La loi européenne sur l'IA, entrée en vigueur le 2 février 2025, a introduit des changements majeurs en rendant illégales certaines pratiques d'IA dans toute l'UE. Les entreprises néerlandaises doivent désormais se conformer à des règles strictes concernant les systèmes d'IA qu'elles sont autorisées à utiliser.
Les entreprises qui ne suppriment pas les outils d'IA interdits s'exposent à de lourdes amendes et à d'éventuelles poursuites judiciaires de la part de toute personne ayant subi un préjudice.
À compter de février 2025, les systèmes d'IA manipulant les individus, utilisant l'évaluation sociale, catégorisant les personnes à partir de données biométriques ou employant la reconnaissance faciale en temps réel dans les espaces publics sont interdits aux Pays-Bas. Cette interdiction concerne également les technologies de reconnaissance des émotions sur les lieux de travail et dans les établissements scolaires, ainsi que la collecte non ciblée d'images faciales sur Internet pour constituer des bases de données de reconnaissance.
Les règles s'appliquent immédiatement, sans laisser aux entreprises le temps de se désengager progressivement de ces systèmes. Il est donc essentiel de comprendre quelles pratiques d'IA sont interdites et quelles mesures votre organisation doit prendre pour éviter les sanctions.
Ce guide explique les interdictions spécifiques, décrit vos obligations de conformité en tant qu'entreprise néerlandaise et couvre les exigences de formation nécessaires pour que vos opérations restent légales en vertu de la nouvelle loi.
Aperçu des interdictions de février 2025
Le règlement (UE) 2024/1689, connu sous le nom de loi européenne sur l'IA , a introduit des interdictions spécifiques concernant certaines pratiques d'intelligence artificielle, applicables à compter du 2 février 2025. Ces règles s'appliquent à votre entreprise néerlandaise si vous développez, déployez ou utilisez des systèmes d'IA aux Pays-Bas ou dans l'Union européenne au sens large.
Étendue des pratiques d'IA interdites
La loi relative à l'IA interdit certaines pratiques d'IA qui présentent des risques inacceptables pour les droits fondamentaux et les valeurs européennes. L'article 5 du règlement (UE) 2024/1689 identifie ces pratiques interdites en fonction de leur dangerosité potentielle plutôt que de la technologie elle-même.
Les principales catégories interdites sont les suivantes :
- Systèmes d'IA manipulateurs qui exploitent les vulnérabilités de groupes spécifiques
- Systèmes de notation sociale par les autorités publiques
- Identification biométrique à distance en temps réel dans les espaces accessibles au public pour droit application (avec quelques exceptions limitées)
- systèmes de catégorisation biométrique qui déduisent des attributs sensibles
- ramassage non ciblé des images faciales provenant d'Internet ou de vidéos de surveillance
Votre activité est soumise à ces interdictions, que vous soyez fournisseur, déployeur ou distributeur d'IA aux Pays-Bas. L'Autorité néerlandaise de protection des données collabore avec les autres organismes de contrôle de l'Union européenne pour garantir le respect de la réglementation.
Le non-respect de ces règles entraîne des amendes pouvant atteindre 7 % de votre chiffre d'affaires annuel mondial.
Dates d'entrée en vigueur et périodes de transition
Les interdictions prévues à l'article 5 sont entrées en vigueur le 2 février 2025. Cela signifie que votre entreprise doit se conformer immédiatement à ces règles si elle utilise ou développe des systèmes d'IA concernés.
Le cadre de mise en œuvre suit un calendrier échelonné. Les sanctions complètes, les structures de gouvernance et les dispositions relatives à la confidentialité entreront en vigueur le 2 août 2025.
Cela offre à votre organisation une période de six mois durant laquelle les règles s'appliquent, le temps que les mécanismes d'application complets soient mis en place. La Commission européenne a publié des lignes directrices officielles le 4 février 2025 afin de préciser les modalités d'application concrètes de ces interdictions.
Les autorités de surveillance du marché, notamment l'Autorité néerlandaise de protection des données, ont été chargées de contrôler et de faire appliquer ces règles à compter de la date d'entrée en vigueur en février.
Définitions clés : Systèmes et pratiques d’IA
Aux termes de la loi sur l'IA, un système d'IA désigne un logiciel qui utilise l'apprentissage automatique, des approches logiques ou des méthodes statistiques pour générer des résultats tels que des prédictions, des recommandations ou des décisions. Cette définition est volontairement large afin de couvrir les technologies actuelles et émergentes.
Une pratique interdite en matière d'IA désigne des méthodes spécifiques de déploiement ou d'utilisation de l'intelligence artificielle que l'Union européenne juge inacceptables. L'interdiction s'applique à la pratique elle-même, et non à la technologie sous-jacente.
Cela signifie que vous pourriez utiliser le même système d'IA à des fins autorisées tout en étant interdit pour certaines applications. Votre entreprise doit faire la distinction entre le système d'IA (la technologie) et sa mise en œuvre (la manière dont vous l'utilisez).
Un système d'intelligence artificielle pour la reconnaissance faciale pourrait être légal pour le contrôle d'accès aux bâtiments, mais interdit pour la surveillance en temps réel dans les espaces publics. La légalité au regard du règlement (UE) 2024/1689 dépend du contexte et de l'application.
Liste détaillée des pratiques d'IA interdites
La réglementation européenne sur l'IA interdit certaines applications d'IA qui présentent des risques inacceptables pour les droits fondamentaux et la sécurité. Ces pratiques interdites se répartissent en trois grandes catégories : les systèmes qui manipulent le comportement humain, ceux qui exploitent les groupes vulnérables et les mécanismes qui permettent la surveillance de masse par le biais de la notation sociale.
Systèmes de manipulation et de tromperie
La loi sur l'IA interdit tout système d'IA qui utilise des techniques subliminales pour altérer sensiblement le comportement humain et lui causer du tort. Il s'agit de méthodes qui agissent en dehors de notre conscience pour influencer nos décisions ou nos actions.
Les pratiques de manipulation interdites comprennent :
- Des systèmes d'IA qui déploient des composantes subliminales que vous ne pouvez pas détecter
- Systèmes conçus pour exploiter les vulnérabilités liées à l'âge chez les enfants
- Technologies qui manipulent le comportement pour causer des dommages physiques ou psychologiques
Il est interdit d'utiliser l'IA pour tromper délibérément les individus et leur causer un préjudice important . Cela signifie que votre entreprise ne peut pas déployer de chatbots ou d'assistants virtuels qui induisent les utilisateurs en erreur quant à leur nature d'IA, lorsque cette tromperie risque d'entraîner des dommages.
L'interdiction s'étend aux systèmes d'IA qui utilisent des techniques de manipulation psychologique pour inciter les utilisateurs à faire des choix néfastes. La loi protège les individus contre les pratiques d'IA qui court-circuitent la prise de décision rationnelle.
Si votre système d'IA influence les comportements par une manipulation cachée plutôt que par des informations transparentes, il enfreint la loi.
Exploitation des personnes vulnérables
Les systèmes d'IA qui exploitent les vulnérabilités liées à l'âge, au handicap ou à la situation socio-économique sont strictement interdits. Il est inadmissible d'utiliser l'IA pour tirer profit de personnes incapables de comprendre ou de résister à la manipulation.
Cette interdiction concerne les intelligences artificielles qui exploitent l'inexpérience des enfants ou le déclin cognitif des personnes âgées. Votre entreprise ne peut pas déployer de systèmes qui tirent profit de handicaps physiques ou mentaux pour manipuler les comportements.
Les IA qui exploitent le désespoir économique ou l'isolement social sont également concernées par cette interdiction.
Les groupes vulnérables protégés comprennent :
- Enfants et mineurs
- Les personnes âgées présentant des troubles cognitifs
- Les personnes ayant un handicap physique ou mental
- Les personnes confrontées à des difficultés économiques
Cette interdiction s'applique lorsque votre système d'IA cause ou est susceptible de causer un préjudice important par exploitation. Vous devez évaluer si vos applications d'IA pourraient cibler injustement les populations vulnérables.
Évaluation sociale et profilage comportemental
La loi sur l'IA interdit les systèmes d'IA qui évaluent ou classent les personnes en fonction de leur comportement social ou de leurs caractéristiques personnelles. Il est interdit d'utiliser des mécanismes de notation sociale qui entraînent un traitement injuste ou préjudiciable.
L'évaluation sociale consiste à analyser les individus en fonction de leur conduite, de leurs relations ou de leurs comportements prévisibles. Cela permet d'établir des profils qui déterminent l'accès aux services, aux opportunités ou aux droits.
Les activités de notation sociale interdites comprennent :
- Évaluer les citoyens en fonction de leur comportement social ou professionnel
- Création de scores de fiabilité à partir de données personnelles
- Prédire le comportement criminel à partir du profilage
- Refuser des services sur la base d'évaluations comportementales
Il est interdit de mettre en œuvre des systèmes d'IA attribuant des scores déterminant l'accès aux soins de santé, à l'éducation, à l'emploi ou aux services financiers. Cette interdiction s'applique que ces systèmes soient exploités par une autorité publique ou une entreprise privée.
L’identification biométrique à distance en temps réel dans les espaces publics est également soumise à des interdictions strictes, avec des exceptions limitées pour les forces de l’ordre.
Interdictions relatives à l'IA biométrique, à la reconnaissance faciale et à l'intelligence artificielle émotionnelle
La loi européenne sur l'intelligence artificielle interdit plusieurs types de systèmes biométriques et de reconnaissance faciale qui présentent des risques pour les droits fondamentaux . Ces interdictions ont une incidence sur la manière dont les entreprises néerlandaises peuvent utiliser les données biométriques , les bases de données de reconnaissance faciale, les outils de reconnaissance des émotions et les systèmes d'identification en temps réel dans les espaces publics.
Catégorisation biométrique et utilisation des données
Il est interdit d'utiliser des systèmes d'IA qui catégorisent les personnes à partir de leurs données biométriques pour en déduire leur origine ethnique, leurs opinions politiques, leur appartenance syndicale, leurs convictions religieuses ou leur orientation sexuelle. Cette interdiction s'applique dès la mise sur le marché, la mise en service ou l'utilisation de ces systèmes à cette fin précise.
Cette interdiction vise les systèmes qui effectuent des déductions sensibles sur les individus par le biais de l'analyse biométrique. En cas de non-respect de cette réglementation, votre entreprise s'expose à des amendes pouvant atteindre 7 % de son chiffre d'affaires annuel mondial.
Il existe une exception à cette règle. Vous pouvez étiqueter ou filtrer des ensembles de données biométriques acquis légalement, tels que des images, en fonction des données biométriques utilisées dans le cadre de l'application de la loi.
En dehors des forces de l'ordre, ces pratiques de catégorisation restent totalement interdites.
Restrictions relatives aux technologies de reconnaissance faciale
Il est interdit de créer ou d'étendre des bases de données de reconnaissance faciale par extraction non ciblée d'images de visages sur Internet ou de séquences de vidéosurveillance. Cette interdiction est entrée en vigueur le 2 février 2025.
Quatre conditions doivent être réunies pour que cette interdiction s'applique :
- Cette pratique consiste à installer, entretenir ou utiliser un système d'IA.
- L'objectif est de créer ou d'étendre les bases de données de reconnaissance faciale.
- La méthode utilise le prélèvement non ciblé d'images faciales
- Les sources de données sont Internet ou les images de vidéosurveillance.
Le mot clé est « non ciblé ». On ne peut pas collecter des images faciales de manière généralisée et indiscriminée.
Cela signifie que vous ne pouvez pas déployer dans les supermarchés ou les lieux publics des caméras qui collectent automatiquement les visages pour constituer des bases de données de reconnaissance sans critères de ciblage spécifiques.
La reconnaissance des émotions dans l'emploi et l'éducation
Il est interdit d'utiliser des systèmes d'IA pour déduire les émotions des personnes sur les lieux de travail et dans les établissements d'enseignement. Cette interdiction concerne directement les services des ressources humaines, les écoles et les centres de formation qui pourraient envisager d'utiliser des outils de détection des émotions.
L'interdiction concerne tout système d'IA conçu pour lire ou interpréter les états émotionnels dans ces contextes précis. Que l'on utilise l'analyse faciale, la reconnaissance vocale ou d'autres indicateurs biométriques, cela ne change rien.
Il existe une exception limitée : vous pouvez utiliser l’IA de reconnaissance des émotions si elle sert des fins médicales ou de sécurité.
Par exemple, la surveillance de la vigilance des conducteurs pour des raisons de sécurité ou la détection de la détresse des patients dans les établissements de soins de santé peuvent être admissibles en vertu de cette exception.
Limites de l'identification biométrique à distance
L’utilisation de systèmes d’identification biométrique à distance en temps réel à des fins de maintien de l’ordre est interdite dans les espaces publics, sauf dans des circonstances strictement définies. Ces exceptions comprennent la recherche de victimes d’enlèvement ou de traite des êtres humains, la prévention de menaces imminentes contre la vie ou d’attentats terroristes, et la localisation de suspects de crimes graves passibles d’une peine d’emprisonnement d’au moins quatre ans.
Chaque utilisation requiert une autorisation préalable d'une autorité judiciaire ou d'un organisme administratif indépendant. En cas d'urgence, l'utilisation peut être effectuée sans autorisation, mais une demande d'autorisation doit être déposée dans les 24 heures.
Si les autorités refusent l'autorisation, vous devez cesser immédiatement d'utiliser le système et supprimer toutes les données. Les Pays-Bas peuvent établir leurs propres règles détaillées concernant ces exceptions dans le cadre de leur législation nationale.
Votre entreprise doit notifier chaque utilisation à l'autorité de surveillance du marché compétente et à l'autorité nationale de protection des données. Les États membres soumettent chaque année à la Commission européenne un rapport sur l'utilisation de l'identification biométrique à distance en temps réel.
Obligations de conformité pour les entreprises néerlandaises
Les entreprises néerlandaises doivent prendre des mesures concrètes pour se conformer à la réglementation sur l'IA, notamment en identifiant les systèmes interdits, en les supprimant de leurs opérations et en tenant à jour la documentation requise. L' autorité néerlandaise de protection des données (DPA) et l'autorité néerlandaise pour l'infrastructure numérique (ADHI) veilleront au respect de ces exigences et infligeront des sanctions importantes en cas d'infraction.
Identification des IA interdites au sein des opérations
Vous devez mener des évaluations des risques approfondies au sein de votre organisation afin d'identifier les systèmes d'IA susceptibles d'enfreindre la nouvelle réglementation. Cela implique d'examiner toute technologie utilisant des techniques de manipulation, exploitant des vulnérabilités, mettant en œuvre un système de notation sociale ou effectuant des identifications biométriques en temps réel dans les espaces publics.
Commencez par dresser un inventaire de tous les systèmes d'IA actuellement utilisés. Documentez le rôle de chaque système, son mode de traitement des données et les personnes qu'il affecte.
Portez une attention particulière aux systèmes qui interagissent avec les clients, les employés ou le public. Vos évaluations des risques doivent déterminer si un système quelconque est susceptible de porter atteinte aux droits fondamentaux.
Cela implique de vérifier si les systèmes d'IA prennent des décisions concernant les individus en fonction de leur comportement, de leurs caractéristiques personnelles ou de leurs relations sociales. Les systèmes qui suivent ou profilent les individus sans transparence doivent faire l'objet d'un examen immédiat.
Collaborez avec vos équipes techniques pour comprendre le fonctionnement de chaque système d'IA. Vous ne pouvez pas vous fier uniquement aux descriptions des fournisseurs.
L'autorité néerlandaise de protection des données a clairement indiqué que vous êtes responsable de la conformité, que vous ayez construit le système vous-même ou que vous l'ayez acheté auprès d'un tiers.
Suppression progressive des systèmes d'IA interdits
Vous devez cesser immédiatement d'utiliser les pratiques d'IA interdites. La loi n'accorde aucun délai de grâce pour les systèmes interdits.
Si votre évaluation des risques identifie une pratique interdite, vous devez la désactiver immédiatement. Élaborez un plan de suppression qui prenne en compte les impacts techniques et opérationnels.
Certains systèmes peuvent être intégrés à des plateformes plus vastes ou connectés à plusieurs processus. Vous devrez vous assurer que la suppression des éléments interdits ne perturbe pas les fonctions essentielles de l'entreprise.
Avant de mettre un système hors service, identifiez comment vous gérerez les tâches qu'il effectuait auparavant. Cela peut impliquer de revenir à des processus manuels, de mettre en œuvre une autre technologie ou de repenser entièrement les flux de travail.
Documentez chaque étape du processus de suppression. Notez la date à laquelle vous avez découvert la pratique interdite, les mesures que vous avez prises et la date de désactivation complète du système.
Les autorités réglementaires exigeront des preuves claires que vous avez agi rapidement une fois l'infraction constatée.
Tenue de registres et documentation
Vous devez conserver une documentation technique attestant du respect des règles d'interdiction. Celle-ci comprend les comptes rendus de vos évaluations des risques, des décisions relatives aux systèmes d'IA et de toutes les modifications apportées pour vous conformer à ces règles.
Votre documentation doit couvrir :
- Inventaires du système avec des descriptions de chaque application d'IA
- Rapports d'évaluation des risques présenter votre analyse des violations potentielles
- Dossiers de retrait détaillant quand et comment vous avez désactivé les systèmes interdits
- Évaluations d'impact sur les droits fondamentaux pour tous les cas limites
Conservez ces documents pendant au moins cinq ans. L'autorité néerlandaise de protection des données peut les demander lors d'inspections ou d'enquêtes.
L’absence ou l’incomplétude des documents peut entraîner des amendes pouvant atteindre 7 500 000 € ou 1 % du chiffre d’affaires annuel mondial. Votre documentation technique doit être suffisamment détaillée pour permettre aux autorités de comprendre le fonctionnement de vos systèmes d’IA et leur conformité à la loi.
Les descriptions génériques ou les supports marketing ne répondent pas à cette exigence. Veuillez inclure les spécifications techniques, les flux de données et les processus décisionnels.
Mettez à jour votre documentation à chaque modification ou déploiement de systèmes d'IA. Des processus continus sont nécessaires pour garantir que les futurs systèmes n'introduisent pas de pratiques interdites.
Exigences en matière de compétences en IA et formation du personnel
À compter du 2 février 2025, les entreprises néerlandaises qui fournissent ou déploient des systèmes d'IA devront s'assurer que leur personnel possède les connaissances nécessaires en matière d'IA. Cette obligation s'applique que les systèmes d'IA utilisés soient considérés comme à haut risque ou à faible risque.
Les programmes de formation documentés doivent être adaptés aux rôles et aux compétences techniques de vos employés.
L'obligation d'alphabétisation en IA expliquée
L’article 4 de la loi européenne sur l’IA impose à tous les fournisseurs et déployeurs d’IA l’ obligation légale de garantir un niveau suffisant de connaissances en IA parmi leur personnel. Vous devez prendre des mesures pour vous assurer que les employés et les sous-traitants qui utilisent des systèmes d’IA comprennent la technologie avec laquelle ils travaillent.
L’obligation de formation en IA concerne toute personne qui exploite, utilise ou prend des décisions relatives à des systèmes d’IA en votre nom. Cela inclut le personnel technique qui conçoit ou maintient des systèmes d’IA, ainsi que les employés non techniques qui utilisent des outils d’IA dans le cadre de leur travail quotidien.
Il est essentiel d'adapter la formation à l'intelligence artificielle au rôle, aux connaissances techniques, à l'expérience, au niveau d'études et au contexte d'utilisation des systèmes d'IA de chaque personne. Un développeur logiciel implémentant des modèles d'IA a besoin d'une formation différente de celle d'un conseiller clientèle utilisant des chatbots basés sur l'IA.
Cette obligation vous impose de déployer tous les efforts possibles pour garantir un niveau d'alphabétisation adéquat. Vous ne pouvez pas vous contenter d'une formation symbolique et prétendre être en conformité.
Développer des programmes de formation efficaces
Votre programme de formation à l'IA doit aborder les systèmes d'IA spécifiques utilisés par votre organisation plutôt que de fournir des informations génériques. Le personnel doit comprendre le fonctionnement des outils d'IA qu'il utilise, leurs limites et les risques potentiels.
Le contenu de la formation doit couvrir :
- Concepts de base de l'IA pertinents pour vos systèmes
- Comment utiliser correctement les outils d'IA
- Biais et erreurs potentiels dans les résultats de l'IA
- Lorsque la supervision humaine est nécessaire
- Politiques et procédures en matière d'IA de votre organisation
Il est essentiel de tenir compte du niveau de connaissances initial de chaque employé. Le personnel technique peut avoir besoin d'une formation avancée en matière de développement et de test de modèles, tandis que les utilisateurs non techniques nécessitent une assistance pratique pour interpréter les résultats de l'IA et identifier les résultats anormaux.
La formation peut prendre diverses formes : ateliers, cours en ligne, accompagnement sur le lieu de travail ou programmes externes. L’important n’est pas tant le format que l’acquisition effective des connaissances et des compétences nécessaires par le personnel.
Documenter les activités d'alphabétisation en IA
Vous devez conserver les documents relatifs à vos activités de formation à l'intelligence artificielle afin de démontrer votre conformité à la loi européenne sur l'IA. Ces documents attestent que vous avez rempli vos obligations légales.
Vos dossiers doivent inclure :
- Contenu et matériel du programme de formation
- Listes des employés ayant terminé la formation
- Dates et durée des sessions de formation
- Résultats de l'évaluation (le cas échéant)
- Comment avez-vous déterminé les niveaux d'alphabétisation appropriés pour les différents rôles ?
Documentez votre processus d'identification des besoins en compétences en IA au sein de votre organisation. Décrivez notamment comment vous avez évalué quels employés nécessitent une formation et quelles connaissances spécifiques ils requièrent en fonction de leur interaction avec les systèmes d'IA.
Conservez une trace de la manière dont vous mettez à jour vos formations en fonction de l'évolution de vos systèmes d'IA ou de l'arrivée de nouveaux collaborateurs dans votre organisation. La maîtrise de l'IA n'est pas une obligation ponctuelle, mais un engagement continu qui doit s'adapter à l'évolution de votre utilisation de cette technologie.
Supervision, application et sanctions
La loi européenne sur l'IA établit un système de contrôle à plusieurs niveaux, assorti de sanctions financières importantes en cas de non-respect. Les entreprises néerlandaises sont soumises à la surveillance des autorités nationales et européennes, et les amendes peuvent atteindre 7 % de leur chiffre d'affaires annuel mondial pour les pratiques d'IA interdites.
Autorités de surveillance néerlandaises et européennes
L'Autorité néerlandaise de protection des données est le principal organisme national de contrôle de l'application de la loi sur l'intelligence artificielle aux Pays-Bas. Elle collabore avec d'autres organismes néerlandais de surveillance du marché afin de veiller au respect de la réglementation.
Au niveau européen, la Commission européenne supervise la mise en œuvre de la loi sur l'IA dans tous les États membres. Le Bureau européen de l'IA, établi au sein de la Commission, coordonne les activités de contrôle et apporte son expertise technique.
Le Comité européen de la protection des données soutient une application cohérente de la loi, notamment lorsque les systèmes d'IA impliquent le traitement de données personnelles. Ces autorités collaborent afin de garantir une application uniforme au sein de l'Union européenne.
Si vous exploitez des systèmes d'IA dans plusieurs pays de l'UE, vous pourriez faire l'objet d'un examen minutieux de la part des organismes de surveillance de chaque juridiction où vos systèmes sont déployés ou ont un impact.
Sanctions et responsabilité civile
Les infractions aux pratiques interdites prévues à l'article 5 sont passibles d'amendes pouvant atteindre 35 millions d'euros ou 7 % de votre chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Ces amendes sont applicables à compter du 2 février 2025.
La Cour de justice de l'Union européenne (CJUE) est l'autorité compétente en dernier ressort pour interpréter les dispositions de la loi sur l'intelligence artificielle. Les juridictions nationales peuvent saisir la CJUE en cas de litige relatif à la définition d'une pratique interdite.
Outre les amendes administratives, vous pourriez faire l'objet de poursuites en responsabilité civile de la part de personnes physiques ou morales lésées par des systèmes d'IA non conformes. Les États membres peuvent prévoir des sanctions supplémentaires en vertu de leur législation nationale.
Orientations des organismes européens et nationaux
La Commission européenne a publié le 4 février 2025 des lignes directrices sur les pratiques interdites en matière d'IA. Ces documents expliquent comment les autorités interpréteront les interdictions de l'article 5 et fournissent des exemples pratiques de mise en conformité.
Bien que ces lignes directrices ne soient pas contraignantes, elles offrent un éclairage précieux sur les priorités en matière d'application du droit. Seule la CJUE est habilitée à fournir des interprétations juridiques faisant autorité.
Les autorités de surveillance néerlandaises peuvent publier des orientations nationales complémentaires adaptées au contexte commercial local. Il est conseillé de suivre les mises à jour des organismes européens et néerlandais, car les approches en matière de contrôle évoluent.
Ces lignes directrices sont disponibles dans toutes les langues de l'UE afin de faciliter la compréhension transfrontalière.
Questions fréquemment posées
La loi européenne sur l'IA impose des exigences et des restrictions spécifiques qui affecteront les entreprises néerlandaises à partir de février 2025. Ces réglementations interdisent certaines pratiques en matière d'IA, exigent des mesures de conformité et établissent des sanctions en cas d'infraction.
Quelles sont les nouvelles réglementations concernant l'utilisation de l'intelligence artificielle dans les entreprises néerlandaises à compter de février 2025 ?
La loi européenne sur l'IA est entrée en vigueur le 1er août 2024, les premières interdictions prenant effet le 2 février 2025. Ces réglementations s'appliquent à toutes les entreprises néerlandaises qui développent, déploient ou utilisent des systèmes d'IA au sein de l'Union européenne.
La loi interdit les systèmes d'IA manipulateurs qui utilisent des techniques subliminales pour influencer des décisions que les individus ne prendraient pas naturellement. Les systèmes d'IA qui exploitent les vulnérabilités liées à l'âge, au handicap ou au statut socio-économique sont également interdits.
Les systèmes de notation sociale qui jugent les individus en fonction de leur comportement social ou de leurs caractéristiques personnelles sont désormais totalement interdits. La réglementation proscrit également les évaluations de risques basées sur l'IA qui prédisent les crimes uniquement par le biais de profils ou d'analyses de traits de personnalité, sans se fonder sur des faits liés à l'activité criminelle.
Les systèmes de catégorisation biométrique qui déduisent l'origine ethnique, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou l'orientation sexuelle à partir d'images faciales ou d'empreintes digitales sont interdits. L'identification biométrique à distance en temps réel dans les espaces publics est interdite, sauf dans des situations strictement définies et avec une autorisation légale spécifique.
Quel impact les directives néerlandaises sur l'IA de février 2025 auront-elles sur la confidentialité et la protection des données des consommateurs ?
La loi sur l'IA complète la réglementation existante en matière de protection des données, notamment le RGPD. L'Autorité néerlandaise de protection des données fournit des orientations sur la manière dont les systèmes d'IA doivent se conformer aux règles de protection des données, en particulier en ce qui concerne la prise de décision automatisée.
Le prélèvement non ciblé d'images faciales sur Internet ou d'enregistrements vidéo en vue de créer ou d'enrichir des bases de données de reconnaissance faciale est interdit. Cette restriction protège le droit à la vie privée des individus et empêche la collecte non autorisée de données biométriques.
Les systèmes d'IA doivent respecter les droits fondamentaux tout au long de leur cycle de vie. Les autorités publiques et les organismes fournissant des services publics doivent réaliser une évaluation d'impact sur les droits fondamentaux lorsqu'ils utilisent des systèmes d'IA à haut risque.
Quelles activités basées sur l'IA les entreprises néerlandaises ne sont plus autorisées à exercer en raison des récentes modifications législatives ?
Votre entreprise ne peut pas utiliser de systèmes de reconnaissance des émotions en milieu professionnel ou éducatif. Ces systèmes sont interdits, quels que soient les avantages ou les cas d'utilisation revendiqués.
Il est interdit de déployer des systèmes d'IA qui manipulent les individus par des techniques subliminales ou exploitent leurs vulnérabilités. Cela inclut les systèmes qui ciblent les personnes en fonction de leur handicap, de leur statut social ou de leur âge afin d'influencer leur comportement.
Les systèmes de catégorisation biométrique qui classent les personnes en fonction de caractéristiques sensibles sont interdits. Il est interdit d'utiliser l'IA pour déduire l'origine ethnique, les opinions politiques, les convictions religieuses ou l'orientation sexuelle d'une personne à partir de ses données biométriques.
Les systèmes de notation sociale sont totalement interdits. Il est impossible de mettre en œuvre une IA qui évalue ou classe les personnes en fonction de leur comportement social ou de leurs caractéristiques personnelles.
L’identification biométrique à distance en temps réel dans les espaces publics est interdite à des fins commerciales. Les forces de l’ordre ne peuvent utiliser ces systèmes que dans des circonstances bien précises et avec une autorisation légale appropriée.
Quelles mesures les entreprises néerlandaises doivent-elles prendre pour aligner leurs systèmes d'IA sur les normes de conformité fixées en février 2025 ?
Vous devez recenser tous les systèmes d'IA que votre organisation utilise ou déploie actuellement. Cet inventaire doit catégoriser chaque système selon les classifications de risque définies dans la loi sur l'IA.
Vérifiez que vos systèmes d'IA sont conformes à la liste des pratiques interdites. Si vous utilisez des systèmes interdits, vous devez les supprimer immédiatement afin d'éviter les sanctions réglementaires.
Documentez les objectifs, les sources de données et les processus décisionnels de vos systèmes d'IA. Cette documentation permet de démontrer la conformité et de soutenir toute évaluation d'impact requise.
Pour les systèmes d'IA à haut risque, des mesures de conformité supplémentaires sont nécessaires. Les autorités publiques doivent enregistrer ces systèmes dans la base de données européenne d'ici le 2 août 2026 et réaliser des analyses d'impact sur les droits fondamentaux.
Formez votre personnel aux nouvelles exigences et mettez en place des procédures internes de suivi continu de la conformité. Votre programme de conformité doit inclure des examens réguliers des systèmes d'IA afin de garantir leur conformité réglementaire.
Existe-t-il des interdictions sectorielles spécifiques en matière d'IA dont les entreprises néerlandaises devraient tenir compte suite à la nouvelle réglementation ?
Les organismes du secteur de l'éducation sont soumis à des restrictions spécifiques. Il leur est interdit d'utiliser des systèmes de reconnaissance des émotions pour surveiller les élèves ou évaluer leur état émotionnel, quel que soit l'objectif pédagogique visé.
Les environnements de travail présentent des limitations similaires. Les employeurs ne peuvent pas déployer d'IA de reconnaissance des émotions pour surveiller l'état émotionnel ou les réactions des employés pendant leurs activités professionnelles.
Les forces de l'ordre disposent de quelques exceptions pour l'utilisation des systèmes d'identification biométrique. Ces exceptions sont soumises à une autorisation légale stricte et ne s'appliquent qu'à des situations spécifiques, comme la recherche de victimes d'enlèvement, la prévention de menaces imminentes ou la traque de suspects de crimes graves.
Les autorités publiques fournissant des services publics sont soumises à des obligations supplémentaires qui vont au-delà des interdictions générales. Elles doivent réaliser des analyses d'impact sur les droits fondamentaux pour tous les systèmes d'IA à haut risque et les enregistrer dans la base de données européenne.
Quelles sont les sanctions en cas de non-respect des restrictions néerlandaises en matière d'IA introduites en février 2025 ?
Les autorités de réglementation peuvent imposer des amendes importantes en cas de non-respect de la loi sur l'IA. Le barème des sanctions est progressif et dépend de la gravité de l'infraction.
L’utilisation de systèmes d’IA interdits constitue l’infraction la plus grave. Votre organisation s’expose à des sanctions financières importantes si elle continue d’exploiter des systèmes interdits après l’échéance de février 2025.
Le montant exact des sanctions dépend du statut de votre organisation : PME ou grande entreprise. Les autorités réglementaires prennent en compte des facteurs tels que la nature de l’infraction, sa durée et le préjudice causé.
Au-delà des sanctions financières, le non-respect de la réglementation peut nuire à la réputation de votre organisation. Les personnes lésées par des systèmes d'IA interdits peuvent engager des poursuites civiles.
L’Autorité néerlandaise de protection des données et d’autres organismes de réglementation disposent de pouvoirs de contrôle. Ils peuvent enquêter sur les plaintes, mener des audits et exiger la cessation immédiate des pratiques interdites.
