L'AI Act, règlement européen sur l'IA (UE) 2024/1689, est la norme européenne qui régule le développement et l'utilisation de l'intelligence artificielle. Il est entré en vigueur le 1er août 2024 et s'applique par étapes. Il est d'application directe dans tous les États membres, sans qu'une loi nationale soit nécessaire, bien que chaque pays désigne son autorité ; en Espagne, il s'agit de l'AESIA.
Une approche par le risque
- Interdit : les pratiques telles que la notation sociale ou la manipulation subliminale. S'applique depuis février 2025.
- Haut risque : les systèmes qui affectent la santé, la sécurité ou les droits fondamentaux (recrutement, crédit, éducation, infrastructures…). Ils exigent une gestion des risques, de la documentation, un enregistrement, la qualité des données et un contrôle humain.
- Risque limité : des obligations de transparence, comme le fait de signaler que l'on interagit avec une IA ou qu'un contenu est synthétique.
- Risque minimal : la majorité des usages ; sans obligations spécifiques.
Les modèles d'intelligence artificielle à usage général (GPAI) ont leur propre chapitre, avec des obligations à partir d'août 2025.
Ce qui concerne déjà toutes les entreprises
Depuis février 2025, l'article 4 oblige les fournisseurs et les utilisateurs d'IA à garantir un niveau suffisant de maîtrise de l'IA parmi leur personnel. Les obligations relatives aux systèmes à haut risque s'appliqueront à partir d'août 2026, et celles relatives aux produits réglementés à partir d'août 2027. Les sanctions peuvent atteindre jusqu'à 7 % du chiffre d'affaires mondial pour les infractions les plus graves.
En pratique, pour une PME, le règlement se traduit par trois habitudes : savoir quels systèmes d'IA elle utilise et pour quoi faire, former les personnes qui les exploitent et placer une personne aux commandes des actions importantes (human in the loop).