Certaines utilisations de l'intelligence artificielle ne sont pas encadrées par l'IA Act, elles sont tout simplement prohibées. Les pratiques interdites IA Act figurent à l'article 5 du règlement (UE) 2024/1689. Elles s'appliquent depuis le 2 février 2025, et le règlement (UE) 2026/1744 dit omnibus numérique sur l'IA en ajoute de nouvelles au 2 décembre 2026. Voici leur lecture, cas par cas, pour une entreprise.
Que recouvrent les pratiques interdites de l'IA Act ?
Il s'agit d'usages jugés contraires aux droits fondamentaux, quel que soit le niveau de précaution pris. Un système d'IA qui relève de l'article 5 ne peut être ni mis sur le marché, ni mis en service, ni utilisé dans l'Union. Aucune mise en conformité ne le rend licite.
La Commission européenne a publié le 4 février 2025 des lignes directrices qui détaillent chaque interdiction avec des exemples. Non contraignantes, l'interprétation qui fait foi revenant à la Cour de justice de l'Union, elles servent de grille de lecture pour analyser les pratiques interdites IA Act dans un cas concret.
Les huit interdictions applicables depuis le 2 février 2025
Le tableau ci-dessous résume le premier alinéa du paragraphe 1 de l'article 5. Les points a, b, c, f et g sont ceux qu'une entreprise rencontre le plus.
| Pratique | Ce qui est visé | Exceptions prévues |
|---|---|---|
| Manipulation (point a) | Techniques subliminales, manipulatrices ou trompeuses qui altèrent substantiellement le comportement d'une personne et lui causent, ou risquent de lui causer, un préjudice important. | Aucune exception écrite. |
| Exploitation des vulnérabilités (point b) | Exploiter une vulnérabilité liée à l'âge, au handicap ou à la situation sociale ou économique, avec le même effet et le même risque de préjudice. | Aucune exception écrite. |
| Notation sociale (point c) | Classer des personnes d'après leur comportement social ou leurs caractéristiques personnelles, avec un traitement défavorable hors contexte ou disproportionné. | Aucune exception écrite. |
| Prédiction d'infractions (point d) | Évaluer le risque d'infraction d'une personne sur la seule base de son profilage ou de sa personnalité. | Appui à une évaluation humaine fondée sur des faits objectifs et vérifiables. |
| Bases de reconnaissance faciale (point e) | Moissonnage non ciblé d'images faciales sur internet ou de vidéosurveillance. | Aucune exception écrite. |
| Reconnaissance des émotions (point f) | Inférer les émotions au travail ou dans un établissement d'enseignement. | Raisons médicales ou de sécurité. |
| Catégorisation biométrique (point g) | Déduire de données biométriques l'origine raciale, les opinions politiques, l'appartenance syndicale, les convictions, la vie ou l'orientation sexuelle. | Étiquetage ou filtrage de jeux de données acquis légalement. |
| Identification biométrique à distance en temps réel (point h) | Espaces accessibles au public, à des fins répressives. | Victimes et personnes disparues, menace imminente ou attentat, suspects d'infractions graves, sur autorisation. |
La reconnaissance des émotions au travail est détaillée dans notre article sur la biométrie au travail. Le point g recoupe la notion de donnée biométrique du RGPD, qui s'applique en parallèle.
Quelles nouvelles interdictions s'appliquent au 2 décembre 2026 ?
L'omnibus numérique sur l'IA, le règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, insère deux nouveaux points et deux nouveaux paragraphes à l'article 5. Selon l'article 113 modifié, ces dispositions s'appliquent à partir du 2 décembre 2026. Ces pratiques interdites IA Act visent les contenus sexuels générés ou manipulés par IA.
- Point b bis : il interdit les systèmes d'IA qui génèrent ou manipulent des images, vidéos, sons ou contenus similaires réalistes représentant les parties intimes d'une personne identifiable, ou cette personne engagée dans des activités sexuellement explicites, sans son consentement libre, spécifique, éclairé, univoque et explicite.
- Point b ter : il interdit les systèmes qui génèrent ou manipulent du matériel ou des représentations relevant de l'article 2, points c) et e), de la directive 2011/93/UE sur les abus sexuels concernant des enfants, sauf lorsqu'un moyen de défense « sans droit » prévu par le droit national s'applique.
- Paragraphe 1 bis : pour le fournisseur, l'interdiction joue si cette production est la destination du système, ou un résultat raisonnablement prévisible et reproductible faute de mesures de sécurité raisonnables et adéquates et de moyens de corriger les abus. Pour le déployeur, elle joue s'il utilise le système dans le but de produire ce matériel.
- Paragraphe 1 ter : une modification qui n'accroît pas la visibilité des parties intimes représentées et ne change pas la nature des activités sexuellement explicites représentées n'est pas une manipulation au sens du point b bis.
Fournisseur ou déployeur : qui est concerné ?
L'article 5 vise la mise sur le marché, la mise en service et l'utilisation. Le fournisseur d'IA répond de ce qu'il commercialise, le déployeur de l'usage qu'il en fait. Acheter l'outil à un éditeur ne transfère pas la responsabilité de l'usage.
Quelles sanctions pour une pratique interdite ?
Le non-respect de l'article 5 expose à une amende administrative pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu, selon l'article 99, paragraphe 3. Pour les PME et jeunes pousses, le paragraphe 6 retient au contraire le montant le plus faible.
L'omnibus a modifié l'article 99 sans toucher à ce plafond. Son nouveau paragraphe 6 bis étend la règle du montant le plus faible aux petites entreprises de taille intermédiaire, pour les seules amendes des paragraphes 4 et 5, donc pas pour les pratiques interdites IA Act. Le chapitre sur les sanctions s'applique depuis le 2 août 2025.
Comment vérifier les outils de votre entreprise ?
Quatre étapes suffisent, pour les outils existants comme pour les nouveaux. Cette vérification s'articule utilement avec un registre des systèmes d'IA et, pour les systèmes qui ne sont pas interdits mais sensibles, avec notre guide sur l'IA à haut risque.
- 1Inventorier — Listez les outils d'IA utilisés ou fournis, y compris les fonctions intégrées aux logiciels métier.
- 2Confronter — Comparez chaque usage aux points de l'article 5, nouveaux points compris.
- 3Qualifier — Vérifiez les conditions et les exceptions à l'aide des lignes directrices.
- 4Décider — Arrêtez ou modifiez l'usage et documentez votre analyse.
Le calendrier complet du règlement, au-delà des pratiques interdites IA Act, est présenté dans notre article sur l'entrée en vigueur de l'IA Act.
À retenir
- Huit pratiques sont interdites depuis le 2 février 2025, avec des exceptions limitées.
- Deux interdictions nouvelles, sur les contenus intimes non consentis et les abus sexuels sur enfants, s'appliquent au 2 décembre 2026.
- Fournisseur et déployeur sont tous deux concernés.
- L'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial, plafond que l'omnibus n'a pas modifié.
- Les lignes directrices de la Commission de février 2025 restent la référence pratique, sans valeur contraignante.
Définitions utiles
Tout le lexique RGPD- IA ActL'IA Act est le règlement européen 2024/1689 sur l'intelligence artificielle. Il encadre la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union selon leur niveau de risque, de l'interdiction pure et simple à de simples obligations de transparence.
- DéployeurLe déployeur est la personne ou l'organisme qui utilise un système d'IA sous sa propre autorité dans le cadre d'une activité professionnelle. Une entreprise, une collectivité ou une association qui se sert d'un outil d'IA est déployeur au sens de l'IA Act.
- Donnée biométriqueUne donnée biométrique est une donnée personnelle issue d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne (empreinte digitale, visage, voix, iris) qui permet ou confirme son identification unique.
- Sanction RGPDUne sanction RGPD est une mesure prononcée par une autorité de contrôle, en France la formation restreinte de la CNIL, contre un organisme qui ne respecte pas le règlement. Elle peut aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
- ConsentementLe consentement est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées.
- ProfilageLe profilage est l'utilisation automatisée de données personnelles pour évaluer certains aspects d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, son comportement ou ses déplacements.
