Tekoälyasetus: mitä muuttuu elokuun alussa.

Si le règlement européen sur l’intelligence artificielle (IA) est entré en vigueur le 1er août 2024, nous arrivons à une étape charnière de sa mise en œuvre.

On trouvera sur le site internet de la Commission européenne un rappel utile de la chronologie de l’application des dispositions du Règlement, qui prend en compte les récentes modifications apportées par le « Digital Omnibus ».

• Les dispositions générales du règlement (définitions et culture de l’IA) et l’interdiction des systèmes d’IA présentant des risques inacceptables s’appliquent depuis le 2 février 2025.
• Depuis ce 2 août, la majorité des dispositions entre en vigueur : les règles de transparence et les mesures de soutien à l’innovation commencent à s’appliquer, et le contrôle de la mise en œuvre pourra s’effectuer concernant les modèles d’IA à usage général, les interdictions, les règles de transparence et la culture de l’IA. Le Bureau de l’IA de la Commission européenne sera compétent à cet égard, en collaboration avec les autorités nationales.
• A partir du 2 décembre, ce sont les systèmes d’IA générant des « deepfakes » à caractère sexuel non consensuels et du matériel pédopornographique qui seront réglementés, et à compter de fin 2027 et mi-2028, les systèmes d’IA à haut risque repris respectivement dans les annexes III (domaines sensibles tels que l’emploi et la police) et I (produits tels que les dispositifs médicaux).

Plus concrètement, depuis cet été les nouvelles règles de transparence de l’article 50 obligent certains systèmes d’IA tels que les chatbots à informer les utilisateurs lorsqu’ils interagissent avec l’IA et lorsque le contenu a été généré ou modifié par celle-ci.

En outre, les fournisseurs de contenus édités ou générés à l’aide de l’IA devront être identifiés comme tels.

Ces contenus devront également porter des marques lisibles par machine afin de pouvoir être détectés plus facilement.

Certaines exceptions ont été prévues dans le contexte pénal ainsi que pour les textes dont un humain contrôle le contenu, et des adaptations existent pour les créations artistiques.

La Commission a également proposé trois icônes permettant d’identifier les contenus générés totalement ou partiellement à l’aide de l’IA.

Afin d’aider les entreprises à se conformer à ces obligations, la Commission européenne a publié le 20 juillet des lignes directrices clarifiant qui est concerné par ces règles et quels contenus doivent faire l’objet d’une information.

Un « code de bonnes pratiques sur la transparence des contenus générés par l’IA », déjà été signé par plus de 180 organisations dont OpenAI et Google, vise à aider les entreprises à démontrer leur conformité au Règlement.

Qui en France est chargé de la mise en œuvre et du contrôle du respect du règlement ?

La supervision est éclatée entre de nombreuses entités, sous la houlette de la DGE et de la DGCCRF qui supervisera les obligations générales d’information et de traçabilité.

• La CNIL joue un rôle central pour les systèmes d’IA impliquant le traitement de données personnelles, dont les données sensibles et la biométrie. L’autorité propose des fiches pratiques et un guide d’auto-évaluation afin de vérifier le degré de conformité des entreprises aux dispositions légales, et fournit des conseils aux PME-TPE.
• L’ARCOM intervient sur le contenu numérique et audiovisuel, dont les « deepfakes ».
• L’ANSSI interviendra sur les aspects de cybersécurité.
• La HAS sera compétente pour les systèmes d’IA utilisés dans le domaine médical.

Cette constellation de responsabilités, qui provoquera nécessairement des chevauchements, nécessite une coopération renforcée entre les acteurs. La DGCCRF joue ici le rôle de point de contact unique au niveau opérationnel.

Les risques en cas d’infraction peuvent être conséquents.

Les sanctions varient selon le niveau de risque : jusqu’à 35 millions d’euros ou 7% du CA mondial pour les IA interdites, 15 millions d’euros ou 3% pour les IA à haut risque non conformes, et 7,5 millions d’euros ou 1% pour les manquements de transparence.

Pour les PME-TPE, les sanctions sont plafonnées au montant le plus bas entre le seuil absolu et le pourcentage du CA.

Le règlement s’applique de façon modulée à chaque système d’IA utilisé par une organisation, et non à l’organisation dans son ensemble.

Il est dès lors recommandé de cartographier tous les systèmes utilisés (y compris les IA tierces et la sous-traitance) et d’évaluer leur niveau de risque afin d’adapter la mise en conformité.

Ranskassa

La France est le premier pays européen à adopter une loi interdisant l’accès aux réseaux sociaux aux mineurs de moins de 15 ans.

Le texte de compromis adopté le 21 juillet par le parlement fait peser sur les fournisseurs de services l’obligation de mettre en place un dispositif fiable de vérification de l’âge, sans imposer de mécanisme spécifique.

Dès le 1er septembre 2026, les mineurs de moins de quinze ans ne pourront plus créer de nouveaux comptes sur ces plateformes.

Pour les comptes existants, l’interdiction s’appliquera à l’expiration d’un délai de quatre mois soit le 1er janvier 2027. L’ARCOM sera chargée de veiller au respect de cette interdiction.

Notons que le texte soulève des questions de proportionnalité car il oblige tous les utilisateurs de réseaux sociaux à prouver leur âge, et l’efficacité du mécanisme est mis en cause par ses détracteurs qui citent les résultats mitigés obtenus par l’Australie en la matière.

Le Conseil constitutionnel a été saisi du texte par deux groupes de députés. Par ailleurs, la Commission européenne entend présenter à l’automne une proposition sur le sujet, tout en privilégiant des mécanismes de preuve d’âge préservant l’anonymat.

A partir du 11 août et en vertu d’un décret du 23 juillet, contrairement au système Bloctel qui nécessite une démarche active d’opposition, le démarchage téléphonique sera interdit par principe pour les entreprises de tous les secteurs d’activité sauf exception :

• Lorsque l’appel concerne un contrat conclu avec l’entreprise afin de proposer par exemple des produits ou des services complémentaires, ou une offre visant à améliorer le service fourni ou les performances de celui-ci.
• Lorsque l’entreprise en question a obtenu au préalable l’accord à être sollicité pour des prospections commerciales. Le consentement devra avoir été exprimé de manière « libre » et « éclairée », et « par un acte positif clair ».

En cas de non-respect, les entreprises s’exposent à des amendes pouvant atteindre 375 000 euros pour les personnes morales, ainsi qu’à la nullité des contrats conclus à la suite d’un démarchage irrégulier.

En avril dernier, la CNIL a pris une position ferme concernant les pixels de suivi dans les courriers électroniques, laissant aux entreprises un délai de trois mois pour se mettre en conformité avec les dispositions légales protégeant les communications électroniques.

De nombreux messages ont depuis atterri dans les boîtes aux lettres de tout un chacun, demandant le consentement des intéressés au traçage de l’ouverture des courriers. La CNIL a publié le 22 juillet une série de questions-réponses afin de préciser les conditions de mise en œuvre de sa recommandation.

La CNIL et le CIANum (Conseil de l’IA et du Numérique) ont mené une réflexion commune et publié une note exploratoire sur les enjeux soulevés par l’IA agentique pour la protection des données personnelles.

Ces travaux font écho aux échanges engagés sur ce sujet par la CNIL avec ses homologues internationaux, notamment dans le cadre du G7 des autorités de protection des données.

Le document constate un changement d’échelle dans l’utilisation de l’IA, qui se démocratise, et soulève des questions de responsabilité et de perte de maîtrise sur les données personnelles. Si le cadre légal actuel s’applique à ces systèmes, la CNIL souligne un défi dans l’adaptation des modalités de sa mise en œuvre.

Doctolib a annoncé début juillet dans un courrier électronique à destination de ses 60 millions d’utilisateurs qu’il utiliserait à partir du mois d’août, sauf opposition de leur part, certaines de leurs données de santé pour entraîner et améliorer ses outils d’intelligence artificielle, dans le cadre de projets de recherche en collaboration avec l’Inria, l’Inserm et l’Université Paris Cité.

La société indique que les données concernées sont pseudonymisées et que leur utilisation est encadrée par les règles de la CNIL.

Ce projet de recherche a suscité un bon nombre de réactions dont celle de la Ligue des droits de l’homme qui par un communiqué du 16 juillet critique l’enrôlement par défaut des utilisateurs dans le projet de recherche et le fait que celle-ci soit menée par une société privée (dont les données sont stockées par une société soumise au droit américain) plutôt que par un organisme public.

Euroopassa

Euroopan unionin toimielimet ja elimet

Le Parlement européen s’est prononcé le 9 juillet sur la prolongation du dispositif «Chat Control 1.0», qui permet aux entreprises du numérique d’analyser les messages privés à titre volontaire, sans mandat.

Cette « dérogation temporaire » aux règles relatives à la vie privée et aux communications électroniques, destinée à détecter les abus sexuels commis en ligne à l’encontre d’enfants, resterait en vigueur jusqu’au 3 avril 2028.

Ce texte, rejeté en mars par le parlement, avait été remis à l’ordre du jour lors d’une deuxième lecture au cours de laquelle le rejet de la proposition nécessite la majorité absolue de l’ensemble des membres.

En parallèle, les législateurs négocient un cadre actualisé, « Chat Control 2.0 », qui pourrait permettre d’accéder au contenu des communications chiffrées, projet considéré par plus de 800 chercheurs en cybersécurité comme une menace pour le chiffrement et la confidentialité des communications.

Le 7 juillet, la Commission européenne a présenté un plan d’action sur la cybersécurité et l’intelligence artificielle visant à « favoriser une utilisation sûre et responsable de l’IA tout en renforçant la cybersécurité de l’Europe ».

Le plan d’action complète le cadre juridique existant de l’UE en matière d’IA et de cybersécurité, notamment le règlement sur l’IA, le règlement sur la cyber-résilience, la directive NIS2, le règlement sur la résilience opérationnelle numérique (DORA) et le règlement sur la cyber-solidarité.

La Commission européenne a rendu le 23 juillet deux décisions constatant que Google avait enfreint le règlement sur les marchés numériques (DMA) en favorisant ses propres services sur Google Search et en imposant des restrictions aux entreprises afin de les empêcher de diriger les utilisateurs de Google Play vers d’autres canaux d’achat, souvent moins chers. Elle a infligé à Google deux amendes de respectivement 460 millions d’euros et 430 millions d’euros.

Le 8 juillet, le Comité européen de protection des données (EDPB) a publié de nouvelles lignes directrices visant à clarifier l’application du RGPD à deux enjeux majeurs :

• L’anonymisation des données
• Le web scraping dans le contexte de l’IA générative.

En matière d’anonymisation, le comité précise qu’une donnée ne peut être considérée comme véritablement anonyme que si aucune réidentification raisonnablement possible n’existe, en s’appuyant notamment sur trois critères : l’absence d’isolement, de couplage et de déduction.

Les lignes directrices tiennent compte notamment de l’arrêt rendu par la Cour de justice de l’Union européenne dans l’affaire C-413/23 P, CEPD c. SRB du 4 septembre 2025.

Concernant le web scraping, l’EDPB rappelle que la collecte automatisée de données personnelles pour entraîner des modèles d’IA reste soumise au RGPD, notamment aux exigences de base juridique, de transparence et de limitation des finalités.

Ces deux projets de lignes directrices sont ouverts à consultation publique jusqu’au 30 octobre 2026. En outre, les lignes directrices sur la blockchain ont été adoptées dans leur version définitive.

Le 31 juillet 2026, l’EDPB a en outre a adressé une lettre à la Commission européenne une lettre lui demandant d’examiner si l’arrêt rendu par la Cour suprême des États-Unis dans l’affaire Trump c. Slaughter était susceptible d’affecter la validité du cadre de protection des données UE-États-Unis.

La Cour de justice de l’Union européenne (CJUE) a estimé le 16 juillet dernier que les courriels professionnels constituent des communications protégées au titre des articles 7 et 8 de la Charte européenne des droits fondamentaux, mais qu’ils peuvent être saisis par une autorité de la concurrence dans le cadre d’une enquête sans autorisation judiciaire préalable, à condition qu’un cadre juridique strict et des garanties adéquates contre les abus et l’arbitraire soient en place (affaires jointes affaires jointes C-258/23 à C-260/23).

Elle a considéré dans son jugement du 14 juillet (C 474/24 – NADA Austria and Others) que la publication des noms de sportifs professionnels ayant enfreint les règles antidopage pouvait être licite.

Toutefois, l’entité responsable de la publication doit être en mesure de mettre en balance les intérêts en jeu afin de respecter le principe de proportionnalité. Elle a en outre admis qu’une plainte puisse être déposée à titre préventif.

La CJUE a enfin estimé dans un jugement du 9 juillet (C-199/24 ND v Legal Newsdesk Sweden AB) que la publication d’informations relatives à des condamnations pénales dans des bases de données accessibles au public ne constituait pas une activité journalistique et ne pouvait bénéficier d’une exemption au titre du RGPD en vertu des législations nationales transposant l’article 85(2).

Uutisia Euroopan unionin jäsenmaista.

En Autriche, au terme de sept ans de procédure, la Cour administrative suprême a confirmé une amende de 13 millions d’euros infligée à la Poste autrichienne.

L’entreprise avait collecté des données sur les affinités politiques de plus de deux millions de personnes et avait vendu ces informations à des sociétés tierces à des fins de publipostage.

Alors qu’elle invoquait sa bonne foi et les avis des consultants qui avaient validé ses pratiques, la Cour suprême a rejeté ces arguments et indiqué « qu’aucune action ni connaissance de la part des organes dirigeants n’est requise pour qu’une personne morale soit sanctionnée ». La Cour a en outre estimé que des opinions juridiques « indéfendables » ne devaient pas être considérées comme une circonstance atténuante, ni même comme un élément disculpatoire.

Le 14 juillet, l’EDPB a publié une décision enjoignant à l’APD belge de traiter la plainte de l’ONG Noyb, plainte que l’APD avait considérée comme non recevable. Dans une décision contraignante, le Comité a examiné si cette plainte devait être rejetée au motif d’un abus du droit, et a confirmé que le fait de mandater un organisme, une organisation ou une association à but non lucratif pour déposer une plainte au nom d’un plaignant était conforme au RGPD.

L’APD espagnole a infligé une amende de 2,4 millions d’euros à une entreprise spécialisée dans la génomique et la biotechnologie pour avoir insuffisamment protégé des données génétiques et de santé et pour avoir signalé à l’autorité de protection des données une violation de données à caractère personnel après l’expiration du délai de 72 heures.

L’APD a aussi sanctionné Vodafone à hauteur d’1.050.000 € pour mesures insuffisantes de protection des données.

L’APD italienne a infligé une amende de 5,8 millions d’euros à un fournisseur d’énergie pour ne pas avoir communiqué les cotes de solvabilité ni expliqué leur mode de calcul, pour avoir partagé illégalement des données relatives à l’endettement au sein de son groupe, pour avoir conservé des données de crédit pendant dix ans sans justification suffisante et pour les avoir réutilisées à des fins incompatibles.

Une amende de 2 millions d’euros a été infligée par l’APD italienne à Lusha Systems Inc., un courtier en données américain qui, via sa plateforme, fournit moyennant paiement des informations «enrichies» concernant des personnes physiques, telles que leur situation professionnelle, leurs adresses e-mail et leurs numéros de téléphone.

Lusha collecte ces données auprès de plusieurs sources (extraction de données sur les réseaux sociaux, achats auprès d’autres courtiers en données, etc) et les met à la disposition de ses clients à des fins commerciales ou de lutte contre la fraude.

La société procède également à des mises à jour impliquant un suivi en ligne du comportement des personnes concernées, qui relèvent du RGPD. L’APD a interdit le traitement des données relatives aux personnes situées en Italie et a ordonné leur effacement.

L’APD a également sanctionné l’opérateur de télécommunications TIM pour de nombreuses violations de la réglementation en matière de confidentialité et de télémarketing.

Plusieurs de ses centres d’appels agissant en tant que sous-traitants effectuaient des appels promotionnels pour le compte de la société, en utilisant des numéros n’appartenant pas au réseau de vente officiel, afin de collecter illégalement les données des utilisateurs.

L’autorité rappelle que l’adhésion à un code de conduite ne dispense pas le responsable de l’obligation de surveiller les activités de ses sous-traitants et de vérifier l’application effective des mesures de protection des données tout au long de la chaîne du télémarketing.

Kansainvälisesti

Au Canada, un projet de loi du 15 juin dernier prévoit de retirer à l’APD ses compétences en matière de surveillance du secteur privé et de créer un organisme unique chargé de réglementer les préjudices en ligne, les réseaux sociaux, les chatbots basés sur l’IA, ainsi que la protection de la vie privée dans le secteur privé.

Aux États-Unis, l’article 702 de la loi sur la surveillance des renseignements étrangers (FISA) a expiré en juin.

Depuis 2008, cette disposition permettait aux agences de renseignement américaines de collecter en dehors des Etats-Unis des communications de ressortissants étrangers sans mandat.

Depuis plusieurs années, un nombre croissant de parlementaires conditionnait le renouvellement de l’article 702 à l’exigence d’un mandat obligatoire. Ils ont finalement obtenu les voix nécessaires pour faire valoir leur position.

Toutefois, les autorisations de la Cour de surveillance du renseignement étranger (FISC) renouvelées en mars pour le programme relevant de l’article 702 restent en vigueur et « continueront de s’appliquer sans changement, au moins jusqu’au 17 mars 2027 », selon le député Jamie Raskin.

Certains opérateurs ont averti en privé qu’ils cesseraient de coopérer dès l’expiration de la loi, craignant d’engager leur responsabilité juridique en l’absence d’une loi en vigueur pour étayer les demandes du gouvernement.

Les agences de renseignement et les entreprises de télécommunications sont ainsi confrontées à une incertitude quant aux activités de collecte de données pouvant légalement se poursuivre.

Toujours aux Etats-Unis, le règlement amiable conclu avec la société 23andMe à la suite de cyberattaque de 2023, qui a touché environ 6,4 millions de personnes clientes, a été définitivement approuvé par un tribunal américain.

Toutefois les indemnisations n’ont pas encore été versées aux victimes américaines dont les données génétiques ont été compromises, en raison de la procédure de faillite de l’entreprise.

Le fonds d’indemnisation s’élève à 46,75 millions de dollars, mais la plupart des bénéficiaires ne percevront qu’une indemnisation limitée, les montants les plus élevés étant réservés aux victimes pouvant justifier d’un préjudice important.

La « Déclaration de Rome pour une paix sans armes et fondée sur le désarmement à l’ère de l’intelligence artificielle, des armes nucléaires et autonomes, des nouveaux protocoles numériques et des modèles émergents de développement numérique » a été signée jeudi 16 juillet sur la colline du Capitole, à Rome, marquant le point d’orgue de l’Assemblée mondiale des lauréats du prix Nobel sur l’intelligence artificielle et la guerre nucléaire.