Le règlement européen sur l'IA (IA Act) classe les systèmes d'intelligence artificielle selon leur niveau de risque. Au sommet de cette classification se trouvent les pratiques jugées inacceptables, purement et simplement interdites sur le territoire de l'Union européenne. Ces interdictions sont entrées en vigueur en février 2025.
Le principe : certains usages sont incompatibles avec les droits fondamentaux
L'IA Act ne cherche pas à freiner l'innovation, mais à en fixer les limites éthiques. Les pratiques interdites sont celles dont le risque pour les droits fondamentaux, la dignité humaine ou les libertés individuelles est jugé trop élevé pour être justifié par quelque bénéfice que ce soit. Elles sont listées à l'article 5 du règlement.
Les principales pratiques interdites
1. La manipulation comportementale subliminale
Est interdit tout système d'IA qui, par des techniques sublimales agissant à l'insu des personnes, altère leur comportement de manière à leur causer un préjudice. Cela vise les dispositifs qui exploitent des biais cognitifs, des vulnérabilités psychologiques ou des stimuli inconscients pour influencer des décisions sans que les personnes en soient conscientes.
2. L'exploitation des vulnérabilités
Les systèmes d'IA qui ciblent délibérément des personnes vulnérables - en raison de leur âge, d'un handicap ou d'une situation sociale précaire - pour influencer leur comportement à leur détriment sont également prohibés. Un exemple typique serait un système de recommandation conçu pour amplifier des comportements addictifs chez des mineurs.
3. La notation sociale généralisée
Le "social scoring" - c'est-à-dire l'évaluation des personnes sur la base de leur comportement social pour leur attribuer un score utilisé dans des décisions qui les pénalisent dans des domaines sans lien avec ce comportement - est interdit. Ce dispositif, connu pour son déploiement en Chine, est jugé incompatible avec les valeurs européennes.
4. L'identification biométrique à distance en temps réel dans les espaces publics
L'utilisation de systèmes de reconnaissance faciale en temps réel dans des espaces accessibles au public à des fins répressives est, en principe, interdite. Des exceptions strictement encadrées existent pour les forces de l'ordre dans des situations de menace grave (terrorisme, recherche d'enfants disparus), mais elles requièrent une autorisation judiciaire préalable.
5. L'identification biométrique rétrospective
L'identification biométrique "à la volée" dans des bases de données à partir d'enregistrements existants, sans autorisation judiciaire, est également interdite pour les autorités répressives, sauf dans des cas d'infraction grave.
6. La prédiction du risque criminel basée sur le profilage
Les systèmes qui évaluent la probabilité qu'une personne commette une infraction pénale à partir de son seul profilage ou de ses caractéristiques personnelles - sans acte objectif - sont prohibés. La prédiction criminelle pure, sans élément factuel, est assimilée à une présomption de culpabilité.
7. L'extension non autorisée de bases de données biométriques
La constitution de bases de données de reconnaissance faciale par scraping massif d'images sur Internet ou sur des flux de vidéosurveillance, sans base légale, est interdite.
Ce que cela signifie concrètement pour les entreprises
Pour la grande majorité des entreprises, ces interdictions ne concernent pas leurs usages quotidiens de l'IA. Un outil de génération de contenu, un chatbot de service client ou un système de recommandation e-commerce ne relèvent pas de ces catégories.
En revanche, les entreprises qui déploient des systèmes de surveillance de leurs employés, des outils d'analyse comportementale poussée de leurs clients, ou qui travaillent dans des secteurs sensibles (sécurité, justice, RH à grande échelle) doivent vérifier que leurs pratiques ne croisent pas ces lignes rouges.
Les sanctions pour non-respect de ces interdictions sont les plus élevées prévues par le règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial de l'entreprise.