Le 2 février 2025, les premières branches légales de la Loi sur l’intelligence artificielle de l’Union européenne sont entrées en vigueur. C’est à cette date que l’interdiction de la réglementation sur les pratiques d’IA inacceptables a commencé à s’appliquer, mettant en place le score social, la manipulation exploitative, le grattage d’images faciales non ciblées et l’identification biométrique à distance la plus réelle dans les espaces publics hors limites. Le 2 août 2025, une deuxième couche a été activée: les obligations de gouvernance et de transparence pour les modèles d’IA à usage général, ainsi que le calendrier fin. La prochaine étape est le 2 août 2026, lorsque la réglementation complète s’applique
Les premières mesures de conformité annoncées par les autorités européennes et nationales ne sont pas les amendes publiques dramatiques que les clauses pénales du règlement rendent faciles à imaginer. Ce sont des demandes formelles d'informations, des révisions de documentation, des priorités d'inspection publique et des contrôles d'enregistrement. Un fournisseur reçoit une lettre datée, une liste des catégories de documentation technique et un rappel que la fourniture d'informations incorrectes ou incomplètes comporte sa propre pénalité. Cette séquence est délibérée: la plus grande amende de l'article 99, jusqu'à 35 millions d'euros ou 7 pour cent du chiffre d'affaires annuel mondial total, ce qui est plus élevé, se trouve en haut d'
Un règlement basé sur les risques, pas une interdiction de couverture
La Loi sur l'IA divise les systèmes en quatre catégories: inacceptables, à haut risque, à risque limité et à risque minimal.La plupart des systèmes utilisés devraient tomber dans les bandes de risque faible et minimal.L'orientation de la Commission indique que les systèmes dans ces bandes font face à des tâches de transparence plutôt que la machine de conformité complète: un chatbot doit révéler qu'une machine répond, et les contrefaçons profondes doivent être étiquetées, mais le fournisseur n'est pas tenu d'effectuer une évaluation par un organisme notifié.
L’annexe III énumère des secteurs tels que la biométrie, les infrastructures critiques, l’éducation, l’emploi et la gestion des travailleurs, l’accès aux services publics et privés essentiels, l’application de la loi, la migration et le contrôle des frontières et l’administration de la justice.L’annexe I recense les systèmes d’IA utilisés comme composants de sécurité dans des produits tels que les dispositifs médicaux, les machines, les jouets et les ascenseurs.
Les pénalités qui attirent l’attention
Pour la mise sur le marché d’un système d’IA interdit, la Commission européenne et les autorités nationales peuvent poursuivre des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Pour la plupart des autres violations, y compris les violations de systèmes à haut risque, le plafond est de 15 millions d’euros ou 3 %. La fourniture d’informations incorrectes, incomplètes ou trompeuses aux autorités de réglementation se situe dans un troisième groupe allant jusqu’à 7,5 millions d’euros ou 1,5 %.
L'Office européen de l'IA coordonne l'application des modèles d'IA à usage général. Les autorités nationales de surveillance du marché appliquent les règles du produit au sein des États membres. L'agence de surveillance espagnole, AESIA, a été créée à A Coruña en 2023, avant l'adoption du texte final, et est l'un des organes nationaux qui reçoivent désormais des pouvoirs d'inspection et d'application. Le câblage institutionnel est important car une entreprise peut faire face à une demande d'information du Bureau de l'IA, à une enquête distincte d'une autorité nationale et à un rappel de produit dans un État membre individuel à partir du même modèle sous-jacent.
Quels sont les objectifs de la première vague d'exécution
Les fournisseurs de modèles d'IA à usage général doivent documenter la façon dont leurs modèles ont été formés, y compris un résumé du contenu utilisé pour la formation et une politique de conformité avec le droit d'auteur de l'UE.Le bureau européenLa première vague d’action se concentre là : les demandes de documentation technique, les clarifications sur la gouvernance des données et les vérifications de l’enregistrement des fournisseurs dans la base de données pertinente de l’UE.
Pour les systèmes à haut risque, l'application ressemblera davantage à la conformité des produits traditionnels.Un modèle à haut risque utilisé dans le tri du recrutement, le classement des examens ou le tri médical doit porter la documentation de gestion des risques, les journaux techniques, les mesures de surveillance humaine et une évaluation de la conformité avant de pouvoir porter le marquage CE.Les autorités nationales de surveillance du marché peuvent suspendre un système ou ordonner son retrait pendant qu'une évaluation est en cours.Texte intégral du règlement (UE) no 2024/1689Chacune de ces étapes est évoquée et la CommissionPage d’application de l’ActSuivez le timeline.
La falaise d'août 2026 et la sculpture de 2027
Les organisations qui ont attendu la date limite découvrent que la compilation de la documentation requise pour même un système de production n’est pas un exercice de deux semaines.La sculpture est plus étroite qu’elle ne le semble: les systèmes d’IA déjà réglementés en tant que composants de sécurité en vertu de la législation de l’UE en vigueur sur les produits, tels que les dispositifs médicaux et les machines, reçoivent un an supplémentaire, jusqu’au 2 août 2027.
La même distinction apparaît dans les débats actuels sur le contrôle des exportations. les restrictions sur les puces d'IA obligent les entreprises à suivre quels modèles peuvent être formés où, un fardeau de conformité parallèle aux droits de documentation en vertu de la Loi sur l'IA.États-Unis-Chine restrictions sur les exportations de puces d'IAet leLe contrôle des dépenses de capital frappe la grande infrastructure d'IALe .
Ce que cela signifie pour les équipes qui construisent ou déploient l'IA
Un produit de premier plan chez un fournisseur allemand de dispositifs médicaux, appelé Dr. M, a passé huit semaines à cartographier chaque modèle de production contre les règles de classification de la Loi. Trois de ses onze modèles se trouvaient à l'intérieur de l'annexe I en tant que composants de sécurité et n'avaient jamais fait l'objet d'une évaluation par un organisme notifié. Elle avait traité le 2 août 2027 comme une préoccupation lointaine.
L’exception est assez commune, cependant, parce que les composants de sécurité se cachent à l’intérieur des produits existants et parce que certains fournisseurs de modèles à usage général n’ont pas encore l’habitude de documenter.Ce que les régulateurs annoncent n’est pas une campagne contre l’IA en général; c’est une campagne contre les risques non documentés.
La première étape pratique est un inventaire. Listez tous les systèmes d'IA et les modèles à usage général que votre organisation construit, achète ou intègre. Classez chacun contre la liste des pratiques interdites et les deux itinéraires à haut risque. Vérifiez si le fournisseur a déposé la documentation technique et, le cas échéant, enregistré le système. Faites-le avant la fin du mois, alors que les autorités envoient toujours des lettres plutôt que d'imposer des amendes.
Photo by Guillaume Périgois on Unsplash