A Primer on the EU AI Act

Mise à jour du 11 juillet 2025 : À la suite de la publication du texte définitif du code de bonnes pratiques pour l’IA à usage général, nous présentons notre approche concernant l’entrée en vigueur, le 2 août 2025, des dispositions applicables aux modèles d’IA à usage général. 

L’an dernier, nous avons publié cette introduction au règlement européen sur l’IA afin de donner un premier aperçu de notre préparation à la mise en œuvre de ces nouvelles exigences juridiques. 

Depuis, nous participons activement à la mise en œuvre du texte en contribuant à l’élaboration du code de bonnes pratiques pour l’IA à usage général, un cadre permettant aux fournisseurs d’IA de se conformer au règlement européen sur l’IA. Après des mois d’efforts collectifs avec des spécialistes, la société civile et l’industrie, un code définitif a été publié. Aujourd’hui, nous annonçons notre décision de signer le code de bonnes pratiques et de l’utiliser pour démontrer notre conformité aux obligations pertinentes du règlement européen sur l’IA.  

En signant le code, nous franchissons une étape concrète de notre plan global de conformité au règlement européen sur l’IA. Cette décision témoigne de notre engagement à assurer continuité, fiabilité et confiance à mesure que la réglementation entre en vigueur, tout en continuant de collaborer avec les entreprises et la population européennes pour leur offrir des modèles d’IA toujours plus performants, sûrs et sécurisés afin qu’elles bénéficient de la révolution de l’IA.

La signature du code renforce bon nombre des mesures de sécurité et de transparence de pointe que nous avons instaurées ces dernières années. Nous avons été l’une des premières entreprises à publier un protocole complet de sûreté et de sécurité, notre cadre de préparation (2023), qui expose notre approche du déploiement sécuritaire des modèles d’IA de pointe. 

Conformément à notre engagement à examiner et à améliorer continuellement nos cadres internes de responsabilisation et de gouvernance, nous avons publié⁠ un cadre de préparation actualisé en avril 2025. 

Alors que nous continuons à développer et à déployer des technologies toujours plus performantes, nous surveillons et atténuons activement un vaste éventail de nouveaux risques et de préoccupations concrètes en matière de sécurité afin que nos modèles demeurent fiables et sécurisés. Nous perfectionnons et améliorons constamment ces processus. 

• Depuis longtemps, nous publions, lors de nos lancements majeurs, des fiches système et une documentation technique détaillées qui précisent ce que nos modèles peuvent et ne peuvent pas faire, les risques que nous avons évalués et les domaines que nous étudions encore. 
• Le portail de sécurité donne au public accès aux résultats des évaluations de sécurité de nos modèles.
• Notre réseau d’équipes rouges fait appel à des spécialistes externes pour soumettre nos modèles à des tests de résistance
• La spécification du modèle donne un aperçu de la façon dont nous façonnons le comportement des modèles afin qu’il reflète les valeurs humaines et les normes démocratiques.

Ensemble, ces travaux ont joué un rôle déterminant dans l’établissement de normes de sûreté et de sécurité au sein de l’industrie ainsi que dans l’élaboration d’un code de bonnes pratiques viable, fondé sur les meilleures pratiques du secteur. Le développement d’une IA sûre et responsable est un travail sans fin. Nous continuerons d’améliorer progressivement notre approche de la sécurité pour veiller à ce que notre technologie soit utilisée de façon responsable au bénéfice de tous, partout dans le monde.

Nous collaborerons étroitement avec le Bureau européen de l’IA, les autorités compétentes et nos clients pendant la mise en œuvre du règlement au cours des prochains mois et des prochaines années, afin de tirer collectivement parti des avantages de l’IA pour la société et l’économie européennes. 

Mise à jour : Le 25 septembre 2024, nous avons adhéré aux trois engagements fondamentaux du pacte européen sur l’IA.

1. Adopter une stratégie de gouvernance de l’IA afin de favoriser son adoption au sein de l’organisation et de progresser vers une future conformité au règlement sur l’IA;
2. dresser, dans la mesure du possible, un inventaire des systèmes d’IA fournis ou déployés dans des domaines qui seraient considérés comme à haut risque selon le règlement sur l’IA;
3. sensibiliser leur personnel et les autres personnes qui utilisent des systèmes d’IA en leur nom, et développer leurs connaissances en matière d’IA, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, du contexte d’utilisation des systèmes d’IA ainsi que des personnes ou groupes touchés par cette utilisation.

Nous estimons que l’accent mis par le pacte sur les connaissances, l’adoption et la gouvernance en matière d’IA cible les bonnes priorités pour assurer une vaste répartition des bénéfices de l’IA. De plus, ces priorités correspondent à notre mission, qui consiste à fournir des technologies sûres et de pointe au bénéfice de tous.

Le règlement européen sur l’IA⁠(s'ouvre dans une nouvelle fenêtre) est un important cadre réglementaire conçu pour encadrer le développement, le déploiement et l’utilisation de l’IA en Europe. Il accorde une grande importance à la sécurité afin de promouvoir une adoption fiable de l’IA en Europe, tout en protégeant la santé, la sécurité et les droits fondamentaux. Il instaure de nouvelles exigences fondées sur les risques associés aux systèmes d’IA, en ciblant particulièrement les utilisations à haut risque ou inacceptables, ainsi que des obligations particulières pour les modèles et systèmes d’IA à usage général (GPAI). 

Bien que le processus législatif soit terminé et que le règlement entre en vigueur en août 2024, des lignes directrices et des textes d’application supplémentaires seront nécessaires pour en définir la portée, notamment en ce qui concerne les modèles GPAI comme ceux d’OpenAI. 

Chez OpenAI, nous nous engageons à respecter le règlement, non seulement parce qu’il s’agit d’une obligation juridique, mais aussi parce que son objectif correspond à notre mission de développer et de déployer une IA sûre au bénéfice de toute l’humanité. Nous sommes fiers de lancer des modèles qui dominent l’industrie tant par leurs capacités que par leur sécurité. Nous croyons en une approche équilibrée et scientifique dans laquelle les mesures de sécurité⁠ sont intégrées au processus de développement dès le départ. Nos équipes mènent un large éventail de travaux techniques visant à relever les défis liés à la sécurité de l’IA, notamment l’évaluation des modèles selon notre cadre de préparation⁠ avant leur déploiement, les exercices internes et externes d’équipe rouge⁠, la surveillance⁠ des abus après le déploiement, les programmes de prime aux bogues⁠ et de subventions en cybersécurité⁠, ainsi que la contribution aux normes d’authenticité⁠, entre autres. 

Nous collaborerons étroitement avec le Bureau européen de l’IA et les autres autorités compétentes pendant la mise en œuvre du nouveau règlement au cours des prochains mois. Nous espérons que l’expertise que nous avons acquise contribuera à faire progresser ses objectifs en matière de déploiement d’une IA sûre et bénéfique.  

Dans cet article, nous présentons certains sujets clés du règlement sur l’IA, en accordant une attention particulière aux utilisations interdites et à haut risque.

Le règlement sur l’IA entrera en vigueur le 1er août 2024, soit 20 jours après sa publication au Journal officiel de l’Union européenne. Bien que la plupart des dispositions du règlement ne prennent effet que 24 mois après son entrée en vigueur, plusieurs échéances importantes sont à retenir : 

• Les interdictions visant les pratiques prohibées prendront effet 6 mois après l’entrée en vigueur (février 2025). 
• Les codes de bonnes pratiques, qui couvriront de nombreux détails de mise en œuvre nécessaires au respect du règlement, devront être finalisés dans les 9 mois suivant son entrée en vigueur (mai 2025). 
• La plupart des obligations relatives à l’IA à usage général prendront effet 12 mois après l’entrée en vigueur (août 2025). 
• Les obligations visant la plupart des systèmes d’IA à haut risque s’appliqueront 24 mois après l’entrée en vigueur (août 2026). 

Les systèmes GPAI préexistants qui n’ont pas fait l’objet d’une modification substantielle et certains systèmes d’IA qui sont des composants de systèmes informatiques à grande échelle répertoriés à l’annexe X du règlement sur l’IA bénéficieront d’un délai de mise en œuvre plus long, soit 36 mois (août 2027).

Le règlement sur l’IA s’applique principalement aux « systèmes d’IA », qu’il définit comme « un système automatisé conçu pour fonctionner à différents niveaux d’autonomie, qui peut faire preuve d’adaptabilité après son déploiement et qui, pour des objectifs explicites ou implicites, déduit, à partir des données qu’il reçoit, la manière de générer des résultats tels que des prédictions, du contenu, des recommandations ou des décisions pouvant influencer des environnements physiques ou virtuels ». Cette définition correspond généralement à celle des « systèmes d’IA » publiée par l’OCDE en 2023 et à celle utilisée dans le décret présidentiel 14110 de l’administration Biden sur le développement et l’utilisation sûrs, sécurisés et fiables de l’intelligence artificielle.  

Fait important, le règlement sur l’IA établit une distinction entre les fournisseurs et les déployeurs de systèmes d’IA. Les fournisseurs sont des entités, comme OpenAI, qui développent un système d’IA ou un modèle d’IA à usage général. Cela comprend également les entités qui font développer un système d’IA ou un modèle d’IA à usage général et le mettent sur le marché, ou qui mettent le système d’IA en service sous leur propre nom ou marque de commerce, contre paiement ou gratuitement. 

Les déployeurs sont des clients ou des partenaires qui utilisent ces systèmes ou modèles dans leurs propres applications, par exemple en intégrant GPT‑4o à un cas d’utilisation précis. Bien que la majorité des obligations prévues par le règlement sur l’IA incombent aux fournisseurs plutôt qu’aux déployeurs, il importe de noter qu’un déployeur qui intègre un modèle d’IA à son propre système d’IA peut devenir un fournisseur au sens du règlement, notamment s’il appose sa propre marque de commerce sur le système ou le modifie d’une manière non prévue par le fournisseur.

Les organisations situées à l’extérieur de l’UE devront tout de même respecter le règlement sur l’IA dans diverses circonstances pouvant avoir une portée considérable.  Par exemple, le règlement s’applique si : 

• Un fournisseur met un système d’IA ou un modèle GPAI sur le marché de l’UE, que son entreprise soit établie dans l’UE ou dans un autre pays; 
• Les déployeurs d’un système d’IA ont leur établissement ou sont situés dans l’UE; 
• Les fournisseurs et les déployeurs de systèmes d’IA sont établis ou situés dans un pays tiers, mais les résultats produits par le système d’IA sont utilisés dans l’UE.

La vaste portée extraterritoriale du règlement sur l’IA signifie que les entreprises non européennes devront le respecter pour servir des clients de l’UE, qu’elles soient ou non établies dans l’UE.

Le règlement sur l’IA repose sur un cadre fondé sur les risques, assorti d’exigences particulières pour les systèmes d’IA à haut risque et à risque inacceptable. Le règlement exige des entreprises qu’elles classent le niveau de risque de leurs systèmes d’IA afin de déterminer les obligations réglementaires correspondantes. Il établit aussi différentes catégories ou différents niveaux de systèmes d’IA, chacun étant assorti d’obligations distinctes.

Certaines pratiques d’IA jugées comme présentant un risque inacceptable pour les droits des personnes sont entièrement interdites. Ces pratiques comprennent :   

• Le déploiement de techniques subliminales, manipulatrices ou trompeuses pour fausser les comportements et nuire à la prise de décisions éclairées, causant ainsi un préjudice important. 
• L’exploitation de vulnérabilités liées à l’âge, à un handicap ou à la situation socioéconomique afin de fausser les comportements, causant ainsi un préjudice important. 
• Les systèmes de catégorisation biométrique qui déduisent des attributs sensibles comme la race, les opinions politiques, l’appartenance syndicale, les croyances religieuses ou philosophiques, la vie sexuelle ou l’orientation sexuelle (avec des exceptions limitées pour l’étiquetage ou le filtrage de jeux de données acquis légalement et pour les services policiers). 
• Les systèmes de notation sociale, notamment ceux qui évaluent ou classent des personnes ou des groupes selon leur comportement social ou leurs caractéristiques personnelles, leur causant ainsi un préjudice. 
• L’évaluation du risque qu’une personne commette des infractions criminelles en se fondant uniquement sur son profilage ou ses traits de personnalité (avec des exceptions limitées). 
• La création de bases de données de reconnaissance faciale par la collecte non ciblée d’images de visages sur Internet ou dans des enregistrements de vidéosurveillance.
• La déduction des émotions dans les milieux de travail ou les établissements d’enseignement. 
• L’identification biométrique à distance en temps réel dans les lieux publics à des fins policières (avec certaines exceptions).

Le règlement impose des obligations strictes aux systèmes qui, selon lui, représentent une menace importante pour la santé, la sécurité ou les droits fondamentaux des personnes et qui sont classés comme systèmes d’IA à haut risque (HRAI). Il s’agit notamment : a) des systèmes constituant des composants de sécurité d’un produit assujetti à d’autres lois de l’UE; et b) de cas d’utilisation précis, notamment les systèmes destinés à déterminer l’accès ou l’admission à des établissements d’enseignement, à recruter ou sélectionner des travailleurs ou à surveiller leur rendement, à déterminer l’admissibilité à l’aide publique ou la solvabilité, ou encore à évaluer l’admissibilité à l’assurance maladie et à en fixer le prix.  

Les systèmes HRAI doivent respecter des obligations réglementaires rigoureuses, notamment établir un système de gestion des risques afin d’évaluer continuellement les risques et les stratégies d’atténuation tout au long de leur cycle de vie, mettre en place des mesures complètes de gouvernance des données pour tester et évaluer les risques de biais, préparer une documentation technique détaillée avant leur mise en marché et assurer une surveillance continue. 

Les autres systèmes d’IA qui ne présentent pas de risques inacceptables ou élevés ne sont assujettis qu’à des exigences limitées, comme des obligations de transparence. Par exemple, le règlement précise que les personnes doivent être informées lorsqu’elles interagissent avec un système d’IA, comme un robot conversationnel, et que les images ainsi que les contenus audio ou vidéo artificiellement manipulés doivent être clairement étiquetés. La plupart des systèmes d’IA offerts sur le marché devraient appartenir à cette catégorie.

Des exigences particulières s’appliquent aux fournisseurs de modèles et de systèmes d’IA à usage général, comme OpenAI, qui devront : 

• Préparer une documentation technique détaillée sur le modèle et la remettre au Bureau de l’IA sur demande.
• Créer de la documentation pour les déployeurs qui utilisent le modèle GPAI afin de développer leurs propres systèmes d’IA.
• Mettre en œuvre des politiques visant à respecter la législation de l’UE sur le droit d’auteur.
• Fournir un résumé du contenu utilisé pour entraîner le modèle GPAI. 

De plus, les fournisseurs de modèles GPAI dotés de capacités à fort impact et considérés comme présentant des « risques systémiques » (p. ex., les modèles entraînés au moyen d’une grande puissance de calcul, techniquement définie comme 10^25 FLOP) devront : 

• Effectuer des évaluations des modèles pour cerner et atténuer les risques systémiques, puis évaluer et atténuer continuellement les risques présentés.
• Aviser la Commission européenne des modèles qui répondent aux critères de cette catégorie.
• Surveiller et signaler les incidents graves. 
• Mettre en œuvre des mesures de cybersécurité appropriées pour le modèle et son infrastructure physique.

Les fournisseurs de modèles GPAI pourront s’appuyer sur un code de bonnes pratiques pour démontrer leur conformité aux exigences du règlement sur l’IA. Ces codes de bonnes pratiques devraient établir les bases des modalités précises de mise en œuvre de ces obligations. Nous sommes impatients de collaborer avec le Bureau européen de l’IA pendant leur élaboration au cours des neuf prochains mois. 

OpenAI s’engage à respecter le règlement européen sur l’IA et collaborera étroitement avec le nouveau Bureau européen de l’IA pendant sa mise en œuvre. Au cours des prochains mois, nous continuerons de préparer de la documentation technique et d’autres lignes directrices pour les fournisseurs et déployeurs en aval de nos modèles GPAI, tout en améliorant la sûreté et la sécurité des modèles que nous offrons sur le marché européen et ailleurs.   

Si votre organisation cherche à déterminer comment respecter le règlement sur l’IA, elle devrait d’abord tenter de classer tous les systèmes d’IA visés. Repérez les systèmes GPAI et les autres systèmes d’IA que vous utilisez, déterminez leur classification et examinez les obligations découlant de vos cas d’utilisation. Vous devriez également déterminer si vous êtes un fournisseur ou un déployeur pour chacun des systèmes d’IA visés. Ces questions peuvent être complexes; consultez donc un conseiller juridique si vous avez des questions.