Les pratiques interdites par le règlement européen sur l’intelligence artificielle

I. — Pourquoi interdire

1Une législation d’harmonisation du marché intérieur prohibe rarement. Sa logique ordinaire est celle de la mise en conformité : le produit qui satisfait aux exigences essentielles circule, celui qui n’y satisfait pas est retiré. L’interdiction pure, qui ferme la voie de la conformité, y fait figure d’exception — et c’est bien ainsi que l’article 5 doit être lu.

2Le règlement se fonde sur l’idée que certains usages de l’intelligence artificielle présentent un risque inacceptable, c’est-à-dire un risque dont aucune mesure d’atténuation, aucune documentation, aucun contrôle humain ne pourrait venir à bout, parce que ce qui est en cause n’est pas la fiabilité du système mais sa finalité même. Un système conçu pour manipuler ne devient pas licite parce qu’il manipule avec rigueur.

3La sanction traduit ce caractère. Le manquement à l’article 5 est passible d’amendes administratives « pouvant aller jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, jusqu’à 7 % de son chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu »^[4]. C’est le plafond le plus élevé du règlement, supérieur d’un tiers à celui qui frappe les manquements aux obligations des systèmes à haut risque — supérieur, également, au plafond du règlement général sur la protection des données.

4Ce régime est applicable depuis le 2 février 2025, soit six mois après l’entrée en vigueur du texte et dix-huit mois avant sa date d’application générale. Le choix se justifie : se conformer à une prohibition consiste à s’abstenir, non à construire un système de gestion de la qualité. Les deux interdictions ajoutées en 2026 font toutefois exception et n’entreront en application que le 2 décembre 2026^[5].

5La Commission a publié le 29 juillet 2025 des lignes directrices consacrées à ces seules pratiques — cent trente-quatre pages, adoptées sur le fondement de l’article 96^[6]. Comme tous les documents de ce genre, elles ne lient pas, et rappellent elles-mêmes que l’interprétation faisant autorité appartient en dernier ressort à la Cour de justice de l’Union européenne. Elles présentent surtout, à la date de rédaction du présent article, une limite qu’il faut signaler d’emblée : elles sont antérieures à la révision de 2026 et ne mentionnent pas les deux interdictions nouvelles. Aucune mise à jour n’est annoncée.

II. — Les interdictions protégeant l’autonomie

A. — Les techniques subliminales et manipulatrices

6La première interdiction vise le système « qui a recours à des techniques subliminales, au-dessous du seuil de conscience d’une personne, ou à des techniques délibérément manipulatrices ou trompeuses, avec pour objectif ou effet d’altérer substantiellement le comportement d’une personne ou d’un groupe de personnes en portant considérablement atteinte à leur capacité à prendre une décision éclairée, amenant ainsi la personne à prendre une décision qu’elle n’aurait pas prise autrement, d’une manière qui cause ou est raisonnablement susceptible de causer un préjudice important »^[7].

7La disposition est d’une architecture exigeante, et il faut en compter les éléments, car ils sont cumulatifs. Il y faut une technique — subliminale, manipulatrice ou trompeuse ; une altération substantielle du comportement ; une atteinte considérable à la capacité de décider de manière éclairée ; une décision effectivement différente de celle qui aurait été prise ; et un préjudice important, causé ou raisonnablement susceptible de l’être.

8Deux traits méritent l’attention. D’abord, l’alternative « objectif ou effet » dispense de rapporter la preuve d’une intention : un système qui manipule sans avoir été conçu pour le faire tombe sous le coup de l’interdiction. Ensuite, l’exigence de préjudice important est ce qui sépare cette prohibition du droit commun des pratiques commerciales déloyales : la persuasion publicitaire ordinaire, si insistante soit-elle, n’entre pas dans le champ tant qu’elle ne cause pas un préjudice de cette gravité. L’article 5 n’a pas vocation à moraliser le marketing.

B. — L’exploitation des vulnérabilités

9La deuxième interdiction protège des publics déterminés : est prohibé le système « qui exploite les éventuelles vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique spécifique d’une personne physique ou d’un groupe de personnes donné », avec pour objectif ou effet d’altérer substantiellement le comportement d’une manière causant ou susceptible de causer un préjudice important^[8].

10La différence avec la précédente tient à ce que l’élément de manipulation n’est plus requis : il suffit que le système exploite une vulnérabilité. En revanche, la liste des vulnérabilités est fermée — âge, handicap, situation sociale ou économique — et l’inclusion de ce dernier critère, absente de bien des dispositifs comparables, ouvre un champ considérable. Le système qui cible la détresse financière d’un public surendetté entre dans les prévisions du texte.

C. — La notation sociale

11La troisième interdiction est celle dont la portée symbolique est la plus forte et la portée juridique la plus incertaine. Sont prohibés les systèmes d’évaluation ou de classification des personnes « au cours d’une période donnée en fonction de leur comportement social ou de caractéristiques personnelles ou de personnalité connues, déduites ou prédites », lorsque la note sociale conduit à un traitement préjudiciable ou défavorable « dans des contextes sociaux dissociés du contexte dans lequel les données ont été générées ou collectées à l’origine », ou à un traitement « injustifié ou disproportionné par rapport au comportement social ou à la gravité de celui-ci »^[9].

12Les deux branches sont alternatives, et la première est la plus opérante. Ce que le règlement condamne n’est pas la notation en elle-même — l’évaluation du risque de crédit, de la solvabilité locative ou de la sinistralité assurantielle demeure licite — mais le déplacement de contexte : utiliser dans un domaine des données produites dans un autre, de sorte que le comportement observé ici emporte des conséquences là. C’est cette dissociation qui caractérise la notation sociale, non l’existence d’un score.

D. — La prédiction du risque criminel individuel

13Est interdite l’utilisation d’un système pour « évaluer ou prédire le risque qu’une personne physique commette une infraction pénale, uniquement sur la base du profilage d’une personne physique ou de l’évaluation de ses traits de personnalité ou caractéristiques ». Le texte réserve expressément les systèmes « utilisés pour étayer l’évaluation humaine de l’implication d’une personne dans une activité criminelle, qui est déjà fondée sur des faits objectifs et vérifiables, directement liés à une activité criminelle »^[10].

14Tout tient dans l’adverbe « uniquement » et dans la réserve. L’interdiction ne vise pas la police prédictive en général mais sa forme purement inférentielle : prédire à partir de ce qu’une personne est, plutôt qu’à partir de ce qu’elle a fait. Dès lors qu’un fait objectif et vérifiable, directement lié à une activité criminelle, fonde déjà l’appréciation humaine, le système qui l’assiste demeure licite. On observera que la prédiction portant sur des lieux plutôt que sur des personnes échappe entièrement au texte.

III. — Les interdictions encadrant la biométrie et la surveillance

A. — Le moissonnage d’images faciales

15Sont interdits les systèmes « qui créent ou développent des bases de données de reconnaissance faciale par le moissonnage non ciblé d’images faciales provenant de l’internet ou de la vidéosurveillance »^[11]. La disposition vise une pratique documentée et sanctionnée à plusieurs reprises par les autorités de protection des données ; le règlement en fait une interdiction autonome, indépendante de toute appréciation de licéité du traitement.

16L’adjectif « non ciblé » est la clef. La constitution d’une base à partir d’images collectées sans critère de sélection tombe sous l’interdiction ; la collecte ciblée, fondée sur un critère préalable, en sort. La disposition ne prohibe donc pas la reconnaissance faciale, mais un mode de constitution de son corpus.

B. — La reconnaissance des émotions au travail et à l’école

17Est interdit l’usage de systèmes « pour inférer les émotions d’une personne physique sur le lieu de travail et dans les établissements d’enseignement », sauf lorsque le système « est destiné à être mis en place ou mis sur le marché pour des raisons médicales ou de sécurité »^[12].

18Le champ de l’interdiction est doublement circonscrit : par le lieu — le travail et l’enseignement, à l’exclusion de tout autre — et par la finalité, l’exception médicale ou sécuritaire ouvrant une brèche dont l’étendue reste à mesurer. Un dispositif de détection de la somnolence d’un conducteur relève de la sécurité ; un dispositif d’appréciation de l’engagement d’un salarié en réunion n’en relève pas. Entre ces deux extrémités s’étend une zone que ni le texte ni les lignes directrices ne balisent précisément.

19Ce choix de circonscrire par le lieu appelle une observation. Il repose sur l’idée que le travail et l’enseignement sont des lieux de subordination, où le consentement de la personne exposée est structurellement affaibli. L’idée est juste ; sa traduction est étroite, puisque l’inférence émotionnelle demeure licite partout ailleurs, y compris dans les relations commerciales où l’asymétrie n’est pas moindre.

C. — La catégorisation biométrique sur des caractéristiques sensibles

20Sont interdits les systèmes de catégorisation biométrique « qui catégorisent individuellement les personnes physiques sur la base de leurs données biométriques afin d’arriver à des déductions ou des inférences concernant leur race, leurs opinions politiques, leur affiliation à une organisation syndicale, leurs convictions religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle ». L’interdiction « ne couvre pas l’étiquetage ou le filtrage d’ensembles de données biométriques acquis légalement […] ou la catégorisation de données biométriques dans le domaine répressif »^[13].

21La liste des caractéristiques recoupe celle des catégories particulières de données du règlement général sur la protection des données, à quelques différences près : les données de santé et les données génétiques n’y figurent pas. L’exception répressive, quant à elle, est large et n’est assortie d’aucune des garanties procédurales qui encadrent l’identification biométrique en temps réel.

D. — L’identification biométrique à distance en temps réel

22La huitième interdiction est la plus longuement négociée et la plus finement encadrée. Est prohibé l’usage « de systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives », sauf s’il est « strictement nécessaire » au regard de trois objectifs limitativement énumérés^[14].

23Ces trois objectifs sont : la recherche ciblée de victimes déterminées d’enlèvement, de traite ou d’exploitation sexuelle, ainsi que la recherche de personnes disparues ; la prévention d’une menace « spécifique, substantielle et imminente » pour la vie ou la sécurité physique, ou d’une menace d’attaque terroriste « réelle et actuelle ou réelle et prévisible » ; enfin la localisation ou l’identification d’une personne soupçonnée d’une infraction figurant à l’annexe II et punissable dans l’État membre concerné d’une peine privative de liberté d’une durée maximale d’au moins quatre ans.

24Trois observations sur cette architecture. D’abord, l’interdiction ne vise que l’usage répressif : l’identification biométrique à distance en temps réel par un acteur privé, dans un espace accessible au public, n’est pas prohibée par l’article 5 — elle relève du régime du haut risque et du droit des données personnelles. Ensuite, le règlement précise que cette interdiction est « sans préjudice de l’article 9 du règlement (UE) 2016/679 pour le traitement des données biométriques à des fins autres que répressives » : le cumul des deux corps de règles est expressément préservé. Enfin, l’usage autorisé n’est déployé « que pour confirmer l’identité de la personne spécifiquement ciblée »^[15] — la dérogation ne permet donc pas la surveillance de masse, mais la vérification d’une identité déterminée.

E. — La question de l’exclusion de sécurité nationale

25Les interdictions de l’article 5 se heurtent à une limite dont il faut mesurer la portée : le règlement ne s’applique pas aux systèmes utilisés « exclusivement à des fins militaires, de défense ou de sécurité nationale »^[16]. Les lignes directrices consacrent à cette exclusion des développements substantiels, et retiennent une interprétation stricte : l’adverbe « exclusivement » commande, l’exclusion s’apprécie au regard de l’usage effectif et non de la qualité de l’entité, et le double usage — civil et militaire — ne fait pas sortir le système du champ^[17]. La Commission appuie ce raisonnement sur la jurisprudence de la Cour de justice de l’Union européenne relative à la portée de l’exception de sécurité nationale^[18].

IV. — Les interdictions de 2026

A. — Leur objet

26Le règlement modificatif du 8 juillet 2026 a inséré à l’article 5 deux interdictions nouvelles. La première vise le système « qui génère ou manipule des images, des vidéos, des contenus audio ou tout autre matériel similaire réalistes représentant les parties intimes d’une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans le consentement libre, spécifique, éclairé, univoque et explicite de cette personne »^[19]. La seconde vise le système qui génère ou manipule « tout matériel ou spectacle » au sens de la directive relative à la lutte contre les abus sexuels concernant des enfants, « sauf lorsqu’une défense “sans droit” s’applique en vertu du droit national »^[20].

27L’origine de ces dispositions est documentée et mérite d’être rappelée, car elle illustre le fonctionnement du mécanisme de réexamen. C’est un rapport de la Commission du 22 mai 2026, pris sur le fondement de l’article 112, qui a identifié cette lacune ; le règlement modificatif l’a comblée six semaines plus tard^[21]. Le considérant 10 justifie l’intervention par les « préjudices psychologiques graves et durables » causés et par la possibilité d’abus à grande échelle^[22].

B. — Une mécanique de qualification inédite

28Ces deux interdictions ne fonctionnent pas comme les huit autres, et c’est ce qui fait leur intérêt doctrinal. Le législateur s’est heurté à une difficulté propre : un modèle génératif polyvalent peut produire de tels contenus sans avoir été conçu pour cela. Interdire sans distinguer aurait prohibé la quasi-totalité des systèmes génératifs ; ne rien prévoir aurait vidé l’interdiction de sa substance.

29Le paragraphe 1 bis, inséré à cette fin, dissocie la mise sur le marché de l’utilisation. La mise sur le marché ou la mise en service n’est interdite que dans deux cas : lorsque cette production ou manipulation « constitue la destination du système » ; ou lorsque « la conception, l’entraînement, l’architecture, les capacités ou les fonctionnalités destinées aux utilisateurs du système font de cette production ou manipulation un résultat raisonnablement prévisible et reproductible, sans nécessiter de modification technique importante, et le système ne dispose pas de mesures de sécurité techniques raisonnables et adéquates et d’autres garanties pour empêcher de manière fiable cette production ou manipulation, compte tenu d’une mauvaise utilisation raisonnablement prévisible, ni pour corriger une mauvaise utilisation observée ou signalée »^[23].

30Quant à l’utilisation, elle « n’est interdite que lorsque le déployeur utilise le système dans le but de générer ou de manipuler ce matériel »^[24] : du côté de l’usage, l’intention est exigée, alors qu’elle ne l’est pour aucune des huit interdictions initiales.

31Le paragraphe 1 ter apporte une précision technique qui montre le degré de finesse recherché : ne constitue pas une manipulation le fait de modifier un matériel « d’une manière qui n’accroît pas la visibilité des parties intimes représentées ni ne modifie la nature des activités sexuellement explicites représentées »^[25]. Le simple traitement d’image d’un contenu préexistant échappe ainsi à la qualification.

C. — Un glissement vers le droit pénal matériel

32Ces deux interdictions déplacent le règlement. Les huit premières visent des usages définis par leurs effets sur les personnes — manipuler, exploiter, noter, prédire, surveiller. Les deux nouvelles visent la production d’un contenu dont l’illicéité est établie ailleurs, par le droit pénal des États membres et par les instruments de l’Union relatifs aux abus sexuels concernant des enfants. La seconde renvoie d’ailleurs expressément aux définitions de cette directive et réserve la défense « sans droit » du droit national.

33Une législation d’harmonisation du marché intérieur, fondée sur l’article 114 du Traité sur le fonctionnement de l’Union européenne, se trouve ainsi à prohiber des instruments de production de contenus pénalement réprimés. La démarche n’est pas illégitime — il s’agit bien de la mise sur le marché d’un produit — mais elle est nouvelle, et elle expose le texte à une difficulté d’articulation avec les qualifications pénales nationales que ni le règlement ni ses lignes directrices ne résolvent.

34Des organisations de la société civile ont soutenu, dans une prise de position conjointe de juin 2026, que ces interdictions visaient des préjudices réels mais avaient été introduites « par le mauvais véhicule », l’article 112 du règlement offrant déjà une voie de révision dédiée^[26]. L’objection porte moins sur le fond que sur la méthode : elle reproche d’avoir logé une extension substantielle du champ des prohibitions dans un texte présenté comme un instrument de simplification.

Conclusion

35Trois enseignements se dégagent.

36Le premier est que l’article 5 prohibe moins qu’il n’y paraît. Chacune des huit interdictions initiales est assortie de conditions cumulatives, d’exceptions ou de réserves qui en restreignent considérablement la portée : le préjudice important pour la manipulation, la dissociation de contexte pour la notation sociale, l’adverbe « uniquement » pour la prédiction criminelle, le caractère non ciblé pour le moissonnage, le lieu pour la reconnaissance des émotions, la finalité répressive pour l’identification biométrique. Un système qui échoue à réunir tous les éléments n’est pas licite pour autant : il bascule dans le régime du haut risque, ou dans celui de la transparence.

37Le deuxième est que les interdictions de 2026 introduisent une logique de responsabilité du fournisseur pour la conception qui n’existait nulle part ailleurs dans le chapitre II. En exigeant des mesures de sécurité techniques raisonnables contre une production prévisible et reproductible, le règlement impose au fournisseur d’un modèle polyvalent une diligence qui ressemble fort à une obligation de moyens renforcée — et il le fait dans un article de prohibition, non dans le chapitre consacré aux exigences.

38Le troisième est d’ordre pratique. Les lignes directrices du 29 juillet 2025 demeurent la source interprétative la plus riche sur les huit interdictions initiales ; elles sont muettes sur les deux plus récentes, et elles n’annoncent pas leur actualisation. Quiconque analyse aujourd’hui le chapitre II travaille donc sur un texte de 2026 éclairé par un commentaire de 2025.