Loi européenne sur l'IA de 2025 : le côté juridique de l'intelligence artificielle

Le cadre juridique de l'intelligence artificielle au sein de l'UE est en pleine mutation avec la loi sur l'IA de 2025. Il ne s'agit pas d'une simple nouvelle législation ; c'est le premier cadre juridique global au monde conçu spécifiquement pour l'IA. Son principe est simple : une approche fondée sur les risques. En bref, les règles auxquelles un système d'IA est soumis sont directement liées au niveau de risque qu'il représente pour notre santé, notre sécurité et nos droits fondamentaux.

Qu'est-ce que la loi européenne sur l'IA ? Introduction pratique

Considérez la loi européenne sur l'IA comme un nouveau code de la route à l'ère numérique. Tout comme les vélos, les voitures et les poids lourds sont soumis à des règles différentes, cette loi établit des règles claires pour les différents types d'intelligence artificielle. L'objectif principal n'est pas de freiner l'innovation, mais de la guider sur une voie sûre, transparente et éthique. Ainsi, à mesure que l'IA prend une place croissante dans nos vies, elle le fait de manière à protéger les personnes et à instaurer la confiance.

Pour toute entreprise opérant au sein de l'Union européenne, la maîtrise de ce cadre réglementaire n'est plus une option, mais une nécessité. À l'instar du Règlement général sur la protection des données (RGPD), devenu la référence mondiale en matière de protection des données, la loi sur l'IA est appelée à faire de même pour l'intelligence artificielle. Pour en savoir plus sur les principes de sécurité des données, consultez notre guide : https://lawandmore.eu/blog/general-data-protection/.

Pourquoi ce règlement est important aujourd'hui

Le moment est crucial, notamment pour un marché comme celui des Pays-Bas, l'un des plus avancés d'Europe en matière d'adoption de l'IA. En 2025, environ trois millions d'adultes néerlandais utilisaient quotidiennement des outils d'IA, et 95 % des entreprises néerlandaises disposaient de programmes d'IA opérationnels. Cette croissance rapide met en lumière un décalage important entre l'innovation et la supervision formelle, les organismes de contrôle nationaux étant encore en cours de mise en place.

La loi vise à combler cette lacune en créant un ensemble unique de règles applicables à tous les États membres. Cela permet d'éviter un marché chaotique où chaque pays aurait sa propre législation en matière d'IA, source de confusion et freinant les échanges transfrontaliers. Au contraire, elle offre un environnement juridique unique et prévisible pour tous.

Afin de clarifier son objectif, voici un bref résumé de ce que la loi vise à faire.

Aperçu des principaux objectifs de la loi européenne sur l'IA

Ce tableau décompose les principaux objectifs de la loi européenne sur l’IA, vous donnant une image claire de sa mission.

En établissant ces règles de base, la loi donne aux entreprises une voie claire et fiable à suivre.

La loi européenne sur l'IA vise à établir un cadre de confiance. En fixant des limites claires pour les applications à haut risque et en exigeant la transparence, elle offre aux entreprises un modèle de développement de l'IA sur lequel clients et partenaires peuvent compter.

Ce règlement apporte la clarté indispensable. Il convient également de noter que l'IA transforme la profession juridique elle-même, les outils d' analyse de documents juridiques par l'IA se généralisant – et ces outils pourraient eux aussi être concernés par les nouvelles règles. En établissant un cadre commun, la loi aide tous les acteurs, des start-ups aux grandes entreprises, à comprendre leurs responsabilités et à innover en toute confiance. Elle fait ainsi passer l'IA d'une phase de développement anarchique et non réglementée à un écosystème structuré où la sécurité et les droits fondamentaux sont prioritaires.

Les quatre niveaux de risque de l'IA expliqués

Au cœur du cadre juridique de l'intelligence artificielle dans l'UE (loi sur l'IA de 2025) se trouve une approche simple, fondée sur l'analyse des risques. Elle est comparable aux systèmes de certification de sécurité en vigueur pour les produits du quotidien. Un siège auto pour enfant, par exemple, doit répondre à des normes bien plus strictes qu'un simple casque de vélo, car le risque de blessure est beaucoup plus important. La loi sur l'IA applique cette même logique à la technologie, classant les systèmes d'IA en quatre catégories distinctes selon les dommages potentiels qu'ils pourraient causer.

Cette structure est conçue pour être pratique. Elle concentre les réglementations les plus strictes sur les applications les plus dangereuses, tout en laissant les innovations à faible risque prospérer avec un minimum d'interférences. Pour toute entreprise, déterminer à quelle catégorie appartiennent ses outils d'IA est la première étape, et la plus cruciale, vers la conformité. Cette classification déterminera tout, des interdictions pures et simples avis de transparence.

Risque inacceptable : la liste des produits interdits

La première catégorie est simple : Risque inacceptable . Il s’agit des systèmes d’IA considérés comme une menace manifeste pour la sécurité, les moyens de subsistance et les droits fondamentaux des personnes. La loi ne se contente pas de les réglementer ; elle les interdit totalement sur le marché de l’UE.

Cette interdiction vise les applications qui manipulent le comportement humain pour contourner le libre arbitre d'une personne ou qui exploitent les vulnérabilités de groupes spécifiques. Elle interdit également l'extraction indiscriminée d'images faciales sur Internet ou d'images de vidéosurveillance pour constituer des bases de données de reconnaissance faciale.

Voici quelques exemples classiques de systèmes interdits :

• Notation sociale pilotée par le gouvernement : Tout système utilisé par les autorités publiques pour classer les personnes en fonction de leur comportement social ou de leurs traits personnels, ce qui conduit ensuite à ce qu’elles soient mal traitées.
• Identification biométrique en temps réel dans les espaces publics : L'utilisation de cette technologie à des fins de surveillance de masse est interdite, à quelques exceptions près. droit application de la loi dans les affaires criminelles graves.

Systèmes d'IA à haut risque : des règles strictes s'appliquent

C’est dans la catégorie « à haut risque » que la plupart des règles et obligations détaillées de la loi sur l’IA prennent tout leur sens. Il s’agit de systèmes qui, bien que non interdits, pourraient avoir de graves conséquences sur la sécurité ou les droits fondamentaux d’une personne. Si votre entreprise développe ou utilise une IA appartenant à cette catégorie, vous serez soumis à des exigences strictes avant et après sa commercialisation.

Ces systèmes sont souvent ceux qui prennent des décisions cruciales dans des domaines sensibles. Un outil d'IA utilisé pour diagnostiquer des pathologies à partir de scanners, par exemple, entre dans cette catégorie. Il en va de même pour les logiciels utilisés pour évaluer l'aptitude d'un candidat à un poste. Le risque de préjudice – un diagnostic erroné ou une décision d'embauche biaisée – est suffisamment important pour justifier une surveillance stricte.

En vertu de la loi sur l'IA, les systèmes à haut risque ne se limitent pas à des algorithmes complexes. Ils concernent l'impact réel sur la vie des personnes, de leur santé et de leur éducation à leurs perspectives d'emploi et à leur accès à la justice.

Voici quelques exemples courants d’IA à haut risque :

• Équipement médical: Logiciel d'IA qui influence les décisions diagnostiques ou thérapeutiques.
• Logiciel de recrutement : Des outils qui filtrent les CV ou classent les candidats à un emploi.
• Notation de crédit : Algorithmes qui déterminent l’éligibilité aux prêts ou aux services financiers.
• Infrastructure critique: Systèmes qui gèrent les services publics essentiels comme les réseaux d’eau ou d’électricité.

Risque limité : la transparence est essentielle

Viennent ensuite les systèmes d'IA à risque limité . Avec ces applications, le principal souci n'est pas le préjudice direct, mais le risque de tromperie si les utilisateurs ne réalisent pas qu'ils interagissent avec une IA. L'obligation première est alors la transparence.

Vous devez vous assurer que les utilisateurs savent qu'ils ont affaire à un système artificiel. Cela leur permet de décider en toute connaissance de cause s'ils souhaitent poursuivre l'interaction.

Un chatbot pour le service client en est un parfait exemple. L'entreprise qui l'utilise doit clairement indiquer que l'utilisateur s'adresse à une machine et non à une personne. La même règle s'applique aux deepfakes : tout contenu audio, image ou vidéo généré par l'IA montrant de vraies personnes doit être étiqueté comme créé artificiellement.

Risque minimal : libre d'innover

Enfin, nous avons la catégorie qui englobe la grande majorité des systèmes d'IA utilisés aujourd'hui : Risque minimal . Ces applications ne présentent que peu ou pas de menace pour les droits et la sécurité des citoyens. Pensons par exemple aux filtres anti-spam, aux systèmes de gestion des stocks ou aux jeux vidéo utilisant l'IA.

Pour ces systèmes, la loi sur l'IA n'impose aucune nouvelle obligation légale. Les entreprises sont libres de les développer et de les utiliser sans obstacles supplémentaires. L'objectif de l'UE est d'éviter de freiner l'innovation et de permettre aux développeurs de créer des outils utiles et à faible impact sans être encombrés par une réglementation inutile. Il s'agit d'une approche souple visant à encourager l'adoption généralisée de l'IA là où elle est possible en toute sécurité.

Naviguer dans les exigences des systèmes d'IA à haut risque

Si votre entreprise développe ou utilise un système d'IA à haut risque, vous entrez dans le domaine le plus réglementé de la loi européenne sur l'IA. C'est là que le cadre juridique devient le plus exigeant, et pour cause. Les obligations sont strictes car l'impact potentiel sur la vie des personnes est significatif.

Imaginez la préparation d'un véhicule utilitaire pour la route. Il ne suffit pas qu'il roule ; il doit passer une série d'inspections de sécurité rigoureuses, couvrant tous les éléments, du moteur aux freins. La loi sur l'IA établit une liste de contrôle similaire pour les systèmes à haut risque, garantissant leur robustesse, leur transparence et leur équité avant leur mise en service sur le marché européen. Il ne s'agit pas de simples obstacles bureaucratiques ; ils constituent le fondement même d'une IA fiable.

Pour toute organisation confrontée à une IA à haut risque, la compréhension de ces obligations est la première étape vers une conformité optimale. Un manquement à ces obligations ne se limite pas à de lourdes amendes ; il peut également éroder la confiance des clients et nuire durablement à votre réputation.

Les piliers fondamentaux de la conformité

La loi définit plusieurs obligations clés qui constituent l'ossature de la gouvernance de l'IA à haut risque. Chacune vise à remédier à un point de défaillance potentiel spécifique, allant de données biaisées à un manque de contrôle humain.

Votre parcours de conformité sera axé sur la maîtrise de ces exigences fondamentales :

• Système de gestion des risques : Vous devez établir, mettre en œuvre et maintenir un processus continu de gestion des risques tout au long du cycle de vie du système d'IA. Cela implique d'identifier les risques potentiels pour la santé, la sécurité et les droits fondamentaux, puis de prendre des mesures concrètes pour les atténuer.
• Gouvernance et qualité des données : Des données de qualité, pertinentes et représentatives sont indispensables. Les données utilisées pour entraîner votre modèle d'IA doivent être gérées avec soin afin de minimiser les risques et les biais. Le vieil adage « à l'entrée comme à l'extérieur, à l'extérieur » a désormais de lourdes conséquences juridiques.
• Documentation technique: Vous devez créer et conserver une documentation technique détaillée prouvant la conformité de votre système d'IA à la Loi. Considérez-la comme un dossier de preuves, prêt à être inspecté par les autorités nationales à tout moment.
• Tenue de registres et journalisation : Votre système d'IA doit être conçu pour enregistrer automatiquement les événements pendant son fonctionnement. Ces journaux sont essentiels à la traçabilité et permettent les enquêtes post-incident, indiquant ce que le système a fait et quand.
• Transparence et information des utilisateurs : Les utilisateurs doivent recevoir des informations claires et complètes sur les capacités du système d'IA, ses limites et ses objectifs. Les boîtes noires sont interdites.
• Surveillance humaine : Il s'agit d'un point crucial. Vous devez concevoir votre système de manière à ce que des humains puissent superviser efficacement son fonctionnement et, surtout, intervenir ou l'arrêter si nécessaire. C'est la garantie contre les situations où l'ordinateur refuse, laissant les individus sans recours.

Ces piliers ne sont pas de simples suggestions ; ce sont des exigences obligatoires. Ils représentent un changement fondamental vers la responsabilisation, obligeant les développeurs et les déployeurs à prouver que leurs systèmes sont sûrs dès leur conception, et non par hasard.

La surveillance humaine, un élément non négociable

De toutes les exigences, la supervision humaine est sans doute la garantie la plus importante contre les préjudices causés par l'automatisation. L'objectif est de s'assurer qu'un système d'IA n'ait jamais le dernier mot, incontestable, sur une décision ayant un impact significatif sur une personne.

Cela implique d'intégrer des mécanismes réels et fonctionnels d'intervention humaine. Par exemple, une IA utilisée dans le recrutement qui rejette automatiquement le CV d'un candidat doit disposer d'un processus permettant à un responsable RH humain d'examiner et d'annuler cette décision. Il est essentiel de maintenir un humain informé, surtout lorsque les enjeux sont importants.

Le secteur public néerlandais offre un exemple éloquent de la complexité – et de l'importance – de ces règles. Selon l'institut de recherche TNO, l'administration publique néerlandaise a testé plus de 260 applications d'IA , mais seulement 2 % d'entre elles ont été déployées à grande échelle. Ce déploiement lent souligne la difficulté de passer des projets pilotes à des solutions conformes à la législation et utilisables à grande échelle.

Les autorités néerlandaises exigeant désormais des organismes publics qu'ils garantissent la maîtrise et la responsabilisation de leurs employés en matière d'IA, la pression pour mettre en place une surveillance rigoureuse s'accentue. Vous pouvez en savoir plus sur ces conclusions et sur les opportunités offertes par l'IA pour l'administration en ligne aux Pays-Bas. Cet exemple concret montre que, même avec une ambition élevée, les obstacles pratiques et juridiques pour les systèmes à haut risque sont considérables.

Comprendre l'application de la loi et la gouvernance

Connaître les règles de la loi européenne sur l'IA de 2025 est une chose, mais comprendre qui est chargé de les faire appliquer en est une autre. La loi instaure un système à deux niveaux afin de garantir une application uniforme des règles dans tous les États membres, évitant ainsi une mosaïque confuse d'approches nationales différentes.

Au sommet de la hiérarchie se trouve le Conseil européen de l'IA . Ce conseil est composé de représentants de chaque État membre et joue le rôle de coordinateur central. Il s'agit de l'organe qui veille à ce que tous partagent la même vision, publie des orientations et harmonise l'interprétation de la loi.

Sous l'égide du Conseil de l'IA, chaque pays doit désigner ses propres autorités nationales de surveillance . Ces autorités, chargées de l'application directe des règles, du contrôle et du traitement des questions de conformité sur leur territoire, sont les acteurs clés de la mise en œuvre de la réglementation. Elles constituent le principal interlocuteur des entreprises.

Acteurs clés de la gouvernance de l'IA

Cette structure est conçue pour allier cohérence de haut niveau et expertise locale et pratique. Si le Conseil européen de l'IA supervise la situation dans son ensemble, ce sont les autorités nationales qui géreront les aspects quotidiens de la surveillance du marché.

Les rôles clés sont répartis comme suit :

• Conseil européen de l'IA : Sa mission principale est de formuler des avis et des recommandations afin de garantir l'application uniforme de la loi partout dans le monde. Il constitue un organe consultatif essentiel auprès de la Commission européenne.
• Autorités nationales de surveillance : Ce sont les agents chargés de l'application de la loi. Ils sont chargés de vérifier la conformité des systèmes d'IA à la loi, d'enquêter sur toute violation présumée et d'infliger des sanctions si nécessaire.
• Organismes notifiés : Il s'agit d'organismes tiers indépendants. Les États membres les désignent pour réaliser des évaluations de conformité des systèmes d'IA à haut risque avant leur commercialisation ou leur mise en service.

Cela signifie que, même si les règles sont européennes, leur application est locale. Pour les entreprises néerlandaises, cela rapproche le processus réglementaire de leur pays. Cependant, l'approche néerlandaise est encore en cours de finalisation. Un rapport de novembre 2024 suggérait un modèle coordonné, l'Autorité néerlandaise de protection des données (APD) assumant la direction des opérations en tant que principal « superviseur du marché » pour l'IA à haut risque. D'autres organismes sectoriels surveilleraient ensuite l'IA dans des domaines tels que la santé et la sécurité des consommateurs. À la mi-2025, ces autorités n'avaient pas encore été officiellement nommées, ce qui crée une période d'incertitude réglementaire pour les entreprises.

Le coût élevé de la non-conformité

La loi sur l'IA est très contraignante. Les sanctions financières en cas d'infraction sont parmi les plus lourdes de toute réglementation technologique, faisant de la conformité une priorité absolue pour toute entreprise. Les amendes sont échelonnées, en fonction de la gravité de l'infraction.

Les sanctions sont conçues pour être « efficaces, proportionnées et dissuasives », ce qui fait qu’il est bien plus coûteux d’ignorer la loi que de s’y conformer.

Voici ce à quoi les entreprises pourraient être confrontées :

1. Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour avoir utilisé des applications d’IA interdites ou pour ne pas avoir respecté les exigences en matière de données pour les systèmes à haut risque.
2. Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial pour ne pas avoir respecté l’une quelconque des autres obligations prévues par la Loi sur l’IA.
3. Jusqu'à 7.5 millions d'euros ou 1.5 % du chiffre d'affaires annuel mondial pour avoir fourni des informations incorrectes ou trompeuses aux autorités.

Ces chiffres illustrent l'importance des enjeux. Pour une PME, une amende de cette ampleur pourrait être catastrophique. Elle ouvre également la voie à des litiges, un sujet que nous abordons plus en détail dans notre article sur les risques de contentieux numérique. En clair, les risques financiers et juridiques sont trop importants pour laisser la conformité au hasard.

L'échéance de 2025 pour la loi européenne sur l'IA approchant à grands pas, la simple compréhension de la théorie ne suffit plus. Il est temps de passer à l'action. Si la préparation à cette législation majeure peut sembler complexe, vous pouvez la décomposer en une série d'étapes claires et pratiques.

La clé est de considérer la conformité non pas comme un fardeau réglementaire, mais comme un avantage stratégique. En anticipant les évolutions, vous pouvez transformer ces exigences légales en un puissant levier pour instaurer la confiance profonde et durable que les clients exigent désormais. Cet état d'esprit proactif vous démarquera sur un marché où l'IA responsable devient rapidement incontournable.

Commencez avec un inventaire IA

On ne peut pas gérer ce qu'on n'a pas mesuré. Votre première étape consiste à dresser un inventaire complet de chaque système d'IA que votre entreprise utilise, développe ou envisage de déployer. Considérez cela comme votre carte de base, et elle doit être détaillée.

Cela va au-delà de la simple liste des noms de logiciels. Pour chaque système, vous devez documenter les informations clés afin d'avoir une vision claire de son rôle et de son impact potentiel.

Pour chaque outil d’IA de votre organisation, votre inventaire doit répondre aux questions suivantes :

• Quel est son but? Soyez précis. Automatise-t-il les requêtes du service client ou analyse-t-il les données de recrutement ?
• Qui est le fournisseur ? S'agit-il d'un produit standard d'un tiers ou de quelque chose que votre équipe a créé en interne ?
• Quelles données utilise-t-il ? Identifiez les types de données sur lesquels le système a été formé et ce qu’il traite dans ses opérations quotidiennes.
• Qui sont les utilisateurs ? Notez quels services ou individus spécifiques interagissent avec le système.

Cet audit initial vous apporte la clarté dont vous aurez besoin pour la phase la plus importante : l’évaluation des risques.

Effectuer une évaluation approfondie des risques

Une fois votre inventaire d'IA réalisé, l'étape suivante consiste à classer chaque système selon les quatre niveaux de risque définis par la Loi. Il s'agit de l'étape la plus cruciale du processus, car votre classification déterminera les obligations légales spécifiques auxquelles votre entreprise devra se conformer.

Adoptez une approche rigoureuse et évaluez chaque outil au regard des définitions de la loi. Ce nouveau chatbot marketing est-il simplement un outil de commodité à risque minimal ? Ou relève-t-il du risque limité , vous obligeant à la transparence quant à son utilisation ? Qu’en est-il du logiciel RH que vous utilisez pour la sélection des candidats : est-il considéré comme présentant un risque élevé ?

L'objectif ici n'est pas simplement de cocher une case. Il s'agit d'acquérir une compréhension approfondie et pratique de l'impact potentiel de votre utilisation de l'IA sur les individus et d'identifier précisément les axes prioritaires de vos efforts de conformité.

Cette classification doit être effectuée avec soin. Classer à tort un système à haut risque comme système à risque minimal pourrait entraîner de lourdes sanctions et, tout aussi dommageable, une perte totale de confiance des clients.

Effectuer une analyse des écarts

Une fois vos systèmes d'IA correctement classés, il est temps de procéder à une analyse des écarts. Il s'agit de comparer vos pratiques actuelles aux exigences spécifiques de chaque catégorie de risque. Pour tout système à haut risque identifié, cette analyse doit être particulièrement approfondie.

Créez une liste de contrôle basée sur les obligations à haut risque énoncées dans la Loi, comme la gouvernance des données, la documentation technique et la supervision humaine. Ensuite, examinez-la point par point et posez-vous des questions honnêtes :

• Avons-nous mis en place un système formel de gestion des risques pour cette IA en particulier ?
• Notre documentation technique est-elle suffisamment détaillée pour résister à un audit ?
• Existe-t-il des procédures claires et efficaces permettant à un humain d’intervenir et de superviser ses décisions ?

Les lacunes que vous découvrirez constitueront votre feuille de route de conformité. Il ne s'agit pas de trouver des failles, mais d'élaborer un plan clair et réalisable pour que votre organisation soit pleinement conforme aux nouvelles normes légales.

Constituez votre équipe de conformité

Enfin, n'oubliez pas que la conformité n'est pas une affaire de solitaire. Pour y parvenir efficacement, vous devez constituer une petite équipe pluridisciplinaire. Ce groupe doit réunir des personnes issues de différents secteurs de l'entreprise, chacune ayant une perspective unique.

Votre équipe idéale pourrait inclure des personnes de :

• Juridique : Interpréter les clauses juridiques spécifiques.
• Informatique et science des données : Fournir un aperçu technique du fonctionnement réel de ces systèmes d’IA.
• Opérations: Comprendre l’impact pratique et quotidien de l’utilisation de ces outils.
• Ressources Humaines: Surtout si vous utilisez l’IA dans le recrutement ou la gestion des employés.

En travaillant ensemble, cette équipe peut garantir que votre approche de la conformité est à la fois complète et pratique, transformant ce qui ressemble à un défi juridique complexe en un objectif commercial réalisable.

Votre plan d'action de conformité de l'IA

Comprendre le cadre juridique de l'intelligence artificielle dans l'UE (loi sur l'IA de 2025) ne signifie pas freiner le progrès, mais construire une innovation digne de confiance, centrée sur l'humain. Comme nous l'avons vu, cette loi est un cadre conçu pour une croissance responsable, et non un obstacle.

Son approche basée sur les risques permet de réserver la surveillance rigoureuse aux cas où elle est réellement nécessaire. Cela permet aux applications à faible risque de prospérer avec un minimum de frictions. En abordant cette réglementation de manière proactive, la conformité cesse d'être une corvée et devient un véritable avantage concurrentiel, gage de confiance durable pour les clients.

Le voyage commence maintenant. Attendre que les échéances approchent est risqué. En commençant dès aujourd'hui, vous pouvez intégrer la conformité à votre cycle de développement et en faire un élément naturel de votre processus, au lieu d'une course de dernière minute.

Le message principal de la loi sur l'IA est clair : préparation et responsabilité sont les fondements d'une IA fiable. En vous engageant dès maintenant dans la mise en conformité, vous ne vous contentez pas de satisfaire à une exigence légale ; vous investissez dans un avenir où votre technologie sera perçue comme sûre, fiable et éthique.

Considérez les étapes pratiques – de la création d'un inventaire des IA à la réalisation d'une analyse des écarts – comme votre feuille de route. Utilisez-les pour anticiper les évolutions et transformer ce changement juridique en une opportunité stratégique. Pour une meilleure compréhension du cadre plus large dans lequel cela s'inscrit, notre guide sur la conformité juridique et la gestion des risques pourrait vous être utile.

Il est temps de commencer votre évaluation, de constituer votre équipe et d’entrer en toute confiance dans l’avenir de l’IA réglementée.

Questions fréquemment posées

Concernant les nouvelles règles européennes en matière d'intelligence artificielle, de nombreuses questions pratiques se posent aux entreprises. Nous aborderons quelques-unes des questions les plus fréquentes concernant la loi sur l'IA de 2025, de la définition des « risques élevés » à ses implications pour les petites entreprises utilisant des outils tiers.

Qu’est-ce qu’un système d’IA à haut risque ?

En termes simples, un système d'IA à haut risque est tout système susceptible de représenter une menace sérieuse pour la santé, la sécurité ou les droits fondamentaux d'une personne. La loi définit plusieurs catégories spécifiques, notamment l'IA utilisée dans les infrastructures critiques comme les transports, les dispositifs médicaux et les systèmes de recrutement ou de gestion des employés.

Par exemple, un algorithme de tri de CV visant à présélectionner les candidats pour un entretien d'embauche est considéré comme à haut risque . Pourquoi ? Parce que ses décisions peuvent avoir un impact considérable sur la carrière et les moyens de subsistance d'une personne. De tels systèmes devront se soumettre à des évaluations de conformité rigoureuses avant même de pouvoir être commercialisés sur le marché de l'UE.

La loi sur l’IA affecte-t-elle ma petite entreprise si j’utilise uniquement des outils d’IA d’autres entreprises ?

Oui, c'est presque certain. Les règles de l'AI Act ne s'appliquent pas uniquement aux grandes entreprises technologiques qui développent l'IA. Si le « fournisseur » (l'entreprise qui crée l'IA) a la plus lourde charge de conformité, l'« utilisateur » (c'est-à-dire votre entreprise, lorsque vous déployez le système) a également des responsabilités claires.

Si vous utilisez un système à haut risque, il vous incombe de veiller à ce qu'il soit exploité conformément aux instructions du fournisseur, d'assurer une supervision humaine et de contrôler ses performances. Même pour un système à moindre risque, comme un chatbot de service client, vous avez une obligation de transparence : vous devez clairement indiquer aux utilisateurs qu'ils interagissent avec une intelligence artificielle.

Quelles sont les premières étapes que mon organisation doit suivre pour se préparer ?

La première étape la plus importante consiste à réaliser un inventaire détaillé de chaque système d'IA que votre organisation utilise actuellement ou envisage d'adopter. Considérez cet audit comme le fondement de votre stratégie de conformité.

Pour chaque système, il ne suffit pas d'en indiquer le nom. Il faut documenter sa finalité, puis le classer selon les catégories de risque définies par la loi sur l'IA : inacceptable, élevé, limité ou minimal.

Une fois les systèmes à haut risque identifiés, l'étape suivante consiste à réaliser une analyse des écarts. Cette analyse consiste à comparer vos pratiques actuelles aux exigences spécifiques de la loi en matière de gouvernance des données, de documentation technique et de supervision humaine. Il est essentiel de commencer ce processus dès maintenant, car la mise en conformité totale est un travail minutieux et chronophage.