← Lois & réglementation

AI Act

La première loi générale sur l’intelligence artificielle, où que ce soit dans le monde. Elle ne réglemente pas l’IA en tant que telle. Elle classe les usages selon le risque qu’ils créent, en interdit purement et simplement une courte liste, et indique à tous les autres quand ils doivent signaler qu’une machine est intervenue.

Comment lire cette page. Touchez un mot souligné pour voir le terme juridique précis et une courte définition. Dépliez un encadré « Pour aller plus loin » pour le détail et les points contestés. Le texte principal se suffit à lui-même : vous pouvez sauter les deux et suivre quand même tout le raisonnement.

Ce que c’est

Le règlement (UE) 2024/1689 — le règlement sur l’intelligence artificielle (AI Act) — a été adopté le 13 juin 2024, publié au Journal officiel le 12 juillet 2024, et il est entré en vigueur le 1er août 2024. Il est construit comme une loi sur la sécurité des produits plutôt que comme une loi sur les médias : les obligations s’attachent à un système selon l’usage qui en est fait, et elles pèsent sur deux rôles, le fournisseur (provider), qui développe un système et le met sur le marché, et le déployeur (deployer), qui l’utilise.

Les niveaux de risque

La Commission décrit quatre niveaux. Risque inacceptable : une courte liste de pratiques purement et simplement interdites par l’article 5. Haut risque : les systèmes utilisés dans l’emploi, l’éducation, le crédit, les infrastructures critiques, les activités répressives et des domaines comparables, qui doivent satisfaire à des exigences en matière de données, de documentation, d’exactitude et de contrôle humain avant de pouvoir être vendus. Risque lié à la transparence : les systèmes avec lesquels les gens interagissent ou qui génèrent du contenu, qui doivent dire ce qu’ils sont, en vertu de l’article 50. Risque minimal : tout le reste, sans nouvelle obligation — et c’est là, selon la Commission, que se trouve la grande majorité des systèmes utilisés dans l’UE.

Les interdictions qui comptent ici

L’article 5 s’applique depuis le 2 février 2025. Trois de ses interdictions touchent directement au sujet de ce site.

Techniques manipulatrices ou trompeuses. Il est interdit de mettre sur le marché ou d’utiliser un système d’IA qui a recours à « des techniques subliminales, au-dessous du seuil de conscience d’une personne, ou à des techniques délibérément manipulatrices ou trompeuses », avec pour objectif ou pour effet « d’altérer substantiellement le comportement d’une personne ou d’un groupe de personnes en portant considérablement atteinte à leur capacité à prendre une décision éclairée », ce qui les amène à prendre une décision qu’elles n’auraient pas prise autrement, d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important.

Exploitation des vulnérabilités. Il en va de même pour un système qui exploite des vulnérabilités « dues à l’âge, au handicap ou à la situation sociale ou économique spécifique » pour altérer substantiellement le comportement d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important. L’intention n’est pas requise : selon les considérants, il suffit que le préjudice résulte de la pratique.

Inférence des émotions au travail et à l’école. Il est interdit d’utiliser des systèmes d’IA « pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement », sauf lorsque le système est destiné à un usage médical ou à des raisons de sécurité. C’est la plus étroite des trois, et la plus claire : une caméra de salle de classe qui note l’attention ou l’humeur n’est pas une zone grise.

Deux autres interdictions ont été ajoutées en 2026 et s’appliquent à partir du 2 décembre 2026 : les systèmes d’IA qui génèrent ou manipulent des images sexuelles d’une personne identifiable sans son consentement explicite, et les systèmes qui génèrent des contenus d’abus sexuels sur des enfants. Une violation de l’article 5 entraîne la sanction la plus lourde du règlement — jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu. Les autres obligations, dont l’article 50, sont passibles de sanctions allant jusqu’à 15 millions d’euros ou 3 %.

Ce que l’article 5 ne couvre pas

Les mots sont larges ; les seuils ne le sont pas. Chaque interdiction exige une altération substantielle du comportement et un préjudice important, et les considérants du règlement ferment eux-mêmes, explicitement, la brèche la plus évidente : « les pratiques commerciales courantes et légitimes, par exemple dans le domaine de la publicité, qui respectent le droit applicable ne devraient pas, en soi, être considérées comme constituant des pratiques de manipulation préjudiciables reposant sur l’IA ». À la lecture du texte, un fil ordinaire optimisé pour l’engagement n’est pas ce que l’article 5 a été écrit pour viser. Le texte que l’UE a écrit pour cela, c’est le règlement sur les services numériques (Digital Services Act).

Transparence : chatbots, hypertrucages (deepfakes) et textes générés

L’article 50 s’applique depuis le 2 août 2026, et c’est la partie du règlement que la plupart des gens rencontreront.

Un fournisseur doit concevoir un système « destiné à interagir directement avec des personnes physiques » de façon que les personnes soient informées qu’elles ont affaire à un système d’IA, sauf si c’est évident pour une personne raisonnablement bien informée. Le fournisseur d’un système qui génère des contenus synthétiques — audio, image, vidéo ou texte — doit marquer ces contenus « dans un format lisible par machine et identifiables comme ayant été générés ou manipulés par une IA » ; les systèmes déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour respecter cette obligation-là. Le déployeur d’un système de reconnaissance des émotions ou de catégorisation biométrique doit en informer les personnes qui y sont exposées. Et le déployeur qui publie un hypertrucage doit indiquer que le contenu a été généré ou manipulé artificiellement.

Il reste une disposition, et c’est celle qui concerne les éditeurs. En vertu de la seconde partie de l’article 50(4), le déployeur d’un système « qui génère ou manipule des textes publiés dans le but d’informer le public sur des questions d’intérêt public » doit indiquer que le texte a été généré ou manipulé artificiellement. L’exception figure dans le même paragraphe : l’obligation ne s’applique pas « lorsque le contenu généré par l’IA a fait l’objet d’un processus d’examen humain ou de contrôle éditorial et lorsqu’une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu ». Les orientations de la Commission en font une lecture stricte : un examen délibéré, par des personnes compétentes pour le mener, et un contrôle réellement exercé, pas une vérification formelle ou superficielle.

Le calendrier

Le règlement entre en application par étapes. 2 février 2025 : les définitions et les interdictions de l’article 5. 2 août 2025 : les dispositions relatives à la gouvernance et les règles applicables aux modèles d’IA à usage général. 2 août 2026 : le règlement s’applique de manière générale, article 50 compris, et à partir de cette date le Bureau de l’IA (AI Office) et les autorités des États membres sont chargés de sa mise en œuvre, de sa surveillance et de son contrôle.

Les règles sur le haut risque ont été repoussées. Le Digital Omnibus on AI — le règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026 — a reporté au 2 décembre 2027 les obligations applicables aux systèmes à haut risque énumérés à l’annexe III, et au 2 août 2028 celles qui concernent l’IA à haut risque intégrée à des produits réglementés. Il n’a pas reporté les interdictions, ni l’article 50.

Comment il s’articule avec le DSA

Les deux textes se superposent, ils ne se font pas concurrence. L’AI Act régit les systèmes ; le règlement sur les services numériques régit les services qui les hébergent. Lorsque des systèmes ou des modèles d’IA sont intégrés à une très grande plateforme en ligne (very large online platform) ou à un très grand moteur de recherche désignés comme tels, les considérants de l’AI Act indiquent qu’ils relèvent du cadre de gestion des risques propre au DSA, et que les obligations correspondantes de l’AI Act « devraient être présumées remplies », à moins que n’apparaissent des risques systémiques (systemic risks) importants que le DSA ne couvre pas. En sens inverse, les obligations d’étiquetage de l’AI Act sont décrites comme « particulièrement pertinentes pour faciliter la mise en œuvre effective » du DSA — car une plateforme ne peut pas atténuer le risque systémique que crée la diffusion de contenus générés artificiellement si elle ne peut pas savoir quels contenus le sont. L’AI Act laisse aussi intactes les règles du DSA sur la responsabilité des intermédiaires.

Ce que cela signifie pour un site comme celui-ci

Pour le dire simplement : l’AI Act ne régit pas les sites web. Il régit les fournisseurs et les déployeurs de systèmes d’IA, et un site n’est concerné que s’il joue l’un de ces rôles.

L’article 50(1) porte sur les systèmes avec lesquels on dialogue ; il n’y a pas de chatbot ici. L’article 50(2), le marquage lisible par machine des contenus générés, est une obligation du fournisseur du système génératif — l’entreprise qui fabrique l’outil —, pas de la personne qui en publie les résultats. La seconde partie de l’article 50(4) est celle qui s’approche le plus de ce site : les textes publiés pour informer le public sur des questions d’intérêt public. Mais cette obligation est levée lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne ou une organisation assume la responsabilité éditoriale de la publication — or ce site est publié par des personnes qui assument cette responsabilité, et la date de la relecture humaine, ligne par ligne, d’une page figure dans son propre pied de page lorsqu’une telle relecture a eu lieu.

La mention en pied de chaque page de ce site — une partie du contenu a été créée avec l’aide d’outils d’IA et peut contenir des erreurs — ne répond donc pas à une obligation légale. C’est la lecture que fait ce site du principe qui sous-tend l’article 50 : un lecteur a le droit de savoir comment a été produit ce qu’il lit. Un site qui soutient ailleurs que la provenance et les mécanismes de correction sont ce qui rend une source digne de confiance paraîtrait bien étrange s’il cachait les siens. La page Comment nous communiquons expose le reste de la méthode, et la page Corrections consigne ce qui a été corrigé.

Les points contestés — ce que visent les interdictions, et ce qu’a changé le report de 2026 +

La portée de l’article 5 sur l’ingénierie de l’attention n’a jamais été mise à l’épreuve. Lues au sens le plus large, des « techniques délibérément manipulatrices ou trompeuses » qui altèrent substantiellement le comportement et causent un préjudice important pourraient décrire une grande partie de ce que le reste de ce site documente. Lues comme le demandent les considérants du règlement lui-même, avec l’exception prévue pour « les pratiques commerciales courantes et légitimes, par exemple dans le domaine de la publicité », elles en décrivent beaucoup moins. La Commission a publié le 4 février 2025 des lignes directrices sur les pratiques interdites pour aider à les appliquer, mais des lignes directrices ne sont pas contraignantes : l’interprétation qui fait autorité appartient à la Cour de justice, et aucun arrêt de cette Cour sur l’article 5 n’a été signalé. Deux autres limites comptent : l’interdiction ne joue que si la pratique passe par un système d’IA, et le seuil de préjudice est « important », une barre plus haute que le coût diffus et cumulé que décrit la recherche sur la conception orientée vers l’engagement.

Le report de 2026 se lit de deux façons. Le Digital Omnibus on AI a été présenté par la Commission comme une simplification : les normes et les autorités nationales dont dépendent les règles sur le haut risque n’étaient pas prêtes, et les appliquer à la date prévue aurait augmenté les coûts sans renforcer la protection. Des organisations de défense des droits numériques l’ont lu dans l’autre sens : comme le premier affaiblissement d’une loi qui n’avait pas encore été mise à l’épreuve. Ce que l’on peut dire sans prendre parti est limité et vérifiable : les obligations relatives au haut risque ont été repoussées de plus d’un an, au 2 décembre 2027 et au 2 août 2028 ; les interdictions de l’article 5 et les obligations de transparence de l’article 50 n’ont pas bougé ; et deux nouvelles interdictions, sur les images sexuelles non consenties et sur les contenus générés d’abus sexuels sur des enfants, ont été ajoutées par le même texte.

Digital Services Act →
L’IA & la couche suivante →
Comment nous communiquons →