L'AI Act ne fait pas confiance qu'aux règles imposées d'en haut. Il crée aussi des mécanismes d'autorégulation encadrée, notamment les codes de conduite. Ces documents, élaborés collectivement par l'industrie sous supervision du Bureau européen de l'IA, peuvent servir de preuve de conformité. Un outil stratégique à comprendre.
Qu'est-ce qu'un code de conduite IA ?
Un code de conduite IA est un document d'autorégulation élaboré par les acteurs du secteur sous supervision du Bureau européen de l'IA. Prévu par l'article 95 de l'AI Act, il précise comment les entreprises s'engagent à respecter les obligations du règlement. Un code approuvé peut servir de preuve de conformité.
Dans le contexte de l'AI Act, un code de conduite IA est un ensemble de règles et d'engagements élaborés volontairement par des acteurs du secteur — fournisseurs de systèmes d'IA, associations professionnelles — qui précisent comment ils entendent respecter les obligations du règlement.
L'article 95 de l'AI Act encourage explicitement l'élaboration de codes de conduite pour : - Les systèmes d'IA à risque limité (niveau de transparence à adopter) - Les bonnes pratiques au-delà des obligations minimales - Les systèmes d'IA à risque minimal (encouragement à l'adoption volontaire)
Pour les modèles GPAI spécifiquement, l'article 56 prévoit des codes de conduite obligatoires dans leur processus de création, sous la supervision active du Bureau européen de l'IA.
Les codes de conduite GPAI : le processus de 2025
Pour les modèles d'IA à usage général, le Bureau européen de l'IA a lancé en 2025 un processus participatif d'élaboration de codes de conduite.
Le processus : 1. Le Bureau européen de l'IA lance un appel à contributions 2. Les fournisseurs de modèles, associations, chercheurs et société civile participent aux consultations 3. Des groupes de travail thématiques élaborent des propositions 4. Le Bureau consolide et approuve les codes de conduite 5. Les codes sont publiés et les fournisseurs peuvent s'y soumettre volontairement
Les thèmes couverts : - Méthodes d'évaluation des capacités et risques des modèles - Gestion des incidents et signalement - Protection de la propriété intellectuelle - Transparence sur les données d'entraînement - Mesures de cybersécurité
Les participants : OpenAI, Google DeepMind, Anthropic, Meta, Mistral AI, Aleph Alpha, Microsoft, et une centaine d'autres acteurs ont participé aux consultations.
Les codes de conduite GPAI ne sont pas optionnels pour les fournisseurs de modèles à risque systémique : ils ont une obligation de résultat (respecter les exigences), mais peuvent utiliser les codes de conduite comme moyen de démontrer leur conformité.
La valeur juridique des codes de conduite
Un code de conduite approuvé par le Bureau européen de l'IA crée une présomption de conformité aux obligations qu'il couvre. En pratique, cela signifie :
Pour les fournisseurs qui l'adoptent : si vous respectez le code de conduite approuvé, vous êtes présumé conforme aux obligations correspondantes. La charge de la preuve se déplace — c'est l'autorité qui devrait prouver que vous ne respectez pas le règlement, pas vous prouver que vous le respectez.
Ce que ce n'est pas : un code de conduite n'est pas une certification. Il ne garantit pas la conformité totale. Il couvre certaines obligations, pas nécessairement toutes. Et si vous ne respectez pas les engagements du code que vous avez signé, vous pouvez être sanctionné pour les deux : non-respect du code ET non-respect du règlement.
Pour les systèmes à risque limité : l'adoption d'un code de conduite est volontaire et ne crée pas d'obligations supplémentaires. Elle représente un signal de maturité et peut être valorisée commercialement.
| Type de code | Volontaire / Obligatoire | Valeur juridique | Bénéfice pratique |
|---|---|---|---|
| Code GPAI (modèles à risque systémique) | Semi-obligatoire (moyen de preuve) | Présomption de conformité | Simplification de la démonstration de conformité |
| Code GPAI (autres modèles) | Volontaire | Présomption de conformité si approuvé | Signal de confiance marché |
| Code risque limité | Volontaire | Bonnes pratiques reconnues | Différenciation marketing |
| Code sectoriel (santé, finance) | Selon secteur | Variable | Crédibilité sectorielle |
Les initiatives sectorielles : avant et au-delà de l'AI Act
Avant même l'AI Act, plusieurs initiatives de codes de conduite IA existaient dans différents secteurs.
Finance : les autorités bancaires européennes (EBA, ESMA) ont publié des guidelines sur l'usage de l'IA dans les services financiers. Le secteur bancaire a également développé ses propres chartes IA.
Santé : la Commission européenne a publié des recommandations spécifiques sur l'IA en santé. Des acteurs comme Philips, Siemens Healthineers ont développé des chartes de développement responsable de l'IA médicale.
Recrutement : des associations RH européennes travaillent à des codes de conduite pour les outils IA de recrutement, en anticipation des obligations AI Act (risque élevé).
Médias et désinformation : le Code de bonnes pratiques sur la désinformation de la Commission européenne a été renforcé pour couvrir les risques liés à l'IA générative.
→ Gouvernance IA en entreprise
Comment une entreprise peut participer à l'élaboration des codes
Les codes de conduite ne sont pas écrits par des technocrates en chambre. Le processus de l'AI Act est explicitement participatif, et les entreprises peuvent y contribuer.
Les voies de participation : - Directement : via les consultations publiques du Bureau européen de l'IA (ai-act-consultation.eu) - Via les associations : Business Europe, Digital Europe, associations sectorielles - Via les groupes de travail ISO : participation aux travaux de normalisation ISO/IEC JTC 1/SC 42 sur l'IA - Via les initiatives nationales : en France, la CNIL et l'ANSSI organisent des consultations nationales
L'implication dans l'élaboration des codes a un double avantage : influencer les standards du secteur ET montrer un engagement proactif vers la conformité.
- Suivre les consultations du Bureau européen de l'IA
- Rejoindre les associations professionnelles actives sur l'AI Act
- Participer aux groupes de travail normatifs (ISO, CEN-CENELEC)
- Adopter les codes de conduite existants et pertinents pour votre secteur
- Documenter votre adhésion aux codes dans vos rapports de transparence
FAQ : codes de conduite IA
Conclusion
Les codes de conduite IA représentent l'équilibre entre prescription réglementaire top-down et autorégulation bottom-up. Pour les entreprises, s'impliquer dans ces processus — que ce soit pour les écrire ou pour les adopter — est une stratégie gagnante, à la fois pour la conformité et pour la réputation.
Questions fréquentes
Non. L'adoption d'un code de conduite approuvé crée une présomption de conformité pour les obligations couvertes, mais ne remplace pas l'évaluation de conformité formelle requise pour les systèmes à risque élevé. Ces deux processus sont complémentaires.
Oui. Le code de conduite GPAI (General-Purpose AI Code of Practice) a été publié le 10 juillet 2025 par un groupe d'experts indépendants, et la Commission ainsi que le Comité IA l'ont confirmé comme outil volontaire adéquat pour démontrer la conformité aux obligations de l'AI Act applicables aux fournisseurs de modèles GPAI.
Oui, c'est précisément l'intérêt des codes sectoriels. En adoptant un code de conduite approuvé, une PME bénéficie d'un cadre élaboré par des experts sans devoir tout développer en interne. Elle doit néanmoins vérifier que ses pratiques correspondent réellement aux engagements du code.
Un code de conduite IA est un document d'autorégulation élaboré par les acteurs du secteur sous supervision du Bureau européen de l'IA. Son adoption volontaire crée une présomption de conformité aux obligations couvertes.