéité, de minimisation et d'information des personnes concernées continuent de s'appliquer.
