Le règlement européen sur l'intelligence artificielle (UE) 2024/1689, dit « AI Act », est entré en vigueur le 1er août 2024. Si la majorité de ses dispositions s'appliquent progressivement jusqu'au 2 août 2026, un volet crucial est déjà en vigueur depuis le 2 février 2025 : l'interdiction absolue de certaines pratiques d'IA jugées incompatibles avec les droits fondamentaux. Pour les dirigeants de PME, comprendre ces interdictions n'est pas une option. C'est une obligation légale immédiate.
Pourquoi certaines pratiques d'IA sont-elles totalement interdites ?
L'AI Act adopte une approche fondée sur les risques. Au sommet de sa pyramide se trouve une catégorie de systèmes d'IA présentant un risque inacceptable pour la société. Le législateur européen a estimé que ces pratiques portent une atteinte si grave aux droits fondamentaux, à la dignité humaine ou à la démocratie qu'aucun bénéfice économique ou technologique ne peut les justifier. Elles sont donc purement et simplement bannies sur l'ensemble du territoire de l'Union européenne, sans dérogation possible pour les entreprises privées. Cette interdiction s'applique à quiconque met sur le marché, met en service ou utilise ces systèmes — y compris les PME.
Les pratiques d'IA interdites : le détail de l'article 5
L'article 5 du règlement européen sur l'IA liste de manière exhaustive les pratiques prohibées. En voici les principales catégories, expliquées de façon concrète.
1. La manipulation subliminale et les techniques trompeuses. Il est interdit de déployer des systèmes d'IA qui utilisent des techniques subliminales agissant à l'insu d'une personne, ou des techniques délibérément manipulatrices ou trompeuses, dans le but d'altérer son comportement d'une manière qui lui cause ou est susceptible de lui causer un préjudice. Concrètement, un chatbot commercial conçu pour exploiter les biais cognitifs d'un utilisateur afin de le pousser à un achat qu'il n'aurait pas effectué autrement entre dans cette catégorie.
2. L'exploitation des vulnérabilités. Est interdite l'utilisation de systèmes d'IA qui exploitent les vulnérabilités liées à l'âge, au handicap ou à une situation sociale ou économique précaire pour influencer le comportement d'une personne de manière préjudiciable. Un système ciblant des personnes âgées ou en difficulté financière pour les inciter à des décisions contraires à leurs intérêts est donc illégal.
3. Les systèmes de notation sociale (social scoring). Les systèmes d'évaluation ou de classification des personnes physiques sur la base de leur comportement social ou de leurs caractéristiques personnelles, conduisant à un traitement défavorable dans des contextes non liés, sont interdits. Cette interdiction vise explicitement les modèles de type « crédit social » à la chinoise, mais elle peut aussi concerner des systèmes RH ou commerciaux mal conçus qui agrégeraient des données comportementales pour noter des individus.
4. L'identification biométrique à distance en temps réel dans les espaces publics. L'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives est interdite, sauf exceptions très strictement encadrées réservées aux autorités publiques. Pour une PME, cela signifie qu'un système de reconnaissance faciale en temps réel dans un magasin ou un lieu d'accueil du public est interdit.
5. La reconnaissance des émotions dans certains contextes. Les systèmes d'IA qui infèrent les émotions de personnes physiques sur leur lieu de travail ou dans les établissements d'enseignement sont interdits, sauf à des fins médicales ou de sécurité dûment justifiées. Un outil RH qui analyserait les expressions faciales de vos employés pour évaluer leur motivation ou leur stress est donc illégal.
6. La catégorisation biométrique à des fins sensibles. Les systèmes qui catégorisent les individus à partir de données biométriques pour déduire leur race, leurs opinions politiques, leur appartenance syndicale, leurs convictions religieuses ou philosophiques, ou leur orientation sexuelle sont également prohibés.
7. La constitution de bases de données faciales par scraping. Il est interdit de créer ou d'enrichir des bases de données de reconnaissance faciale par le moissonnage non ciblé d'images faciales sur Internet ou par vidéosurveillance.
Quelles sanctions pour les PME qui ne respectent pas ces interdictions ?
Les sanctions prévues par l'AI Act pour violation des pratiques interdites sont parmi les plus lourdes du règlement. Une entreprise qui contrevient à l'article 5 s'expose à une amende pouvant atteindre 35 millions d'euros ou 7 % de son chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour une PME, même un pourcentage de chiffre d'affaires peut représenter une somme considérable et menacer la survie de l'entreprise. Les autorités nationales de surveillance — en Belgique, il s'agit notamment de l'Autorité de protection des données dans son rôle de coordination — seront chargées de contrôler le respect de ces dispositions.
Comment s'assurer que votre PME n'utilise aucune pratique interdite ?
La bonne nouvelle, c'est que la majorité des PME n'utilisent pas délibérément ces pratiques. Cependant, le risque vient souvent de l'utilisation de solutions tierces — outils marketing, logiciels RH, plateformes CRM — dont les fonctionnalités intégrées d'IA peuvent, sans que vous le sachiez, recourir à des mécanismes prohibés. Voici les étapes concrètes à suivre.
Inventoriez vos outils IA. Listez tous les logiciels et services que vous utilisez qui intègrent une composante d'intelligence artificielle : outils de recrutement, chatbots, logiciels d'analyse comportementale, systèmes de vidéosurveillance intelligente, plateformes de personnalisation marketing.
Interrogez vos fournisseurs. Demandez à chaque éditeur de vous fournir une documentation sur les fonctionnalités d'IA de leurs solutions et leur conformité à l'AI Act. Un fournisseur sérieux doit être en mesure de répondre à cette question.
Analysez vos propres développements. Si vous développez des outils en interne, soumettez-les à une revue de conformité en vous référant explicitement à l'article 5 du règlement.
Formez vos équipes. Les équipes marketing, RH et IT doivent connaître ces interdictions pour éviter de mettre en place des pratiques non conformes, même avec les meilleures intentions.
Conclusion : agir maintenant, pas en 2026
Les pratiques d'IA interdites par le règlement européen ne sont pas une menace future : elles sont déjà en vigueur depuis le 2 février 2025. Attendre l'échéance générale du 2 août 2026 pour se préoccuper de conformité serait une erreur stratégique et juridique. En tant que dirigeant de PME, votre responsabilité est engagée dès aujourd'hui sur ce volet précis de l'AI Act. La démarche de mise en conformité commence toujours par une évaluation claire de votre situation actuelle.
Vous ne savez pas par où commencer ? Audityo vous propose un diagnostic de conformité gratuit, spécialement conçu pour les PME européennes. En quelques minutes, identifiez vos risques prioritaires et obtenez une feuille de route claire pour vous mettre en conformité avant les échéances réglementaires. Rendez-vous sur audityo.eu pour démarrer votre diagnostic gratuit dès aujourd'hui.