Ce qu'il ne faut jamais faire avec l'IA : les pratiques interdites, et les fautes qui coûtent cher

L'AI Act comporte une liste noire. Ce ne sont pas des usages à encadrer, ce sont des usages interdits, quel que soit le consentement obtenu et quelle que soit la finalité invoquée. Ils sont applicables depuis le 2 février 2025, bien avant le reste du règlement, et ils sont assortis du plafond de sanction le plus élevé du texte.

Les huit pratiques interdites

1. Les techniques subliminales ou manipulatrices qui altèrent le comportement d'une personne au point de lui causer, ou de risquer de lui causer, un préjudice important.
2. L'exploitation des vulnérabilités liées à l'âge, au handicap, ou à une situation sociale ou économique, dans le même but.
3. La notation sociale, c'est-à-dire l'évaluation générale des personnes à partir de leur comportement social, conduisant à des traitements défavorables injustifiés.
4. La prédiction du risque qu'une personne commette une infraction, fondée uniquement sur son profilage ou ses traits de personnalité.
5. Le moissonnage non ciblé d'images de visages sur internet ou dans la vidéosurveillance pour constituer des bases de reconnaissance faciale.
6. La reconnaissance des émotions sur le lieu de travail et dans l'enseignement, sauf raisons médicales ou de sécurité.
7. La catégorisation biométrique visant à déduire des données sensibles : origine, opinions politiques, convictions religieuses, orientation sexuelle.
8. L'identification biométrique à distance en temps réel dans les espaces publics à des fins répressives, hors exceptions strictement encadrées.

Le manquement à ces interdictions relève du plafond le plus haut du règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Deux interdictions supplémentaires entrent en application le 2 décembre 2026, visant les contenus intimes non consentis et les contenus d'abus sexuel sur mineurs.

Celle qui piège les entreprises ordinaires

La sixième mérite un arrêt. Un logiciel qui analyse le ton de voix d'un conseiller pour évaluer son engagement, un outil qui mesure l'attention d'élèves par webcam, une solution qui déduit l'humeur d'un candidat pendant un entretien vidéo : ces usages sont interdits, pas encadrés. Beaucoup d'entreprises croient qu'il suffit d'informer les personnes. Non. C'est une interdiction.

Les fautes qui ne sont pas interdites, mais qui coûtent

À côté de la liste noire, il y a les erreurs de pratique. Elles ne relèvent pas de l'article 5, mais elles vous exposent au RGPD, au droit d'auteur, à un litige client ou simplement à la perte de crédibilité.

Ne jamais coller de données confidentielles dans un outil grand public

Contrat client, données de santé, dossier RH, secret industriel : dans une offre grand public sans accord de traitement des données, vous perdez la maîtrise de ce que vous envoyez. Le problème n'est pas l'IA, c'est le cadre contractuel. Les offres professionnelles existent précisément pour cela.

Ne jamais publier sans vérifier

Une IA générative produit du vraisemblable, pas du vrai. Elle invente des sources, des chiffres, des références de loi, avec un aplomb parfait. La règle est simple : tout ce qui est chiffré, daté, cité ou juridique se vérifie à la source avant publication. Sans exception.

Ne jamais imiter une personne réelle sans son accord

Reproduire la voix, le visage ou le style d'une personne identifiable sans autorisation vous expose au droit à l'image, au droit de la personnalité et, selon le contexte, à la qualification de deepfake avec ses obligations propres. Le fait que ce soit techniquement facile ne le rend pas licite.

Ne jamais laisser l'IA décider seule sur une personne

Recrutement, notation, accès à un service, sanction : une décision qui produit des effets juridiques ou significatifs sur une personne ne doit pas être automatisée sans intervention humaine réelle. C'est un principe du RGPD, indépendant de l'AI Act, et il n'a pas bougé.

Ne jamais travailler sans traçabilité

Ne pas savoir quels outils sont utilisés, par qui, pour quoi, c'est l'impossibilité de démontrer quoi que ce soit en cas de contrôle. Un registre d'une page suffit : outil, usage, responsable, données concernées, date de revue.

La règle à retenir

L'IA n'a pas créé de nouvelles fautes, elle a rendu les anciennes plus rapides et plus faciles à commettre à grande échelle. Ce qui était interdit sans IA le reste avec. Et huit pratiques, elles, sont interdites en soi.