L’intelligence artificielle ne se développe pas dans un vide juridique. Plusieurs textes de loi encadrent déjà la conception, le déploiement et l’utilisation des systèmes d’IA, du règlement européen AI Act aux codes nationaux de propriété intellectuelle.
Quand un modèle génératif aspire des œuvres protégées pour s’entraîner, quand un chatbot interagit avec un utilisateur sans s’identifier comme machine, ou quand un système de notation sociale classe des citoyens à leur insu, la loi est potentiellement enfreinte. Comprendre ces infractions suppose de démêler trois couches distinctes : les pratiques purement interdites, les manquements au droit d’auteur et les violations des règles de transparence.
A lire aussi : Quelle obligation de conformité comprend des exigences de sécurité qui s’appliquent spécifiquement à l’Union européenne ?
Pratiques interdites par l’AI Act : ce que la loi qualifie d’inacceptable
Le règlement européen sur l’intelligence artificielle (AI Act) classe les systèmes d’IA selon leur niveau de risque. Au sommet de cette pyramide, certaines applications sont purement et simplement prohibées parce qu’elles portent atteinte aux droits fondamentaux.
Parmi ces pratiques interdites par l’AI Act, on trouve la notation sociale généralisée, la manipulation subliminale exploitant les vulnérabilités d’une personne, et la surveillance biométrique de masse en temps réel dans l’espace public (hors exceptions strictement encadrées par un juge).
A découvrir également : Comment améliorer la sécurité de l’information ?
Ce ne sont pas des risques hypothétiques. Une entreprise qui déploierait un outil de scoring comportemental pour filtrer des candidats à un logement social, par exemple, tomberait directement sous le coup de cette interdiction. Les sanctions prévues atteignent les montants les plus élevés du règlement, dépassant celles prévues pour les infractions de transparence ou de documentation.
Qui est visé au-delà du concepteur du modèle
L’AI Act ne se limite pas aux fournisseurs de modèles. Les déployeurs, importateurs et distributeurs ont leurs propres obligations. Une PME qui intègre un outil d’IA dans son processus de recrutement ou son service client devient déployeur au sens du règlement, avec des responsabilités spécifiques.
Les autorités nationales peuvent enquêter à la suite de plaintes, et la Commission européenne dispose de compétences directes concernant les modèles d’IA à usage général. La chaîne de responsabilité est donc bien plus longue que ce que beaucoup d’entreprises imaginent.
Droit d’auteur et entraînement des modèles d’IA générative
Le fonctionnement même des modèles d’IA générative repose sur l’ingestion massive de données, textes, images, musiques, code source. Or, une grande partie de ces contenus sont des œuvres protégées par le droit d’auteur.
En droit français et européen, reproduire une œuvre, même partiellement, sans autorisation de l’auteur constitue une contrefaçon. La question centrale est de savoir si l’entraînement d’un modèle sur des œuvres protégées relève de cette reproduction illicite ou d’une exception légale comme la fouille de textes et de données (text and data mining).
L’exception de fouille de données et ses limites
La directive européenne sur le droit d’auteur dans le marché unique numérique prévoit une exception de fouille de données. Cette exception permet l’extraction automatisée de contenus à des fins de recherche ou d’analyse, à condition que l’accès aux contenus soit licite.
Le problème surgit sur deux points :
- Les titulaires de droits peuvent exprimer une réserve (opt-out) interdisant la fouille commerciale de leurs œuvres. Un modèle entraîné sur des contenus dont les auteurs ont signalé leur opposition enfreint donc la loi, même si l’accès initial était techniquement ouvert.
- L’AI Act impose désormais aux fournisseurs de modèles d’IA à usage général d’établir une politique documentée de respect du droit d’auteur et de publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Cette obligation est entrée en application le 2 août 2025.
- La question de la titularité des créations générées reste ouverte : en l’état du droit actuel, une création n’est protégeable par le droit d’auteur que si elle est originale et créée par un humain. Un contenu intégralement produit par une IA ne bénéficie donc pas de cette protection.
L’infraction ne se limite pas à un débat théorique. Plusieurs contentieux opposent déjà des auteurs, éditeurs et artistes aux éditeurs de modèles génératifs, en Europe comme aux États-Unis.
Obligations de transparence : une infraction autonome souvent ignorée
Au-delà de la propriété intellectuelle, l’AI Act crée une catégorie d’infraction que beaucoup d’entreprises sous-estiment : le manquement aux obligations de transparence.
Concrètement, tout système d’IA interagissant avec des personnes physiques doit signaler clairement qu’il n’est pas humain. Un chatbot de service client, un assistant vocal ou un générateur de contenu qui ne s’identifie pas comme outil d’IA enfreint le règlement, indépendamment de la qualité ou de la véracité du contenu produit.
Cette obligation s’étend aux contenus générés : les deepfakes (images, vidéos, sons manipulés ou créés par IA) doivent être marqués techniquement pour permettre leur détection. Diffuser un deepfake sans marquage adéquat constitue une violation, même si le contenu n’est pas diffamatoire ou trompeur par ailleurs.
Sanctions pour obstruction aux autorités
Un point rarement abordé : les sanctions peuvent tomber même sans infraction initiale sur le contenu. L’AI Act prévoit des amendes spécifiques pour les entreprises qui fournissent des informations inexactes, incomplètes ou trompeuses aux autorités de surveillance. Refuser de coopérer avec un audit ou transmettre des documents falsifiés expose à des pénalités distinctes de celles liées au système d’IA lui-même.
Données personnelles et systèmes d’IA : le croisement avec le RGPD
Le règlement général sur la protection des données (RGPD) s’applique pleinement aux systèmes d’IA qui traitent des données personnelles. Le nombre de contentieux impliquant l’IA a considérablement augmenté ces dernières années, soulevant la question de savoir comment ces outils s’articulent avec la législation existante sur la vie privée.
Un système d’IA qui collecte, stocke ou analyse des données personnelles sans base légale valide (consentement, intérêt légitime, exécution d’un contrat) enfreint le RGPD. La collecte massive de données pour entraîner un modèle pose un problème particulier : le consentement obtenu pour un usage donné ne couvre pas automatiquement l’entraînement d’un modèle d’IA, ce qui invalide la base légale initiale.
Les modèles présentant un risque systémique sont soumis à des exigences supplémentaires d’évaluation, de cybersécurité et de signalement d’incidents. Ce cumul AI Act plus RGPD crée un maillage juridique dense où chaque maillon peut déclencher une infraction distincte.
L’IA n’enfreint donc pas la loi d’une seule manière. Elle le fait à l’intersection de textes qui n’ont pas été conçus ensemble : droit d’auteur, protection des données, règlement sectoriel. La difficulté pour les entreprises n’est pas tant l’existence des règles que leur superposition, chaque couche ajoutant ses propres sanctions, ses propres autorités de contrôle et ses propres délais de mise en conformité.
