L'Europe a classé votre IA sans vous le dire

Le dirigeant ne se pense pas concerné par la régulation de l'intelligence artificielle. Il n'a pas construit de modèle, il n'a pas d'ingénieurs en apprentissage automatique, il a simplement acheté un outil qui range les CV par pertinence, ou qui repère les dossiers de crédit suspects. Un logiciel ordinaire, à ses yeux. Ce qu'il ignore, c'est que ce n'est pas le logiciel qui décide de son sort juridique, c'est l'usage qu'il en fait. Et cet usage précis, filtrer des personnes pour un emploi ou pour un prêt, a été placé par le règlement européen dans la catégorie la plus exigeante, sans qu'aucune lettre le lui annonce, sans qu'aucun contrôle vienne le lui signifier. La classification ne vit pas dans le code, elle vit dans la destination, et c'est là toute l'affaire.

Voici la thèse. Le vrai geste du règlement européen sur l'intelligence artificielle n'est pas de réguler l'IA, c'est de la réguler par l'usage, et non par la technologie. Le même modèle, le même algorithme, est libre en filtre anti-spam et à haut risque en filtre de recrutement. Vous ne choisissez donc pas votre classe de risque, votre cas d'usage la choisit pour vous, silencieusement et automatiquement. Et parce que l'IA s'est glissée partout, dans les outils de recrutement, la notation de crédit, les dispositifs médicaux, les composants de sécurité, des milliers d'entreprises qui ne se sont jamais dites entreprises d'IA se retrouvent soumises au droit de l'IA, pour avoir adopté un usage qui a franchi une ligne tracée sans elles.

On ne régule pas le couteau, on régule ce qu'on tranche

Le règlement bâtit une pyramide du risque. Tout en haut, une poignée d'usages sont interdits, jugés incompatibles avec les droits fondamentaux. En dessous, les usages à haut risque supportent un lourd appareil d'obligations, documentation, supervision humaine, tests de biais, enregistrement. Plus bas, les usages à risque limité ne doivent qu'une transparence, prévenir l'utilisateur qu'il parle à une machine. Tout en bas, l'immense majorité des usages, libres. Mais le point décisif n'est pas la hauteur de la pyramide, c'est ce à quoi la catégorie s'accroche. Elle ne s'accroche pas à la technologie, elle s'accroche à l'usage.

Les usages interdits donnent la mesure de ce que l'Europe juge intolérable, la notation sociale généralisée des citoyens par la puissance publique, certaines formes de surveillance biométrique de masse en temps réel, les techniques qui manipulent en exploitant les vulnérabilités des personnes. Ce sommet de la pyramide n'est pas une abstraction, il dessine une frontière morale, celle au-delà de laquelle aucune utilité économique ne rachète l'usage. En traçant cette limite, le règlement affirme une chose rare, que certaines applications de l'IA ne doivent pas exister quel qu'en soit le bénéfice, et cette affirmation, plus encore que les obligations techniques imposées aux usages à haut risque, est le vrai geste politique du texte.

L'image juste est celle du couteau. La loi ne régule pas la lame, elle régule ce que l'on tranche avec. La même lame est un ustensile de cuisine ou une arme selon la main qui la tient et la cible qu'elle vise. Ce choix rend le règlement neutre technologiquement, donc durable, il ne sera pas frappé d'obsolescence quand le prochain modèle arrivera, et il vise le mal là où il se produit réellement, un agent conversationnel est anodin comme jeu et dangereux comme conseiller médical. Mais ce choix a un prix caché. Le statut juridique d'une IA cesse d'être une propriété de son code pour devenir une propriété de son contexte, et un contexte, cela change. Déployez le même système pour une nouvelle finalité, et vous avez, sans une ligne de code modifiée, changé vos obligations légales.

Le règlement ne se contente d'ailleurs pas de viser ceux qui fabriquent l'IA, il atteint aussi ceux qui la déploient. Celui qui achète et met en service un système de recrutement automatisé, de notation de crédit, d'identification biométrique ou d'aide au diagnostic médical assume, en tant qu'utilisateur, une part des obligations, supervision humaine, contrôle des données, vigilance sur les biais. C'est ce qui rend le piège si discret, il suffit d'acheter un outil et de le pointer vers une décision qui affecte des personnes pour se retrouver, sans l'avoir voulu, opérateur d'un système à haut risque. La responsabilité ne suit pas seulement le créateur du modèle, elle suit la main qui s'en sert pour trancher le sort d'un individu, et cette main est souvent celle d'une entreprise qui ignore jusqu'à l'existence du règlement.

La faille des modèles à tout faire

Réguler par l'usage est une idée brillante qui porte en elle sa propre instabilité, et c'est ici que l'analyse doit aller plus loin que l'éloge. Le premier problème est la dérive, un système peut changer de catégorie à mesure que son usage glisse, si bien qu'une entreprise peut modifier ses obligations juridiques sans même s'en apercevoir, simplement en trouvant un nouvel emploi à son outil. Le deuxième est la frontière, la limite entre les catégories est discutable et sera plaidée, chaque acteur ayant intérêt à définir son usage de la manière la plus étroite possible pour échapper à la classe supérieure, ouvrant un jeu d'arbitrage sur les définitions. Le troisième problème est le plus grave, il touche au cœur même de la technologie.

Car les modèles les plus puissants, les modèles à usage général, n'ont pas d'usage unique. Ils font cent choses, ils écrivent, résument, traduisent, codent, conseillent, et refusent par nature d'entrer dans une case définie par la finalité. Le règlement a donc dû leur greffer un régime séparé, une reconnaissance implicite que sa logique centrale, la classification par l'usage, ne fonctionne pas pour eux. Et c'est le constat le plus tranchant de tout le dispositif, l'IA la plus capable est précisément celle qui résiste à la classification par l'usage, si bien que l'idée maîtresse du règlement faiblit exactement là où les enjeux sont les plus élevés. La loi range parfaitement les outils spécialisés et se trouve démunie face aux systèmes généralistes, qui sont pourtant ceux dont la puissance inquiète.

Ce jeu sur les définitions n'a rien de théorique. Un éditeur pourra soutenir que son outil ne fait qu'assister une décision humaine, non la prendre, pour échapper à la catégorie à haut risque, ou qu'il relève du simple divertissement là où l'usage réel touche à la santé ou à l'emploi. Chaque frontière de la pyramide devient ainsi un terrain de qualification juridique, où se joueront des enjeux considérables, car tomber d'un côté ou de l'autre de la ligne sépare une obligation légère d'un appareil de conformité lourd et coûteux. Le droit de l'IA sera donc, pour une bonne part, un droit de la frontière, une bataille permanente pour savoir de quel côté d'un trait un usage se range.

Le classeur et la matière fuyante

À ces failles s'ajoute le débat de fond, familier depuis NIS2. Les obligations lourdes retombent sur des entreprises qui n'ont pas les moyens des grands acteurs technologiques, ce qui risque de concentrer la capacité à faire de l'IA conforme chez quelques-uns et d'étouffer les autres sous la documentation. Les défenseurs répondent que le mal visé, la décision automatisée qui affecte une vie humaine, mérite ce soin, et qu'un cadre neutre et gradué vaut infiniment mieux qu'une interdiction générale ou qu'un vide. Les deux ont raison, et c'est bien ce qui rend le sujet insoluble, on ne peut pas à la fois protéger sans contraindre et innover sans risque.

Le calendrier même du règlement trahit cette difficulté. Il entre en application par vagues, les usages interdits d'abord, puis les obligations des modèles à usage général, puis, plus tard encore, le gros des exigences sur les usages à haut risque, échelonnées sur plusieurs années. Ce déploiement lent tente de laisser aux entreprises le temps de s'adapter, mais il crée aussi une cible mouvante, car les catégories, les seuils et les orientations continuent de se préciser pendant que les acteurs tentent déjà de s'y conformer. On demande à des entreprises de se ranger dans des cases dont les contours bougent encore, et cette instabilité réglementaire s'ajoute à l'instabilité technologique, comme si le classeur lui-même changeait de forme pendant qu'on tente d'y déposer les dossiers.

Reste une question que le texte peine à résoudre, celle du contrôle. Comment un régulateur sait-il à quel usage vous employez réellement votre IA. La classification repose en grande partie sur la déclaration des acteurs eux-mêmes, sur leur honnêteté à reconnaître dans quelle case ils tombent. C'est à la fois ce qui rend le dispositif applicable à des dizaines de milliers d'entreprises, aucune autorité ne pouvant les inspecter une par une, et ce qui le fragilise, car la tentation de se déclarer dans la catégorie inférieure, moins coûteuse, sera constante. Le règlement mise donc sur une conformité largement volontaire, adossée à la menace de sanctions en cas de manquement révélé, un pari classique du droit, mais périlleux face à une technologie dont l'usage réel est si difficile à observer de l'extérieur.

Mais le nœud le plus profond n'est ni le coût ni la concentration, il est temporel. Une loi qui classe par l'usage suppose que les usages sont stables, lisibles, déclarables. Or la nature même de l'IA est d'être reconfigurable, le même système accomplit cent tâches et ses usages se multiplient plus vite qu'aucune classification ne peut les suivre. Le règlement est un classeur conçu pour une matière qui refuse de rester dans son dossier. Il affronte une course permanente entre ses catégories et la fluidité de ce à quoi l'IA sert, et plus l'IA devient puissante, plus elle glisse entre les cases. Le classeur est solide, la matière est vive, et rien ne garantit que le premier tienne le rythme de la seconde.

Vous êtes déjà classé

Le règlement européen sur l'IA est un classeur bâti pour une substance qui ne veut pas tenir en place. Il ordonne des usages dans un monde où le trait distinctif de l'IA est d'être détournée plus vite qu'aucune catégorie ne se met à jour. Son pari est que l'on peut gouverner l'IA en gouvernant ses usages, tandis que le propre de l'IA est d'inventer des usages au-delà de tout dénombrement. Ce pari n'est pas absurde, il est courageux, mais il repose sur une hypothèse fragile, que la carte pourra suivre le territoire.

La question ouverte n'est donc pas de savoir si votre IA est classée, elle l'est déjà, du jour où vous avez choisi ce que vous en feriez. Elle est de savoir si une carte dressée par l'usage peut tenir le rythme d'une technologie dont le génie consiste à ne jamais rester à sa place. Le dirigeant qui achetait un simple outil de tri découvrira peut-être qu'il opère un système à haut risque, tenu à des obligations qu'il n'a pas vues venir, non parce que son logiciel a changé, mais parce que Bruxelles a décidé, sans le lui dire, du sens de ce qu'il en faisait. Dans un monde où l'usage définit le droit, choisir un outil, c'est déjà, sans le savoir, choisir une loi.

Il y a, dans cette manière de gouverner par l'usage, une leçon qui dépasse l'IA. Elle annonce un droit qui ne s'attache plus aux objets mais aux intentions, non à ce qu'une chose est mais à ce qu'on en fait, et qui doit donc courir sans cesse derrière des pratiques mouvantes. C'est peut-être la seule façon de réguler des technologies polyvalentes, mais c'est aussi un droit condamné à l'inconfort permanent, toujours en retard d'un usage, toujours contraint de redessiner ses cases. L'AI Act est le premier grand texte à assumer ce pari à cette échelle, et son succès ou son échec dira si l'on peut vraiment tenir en droit ce que la technologie s'emploie à rendre insaisissable, ou si la carte, à jamais, restera d'un pas derrière le territoire.