La loi sur l'IA de l'UE régule les systèmes d'IA en fonction du niveau de risque. Ici, le risque fait référence à la probabilité et à la gravité des dommages potentiels. Parmi les dispositions les plus importantes, on trouve :

• une interdiction de certaines pratiques d'IA considérées comme présentant un risque inacceptable,
  
  
• des normes pour le développement et le déploiement de certains systèmes d’IA à haut risque,
  
  
• des règles pour les modèles d'IA à usage général (GPAI).

Les systèmes d'IA qui ne relèvent d'aucune des catégories de risque définies dans la loi sur l'IA de l'UE ne sont pas soumis aux exigences de cette loi (ces systèmes sont souvent classés dans la catégorie « risque minimal »), bien que certains puissent devoir respecter des obligations de transparence et se conformer à d'autres lois existantes.  Parmi les exemples, citons les filtres anti-spam dans les e-mails et les jeux vidéo. De nombreuses utilisations courantes de l’IA entrent aujourd’hui dans cette catégorie. 

Il convient de noter que de nombreux détails de mise en œuvre de la loi sur l’IA de l’UE sont encore en cours de finalisation. Par exemple, la loi indique que la Commission européenne publiera de nouvelles directives sur les exigences telles que les plans de surveillance après la mise sur le marché et les résumés des données d’entraînement.

La loi sur l'IA de l'UE liste explicitement certaines pratiques d'IA interdites, jugées comme présentant un niveau de risque inacceptable. Par exemple, le développement ou l'utilisation d'un système d'IA qui manipule intentionnellement les personnes pour les amener à faire des choix préjudiciables qu'elles ne feraient pas autrement est jugé par la loi comme présentant un risque inacceptable pour les utilisateurs, et constitue une pratique d'IA interdite.

La Commission européenne est susceptible de modifier la liste des pratiques interdites figurant dans la loi, de sorte qu'il est possible que d'autres pratiques d'IA soient interdites à l'avenir.

 Une liste partielle des pratiques d'IA interdites au moment de la publication de cet article comprend :

• Les systèmes d’évaluation sociale – systèmes qui évaluent ou classent les personnes sur la base de leur comportement social, conduisant à un traitement défavorable ou préjudiciable dans des contextes sociaux sans rapport avec le contexte initial de collecte des données, ou à un traitement disproportionné ou injustifié par rapport à la gravité de leur comportement social
  
  
• Les systèmes de reconnaissance des émotions au travail et dans les institutions éducatives, sauf lorsque ces outils sont utilisés à des fins médicales ou de sécurité
  
  
• Les systèmes d'IA utilisés pour exploiter les vulnérabilités des personnes (par exemple, les vulnérabilités dues à l'âge ou au handicap)
  
  
• L’extraction non ciblée d'images faciales sur l'Internet ou de séquences de vidéosurveillance pour créer des bases de données de reconnaissance faciale
  
  
• Les systèmes d'identification biométrique qui identifient les individus en fonction de caractéristiques sensibles
  
  
• Certaines applications de police prédictive
  
  
• L'utilisation par les forces de l'ordre de systèmes d'identification biométrique à distance en temps réel dans les lieux publics (sauf exception, avec une autorisation préalable par une autorité judiciaire ou administrative indépendante généralement requise).

La loi sur l'IA de l'UE définit des règles distinctes pour les modèles d'IA à usage général (GPAI). Les fournisseurs de modèles GPAI auront notamment les obligations suivantes :

• Établir des politiques pour se conformer aux lois européennes sur le droit d’auteur
  
  
• Rédiger et mettre à la disposition du public des résumés détaillés des jeux de données d’entraînement.

Si un modèle GPAI est classé comme posant un risque systémique, les fournisseurs auront des obligations supplémentaires. Le risque systémique est un risque spécifique aux capacités à fort impact des modèles GPAI qui ont un impact significatif sur le marché de l'UE en raison de leur portée ou des effets négatifs actuels ou raisonnablement prévisibles sur la santé publique, la sécurité, la sécurité publique, les droits fondamentaux ou la société dans son ensemble, qui peuvent être propagés à grande échelle sur la chaîne de valeur. La loi utilise les ressources d’entraînement comme l'un des critères pour identifier le risque systémique. Si la puissance de calcul cumulée utilisée pour entraîner un modèle est supérieure à 1 025 opérations en virgule flottante (FLOP), il est considéré comme ayant des capacités à fort impact et présente un risque systémique. De plus, il est possible pour la Commission européenne de classer un modèle dans la catégorie des modèles présentant un risque systémique. 

Les fournisseurs de modèles GPAI présentant un risque systémique, y compris des modèles gratuits et open source, doivent respecter certaines obligations supplémentaires, par exemple :

• Documenter et signaler les incidents graves à l’Office européen de l’IA et aux régulateurs nationaux compétents
  
  
• Mettre en œuvre une cybersécurité adéquate pour protéger le modèle et son infrastructure physique.

En cas de non-respect des pratiques d’IA interdites, les organisations s’exposent à une amende pouvant atteindre 35 millions d’euros ou 7 % de leur chiffre d’affaires annuel mondial, le montant le plus élevé étant celui retenu.

Pour la plupart des autres violations, y compris la non-conformité avec les exigences pour les systèmes d'IA à haut risque, les organisations peuvent être condamnées à une amende pouvant atteindre 15 000 000 d'euros ou 3 % de leur chiffre d'affaires annuel mondial, le montant le plus élevé étant celui retenu.

Les entreprises qui fournissent des informations incorrectes ou trompeuses aux autorités s’exposent à une amende pouvant atteindre 7 500 000 d'euros ou 1 % de leur chiffre d’affaires, le montant le plus élevé étant celui retenu.

Il est à noter que la loi sur l'IA de l'UE prévoit des règles différentes pour infliger des amendes aux start-ups et autres petites et moyennes entreprises. Pour ces entreprises, l'amende est le moindre des deux montants possibles précisés ci-dessus

Initialement proposée par la Commission européenne en avril 2021, la loi sur l'intelligence artificielle de l'Union européenne a été approuvée par le Parlement européen le 22 avril 2024 et par les États membres de l'UE le 21 mai 2024. La loi entrera en vigueur par étapes 20 jours après sa publication dans le Journal officiel de l'UE. Quelques-unes des dates les plus marquantes incluent :

• Après  six mois, les interdictions relatives aux pratiques d’IA interdites entreront en vigueur.
  
  
• Après 12 mois, les règles relatives à l’IA à usage général entreront en vigueur pour les nouvelles GPAI. Les fournisseurs de modèles GPAI déjà sur le marché 12 mois avant l'entrée en vigueur de la loi auront 36 mois à compter de la date d'entrée en vigueur pour se conformer.
  
  
• Après 24 mois, les règles pour les systèmes d’IA à haut risque prendront effet.
  
  
• Après 36 mois, les règles relatives aux systèmes d’IA qui sont des produits ou des composants de sécurité de produits soumis à des lois spécifiques de l’UE s’appliqueront.