AI Act : les pratiques interdites s’appliquent depuis le 2 février 2025
Première échéance concrète du règlement européen sur l'intelligence artificielle : depuis dimanche, huit pratiques sont interdites, et l'obligation de former les équipes s'applique. Ce qui est visé, et ce qui ne l'est pas.
Beaucoup d’organisations ont lu la liste des pratiques interdites par le règlement européen sur l’intelligence artificielle en se disant qu’elle concernait les autres : les régimes autoritaires, les plateformes géantes, la science-fiction. C’est vrai pour une partie de la liste. Pour une autre, la frontière passe plus près des usages courants qu’on ne le pense, notamment dans les ressources humaines, l’éducation et la relation client. Depuis hier, dimanche 2 février 2025, les interdictions de l’AI Act s’appliquent.
Ce qui s’applique, et ce qui attend
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Son article 5, qui dresse la liste des pratiques interdites, s’applique depuis le 2 février 2025, tout comme son article 4, qui impose aux fournisseurs et aux déployeurs de veiller à un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes en leur nom.
Le régime des sanctions, lui, s’appliquera à partir du 2 août 2025, date à laquelle les États membres doivent avoir désigné leurs autorités. Les amendes prévues pour les pratiques interdites sont les plus élevées du texte : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Ce décalage n’est pas un délai de grâce : la pratique est interdite dès aujourd’hui, et rien ne permet de compter sur une tolérance pour un usage qui se poursuivrait au-delà de l’été.
Les huit pratiques interdites
| Pratique | Où elle peut surgir sans qu’on y pense |
|---|---|
| Techniques subliminales, manipulatrices ou trompeuses causant un préjudice important | Interfaces conçues pour pousser à un achat ou à un engagement contre l’intérêt de la personne |
| Exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique | Ciblage commercial de personnes âgées ou surendettées |
| Notation sociale entraînant un traitement défavorable injustifié | Scores combinant des comportements sans lien avec la décision prise |
| Prédiction du risque d’infraction fondée uniquement sur le profilage ou les traits de personnalité | Outils de « détection » de comportements à risque sans faits objectifs |
| Constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images | Achat de services d’identification bâtis sur des images collectées en ligne |
| Reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement | Analyse du « ressenti » en entretien d’embauche, en réunion ou en cours à distance |
| Catégorisation biométrique déduisant l’origine, les opinions, l’orientation sexuelle ou la religion | Analyse d’images de clientèle à des fins de segmentation |
| Identification biométrique à distance en temps réel dans l’espace public à des fins répressives | Hors exceptions strictement encadrées par le texte |
Chaque interdiction comporte des conditions et, pour certaines, des exceptions : la reconnaissance des émotions reste possible pour des raisons médicales ou de sécurité, par exemple. Le texte prévoit que la Commission publie des lignes directrices pour préciser ces contours ; elles sont attendues et seront utiles pour les cas limites.
Des outils de visioconférence, de recrutement ou de formation proposent des fonctions d’analyse du ton, de l’engagement ou de l’humeur des participants. Utilisées sur des salariés ou des élèves, elles relèvent désormais d’une pratique interdite. Le fait que la fonction soit fournie par un éditeur ne protège pas l’organisation qui l’active.
Une vérification en quelques jours
Il ne s’agit pas encore de la conformité complète au règlement, dont l’essentiel des obligations s’appliquera le 2 août 2026. Il s’agit de s’assurer qu’aucun usage en cours ne tombe sous le coup de l’article 5, et de documenter cette vérification.
- Lister les systèmes d’IA utilisés, y compris les fonctions intégrées à des logiciels achetés (ressources humaines, visioconférence, relation client, vidéosurveillance).
- Pour chacun, vérifier s’il analyse des émotions, des caractéristiques biométriques ou des comportements pour noter des personnes.
- Désactiver ou suspendre toute fonction douteuse en attendant une analyse juridique, et consigner la décision.
- Lancer un premier programme de sensibilisation des équipes concernées, pour répondre à l’obligation de maîtrise de l’IA.
La trace de ces décisions compte autant que les décisions elles-mêmes : qui a vérifié, quand, et sur quelle base. C’est ce que permet notre produit Gouvernance. Notre expertise cybersécurité et conformité accompagne l’inventaire et la qualification des usages au regard du règlement.
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (règlement sur l’intelligence artificielle), articles 4, 5, 99 et 113, Journal officiel de l’Union européenne, 12 juillet 2024.
À lire ensuite
Tout notes de veille
Notes de veilleDORA s’applique : les cinq piliers de la résilience numérique financièreLe règlement européen sur la résilience opérationnelle numérique du secteur financier s'applique depuis aujourd'hui. Cinq piliers, une responsabilité qui remonte… · 4 min
Guides de décisionSauvegardes : la règle 3-2-1-1-0 expliquée et appliquéeTrois copies, deux supports, une hors site : la règle de sauvegarde 3-2-1 a été pensée avant les rançongiciels. Ses deux… · 6 min
Notes de veilleLe Cyber Resilience Act entre en vigueur : ce que les fabricants doivent préparerLe règlement européen sur la cyberrésilience entre en vigueur aujourd'hui. Ses obligations s'échelonnent jusqu'en décembre 2027, mais le premier rendez-vous,… · 4 min