Entrée en vigueur progressive de l'AI Act : obligations clés et échéances

L’Artificial Intelligence Act (AI Act) européen, adopté pour encadrer le développement et l’utilisation des systèmes d’intelligence artificielle, entre progressivement en vigueur avec des obligations spécifiques selon le niveau de risque des systèmes concernés. Ce cadre réglementaire, fondé sur une approche de gestion des risques, impose des mesures strictes en matière de protection des données, de cybersécurité et de conformité pour les acteurs du marché.

Gouvernance des données et protection des individus

L’AI Act introduit des obligations renforcées en matière de gouvernance des données pour les systèmes d’IA classés comme « à haut risque » (Annexe III). Ces systèmes doivent reposer sur des données pertinentes, exactes et représentatives, afin de garantir leur fiabilité et leur conformité aux exigences réglementaires. Par ailleurs, le texte interdit explicitement certaines pratiques, telles que :

• La manipulation comportementale cognitive ;
• Le scraping non ciblé d’images faciales sur internet ;
• Les systèmes de notation sociale ;
• La catégorisation biométrique permettant d’inférer des données sensibles (orientation sexuelle, convictions religieuses, etc.) ;
• Certaines formes de police prédictive appliquée aux individus.

Cybersécurité et résilience des systèmes

Les systèmes d’IA à haut risque doivent être conçus pour garantir un niveau approprié de précision, de robustesse et de cybersécurité. Le texte impose notamment des exigences de résilience face aux tentatives de détournement ou de corruption, incluant :

• La protection contre la manipulation des jeux de données ;
• La prévention des entrées conçues pour induire des erreurs ;
• La sécurisation contre les failles de modèle ou les attaques par empoisonnement ;
• La protection de la confidentialité des données.

Conformité et obligations pour les acteurs du marché

L’AI Act impose aux entreprises développant ou commercialisant des systèmes d’IA à haut risque de se conformer à un ensemble d’obligations, notamment :

• La réalisation d’une évaluation de conformité avant la mise sur le marché ;
• L’enregistrement des activités liées à ces systèmes auprès des autorités compétentes ;
• La tenue d’une documentation technique permettant de démontrer la conformité aux exigences ;
• La mise en place de mécanismes permettant aux individus de déposer des réclamations en cas de non-respect des règles.

Calendrier d’application et sanctions

L’entrée en vigueur de l’AI Act s’échelonne sur plusieurs années, avec des échéances différenciées selon les dispositions :

• Les mesures relatives à la gouvernance des données et à la cybersécurité entrent en vigueur le 2 août 2026 pour la majorité des systèmes, à l’exception des systèmes à haut risque définis à l’Article 6(1), dont les obligations s’appliquent à compter du 2 août 2027 ;
• Les exigences en matière d’évaluation de conformité et d’enregistrement des activités pour les systèmes à haut risque prennent effet le 2 août 2026, avec une application complète pour ces systèmes à partir du 2 août 2027.

En cas de non-respect des obligations, l’AI Act prévoit des sanctions financières proportionnelles, calculées en pourcentage du chiffre d’affaires mondial de l’entreprise concernée. Les montants des amendes sont échelonnés selon la gravité des manquements :

• Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les applications d’IA interdites ;
• Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les violations des obligations prévues par le texte ;
• Jusqu’à 7,5 millions d’euros ou 1,5 % du chiffre d’affaires mondial pour la fourniture d’informations incorrectes.

Source : Digital https://digitalpolicyalert.org/