B. UN CADRE JURIDIQUE AD HOC À L'ÉCHELLE EUROPÉENNE
La réflexion éthique française sur l'IA a contribué à façonner le cadre intellectuel et juridique européen qui s'appuie aujourd'hui sur une réglementation ad hoc unique au monde.
Entré en vigueur à compter du 1er août 2024 selon un calendrier échelonné, le Règlement européen sur l'IA (« AI Act ») prévoit un cadre harmonisé pour l'utilisation de l'IA au sein de l'Union européenne928(*), tous secteurs confondus.
Premier arsenal juridique au monde en la matière, il encadre le développement, la mise sur le marché et l'utilisation des systèmes d'IA afin que ceux-ci respectent les droits fondamentaux, les valeurs européennes et les exigences de sécurité.
Le Règlement sur l'IA concerne toute organisation, qu'elle soit une entreprise, une association ou une administration, qui fournit, importe, distribue ou déploie des systèmes ou modèles d'intelligence artificielle visés par le Règlement.
Sont concernées les entités établies dans l'Union européenne (UE), ainsi que celles situées en dehors de l'Union, dès lors que leurs produits sont utilisés ou distribués dans l'UE.
La réglementation privilégie une approche fondée sur les risques : elle classe les systèmes d'IA (SIA) en quatre catégories principales selon leur impact potentiel, d'un risque minimal à un risque inacceptable.
L'« AI Act » : une approche par niveau de risque
Quatre niveaux de risques sont définis :
• les systèmes d'IA (SIA) à risque inacceptable sont interdits depuis le 2 février 2025929(*). L'interdiction concerne par exemple les systèmes de notation sociale, de détection des émotions, d'identification biométrique à distance en temps réel ou encore les systèmes qui exploiteraient la vulnérabilité des personnes et chercheraient à les manipuler ;
• les SIA à haut risque, dont la liste est établie dans une annexe au Règlement, font l'objet de règles strictes. Il s'agit des systèmes ayant un impact significatif sur la santé, la sécurité ou les droits fondamentaux930(*), ce qui intègre notamment les dispositifs médicaux931(*) et les dispositifs médicaux de diagnostic in vitro932(*), les équipements radioélectriques933(*) (par exemple les pompes à insuline connectées) ou encore les machines comme les robots chirurgicaux assistés par IA934(*).
Sont également concernés les SIA utilisés pour organiser l'accès aux services de santé, comme par exemple le recours à des algorithmes d'orientation des patients en fonction de leur situation ;
• les SIA à risque limité, comme les chatbots, sont soumis à des obligations de transparence plus légères, parmi lesquelles une information des utilisateurs relative à leur interaction avec une IA ;
• les SIA à risque minimal ou nul ne sont soumis à aucune obligation renforcée. Il s'agit de systèmes d'IA qui ne font peser aucun risque sérieux sur la santé ou les droits individuels garantis par l'AI Act. Cela concerne par exemple, le filtrage de spam médical dans des plateformes internes pour trier les emails indésirables935(*).
Afin de favoriser l'innovation, l'article 59 de l'AI Act prévoit que les données à caractère personnel collectées légalement peuvent être utilisées pour entraîner des algorithmes en mode dit « bac à sable » pour la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies ainsi que l'amélioration des systèmes de soins en santé. L'objectif est de permettre aux développeurs d'un SIA, sous la supervision des autorités nationales, de l'expérimenter dans un environnement n'exigeant pas au départ le respect de l'ensemble du cadre réglementaire applicable. Il s'agit d'évaluer la technologie en conditions réelles dans la perspective d'un déploiement à plus grande échelle.
Le Règlement européen sur l'IA sera pleinement applicable aux SIA à haut risque déjà identifiés à compter du 2 août 2026 (tels que ceux utilisés dans la biométrie) et le sera aux systèmes d'IA à haut risque inclus dans certains produits réglementés (comme les dispositifs médicaux) à compter du 2 août 2027.
Les articles 8 à 27 du texte détaillent les huit principales exigences applicables aux SIA à haut risque ainsi que les obligations incombant aux fournisseurs et aux déployeurs de ces systèmes.
Avant de les commercialiser, les fournisseurs doivent obtenir un marquage CE et s'inscrire dans la base de données de l'UE sur les informations sur les systèmes d'IA à haut risque. Ils doivent garantir la cybersécurité des dispositifs, prendre des précautions particulières dans la gestion des données et informer les utilisateurs de la manière dont ils collectent et traitent ces dernières.
Le marquage CE ne les exonère pas d'un devoir de vigilance in situ à travers la mise en place de modalités de surveillance locale et continue du système en conditions réelles d'utilisation936(*). Les SIA doivent en effet être surveillés tout au long de leur utilisation après leur mise sur le marché et faire l'objet d'une supervision humaine, afin d'éviter la délégation de décisions importantes à des machines.
Synthèse des exigences applicables aux SIA à haut risque en vertu de l'AI Act
|
Article |
Exigence |
Objectif |
Contenu |
|
Article 8 |
Obligation de conformité globale |
Condition préalable à la mise sur le marché |
Les SIA à haut risque doivent respecter toutes les exigences des articles 9 à 15 et faire l'objet d'une évaluation de conformité. |
|
Article 9 |
Système de gestion des risques |
Maîtrise des dangers liés à l'usage de l'IA |
Gestion continue des risques pendant tout le cycle de vie : identification, évaluation, maîtrise, mise à jour régulière |
|
Article 10 |
Gouvernance et qualité des données |
Limitation des biais et sécurité des résultats |
Les données d'entraînement, de validation et de test doivent être représentatives, exemptes de biais, pertinentes et licites. |
|
Article 11 |
Documentation technique |
Contrôle et « auditabilité » par les autorités de surveillance |
Fournir une documentation technique détaillée pour démontrer la conformité et expliquer les caractéristiques et performances du système |
|
Article 12 |
Journalisation des événements (logs) |
Traçabilité et analyse a posteriori des dysfonctionnements |
Conservation automatique d'enregistrements pour assurer l'« auditabilité » et permettre l'identification d'erreurs ou de risques |
|
Article 13 |
Transparence et information de l'utilisateur |
Bon usage par l'humain - compréhension des limites du système |
Informations claires sur l'usage, les performances, les limites, les risques, et les instructions pour l'utilisateur final |
|
Article 14 |
Supervision humaine |
Garantie d'un contrôle humain permettant de prévenir ou corriger les dérives |
L'humain doit pouvoir surveiller, interrompre, désactiver ou corriger les décisions de l'IA, en particulier pour éviter les atteintes aux droits fondamentaux. |
|
Article 15 |
Robustesse, exactitude et cybersécurité |
Fiabilité et sécurité technique du système |
L'IA doit être fiable, exacte et protégée contre les erreurs ou attaques (robustesse face aux manipulations et résilience à long terme). |
Source : Droit de l'intelligence artificielle, LGDJ, 2026, p. 428937(*)
À travers l'élaboration d'un cadre juridique et éthique propre à l'IA, fondé sur la protection des droits fondamentaux, le maintien d'un contrôle humain et la transparence des algorithmes, l'Union européenne entend défendre son modèle politique et social et favoriser son autonomie technologique.
Dans un monde dominé par de grandes puissances technologiques étrangères, la souveraineté réglementaire en matière d'IA ne pourra toutefois porter ses fruits que si elle s'accompagne d'une véritable souveraineté technologique (infrastructures, données, capacités propres de recherche).
Recommandation 75 : Développer au niveau de l'Union européenne une véritable souveraineté technologique en matière d'IA, pour protéger ses valeurs et ne plus dépendre des grands acteurs numériques étrangers
* 928 Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle.
* 929 Article 5-1) du Règlement.
* 930 Article 6 du Règlement.
* 931 Par ailleurs soumis au Règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, entré en vigueur en 2021.
* 932 Régis par le Règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux de diagnostic in vitro.
* 933 Soumis à la directive 2014/53/UE du Parlement européen et du Conseil du 16 avril 2014 relative à l'harmonisation des législations des États membres concernant la mise à disposition sur le marché d'équipements radioélectriques.
* 934 Concernés par la directive 2006/42/CE du Parlement européen et du Conseil du 17 mai 2006 relative aux machines.
* 935 Droit de l'intelligence artificielle, sous la direction d'Alexandra Bensamoun et de Grégoire Loiseau, LGDJ, 2026.
* 936 Article 26 de l'AI Act.
* 937 Droit de l'intelligence artificielle, sous la direction d'Alexandra Bensamoun et de Grégoire Loiseau, LGDJ, 2026