Intelligence artificielle : ce que change la régulation européenne adoptée
Une entreprise française développe un logiciel de tri automatique des CV. Un hôpital teste un outil d’aide au diagnostic par imagerie. Un média expérimente un générateur d’articles courts. Tous ces projets vont devoir se conformer au nouveau cadre juridique européen sur l’intelligence artificielle, adopté après plusieurs années de négociation. Concrètement, quelles pratiques sont encadrées, et où s’arrête le contrôle des autorités ?
Des obligations graduées selon le niveau de risque
Le texte européen classe les systèmes d’IA en quatre catégories : risque minimal, limité, élevé et inacceptable. Cette classification détermine les obligations des développeurs et des entreprises qui déploient ces outils. La majorité des usages courants, comme les filtres anti-spam ou les systèmes de recommandation de contenus, relèvent du risque minimal. Ils ne sont soumis à aucune obligation spécifique, mais restent encadrés par le droit commun, notamment la protection des données personnelles. À consulter également : www.europabeauftragte-treptow-koepenick.de.
Les systèmes à risque élevé sont ceux qui interviennent dans des domaines sensibles : recrutement, notation de crédit, accès aux soins, éducation, ou encore gestion des infrastructures critiques. Pour ces cas, le règlement impose une évaluation de conformité avant la mise sur le marché, un suivi humain des décisions automatiques et une traçabilité des données d’entraînement. Un employeur qui utilise un algorithme de présélection de CV devra ainsi pouvoir expliquer quels critères ont guidé le système, et permettre à un candidat de contester une décision prise sans intervention humaine.
Les pratiques interdites dès l’entrée en vigueur
Certaines utilisations sont jugées inacceptables et seront interdites de manière quasi immédiate après l’adoption du texte. C’est le cas des systèmes de notation sociale fondés sur le comportement ou les caractéristiques personnelles, qui attribuent un score aux individus. Sont également visés les dispositifs de manipulation des vulnérabilités, comme les jouets vocaux qui exploiteraient la crédulité d’un enfant pour l’inciter à un comportement dangereux.
La reconnaissance faciale en temps réel dans les espaces publics est interdite en principe. Une dérogation existe pour les forces de l’ordre, mais elle est strictement encadrée : autorisation judiciaire préalable, durée limitée, et uniquement pour des menaces graves comme une attaque terroriste ou la disparition d’une personne. Cette exception fait débat, certains estimant qu’elle ouvre une brèche, d’autres jugeant qu’elle répond à des nécessités opérationnelles réelles.
Les limites pratiques du contrôle
Le texte prévoit des autorités nationales de surveillance, mais leur capacité d’action dépendra des moyens qui leur seront alloués. Un algorithme de recommandation utilisé par une petite plateforme locale ne sera pas inspecté de la même manière qu’un système déployé à grande échelle. Les PME et les start-up bénéficient d’ailleurs d’allègements : les obligations de documentation et de gestion des risques sont proportionnées à la taille de l’organisation.
Autre limite : la notion de « système d’IA » est large, mais elle exclut les logiciels purement statistiques ou les simples règles de calcul programmées à la main. Un tableur qui applique une formule de calcul de risque n’est pas concerné. La frontière peut devenir floue pour des modèles hybrides, qui combinent des règles explicites et des composants appris par apprentissage automatique. Les autorités devront trancher au cas par cas, ce qui laisse une période d’incertitude pour les développeurs.
Les usages qui resteront hors du champ d’application
Le règlement ne s’applique pas aux systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale. Cette exclusion couvre des domaines entiers de la recherche et de l’industrie, notamment les équipements de surveillance frontalière ou les outils de cybersécurité offensifs. Les citoyens n’auront donc pas de recours prévu par ce texte pour contester une décision prise par un tel système.
Les IA intégrées dans des composants logiciels libres sont également exemptées, sauf si elles sont mises sur le marché comme produits commerciaux. Un chercheur qui publie un modèle d’IA en open source pour faciliter la traduction de textes médicaux n’est pas soumis aux obligations du règlement. En revanche, un hôpital qui intègre ce modèle dans son système d’information patient devient responsable de la conformité de l’ensemble. Cette distinction vise à ne pas freiner l’innovation académique, mais elle reporte la charge de la vérification sur les utilisateurs finaux.
Enfin, les systèmes d’IA utilisés uniquement à des fins de recherche, de développement ou de prototypage avant mise sur le marché échappent au contrôle. Un laboratoire peut donc entraîner un modèle sur des données de santé sans passer par la procédure d’évaluation, à condition que le système ne soit pas déployé auprès de patients. Cette souplesse est jugée nécessaire pour ne pas bloquer la recherche, mais elle repose sur une déclaration de bonne foi des équipes concernées.
