[DOSSIER ] AI Act : les premiers contentieux révèlent les défis de la régulation européenne de l’intelligence artificielle

Deux ans après son adoption, le premier grand règlement mondial sur l’IA entre dans une phase décisive.

Lorsque l’Union européenne a adopté l’AI Act à l’été 2024, Bruxelles affichait une ambition historique : devenir le premier espace au monde à encadrer juridiquement l’intelligence artificielle de manière globale. Le texte, souvent présenté comme l’équivalent du RGPD pour l’IA, devait servir de référence internationale en imposant des obligations de transparence, de sécurité et de contrôle des risques.

Moins de deux ans plus tard, la réalité apparaît bien plus complexe. Derrière ce cadre réglementaire inédit, les premières difficultés d’application se multiplient. Les industriels réclament davantage de temps, les autorités de contrôle peinent à monter en puissance et les premiers litiges commencent déjà à dessiner la manière dont les juges interpréteront les responsabilités liées aux systèmes d’intelligence artificielle.

Cette première phase d’application montre que le véritable défi ne réside plus dans l’écriture de la loi, mais dans sa mise en œuvre.

Un calendrier revu face aux difficultés du terrain

À l’origine, l’AI Act devait être déployé progressivement entre 2025 et 2026. Les pratiques interdites devaient disparaître dès février 2025, les obligations visant les grands modèles d’IA générative entrer en vigueur quelques mois plus tard, avant une application complète aux systèmes dits « à haut risque » à partir d’août 2026.

Très vite, ce calendrier s’est révélé difficilement tenable.

Les normes techniques européennes, indispensables pour démontrer la conformité des systèmes, n’étaient toujours pas finalisées. Plusieurs États membres n’avaient pas encore désigné leurs autorités de contrôle et les entreprises dénonçaient un manque de visibilité sur les exigences concrètes.

Face à ces difficultés, quarante-cinq grandes entreprises européennes ont demandé un report des échéances. Bruxelles a finalement accepté d’assouplir son calendrier à travers le « Digital Omnibus », adopté en 2026.

Les systèmes d’IA à haut risque verront ainsi leurs principales obligations repoussées jusqu’en 2027 ou 2028 selon leur catégorie. Les obligations de marquage des contenus générés par IA ont également été décalées. En contrepartie, l’Union européenne a introduit de nouvelles interdictions, notamment contre les applications de « nudification », ces outils capables de générer artificiellement des images de personnes dénudées.

Cette révision ne remet toutefois pas en cause la philosophie générale du règlement. Les exigences de transparence et de gestion des risques demeurent, tout comme le rôle central confié à l’AI Office européen pour superviser les modèles les plus puissants.

Les tribunaux commencent déjà à définir les responsabilités

Si le régime de sanctions prévu par l’AI Act n’est pas encore pleinement opérationnel, plusieurs décisions de justice montrent déjà comment les tribunaux abordent les erreurs commises avec l’aide d’une intelligence artificielle.

En France, les juges rappellent un principe simple : utiliser une IA ne dispense jamais un professionnel de son devoir de vérification.

Cette position est apparue dans plusieurs affaires emblématiques. Un praticien hospitalier a notamment été condamné après avoir suivi sans contrôle la recommandation erronée d’un système d’aide au diagnostic. Dans une autre affaire, un avocat a été sanctionné après avoir déposé devant un tribunal des conclusions juridiques contenant des décisions de justice totalement inventées par une intelligence artificielle générative.

Ces décisions illustrent une tendance forte : l’utilisateur professionnel reste juridiquement responsable des informations produites par l’IA, même lorsque celles-ci semblent crédibles.

Cette logique devrait être renforcée avec la nouvelle directive européenne sur la responsabilité des produits, qui étend explicitement son champ aux logiciels et aux systèmes d’intelligence artificielle.

Le RGPD devient une arme contre les dérives de l’IA

En attendant que l’AI Act produise pleinement ses effets, les associations de défense des droits utilisent déjà le Règlement général sur la protection des données (RGPD) pour attaquer certaines pratiques des fournisseurs d’IA.

L’organisation autrichienne NOYB, dirigée par Max Schrems, figure parmi les plus actives.

En 2025, elle a déposé une plainte après que ChatGPT a affirmé à tort qu’un citoyen norvégien avait assassiné ses deux enfants. L’association considère que ces informations fausses constituent une violation du principe d’exactitude des données personnelles prévu par le RGPD.

Au-delà de cette affaire, NOYB cherche à créer une jurisprudence obligeant les développeurs d’IA à corriger ou supprimer les informations erronées produites par leurs modèles.

Cette stratégie illustre un phénomène d’« interrégulation » : avant même que l’AI Act ne puisse être pleinement appliqué, les acteurs de la société civile mobilisent les outils juridiques déjà existants pour contraindre les entreprises.

Le droit d’auteur reste l’un des principaux champs de bataille

Autre sujet explosif : l’entraînement des modèles d’intelligence artificielle à partir d’œuvres protégées.

Sur cette question, les juridictions européennes adoptent encore des positions très différentes.

En Allemagne, certaines décisions estiment que l’analyse automatisée d’œuvres accessibles en ligne peut relever de l’exception de fouille de textes et de données prévue par le droit européen. D’autres tribunaux, au contraire, considèrent que certains usages dépassent cette exception et constituent une reproduction illicite.

Au Royaume-Uni, les premiers jugements dans l’affaire opposant Getty Images à Stability AI montrent également que le débat reste loin d’être tranché.

Cette fragmentation juridique entretient une forte insécurité pour les entreprises développant des modèles d’IA générative. Une clarification par la Cour de justice de l’Union européenne apparaît désormais inévitable.

Les fournisseurs de modèles sont les premiers visés

Les développeurs des grands modèles d’intelligence artificielle générative se retrouvent naturellement au centre du nouveau dispositif européen.

Depuis août 2025, ils sont soumis à des obligations renforcées de documentation technique et de transparence. À partir de 2026, l’AI Office européen dispose de pouvoirs d’enquête et de contrôle de ces modèles beaucoup plus importants, notamment ceux présentant un risque systémique.

Les entreprises devront démontrer qu’elles évaluent régulièrement les risques, documentent leurs capacités et signalent rapidement tout incident grave.

Cette surveillance vise principalement les modèles les plus puissants, susceptibles d’avoir un impact majeur sur l’économie ou la société.

Les ressources humaines deviennent un terrain sensible

L’un des secteurs les plus directement concernés par l’AI Act est celui du recrutement.

Les logiciels capables de présélectionner des candidats, d’évaluer des compétences ou d’analyser les performances professionnelles sont désormais classés parmi les systèmes à haut risque.

Les employeurs devront être en mesure d’expliquer les décisions prises avec l’aide de ces outils, informer les représentants du personnel avant leur déploiement et démontrer que les algorithmes utilisés ne produisent pas de discriminations.

Ces exigences devraient profondément modifier le fonctionnement des plateformes de recrutement automatisé.

Des autorités encore loin d’être prêtes

L’un des principaux défis reste toutefois celui des moyens.

Créé au sein de la Commission européenne, l’AI Office constitue le futur chef d’orchestre de la régulation européenne. Il s’appuie désormais sur plusieurs unités spécialisées ainsi qu’un comité scientifique chargé d’éclairer ses décisions.

Au niveau national, la situation apparaît beaucoup plus contrastée.

En France, la surveillance sera répartie entre plusieurs autorités selon les secteurs concernés. La CNIL interviendra pour les questions liées aux données personnelles, la DGCCRF pour les produits, l’Arcom pour certains contenus générés, tandis que des autorités spécialisées conserveront leurs compétences dans la finance ou la santé.

Cette architecture soulève néanmoins une interrogation majeure : les moyens humains seront-ils suffisants ?

La CNIL, déjà fortement mobilisée sur le RGPD, devra absorber de nouvelles missions sans bénéficier d’un renforcement significatif de ses effectifs. Les régulateurs devront donc articuler les contrôles de l’AI Act avec les autres réglementations numériques européennes, notamment le RGPD, le Digital Services Act et le Digital Markets Act.

Des normes techniques toujours attendues

À ces difficultés s’ajoute un autre obstacle majeur : les normes techniques européennes ne sont toujours pas finalisées.

Ces standards, élaborés par les organismes européens de normalisation, doivent permettre aux entreprises de démontrer qu’elles respectent les exigences de l’AI Act.

Leur retard place de nombreux acteurs dans une situation délicate. Les obligations juridiques existent, mais les méthodes officielles permettant de prouver leur conformité ne sont pas encore disponibles.

Cette incertitude pourrait durer jusqu’en 2027 pour certains domaines.

Une régulation déjà entrée dans une nouvelle phase

L’AI Act n’en est plus au stade des intentions politiques. Ses premiers effets se font déjà sentir, même si son arsenal répressif n’est pas encore pleinement déployé.

Les premiers contentieux montrent que les tribunaux refusent désormais de considérer l’intelligence artificielle comme une boîte noire exonérant les utilisateurs de leurs responsabilités. Dans le même temps, les associations utilisent le RGPD pour combler les vides juridiques, tandis que les autorités européennes construisent progressivement leur capacité de contrôle.

Reste une question essentielle : l’Europe pourra-t-elle maintenir l’équilibre entre protection des citoyens et compétitivité de son industrie de l’IA ? Les prochaines décisions de justice, la publication des normes techniques et la montée en puissance de l’AI Office seront déterminantes pour transformer ce texte pionnier en une régulation réellement opérationnelle.