Points clés : Pratiques d'IA interdites par le règlement européen sur l'IA
L'article 5 du règlement européen sur l'IA interdit purement et simplement huit catégories de pratiques d'IA, leur application étant active depuis le 2 février 2025. Les sanctions atteignent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le palier le plus élevé du règlement. Les équipes de conformité doivent inventorier tous leurs systèmes d'IA (y compris les outils de fournisseurs tiers), confronter chacun d'eux à la liste des pratiques interdites et documenter leurs évaluations avant que les autorités de contrôle ne réclament des preuves. Des plateformes hébergées en Suisse comme Priverion aident les organisations multi-entités à centraliser ce processus dans toutes leurs filiales.
Qu'est-ce que le règlement européen sur l'IA ?
Le règlement européen sur l'IA (règlement (UE) 2024/1689) est le premier cadre juridique complet au monde pour l'intelligence artificielle. Il a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Le règlement adopte une approche fondée sur les risques, classant les systèmes d'IA en quatre catégories : interdits, à haut risque, à risque limité et à risque minimal. Source : EUR-Lex, règlement (UE) 2024/1689
Qu'interdit l'article 5 du règlement européen sur l'IA ?
L'article 5 du règlement européen sur l'IA établit une interdiction absolue de huit catégories de pratiques d'IA considérées comme présentant des risques inacceptables pour les droits fondamentaux. Il s'agit : (a) des techniques subliminales, manipulatrices ou trompeuses entraînant un préjudice important ; (b) de l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique ; (c) de la notation sociale par les autorités publiques ; (d) de la police prédictive fondée uniquement sur le profilage ; (e) de la collecte non ciblée d'images faciales en vue de constituer des bases de données de reconnaissance faciale ; (f) de la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement ; (g) des systèmes de catégorisation biométrique déduisant des attributs sensibles tels que l'origine ethnique, les opinions politiques ou l'orientation sexuelle ; et (h) de l'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sous réserve d'exceptions limitées. Source : règlement européen sur l'IA, article 5(1)(a) à (h)
Quand les dispositions relatives aux pratiques interdites sont-elles entrées en vigueur ?
Les pratiques interdites prévues à l'article 5 sont devenues applicables le 2 février 2025, six mois après l'entrée en vigueur du règlement, comme le précise l'article 113 du règlement européen sur l'IA. Il s'agissait de la première échéance d'application. Les obligations relatives aux systèmes d'IA à haut risque suivront le 2 août 2026. Source : règlement européen sur l'IA, article 113
Quelles sont les sanctions en cas de pratiques d'IA interdites ?
En vertu de l'article 99(3) du règlement européen sur l'IA, les violations des dispositions relatives aux pratiques interdites sont passibles d'amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. À titre de comparaison, l'amende maximale prévue par le RGPD est de 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Selon l'IAPP, la structure de sanctions du règlement sur l'IA est la plus sévère de toutes les réglementations numériques de l'UE à ce jour.
Le règlement européen sur l'IA s'applique-t-il en dehors de l'Union européenne ?
Oui. L'article 2 du règlement européen sur l'IA a une portée extraterritoriale. Il s'applique aux fournisseurs qui mettent des systèmes d'IA sur le marché de l'UE, quel que soit leur lieu d'établissement, ainsi qu'aux déployeurs situés au sein de l'UE. Il couvre également les fournisseurs et déployeurs de pays tiers lorsque les résultats produits par leur système d'IA sont utilisés au sein de l'UE. Cela reflète la portée extraterritoriale du RGPD prévue à son article 3. Source : règlement européen sur l'IA, article 2
Comment le règlement européen sur l'IA s'articule-t-il avec le RGPD ?
Le règlement européen sur l'IA et le RGPD s'appliquent simultanément. Le considérant 10 du règlement sur l'IA précise explicitement que celui-ci s'applique « sans préjudice » du RGPD. Les systèmes d'IA qui traitent des données à caractère personnel doivent respecter les deux cadres. Le Comité européen de la protection des données (CEPD) a souligné que les analyses d'impact relative à la protection des données (AIPD) prévues à l'article 35 du RGPD et les évaluations de la conformité du règlement sur l'IA pour les systèmes à haut risque peuvent se recouper, et que les organisations devraient coordonner ces deux processus.
Quelle est la différence entre les systèmes d'IA interdits et les systèmes d'IA à haut risque ?
Les systèmes d'IA interdits (article 5) sont prohibés purement et simplement : il n'existe aucune voie de mise en conformité permettant leur déploiement. Les systèmes d'IA à haut risque (articles 6 à 49) sont autorisés mais soumis à de nombreuses obligations, notamment des évaluations de la conformité, des systèmes de gestion des risques, une gouvernance des données, une documentation technique, un contrôle humain, des exigences de transparence et un enregistrement dans la base de données de l'UE. L'annexe III de la Commission européenne énumère les cas d'usage spécifiques classés à haut risque.
Comment les organisations doivent-elles évaluer leur inventaire d'IA au regard des pratiques interdites ?
Les équipes de conformité devraient : (1) créer un registre d'IA centralisé recensant chaque système d'IA déployé dans l'organisation, y compris les outils de fournisseurs tiers ; (2) confronter chaque système aux huit catégories de pratiques interdites de l'article 5 ; (3) réaliser des évaluations des risques pour les systèmes situés dans les zones grises entre l'interdiction et le haut risque ; (4) documenter toutes les évaluations avec des preuves prêtes pour l'audit ; et (5) mettre en place des processus de surveillance continue, en particulier pour les IA fournies par des tiers et intégrées aux plateformes RH, de sécurité et de relation client. Selon une enquête menée en 2024 par l'IAPP, moins de 30 % des organisations avaient achevé un inventaire complet de leurs IA au moment de l'entrée en vigueur des dispositions relatives aux pratiques interdites.
Statistiques et sources
Le règlement européen sur l'IA (règlement 2024/1689) a été publié le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Les dispositions relatives aux pratiques interdites prévues à l'article 5 sont devenues applicables le 2 février 2025. Les amendes maximales pour les violations des pratiques interdites atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial en vertu de l'article 99(3). Le règlement classe les systèmes d'IA en quatre catégories de risque. Selon le CEPD, les autorités de contrôle nationales sont censées coordonner leur action répressive avec les autorités de protection des données. L'Agence de l'Union européenne pour la cybersécurité (ENISA) a publié des orientations sur les exigences de cybersécurité applicables à l'IA, qui recoupent les obligations de documentation technique du règlement sur l'IA pour les systèmes à haut risque.
Comparaison : paliers de sanction du règlement européen sur l'IA
| Catégorie d'infraction | Amende maximale | Pourcentage du chiffre d'affaires | Article du règlement sur l'IA |
|---|
| Pratiques d'IA interdites (article 5) | 35 millions d'euros | 7 % du chiffre d'affaires annuel mondial | Article 99(3) |
| Obligations relatives aux systèmes d'IA à haut risque | 15 millions d'euros | 3 % du chiffre d'affaires annuel mondial | Article 99(4) |
| Informations inexactes fournies aux autorités | 7,5 millions d'euros | 1 % du chiffre d'affaires annuel mondial | Article 99(5) |
Comparaison : règlement européen sur l'IA vs. RGPD
| Aspect | Règlement européen sur l'IA | RGPD |
|---|
| Champ d'application | Systèmes d'IA (fondé sur les risques) | Traitement des données à caractère personnel |
| Amende maximale | 35 M€ / 7 % du chiffre d'affaires | 20 M€ / 4 % du chiffre d'affaires |
| Portée extraterritoriale | Oui (article 2) | Oui (article 3) |
| Début de l'application | Févr. 2025 (interdites) ; août 2026 (haut risque) | Mai 2018 |
| Analyse d'impact | Évaluation de la conformité (haut risque) | AIPD (article 35) |
| Obligation d'enregistrement | Base de données de l'UE pour les IA à haut risque | Pas de registre central |
