Article 2 de l'AI Act Champ d'application

Analyse juridique de l'article 2

Application extraterritoriale : qui est concerné

L'article 2, paragraphe 1, établit un principe d'application extraterritoriale comparable à celui du RGPD. Le règlement s'applique à tous les fournisseurs qui mettent sur le marché ou mettent en service des systèmes d'IA dans l'Union européenne, quel que soit leur lieu d'établissement. Une entreprise américaine, chinoise ou indienne qui commercialise un système d'IA auprès de clients européens est donc soumise à l'AI Act au même titre qu'une entreprise française ou allemande.

Cette approche vise à garantir un niveau de protection uniforme pour tous les citoyens et organisations européens, indépendamment de la provenance géographique des systèmes d'IA. Elle empêche les stratégies de contournement consistant à développer des systèmes hors UE pour échapper à la régulation tout en bénéficiant du marché européen.

Le règlement s'applique également aux déployeurs établis dans l'Union : toute organisation européenne qui utilise un système d'IA dans le cadre de ses activités professionnelles est soumise aux obligations spécifiques des déployeurs, même si le système a été développé par un tiers établi hors UE. Enfin, même les fournisseurs et déployeurs établis dans un pays tiers sont concernés lorsque les données de sortie produites par leurs systèmes sont utilisées dans l'Union, garantissant ainsi une protection maximale du territoire européen.

Exclusions relatives à la sécurité nationale et à la défense

L'article 2, paragraphe 2, prévoit plusieurs exclusions importantes. La première concerne les domaines militaires, de défense et de sécurité nationale. Le règlement affirme explicitement qu'il « ne porte en aucun cas atteinte aux compétences des États membres en matière de sécurité nationale » et qu'il ne s'applique pas aux systèmes d'IA développés ou utilisés exclusivement à ces fins.

Cette exclusion reflète le principe général du droit de l'Union selon lequel la sécurité nationale relève de la responsabilité exclusive des États membres (article 4, paragraphe 2, du Traité sur l'Union européenne). Les systèmes d'IA utilisés par les forces armées, les services de renseignement, ou pour des opérations de défense nationale échappent donc au champ d'application de l'AI Act.

Toutefois, cette exclusion doit être interprétée strictement : elle ne couvre que les systèmes utilisés exclusivement à des fins militaires ou de sécurité nationale. Un système d'IA développé initialement pour un usage militaire mais commercialisé également pour des applications civiles entre dans le champ du règlement pour sa partie civile. De même, les systèmes utilisés par des forces de police pour des missions de sécurité publique ordinaire (maintien de l'ordre, sécurité routière, police judiciaire) ne bénéficient pas de cette exclusion et restent soumis à l'AI Act.

Exclusion de la coopération internationale en matière judiciaire et policière

L'article 2 prévoit également que le règlement ne s'applique pas aux autorités publiques d'un pays tiers ni aux organisations internationales dans le cadre d'accords de coopération internationale en matière de répression et de coopération judiciaire avec l'Union ou les États membres. Cette exclusion vise notamment les échanges d'informations et la collaboration opérationnelle avec des services de police ou de justice de pays partenaires (États-Unis, Canada, Australie, etc.) ou avec des organisations internationales comme Interpol ou Europol.

Cette exclusion est toutefois conditionnée : elle ne s'applique qu'à condition que ces pays tiers ou organisations internationales « fournissent des garanties adéquates concernant la protection des droits fondamentaux et des libertés ». Cette exigence garantit que l'exclusion ne soit pas utilisée pour contourner les protections offertes par l'AI Act en transférant des traitements vers des juridictions offrant un niveau de protection insuffisant.

Exclusion de la recherche scientifique

L'article 2 exclut de son champ d'application les systèmes d'IA mis sur le marché, mis en service ou utilisés exclusivement à des fins de recherche scientifique et de développement. Cette exclusion vise à préserver la liberté académique et à ne pas entraver l'innovation et la recherche fondamentale en imposant des contraintes réglementaires disproportionnées à des travaux exploratoires.

L'exclusion ne s'applique toutefois qu'aux systèmes utilisés exclusivement pour la recherche. Dès qu'un système d'IA issu de la recherche est commercialisé, mis à disposition de tiers, ou utilisé dans des applications opérationnelles (diagnostic médical réel, aide à la décision administrative, etc.), il entre dans le champ d'application du règlement et doit respecter les obligations correspondantes.

Calendrier d'entrée en vigueur et d'application

L'AI Act est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne le 12 juillet 2024. Toutefois, l'application du règlement se fait de manière échelonnée selon un calendrier précis :

Le 2 février 2025, les chapitres I et II sont entrés en application, interdisant les pratiques d'IA prohibées (article 5). À partir du 2 août 2025, les dispositions relatives à la gouvernance, aux modèles d'IA à usage général (GPAI) et aux sanctions sont applicables. Le 2 août 2026 marque l'application générale du règlement, avec l'ensemble des obligations pour les systèmes à haut risque. Enfin, le 2 août 2027, l'article 6, paragraphe 1, et les obligations correspondantes entrent en application pour certaines catégories spécifiques de systèmes.

Exemples concrets d'application

Articulation avec les autres dispositions de l'AI Act

L'article 2 s'articule étroitement avec l'article 1 qui définit l'objet du règlement et l'article 3 qui établit les définitions essentielles. Ces trois articles forment le socle du champ d'application de l'AI Act : l'article 1 pose les finalités, l'article 2 détermine qui et quoi est concerné, et l'article 3 précise les notions clés permettant d'identifier les situations couvertes.

L'article 2 doit également être lu conjointement avec les articles 5 et 6 qui définissent respectivement les pratiques interdites et les systèmes à haut risque. La détermination du champ d'application territorial et matériel posée par l'article 2 conditionne l'applicabilité de ces interdictions et obligations.

L'article 2 s'articule enfin avec les dispositions relatives à la gouvernance et à l'application du règlement (Titres VI et VII), qui organisent la répartition des compétences entre autorités européennes et nationales pour superviser l'application du règlement aux différents acteurs couverts.

Implications pratiques pour les organisations

Pour les organisations, la compréhension de l'article 2 est essentielle car elle détermine si elles entrent ou non dans le champ d'application du règlement. Toute démarche de conformité doit commencer par cette analyse préliminaire : suis-je concerné par l'AI Act ?

Les fournisseurs de systèmes d'IA établis hors de l'Union européenne mais commercialisant leurs produits en Europe doivent intégrer que l'AI Act s'applique pleinement à leurs activités. Ils doivent désigner un représentant autorisé dans l'UE et mettre en place les procédures de conformité nécessaires, au même titre que les entreprises européennes.

Les déployeurs établis dans l'Union doivent vérifier systématiquement la conformité des systèmes d'IA qu'ils acquièrent et utilisent, qu'ils proviennent de fournisseurs européens ou extraterritoriaux. Ils portent des responsabilités propres en matière de surveillance humaine, de transparence et de gestion des incidents.

Les organisations actives dans les domaines exclus (défense, sécurité nationale, recherche scientifique pure) doivent veiller à bien délimiter les activités effectivement couvertes par ces exclusions. L'interprétation stricte de ces exceptions impose une vigilance particulière lorsque des systèmes ont des usages mixtes ou lorsque des résultats de recherche sont valorisés commercialement.