La régulation de l'IA n'est pas un texte unique mais un écosystème de textes qui s'interpénètrent. Pour naviguer dans cet environnement, voici le panorama complet des textes européens et internationaux, des acteurs institutionnels, et de leurs interactions.
L'écosystème réglementaire européen de l'IA
L'écosystème réglementaire européen de l'IA comprend : l'AI Act (texte central), le RGPD (données personnelles), le DSA (plateformes et algorithmes de recommandation), le DMA (marchés numériques) et la Convention du Conseil de l'Europe. Ces textes se complètent et s'appliquent simultanément. La proposition de directive sur la responsabilité liée à l'IA, un temps envisagée en complément, a été retirée par la Commission en 2025.
En Europe, plusieurs textes réglementent l'IA de façon directe ou indirecte.
| Texte | Type | Périmètre IA | Statut |
|---|---|---|---|
| AI Act (2024/1689) | Règlement | Tous systèmes IA | En vigueur (application progressive) |
| RGPD (2016/679) | Règlement | IA traitant des données perso | Pleinement applicable |
| DSA (Digital Services Act) | Règlement | Plateformes + algorithmes recommandation | Applicable (VLOP depuis 2023) |
| DMA (Digital Markets Act) | Règlement | Gatekeepers utilisant IA | Applicable |
| Directive IA Liability | Proposition retirée | Responsabilité civile IA | Retirée par la Commission en 2025 — pas de texte harmonisé à ce jour |
| Directive sécurité des produits (2023/988) | Directive | Produits avec IA intégrée | Applicable |
| Convention Conseil de l'Europe IA | Traité international | Tous systèmes IA | Signé, ratification en cours |
Les acteurs institutionnels européens
La gouvernance de la régulation IA en Europe implique de nombreux acteurs.
- Bureau européen de l'IA (AI Office) : superviseur des GPAI, coordination générale
- Comité européen de l'IA : coordination inter-États, avis et recommandations
- Autorités nationales de surveillance (NCA) : application dans chaque État membre
- Comité européen de protection des données (EDPB) : RGPD appliqué à l'IA
- ENISA : cybersécurité des systèmes d'IA
- CEN-CENELEC : normalisation harmonisée IA
- FRA (Agence des droits fondamentaux) : droits fondamentaux et IA
La directive IA Liability : une proposition retirée
La Commission européenne avait proposé en 2022 une directive sur la responsabilité en matière d'IA (AI Liability Directive), destinée à faciliter la réparation des dommages causés par des systèmes d'IA — notamment via un allègement de la charge de la preuve pour les victimes et un droit d'accès aux preuves techniques détenues par les développeurs. Cette proposition a été retirée par la Commission européenne en 2025.
Ce que cela signifie concrètement : il n'existe à ce jour aucun texte européen harmonisant spécifiquement la responsabilité civile liée aux dommages causés par l'IA. Les victimes doivent s'appuyer sur les régimes nationaux de responsabilité civile de droit commun, qui varient d'un État membre à l'autre et peuvent se révéler difficiles à mobiliser face à des systèmes d'IA complexes ou opaques.
La Convention du Conseil de l'Europe sur l'IA
Signée en septembre 2024 par les États membres du Conseil de l'Europe (47 pays, dont des pays non-UE comme le Royaume-Uni, la Turquie, l'Ukraine) et plusieurs pays tiers (États-Unis, Canada, Japon, Australie, Israël), cette convention est le premier traité international légalement contraignant sur l'IA.
Son champ est plus restreint que l'AI Act : elle se concentre sur les droits fondamentaux, la démocratie et l'État de droit, et s'applique principalement aux systèmes d'IA utilisés par les gouvernements.
Pour les entreprises privées, les États membres peuvent choisir de lui appliquer les obligations via d'autres mécanismes ou de les exclure.
Son importance principale : elle crée un cadre de valeurs partagé entre l'Europe et ses alliés démocratiques sur la gouvernance de l'IA.
→ Comparaison mondiale régulations IA
Comment naviguer dans cet écosystème ?
Face à la multiplicité des textes, comment une entreprise peut-elle s'y retrouver ?
La règle de la spécialité : l'AI Act est la loi spéciale sur l'IA. Les autres textes s'appliquent dans leurs domaines propres. Le RGPD régit les données personnelles (y compris celles traitées par l'IA). Le DSA régit les plateformes. L'AI Act régit les systèmes d'IA en tant que tels.
La règle de la cumulativité : sauf disposition contraire, tous les textes s'appliquent simultanément. Un chatbot de recrutement peut être soumis à l'AI Act (risque élevé), au RGPD (données personnelles des candidats), et au droit du travail national.
L'approche pragmatique : commencer par l'AI Act (le texte le plus récent et spécifique), puis vérifier les obligations RGPD, puis les textes sectoriels si applicable. En cas de doute ou de conflit apparent, consulter un juriste spécialisé.
- AI Act → texte central, à appliquer en premier
- RGPD → si l'IA traite des données personnelles (presque toujours)
- DSA → si vous êtes une plateforme en ligne
- DMA → si vous êtes désigné gatekeeper
- Textes sectoriels → si vous opérez dans un secteur réglementé (santé, finance, transport)
FAQ : panorama régulation IA
Conclusion
La régulation de l'IA en Europe forme un écosystème cohérent mais complexe. La bonne nouvelle : ces textes partagent les mêmes valeurs fondamentales (protection des droits, transparence, responsabilité). La conformité à l'AI Act, si elle est abordée sérieusement, crée un socle solide pour respecter l'ensemble du cadre réglementaire.
Questions fréquentes
Non. L'AI Act et le RGPD s'appliquent simultanément. L'AI Act a prévu des passerelles avec le RGPD (notamment l'autorisation de traiter des données sensibles pour corriger les biais), mais les deux réglementations coexistent et se complètent.
Non. La proposition de directive sur la responsabilité liée à l'IA, présentée par la Commission en 2022, a été retirée par la Commission européenne en 2025. Il n'existe donc pas de texte européen harmonisé sur ce sujet ; les régimes nationaux de responsabilité civile continuent de s'appliquer.
L'IA en Europe est réglementée par l'AI Act (texte central), le RGPD (données personnelles), le DSA (plateformes), le DMA (marchés numériques), et la Convention du Conseil de l'Europe. La proposition de directive sur la responsabilité liée à l'IA a, elle, été retirée par la Commission en 2025.