Le règlement européen sur l’intelligence artificielle : genèse, raison d’être et architecture normative

1Il est d’usage de présenter le règlement sur l’intelligence artificielle comme la réponse de l’Europe aux périls d’une technique nouvelle. La formule est commode et elle est fausse, ou du moins gravement incomplète. Le premier document de la chaîne qui a conduit à ce texte ne parle ni de risque, ni de droits fondamentaux, ni d’encadrement : il parle d’investissement et de compétitivité. Comprendre cette inversion est la condition d’une lecture juste du règlement.

I. — La genèse

A. — L’origine industrielle (2018-2019)

2Le point de départ est la communication de la Commission du 25 avril 2018, intitulée « L’intelligence artificielle pour l’Europe »^[3]. Son constat liminaire est celui d’un décrochage : l’Union investit moins que les États-Unis et la Chine, et le risque qu’elle identifie n’est pas celui d’une machine incontrôlée mais celui de devenir simple consommatrice de solutions conçues ailleurs. Trois piliers en découlent : le renforcement de la capacité technologique et industrielle, avec une cible d’investissement cumulé de vingt milliards d’euros ; la préparation aux mutations socio-économiques ; et, en troisième position seulement, l’élaboration d’un « cadre éthique et juridique approprié » adossé à la Charte des droits fondamentaux.

3Le rang de ce troisième pilier importe moins que la fonction qui lui est assignée. La protection des droits y est présentée non comme une contrainte pesant sur l’industrie, mais comme un avantage compétitif européen : la confiance serait le facteur qui permettra l’adoption, et l’adoption est l’objectif. Cette inversion irrigue tout ce qui suivra, jusqu’au premier article du règlement, qui juxtapose sans les hiérarchiser l’amélioration du marché intérieur, la promotion d’une intelligence artificielle digne de confiance et la protection de la santé, de la sécurité et des droits fondamentaux^[4].

4Le volet opérationnel suit le 7 décembre 2018 avec le plan coordonné^[5], articulé en huit axes dont la justification est explicitement anti-fragmentation : éviter la duplication des investissements, mutualiser données et infrastructures, établir des standards communs. On notera que la lutte contre la fragmentation du marché intérieur apparaît ici comme un motif d’action bien avant d’être invoquée comme fondement juridique.

5Le 8 avril 2019, le groupe d’experts de haut niveau institué par la Commission publie les lignes directrices en matière d’éthique pour une intelligence artificielle digne de confiance^[6]. Le document fixe le vocabulaire — la confiance suppose une intelligence artificielle à la fois licite, éthique et robuste — et énonce sept exigences clés : action et contrôle humains ; robustesse technique et sécurité ; respect de la vie privée et gouvernance des données ; transparence ; diversité, non-discrimination et équité ; bien-être sociétal et environnemental ; responsabilité.

6Il faut s’arrêter sur cette liste, car elle se retrouve, presque terme à terme, dans les exigences applicables aux systèmes à haut risque du chapitre III du règlement — gestion des risques, gouvernance des données, documentation, journalisation, transparence, contrôle humain, exactitude et robustesse. Le passage de l’éthique volontaire à l’obligation juridique se lit ici à livre ouvert : ce que le règlement impose est, pour l’essentiel, ce qu’un groupe d’experts avait recommandé cinq ans plus tôt sans force obligatoire. La circonstance mérite d’être retenue par qui s’interroge sur la portée réelle des instruments non contraignants.

B. — Le livre blanc de 2020 et l’approche fondée sur le risque

7La pièce charnière est le livre blanc du 19 février 2020, « Intelligence artificielle : une approche européenne axée sur l’excellence et la confiance »^[7]. Deux apports lui reviennent en propre.

8Le premier est l’architecture à deux écosystèmes — l’excellence, qui relève de l’investissement et de la recherche ; la confiance, qui relève des garde-fous réglementaires. Cette dualité explique que le paquet présenté en avril 2021 ait comporté deux instruments distincts, la proposition de règlement et un plan coordonné révisé, l’un protégeant, l’autre promouvant^[8].

9Le second apport est l’approche fondée sur les risques, qui deviendra la clef de voûte du dispositif. Le livre blanc y pose le critère du haut risque de manière cumulative : un secteur intrinsèquement risqué — santé, transports, énergie, services publics — et un usage produisant des effets significatifs sur les droits ou la sécurité. Le problème identifié n’est pas la puissance des systèmes mais l’opacité de la décision algorithmique combinée aux limites du droit existant, laquelle crée des lacunes d’imputation.

10La justification de la gradation est donc, dès l’origine, une justification de proportionnalité et non de principe : n’intervenir que là où le dommage est probable, afin de ne pas grever les usages à faible risque. On mesure l’écart avec la présentation courante, qui voit dans la pyramide des risques l’expression d’une philosophie européenne de la dignité. Elle exprime d’abord un souci de ne pas surcharger le marché.

C. — La proposition de 2021 et le choix de la base juridique

11La proposition de règlement est présentée le 21 avril 2021^[9], accompagnée d’une analyse d’impact^[10] qui compare l’option retenue — un instrument horizontal contraignant fondé sur les risques — aux options alternatives que sont le statu quo, l’instrument volontaire et l’approche sectorielle.

12Le choix de la base juridique est la décision la plus lourde de conséquences de tout le texte, et c’est celle dont on parle le moins. La proposition retient l’article 114 du Traité sur le fonctionnement de l’Union européenne, relatif au rapprochement des législations en vue de l’établissement du marché intérieur, comme base principale ; l’article 16, relatif à la protection des données, n’intervient qu’à titre complémentaire, pour les seules restrictions à l’identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives.

13La justification tient à ce que les systèmes d’intelligence artificielle circulent par-delà les frontières et que la divergence des règles nationales menacerait le marché unique de fragmentation. Le raisonnement de subsidiarité en découle : le caractère transfrontière du phénomène et la dépendance aux données rendent l’action nationale inefficace. Celui de proportionnalité aussi : les obligations lourdes ne pèsent que sur le haut risque.

D. — La négociation et l’irruption de l’intelligence artificielle générative

14Le Conseil arrête son orientation générale le 6 décembre 2022, sur la base d’un document du 25 novembre^[11] : il resserre la définition des systèmes, étend les exclusions relatives à la sécurité nationale, à la défense et à la recherche, et introduit des dispositions sur les systèmes à finalité générale.

15Le Parlement européen adopte sa position de négociation le 14 juin 2023, par 499 voix contre 28 et 93 abstentions^[12]. Son apport est considérable et se laisse ramener à quatre inflexions : la redéfinition des concepts centraux ; une gradation plus fine des obligations, avec le remplacement du terme d’utilisateur par celui de déployeur ; la prise en compte des personnes affectées par les systèmes, dans une logique de type consumériste ; et l’apparition d’un Bureau de l’intelligence artificielle aux compétences étendues. Surtout, il introduit des obligations propres à l’intelligence artificielle générative — identification des contenus produits, garde-fous contre les contenus illicites, analyse d’impact.

16Ce dernier point mérite d’être souligné avec force, car il commande la structure du texte définitif. La proposition d’avril 2021 ne comportait aucune disposition sur les modèles de fondation : ils n’existaient pas comme objet public. La diffusion des grands modèles de langue au tournant de 2022 et 2023 est survenue en cours de négociation, et a contraint les colégislateurs à greffer sur un texte conçu pour des systèmes finalisés un régime applicable à des modèles qui n’ont, par construction, pas de finalité déterminée.

17L’accord politique provisoire intervient dans la nuit du 8 au 9 décembre 2023, après environ trente-six heures de négociation^[13]. La ligne de fracture principale portait précisément sur la régulation des modèles de fondation. Le compromis retenu est une approche à deux niveaux : des obligations de transparence pour tous les fournisseurs de modèles à usage général — documentation technique, respect du droit d’auteur de l’Union — et des obligations renforcées pour les modèles présentant un risque systémique, comportant évaluations de modèles, atténuation des risques, tests contradictoires, notification des incidents graves, cybersécurité et efficacité énergétique.

18Le même accord fixe les interdictions nouvelles — catégorisation biométrique sur caractéristiques sensibles, moissonnage non ciblé d’images faciales, reconnaissance des émotions au travail et dans l’enseignement, manipulation du comportement —, assortit l’identification biométrique en espace public d’une autorisation judiciaire préalable pour une liste fermée d’infractions, exclut le logiciel libre sauf haut risque ou pratique interdite, et arrête l’échelle des amendes.

19Le texte est adopté le 13 juin 2024 et publié au Journal officiel du 12 juillet 2024^[14]. Un rectificatif paraîtra le 9 octobre 2025^[15].

E. — La révision de 2026

20Le 19 novembre 2025, la Commission présente une proposition modifiant le règlement « en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle »^[16]. Les motifs invoqués sont d’exécution et non de principe : retard dans l’élaboration des normes harmonisées, retard dans la désignation des autorités nationales compétentes et des organismes d’évaluation de la conformité, coûts de conformité supérieurs aux prévisions.

21L’accord provisoire est trouvé en trilogue le 7 mai 2026 ; le Parlement approuve le texte le 16 juin 2026 par 423 voix contre 57, avec 174 abstentions ; le Conseil l’adopte le 29 juin ; le règlement est signé le 8 juillet et publié le 24 juillet 2026^[17]. Il modifie non pas deux règlements, comme la proposition le prévoyait, mais trois : le règlement relatif aux machines a été ajouté en cours de négociation, et sorti de la section A de l’annexe I.

22Deux observations sur cette révision, dont le détail relève d’autres articles de la série. La première est qu’elle intervient avant que les obligations centrales du texte ne soient devenues applicables — situation assez rare pour être notée, et que des organisations de la société civile ont dénoncée comme la normalisation d’un procédé permettant de rouvrir des garanties acquises avant leur mise à l’épreuve^[18]. La seconde est que sa base juridique est l’article 114 seul : l’article 16, présent dans le texte de 2024, n’est pas repris, alors même que la révision insère dans le règlement une base propre de traitement de données sensibles.

II. — La raison d’être des règles

A. — Un texte de sécurité des produits

23Le règlement énonce son objet en des termes qu’il faut lire littéralement : améliorer le fonctionnement du marché intérieur et promouvoir l’adoption d’une intelligence artificielle « axée sur l’humain et digne de confiance », tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux consacrés dans la Charte, « notamment la démocratie, l’état de droit et la protection de l’environnement », contre les effets néfastes des systèmes d’intelligence artificielle, « et en soutenant l’innovation »^[19].

24Quatre finalités coexistent donc dans une même phrase : marché intérieur, confiance, protection, innovation. Aucune n’est subordonnée aux autres, et cette absence de hiérarchie n’est pas une maladresse de rédaction : elle est le compromis lui-même. Elle explique aussi que la révision de 2026 ait pu se réclamer du texte sans le contredire — soutenir l’innovation figure dans son article premier.

25Sur le plan de la technique juridique, la conséquence du choix de l’article 114 se lit dans chaque mécanisme du chapitre III. Le fournisseur ne demande pas d’autorisation : il conçoit son système conformément à des exigences essentielles, en démontre la conformité, y appose un marquage et le met sur le marché sous sa responsabilité. Le contrôle est a posteriori et confié à des autorités de surveillance du marché. C’est le schéma du nouveau cadre législatif, éprouvé sur les jouets, les ascenseurs, les dispositifs médicaux et les équipements radioélectriques.

26Ce schéma emporte une conséquence dont il faut mesurer le poids : le règlement ne peut fonctionner qu’adossé à des normes techniques. L’article 40 confère une présomption de conformité aux systèmes conformes à des normes harmonisées dont les références ont été publiées au Journal officiel^[20]. Sans ces normes, les exigences des articles 8 à 15 demeurent des énoncés généraux dont nul ne sait comment démontrer le respect. Le retard de la normalisation n’est donc pas un incident : il paralyse le régime. C’est très exactement ce que le considérant 40 du règlement modificatif a reconnu pour justifier le report^[21].

B. — Un texte de droits fondamentaux

27La forme est celle de la sécurité des produits ; l’objet, en partie, ne l’est pas. Un ascenseur défectueux blesse ; un système de sélection de candidatures discrimine. Le règlement a dû loger dans un moule conçu pour l’intégrité physique une protection qui vise l’égalité, la vie privée, la liberté d’expression et l’accès aux services essentiels.

28Cette hybridation se lit dans plusieurs traits du texte, qui ne s’expliquent pas autrement : la qualification de haut risque par domaine d’emploi, et non par gravité du dommage corporel ; l’exigence de gouvernance des données, destinée à prévenir les biais ; l’analyse d’impact sur les droits fondamentaux imposée à certains déployeurs ; et la reconnaissance de droits au profit des personnes exposées, catégorie inconnue du droit de la sécurité des produits.

29Elle explique aussi les tensions du dispositif. Un régime de conformité technique se prête mal à la protection de droits dont l’atteinte se constate en aval, dans des situations individuelles, et non en amont, dans les caractéristiques d’un produit. C’est la limite structurelle du règlement, et c’est pourquoi la question de la responsabilité civile — que le texte ne traite pas — demeure ouverte.

C. — L’approche fondée sur le risque et ce qu’elle produit

30Le règlement organise quatre niveaux, qui ne sont pas quatre catégories juridiques mais quatre régimes de traitement. Les pratiques présentant un risque inacceptable sont interdites. Les systèmes à haut risque sont soumis à des exigences de fond et à une démonstration de conformité. Certains systèmes, sans être à haut risque, sont soumis à des obligations de transparence en raison du risque de confusion qu’ils créent. Tous les autres — l’immense majorité — ne supportent aucune obligation.

31Il faut ajouter à cette pyramide un cinquième régime, qui ne s’y insère pas et lui est transversal : celui des modèles d’intelligence artificielle à usage général, greffé en fin de négociation, et qui obéit à une logique propre — non le risque de l’usage, mais la capacité du modèle.

32Cette gradation a une vertu et un coût. La vertu est la proportionnalité : la charge est concentrée là où le dommage est probable. Le coût est que tout se joue sur la qualification : puisque les régimes sont incommensurables, la question de savoir dans quelle case tombe un système donné devient la seule qui compte réellement, et elle est confiée, pour l’essentiel, à l’auto-évaluation du fournisseur. C’est la raison pour laquelle la série consacre un article entier à la seule qualification du haut risque, distinct de celui qui traite des exigences.

III. — L’architecture normative

33Autour du règlement gravite un ensemble de documents dont la valeur juridique varie du tout au rien, et que la présentation courante confond sous le terme commode d’« encadrement ». Cette confusion est la première cause d’erreur en la matière. Il convient donc de les classer.

A. — Ce qui lie

34Le règlement lui-même est obligatoire dans tous ses éléments et directement applicable dans tout État membre. Les actes délégués, adoptés sur le fondement de l’article 97, et les actes d’exécution, adoptés selon la procédure de comité, sont également contraignants : ils complètent ou précisent le texte. Il faut relever qu’à ce jour un seul acte d’exécution a été adopté en application du règlement — celui du 7 mars 2025 instituant le groupe scientifique d’experts indépendants^[22]. Le reste de l’appareil est non contraignant.

35Les normes harmonisées occupent une position singulière. Elles ne sont pas obligatoires — un fournisseur peut démontrer sa conformité autrement — mais elles sont les seules à conférer une présomption de conformité^[23]. Cette présomption est l’unique mécanisme du règlement qui déplace la charge de la preuve, ce qui suffit à mesurer leur importance pratique et explique que leur retard ait justifié le report du régime du haut risque.

B. — Ce qui ne lie pas

36Les lignes directrices de la Commission sont prévues par l’article 96, qui en énumère les objets : application des exigences et obligations, pratiques interdites, modifications substantielles, obligations de transparence, relation avec la législation d’harmonisation, définition du système d’intelligence artificielle^[24]. Chacune de celles qui ont été publiées énonce elle-même sa portée : elles ne lient pas, et « toute interprétation faisant autorité du règlement sur l’IA ne peut en définitive être donnée que par la Cour de justice de l’Union européenne »^[25].

37Cela ne signifie pas qu’elles soient sans effet. Émanant de l’institution chargée de surveiller l’application du texte et, s’agissant des modèles à usage général, de le faire respecter, elles déterminent la pratique administrative et fixent, en fait, le seuil de ce qui sera contesté. Leur autorité est réelle ; elle n’est pas juridique.

38Les codes de bonnes pratiques appellent la mise au point la plus importante de cet article, car la présentation qui en est couramment faite est erronée. On lit ordinairement que leur signature vaudrait présomption de conformité. Le législateur de 2026 a écrit exactement l’inverse. Le considérant 41 du règlement modificatif énonce que ces codes « ont un effet juridique limité et, en particulier, ne sont pas assortis d’une présomption de conformité », et en tire la conséquence procédurale : « il n’est pas strictement nécessaire que ces codes soient approuvés par un acte d’exécution »^[26]. L’habilitation correspondante a été supprimée ; la Commission se borne désormais à publier son évaluation de leur adéquation^[27].

39Restent les instruments dépourvus de tout ancrage normatif : le Pacte sur l’intelligence artificielle, ensemble d’engagements volontaires expressément qualifiés de non juridiquement contraignants ; les modèles et formulaires publiés par le Bureau de l’intelligence artificielle ; les plans d’action et communications de politique publique. Ils informent ; ils n’obligent pas. Une exception mérite d’être signalée : le modèle de résumé public des contenus d’entraînement, publié par communication de la Commission du 5 décembre 2025, n’est pas facultatif, puisque le règlement impose que le résumé soit rédigé « selon un modèle fourni par le Bureau de l’IA »^[28].

C. — Une conséquence de méthode

40De cette hiérarchie découle une règle que la présente série s’impose et qu’il paraît utile d’énoncer : la valeur juridique de tout instrument est qualifiée à sa première citation. Le lecteur doit savoir, à chaque fois, s’il lit une norme, une interprétation officielle sans force obligatoire, un engagement volontaire ou un document de politique publique.

41Cette précaution n’est pas de pure forme. Elle est ce qui distingue une analyse juridique d’une recension documentaire — et, sur une matière où l’essentiel des documents disponibles ne lie personne, elle conditionne l’utilité même du travail.

Conclusion

42Trois conclusions se dégagent, qui commandent la lecture des articles suivants.

43La première est que le règlement est un texte de marché intérieur avant d’être un texte de protection. Ce n’est pas un jugement de valeur, c’est la lecture de sa base juridique et de sa forme. Qui l’oublie s’étonnera de trouver des organismes notifiés là où il attendait un juge, et une présomption de conformité là où il attendait une autorisation.

44La deuxième est que ce texte a été conçu pour des systèmes finalisés et a dû accueillir, en cours de négociation, des modèles qui n’ont pas de finalité. Le chapitre consacré aux modèles à usage général est une greffe, et il obéit à une logique — celle de la capacité — étrangère à celle qui gouverne le reste du règlement. Beaucoup des difficultés d’articulation que la pratique rencontre trouvent ici leur origine.

45La troisième est que l’essentiel de ce qui s’écrit sur ce règlement porte sur des documents qui ne lient personne. Un seul acte d’exécution a été adopté ; les normes harmonisées, seules porteuses d’une présomption de conformité, se font attendre au point d’avoir justifié un report de seize mois ; les codes de bonnes pratiques ne confèrent rien que le législateur de 2026 n’ait expressément dénié. Savoir ce qui oblige, et ce qui n’oblige pas, est ici la première des compétences.