Pratiques IA interdites : article 5 du règlement IA
Les dix pratiques d'IA interdites par l'article 5, qui doit s'y conformer, les exceptions restreintes et des amendes jusqu'à 35 millions d'EUR ou 7 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.
L'article 5 interdit dix pratiques d'IA : la mise sur le marché, la mise en service ou l'utilisation de certains systèmes d'IA. Les opérateurs comprennent les fournisseurs et les déployeurs.
Les amendes atteignent 35 millions d'EUR ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 3). Les systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale sont exclus du règlement (article 2, paragraphe 3). Prochaine étape : comparez chacun de vos systèmes d'IA aux dix pratiques ci-dessous.
Huit interdictions s'appliquent à partir du 2 février 2025, deux autres à partir du 2 décembre 2026.
Les amendes s'appliquent à partir du 2 août 2025 et du 2 décembre 2026, respectivement.
Dix pratiques en matière d'IA sont interdites
Techniques subliminales et manipulatrices
art. 5, par. 1, point a)Systèmes d'IA qui ont recours à des techniques subliminales, au-dessous du seuil de conscience d'une personne, ou à des techniques délibérément manipulatrices ou trompeuses pour altérer substantiellement le comportement. L'interdiction s'applique lorsque cela cause un préjudice important ou est raisonnablement susceptible d'en causer un.
Exploitation des vulnérabilités
art. 5, par. 1, point b)Systèmes d'IA qui exploitent des vulnérabilités dues à l'âge, au handicap ou à la situation sociale ou économique spécifique pour altérer substantiellement le comportement d'une manière qui cause un préjudice important ou est raisonnablement susceptible d'en causer un.
Matériel intime non consenti
art. 5, par. 1, point ba)Systèmes d'IA qui génèrent ou manipulent des images, vidéos, contenus audio ou contenus similaires réalistes des parties intimes d'une personne identifiable, ou de cette personne dans des activités sexuellement explicites, sans son consentement libre, spécifique, éclairé, univoque et explicite. Une manipulation qui n'accroît pas l'exposition des parties intimes ni ne modifie la nature des activités n'est pas visée (article 5, paragraphe 1 ter). Les fournisseurs ne sont visés que si c'est la finalité prévue du système, ou si sa conception, son entraînement, son architecture, ses capacités ou ses fonctions côté utilisateur en font un résultat raisonnablement prévisible et reproductible sans modification technique importante et que le système n'a pas de garde-fous raisonnables et adéquats pour l'empêcher et le corriger. Les déployeurs sont visés lorsqu'ils utilisent un système à cette fin (article 5, paragraphe 1 bis). S'applique à partir du 2 décembre 2026.
Matériel relatif à des abus sexuels sur enfants
art. 5, par. 1, point bb)Systèmes d'IA qui génèrent ou manipulent du matériel ou des spectacles au sens de l'article 2, points c) et e), de la directive 2011/93/UE, sauf lorsqu'une défense « sans droit » s'applique en droit national. Les mêmes conditions s'appliquent aux fournisseurs et aux déployeurs que pour le point b bis) (article 5, paragraphe 1 bis). S'applique à partir du 2 décembre 2026.
Notation sociale
art. 5, par. 1, point c)Systèmes d'IA qui évaluent ou classent des personnes au cours d'une période donnée selon leur comportement social ou leurs caractéristiques personnelles, lorsque la note sociale conduit à un traitement préjudiciable dans des contextes sociaux sans rapport, ou à un traitement injustifié ou disproportionné. L'interdiction ne se limite pas aux autorités publiques.
Prédiction d'infractions par le seul profilage
art. 5, par. 1, point d)Systèmes d'IA qui évaluent ou prédisent le risque qu'une personne commette une infraction pénale uniquement sur la base du profilage ou de ses traits de personnalité. Les systèmes d'IA qui étayent une évaluation humaine fondée sur des faits objectifs et vérifiables, directement liés à une activité criminelle, ne sont pas interdits.
Moissonnage non ciblé d'images faciales
art. 5, par. 1, point e)Systèmes d'IA qui créent ou développent des bases de données de reconnaissance faciale par le moissonnage non ciblé d'images faciales provenant de l'internet ou de la vidéosurveillance.
Reconnaissance des émotions au travail et dans l'éducation
art. 5, par. 1, point f)Systèmes d'IA qui inférent les émotions d'une personne sur le lieu de travail ou dans les établissements d'enseignement. L'interdiction ne s'applique pas aux systèmes destinés à des raisons médicales ou de sécurité.
Catégorisation biométrique selon des attributs sensibles
art. 5, par. 1, point g)Systèmes d'IA qui catégorisent individuellement des personnes sur la base de leurs données biométriques afin d'en déduire ou d'en inférer la race, les opinions politiques, l'affiliation syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l'orientation sexuelle. L'étiquetage ou le filtrage d'ensembles de données biométriques acquis légalement et la catégorisation de données biométriques dans le domaine répressif ne sont pas couverts.
Identification biométrique à distance en temps réel
art. 5, par. 1, point h)L'utilisation de systèmes d'identification biométrique à distance « en temps réel » dans des espaces accessibles au public à des fins répressives est interdite. Les trois exceptions restreintes figurent plus bas.
Les pratiques interdites relèvent du niveau d'amende le plus élevé
L'article 99, paragraphe 3 fixe ce plafond pour la violation d'une interdiction de l'article 5. Le volet de 7 % s'applique lorsque l'auteur est une entreprise et renvoie à l'exercice précédent. Pour les PME, y compris les jeunes pousses, l'amende peut atteindre le plus bas des deux montants (article 99, paragraphe 6). Le montant dans chaque cas dépend de facteurs tels que la gravité et la durée de l'infraction (article 99, paragraphe 7). Chaque État membre détermine dans quelle mesure des amendes peuvent être infligées aux autorités publiques (article 99, paragraphe 8).
L'identification biométrique en temps réel connaît trois exceptions restreintes
L'interdiction de l'article 5, paragraphe 1, point h) ne s'applique pas lorsque l'utilisation est strictement nécessaire à l'un de trois objectifs. Les États membres peuvent décider d'autoriser ou non cette utilisation, et à quelles conditions (article 5, paragraphe 5).
Trois objectifs sont autorisés
L'utilisation n'est autorisée que si elle est strictement nécessaire pour : la recherche ciblée de victimes précises d'enlèvement, de traite ou d'exploitation sexuelle, et de personnes disparues ; la prévention d'une menace spécifique, substantielle et imminente pour la vie ou la sécurité physique, ou d'une menace réelle et actuelle ou réelle et prévisible d'attaque terroriste ; ou la localisation ou l'identification d'un suspect d'une infraction visée à l'annexe II, pour une enquête, des poursuites ou l'exécution d'une sanction pénale. L'infraction doit être punissable d'une peine ou d'une mesure de sûreté privative de liberté d'une durée maximale d'au moins quatre ans (article 5, paragraphe 1, point h)).
Une autorisation préalable et des garanties sont exigées
Chaque utilisation nécessite l'autorisation préalable d'une autorité judiciaire ou d'une autorité administrative indépendante dont la décision est contraignante. En cas d'urgence dûment justifiée, l'utilisation peut débuter sans autorisation si celle-ci est demandée sans retard injustifié et dans un délai de 24 heures. Si elle est refusée, l'utilisation cesse et toutes les données et tous les résultats sont supprimés (article 5, paragraphe 3). Autoriser une utilisation exige aussi une analyse d'impact sur les droits fondamentaux achevée et l'enregistrement dans la base de données de l'UE. En cas d'urgence, l'enregistrement peut suivre sans retard injustifié (article 5, paragraphe 2). Chaque utilisation doit en outre être notifiée à l'autorité de surveillance du marché et à l'autorité nationale de protection des données (article 5, paragraphe 4).
L'identification a posteriori est à haut risque, pas interdite
L'identification biométrique à distance qui ne s'effectue pas en temps réel n'est pas interdite. C'est un cas d'usage à haut risque au titre de l'annexe III, point 1 a). Lors d'une recherche ciblée d'une personne soupçonnée ou condamnée pour une infraction pénale, le déployeur doit demander l'autorisation d'une autorité judiciaire ou d'une autorité administrative dont la décision est contraignante et soumise à un contrôle juridictionnel, avant l'utilisation ou sans retard injustifié et dans un délai de 48 heures au plus tard. Cela ne s'applique pas à l'identification initiale d'un suspect potentiel fondée sur des faits objectifs et vérifiables directement liés à l'infraction (article 26, paragraphe 10).
Questions fréquentes
L'interdiction de la notation sociale s'applique-t-elle aux entreprises privées ?
Oui. L'article 5, paragraphe 1, point c), interdit les systèmes de notation sociale sans limiter l'interdiction aux autorités publiques. Il vise les opérateurs qui mettent un tel système sur le marché, le mettent en service ou l'utilisent, dans le champ de l'article 2. L'article 2 exclut notamment les usages militaires, de défense et de sécurité nationale (paragraphe 3), certaines autorités publiques de pays tiers (paragraphe 4), les systèmes destinés à la seule recherche scientifique (paragraphe 6), la recherche et les essais avant la mise sur le marché (paragraphe 8) et l'usage purement personnel et non professionnel par des personnes physiques (paragraphe 10).
Comment vérifier mes systèmes d'IA au regard des pratiques interdites ?
Comparez la finalité prévue et l'usage réel de chaque système aux dix pratiques de l'article 5, paragraphe 1, et consignez le résultat pour chaque système. Scanara vous y aide avec une évaluation guidée au regard de l'article 5 et des contrôles de code fondés sur des règles, qui repèrent les schémas détectables. L'intention et le contexte exigent votre jugement, et la décision vous appartient.
Guides connexes
Règlement IA : calendrier des échéances de 2024 à 2030
Chaque date d'application du règlement, avec l'article correspondant.
Règlement IA vs RGPD : différences et chevauchements
Les deux textes s'appliquent en parallèle. L'article 5 ne touche pas à l'article 9 du RGPD pour les données biométriques hors du domaine répressif.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.