Loi européenne sur l'IA

L'article 9 exige des fournisseurs de systèmes d'IA à haut risque qu'ils établissent, mettent en oeuvre, documentent et maintiennent un système de gestion des risques fonctionnant comme un processus continu et itératif sur tout le cycle de vie : identifier les risques prévisibles pour la santé, la sécurité et les droits fondamentaux, les estimer et les évaluer y compris en cas de mauvaise utilisation raisonnablement prévisible, et adopter des mesures ciblées, avec des essais confirmant que le risque résiduel est acceptable.

Les droits fondamentaux incluent la protection des données : le flux de renseignements personnels vers et à travers un système d'IA se trouve donc en plein coeur de l'analyse de l'article 9. La mauvaise utilisation raisonnablement prévisible est la clause qui capte le comportement quotidien : des employés qui alimentent des outils d'IA avec des données personnelles ou confidentielles d'une façon jamais prévue par le fournisseur ou le déployeur, c'est prévisible, bien documenté, et donc quelque chose que le système de gestion des risques doit anticiper et atténuer. L'étude d'IBM sur les brèches de 2025 constatait que 97 % des organisations ayant subi une brèche liée à l'IA manquaient de contrôles d'accès à l'IA adéquats, soit exactement l'écart qu'un processus fonctionnel au titre de l'article 9 doit combler avant l'incident, pas après.

L'article 14 exige que les systèmes d'IA à haut risque soient conçus pour qu'une personne physique puisse les superviser efficacement en usage : comprendre les capacités et limites du système, surveiller son fonctionnement, rester consciente du biais d'automatisation, interpréter correctement les résultats, et pouvoir intervenir, passer outre ou arrêter le système. Les mesures de contrôle peuvent être intégrées au système ou organisées par le déployeur.

Le contrôle n'est effectif que si une personne peut réellement voir et influencer ce que fait l'IA, y compris les données qui y entrent. Une organisation où l'usage de l'IA se déroule invisiblement dans des onglets de navigateur ne peut prétendre à un contrôle effectif : LayerX mesurait en 2025 que les organisations n'ont aucune visibilité sur environ 89 % de l'usage de l'IA, et que 71 % des connexions à l'IA générative passent par des comptes personnels non professionnels. Rendre les interactions avec l'IA visibles aux humains imputables, et placer un contrôle au point où les données entrent, voilà la substance opérationnelle de l'exigence de conception de l'article 14.

L'article 2 fixe la portée de la loi : elle s'applique aux fournisseurs qui mettent des systèmes d'IA ou des modèles à usage général sur le marché de l'UE quel que soit leur lieu d'établissement, aux déployeurs situés dans l'UE, et aux fournisseurs et déployeurs situés hors de l'UE lorsque les résultats produits par le système d'IA sont utilisés dans l'UE.

C'est la disposition qui rend la loi pertinente à Toronto comme au Texas. Une firme canadienne dont les analyses assistées par IA, les décisions de présélection ou le contenu généré sont utilisés par des clients dans l'UE peut entrer dans le champ d'application sans aucun bureau européen. Même les organisations qui ne déclenchent jamais directement la portée rencontrent la loi par les contrats : les clients et partenaires européens exigent de plus en plus des preuves de gouvernance de l'IA, y compris des contrôles sur les données que les employés exposent aux outils d'IA, comme condition d'affaires.

La loi est entrée en vigueur le 1er août 2024 et s'applique par phases : les interdictions des pratiques à risque inacceptable (comme la notation sociale et certains usages biométriques) et les devoirs de littératie en IA depuis le 2 février 2025; les obligations des modèles d'IA à usage général depuis le 2 août 2025; la plupart des autres obligations, dont l'essentiel du régime à haut risque, à partir du 2 août 2026; et les systèmes à haut risque intégrés aux produits réglementés de l'annexe I à partir du 2 août 2027.

Cette entrée en vigueur graduelle est un calendrier de conformité, pas un sursis : le travail de gouvernance derrière les articles 9 et 14 (inventaires, évaluations des risques, conception du contrôle humain, contrôles de données) prend des trimestres à bâtir, et la preuve d'un système fonctionnel ne s'antidate pas. Les organisations qui cartographient leur usage de l'IA et déploient des contrôles de données maintenant aborderont les échéances de 2026 et 2027 avec la documentation en main; celles qui attendent reconstitueront après coup ce que leurs employés ont fait avec l'IA.