Nous sommes un cabinet juridique estonien ayant connu en pratique la réglementation des cryptomonnaies : licences, supervision, durcissement des exigences, départ d’une partie du marché de la juridiction. Parallèlement, nous travaillons quotidiennement avec des outils d’IA et accompagnons des projets d’IA. Nous nous permettons donc de nous exprimer non pas d’un point de vue théorique, mais au regard de notre expérience.
Réglementer pour réglementer, c’est ralentir
La réglementation n’a de sens que lorsqu’elle couvre un risque objectif et mesurable. Ces domaines existent, mais ils sont peu nombreux : l’IA dans la gestion des transports, les dispositifs médicaux, les infrastructures critiques, les systèmes susceptibles de nuire physiquement ou juridiquement à une personne — en prenant des décisions sur la liberté, l’accès à l’emploi ou au crédit.
Il ne s’agit que de quelques domaines. Tout le reste — un modèle qui écrit du code, analyse des documents, génère des textes et des images, aide les chercheurs — ne présente pas un risque nécessitant un régime d’autorisation distinct. D’autant plus que les modèles de pointe sont déjà aujourd’hui publiés avec des mécanismes de sécurité intégrés, et que les développeurs se font concurrence notamment sur ce paramètre.
Lorsqu’un régulateur veut « restreindre quelque chose » sans encore comprendre précisément quoi ni contre quel préjudice, ce n’est pas la protection de la société. C’est la peur de ce que l’on ne comprend pas, formalisée dans un acte réglementaire. Le prix de cette peur, ce sont des entreprises perdues, des emplois perdus, un leadership perdu.
Ce qui s’applique réellement dans l’UE aujourd’hui
Pour que la discussion soit concrète, établissons ce qui est effectivement en vigueur en septembre 2026.
Règlement sur l’IA (AI Act, Règlement (UE) 2024/1689). Première loi horizontale complète au monde sur l’IA, il est entré en vigueur le 1er août 2024 et s’applique progressivement selon quatre niveaux de risque : plus le préjudice potentiel est élevé, plus les exigences sont strictes.
Ce qui s’applique déjà :
- Pratiques interdites (article 5) — depuis février 2025. Scoring social, systèmes manipulateurs, certains types d’identification biométrique. À compter du 2 décembre 2026, s’y ajoute l’interdiction des systèmes permettant de créer des images intimes sans consentement et des contenus d’abus sexuels sur enfants.
- Obligations des fournisseurs de modèles d’IA à usage général (GPAI) — les articles 51–55 s’appliquent depuis août 2025. Elles comprennent la documentation, le respect du droit d’auteur et, pour les modèles présentant un risque systémique, l’évaluation et la réduction des risques.
- Obligations de transparence (article 50) — depuis le 2 août 2026. Information de l’utilisateur sur son interaction avec l’IA, étiquetage des contenus générés et des deepfakes. Pour les systèmes déjà présents sur le marché, l’étiquetage des contenus synthétiques est reporté au 2 décembre 2026.
Ce qui est reporté — et c’est révélateur. Le 27 juillet 2026 est entré en vigueur le Digital Omnibus on AI (Règlement (UE) 2026/1744), qui a reporté les obligations les plus lourdes :
- pour les systèmes autonomes à haut risque (annexe III — HR, crédit, éducation, autorités répressives, etc.) — du 2 août 2026 au 2 décembre 2027 ;
- pour l’IA intégrée dans des produits soumis à une réglementation sectorielle (annexe I — dispositifs médicaux, machines, transport) — du 2 août 2027 au 2 août 2028 ;
- les « bacs à sable » réglementaires nationaux doivent être opérationnels d’ici le 2 août 2027.
La raison du report invoquée par la Commission européenne elle-même est que ni les entreprises, ni les organismes de normalisation (CEN/CENELEC), ni l’infrastructure d’évaluation de la conformité n’étaient prêts. Autrement dit, la loi a été rédigée avant que l’on comprenne comment l’appliquer. C’est la meilleure illustration de notre thèse : une réglementation qui devance la compréhension ne fonctionne pas, même pour le régulateur lui-même.
Niveau national. Les États membres devaient désigner des autorités de surveillance et établir des sanctions d’ici août 2025. Au printemps 2026, seuls quelques pays l’avaient fait. En Estonie, aucune loi d’application distincte n’a encore été adoptée ; le ministère de la Justice et des Technologies numériques y travaille, tandis que l’Inspection de la protection des données (AKI) conserve sa réputation de régulateur pragmatique et proportionné.
Notre position
-
Nous soutenons les projets d’IA. En Estonie, en Europe et au-delà. Nous estimons que le développement de l’IA est le développement de l’humanité, et nous voulons que les entreprises qui la créent travaillent ici plutôt que de partir vers des juridictions aux règles plus claires.
-
Nous sommes favorables à la réglementation des risques objectifs — et uniquement de ceux-ci. Transport, médecine, infrastructures critiques, décisions affectant les droits humains. Dans ces domaines, les exigences sont justifiées, et nous aidons à les respecter.
-
Nous sommes opposés aux réglementations draconiennes. Aux interdictions « par précaution », aux régimes d’autorisation pour ce qui ne cause pas de préjudice, aux règles rédigées sans compréhension de la technologie.
-
Lorsqu’une réglementation existe, nous vous aidons à la respecter. Classification du système par niveau de risque, obligations du fournisseur et du déployeur, documentation, transparence, interaction avec les autorités de surveillance, préparation aux échéances de 2027–2028, bacs à sable réglementaires. Notre expérience de la réglementation des cryptomonnaies nous a appris l’essentiel : la conformité n’est pas un obstacle pour l’entreprise, mais un moyen de continuer à travailler lorsque les règles changent.
La réglementation doit protéger les personnes, et non protéger le régulateur de la nécessité de comprendre ce qui est nouveau. Nous travaillerons aux côtés de ceux qui construisent.
