Partie 7 · IA responsable
Les lois qui encadrent l'IA
Avertissement du cours : cette formation détaille des lois et cadres sans constituer des conseils juridiques ; les informations étaient à jour au 25 février 2026 (certaines au 19 juin 2026). En cas de doute, consulte un avocat.
3.1 Les lois
Union européenne
- AI Act (RIA en français) : première loi IA au monde, applicable depuis février 2025 selon le cours, mais pas encore pleinement appliquée en France, sauf la partie sur les modèles à usage général (voir plus bas).
- RGPD : s'applique à l'IA dès qu'il y a des données personnelles.
- DSA (Digital Services Act) : tient les plateformes numériques responsables des contenus qu'elles hébergent.
- NIS 2 : directive de cybersécurité, à croiser avec l'AI Act.
Le focus AI Act : quatre catégories de risque
| Catégorie | Exemples du cours |
|---|---|
| Inacceptable (interdit) | manipulation délibérée, notation sociale, profilage criminel, reconnaissance faciale collectée en masse, identification biométrique en temps réel dans la rue |
| Haut | infrastructures critiques (eau), éducation, services essentiels (banque), immigration, composants de sécurité (freinage), emploi (recrutement, licenciement, formation). Usages à déclarer dans le registre européen ; obligations pleinement applicables le 02/12/2027 |
| Limité | IA générative, chatbots, deepfakes (obligations de transparence) |
| Minime | tout le reste |
Il n'existe pas de catégorie « modérée » : les quatre sont inacceptable, haut, limité, minime. Deux rôles principaux : fournisseurs (qui créent et mettent sur le marché : OpenAI, Google, Microsoft) et déployeurs (qui achètent et intègrent : le chatbot d'une banque).
Questions à se poser pour classer son système : est-il explicitement interdit ? pourrait-il manipuler à l'insu des utilisateurs ? a-t-il un impact significatif sur la vie d'individus ? traite-t-il des données biométriques ou sensibles ? décide-t-il sans intervention humaine ? est-il utilisé dans un domaine réglementé (énergie, transport, sécurité, RH) ? s'adresse-t-il à des personnes vulnérables ? Un « oui » à l'une de ces questions invite à la prudence.
Vérifie que tu as compris
Les modèles à usage général (GPAI) : déjà appliqués
Les GPAI (General-Purpose AI, les LLM généralistes) sont par défaut à « risque limité », mais peuvent être considérés à haut risque s'ils présentent des risques systémiques : capacités d'impact élevées, ou modèle plus grand que GPT-4 (mars 2023).
- Art. 53 : tous les fournisseurs de GPAI établissent et tiennent à jour une documentation technique (exception : les modèles open source, sauf risque systémique).
- Art. 55 : les GPAI à risque systémique doivent en plus tester pour atténuer ce risque et suivre le Code de pratique (Art. 56), avec des rapports réguliers à l'AI Office.
- Code de pratique GPAI : signé par tous les leaders de l'IA sauf Meta, et xAI qui n'a signé que le volet sécurité. L'AI Office peut demander des informations, retirer un modèle non conforme, infliger des pénalités (3 % du chiffre d'affaires ou 15 millions d'euros au minimum).
Astuce du cours : vérifier si ton fournisseur IA a signé ce Code de pratique.
Vérifie que tu as compris
Asie
- Corée du Sud : Basic AI Act, contrôle de l'accès aux marchés et des conditions de déploiement ; premier pays où une loi IA est pleinement appliquée.
- Taïwan : AI Basic Act (début 2026), 7 principes : impacts environnementaux et sociaux, autonomie humaine, confidentialité, sécurité, transparence et explicabilité, équité, responsabilisation.
- Chine : projet de lois sur les chatbots parmi les plus strictes au monde, qui exige par exemple l'intervention humaine dès qu'un chatbot rencontre le mot « suicide ».
États-Unis
- America's AI Action Plan : zéro réglementation de l'IA souhaitée par l'administration Trump (y compris au niveau des États).
- Lois fédérales : DEFIANCE Act (vise les créateurs et hébergeurs de deepfakes sexuels, voté par le Sénat en janvier 2026) et Take It Down Act (plateformes, en vigueur depuis 2025).
- Californie : TFAIA (Transparency in Frontier AI Act), première loi américaine à réguler les créateurs de modèles « frontier » (référentiels publics sur la gestion des risques, remontée rapide d'incidents critiques, protection des lanceurs d'alerte) ; SB 243 (garde-fous des chatbots, droit des familles à poursuivre en justice) ; SB 687 (projet : interdire l'IA dans les jouets d'enfants).
- New York : RAISE Act (rapports pour limiter les dégâts critiques des modèles frontier), S8420A (déclaration de tout contenu avec un acteur virtuel IA).
Vérifie que tu as compris
France : sans attendre l'AI Act
Avant de déployer tout système IA, chaque employeur doit :
- consulter le CSE en amont ;
- constituer un dossier substantiel (fonctionnalités, populations ciblées, impact sur les tâches, données traitées, garde-fous) ;
- vérifier la conformité au RGPD ;
- former les équipes : obligatoire d'après l'article 4 de l'AI Act depuis le 2 février 2025 (la « culture IA » est une obligation de conformité, pas une bonne pratique).
Risque : déploiement suspendu et astreinte de 1 000 euros par jour (article L2312-8 du Code du travail, confirmé par la Cour d'appel de Paris le 21/05/26).