Les retards s'accumulent sur la mise en œuvre du règlement européen sur l'IA

L'AI Act européen est entré en vigueur le 1^er août 2024 mais son application passe par une série d'étapes qui s'échelonnent jusqu'en 2027. À la date de juin 2025, plusieurs dispositions sont pleinement opérationnelles mais les retards s'accumulent, générant des incertitudes tant pour les utilisateurs que pour les concepteurs d'IA.

Les IA à risque inacceptable interdites

Depuis le 2 février 2025, les systèmes d'IA présentant des risques inacceptables sont interdites (article 5 de l'AI Act). Cet article a fait l'objet de lignes directrices, publiées deux jours après l'échéance du 2 février, clarifiant les pratiques interdites. Celles-ci incluent les systèmes utilisant des techniques manipulatrices ou subliminales, exploitant des vulnérabilités liées à l'âge ou au handicap, ou procédant à une classification biométrique des personnes physiques. Cet épais document de 110 pages précise notamment les conditions - limitées à des individus et des périmètres précis pour une liste limitative de crimes - dans lesquelles les forces de l'ordre peuvent déroger à l'interdiction de la reconnaissance faciale en temps réel dans l'espace public.

Les organisations doivent par ailleurs cartographier leurs obligations en fonction du type d'IA utilisé, du niveau de risque associé et de leur statut de fournisseur ou déployeur de système d'IA. Elles doivent aussi s'assurer que leurs équipes disposent d'un niveau suffisant de connaissances en matière d'IA. Cette obligation de formation – le règlement parle de "littéracie" expliquée ici - vise à garantir une utilisation responsable et éclairée des systèmes d'intelligence artificielle dans les organisations.

Consultation sur les IA à haut risque

La Commission européenne a par ailleurs lancé le 6 juin une consultation sur les systèmes d'IA à haut risque. Il s'agit de systèmes affectant des domaines sensibles susceptibles d'avoir un impact sur la santé, la sécurité ou les droits fondamentaux. Ces systèmes seront soumis à des obligations strictes qui s'appliqueront pleinement à partir d'août 2026.

Les collectivités et services publics sont concernés par cette réglementation qui intègre les IA servant à piloter les réseaux énergétiques, de transport ou de télécommunications ou encore les algorithmes d'attribution d'aides sociales, de logements publics ou d'évaluation des prestations sociales. Les outils de recrutement et les systèmes d'évaluation automatisée ou d'orientation scolaire seront également concernées.

La réglementation va imposer une surveillance humaine effective, des garanties de transparence pour les usagers et les systèmes devront respecter des normes strictes en matière de cybersécurité. La consultation, ouverte jusqu'au 18 juillet 2025, vise à mieux cerner les dispositifs concernés, à identifier les défis opérationnels et les besoins de clarification. Une proposition de cadre est annoncée par la Commission pour fin 2025.

Retards sur le code de bonne conduite

Le code de bonnes pratiques pour les modèles d'IA à usage général – dont font partie les IA génératives - qui devait initialement être publié en mai 2025, a été repoussé à l'été, sachant qu'il est censé entrer en vigueur le 2 août 2025. Ce code impose aux modèles à portée systémique des obligations de transparence, des règles relatives au droit d'auteur et, pour les modèles les plus avancés, des exigences d'évaluation et d'atténuation des risques. Les discussions butent sur le sujet sensible de la rémunération des auteurs et le souhait de certains pays européens de ne pas surcharger d'obligations leurs startups de l'IA. Les menaces de taxation des États-Unis en cas de règles trop strictes pour les entreprises américaines pèsent également dans ces négociations.

La Commission a également pris du retard dans l'élaboration des standards techniques des IA. Les autorités normatives européennes ont annoncé que les travaux initialement prévus pour août 2025 ne seront finalisés qu'en 2026.

Autorités nationales manquantes

À deux mois de l'échéance du 2 août 2025, plus de la moitié des États membres de l'UE, dont la France, n'ont enfin pas encore désigné l'autorité nationale chargée de superviser la mise en œuvre de l'AI Act. En France, on sait que la Cnil s'est positionnée pour exercer cette mission, une offre de service restée sans écho du côté du gouvernement. 

La multiplication de ces retards a conduit la Commission à émettre l'idée de dispositions transitoires voire d'un "arrêt des chronomètres" selon le média MLex ; certains États comme la Pologne demandant même une "suspension" voire une révision de l'IA Act.