L’AI Act : ce que doit faire une société israélienne

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Pourquoi attendre ? La réglementation est déjà là

L’IA n’est plus expérimentale — c’est une infrastructure. Des systèmes d’IA décident qui obtient un prêt, qui passe un entretien d’embauche et ce que l’utilisateur voit dans son fil d’actualité. Un tel pouvoir s’accompagne d’une responsabilité, et les régulateurs du monde entier commencent à l’exiger de manière contraignante. L’Union européenne a déjà légiféré. Israël est en chemin.

Les sociétés israéliennes de high-tech qui développent, intègrent ou vendent des solutions d’IA doivent abandonner l’idée qu’elles « n’y sont pas encore obligées ». Elles y sont obligées. Voici pourquoi.

Qu’exige l’AI Act européen — et quelles sont les sanctions en cas de non-conformité ?

L’AI Act européen (règlement (UE) 2024/1689) est la première loi complète au monde sur la réglementation de l’intelligence artificielle (IA). Il est entré en vigueur en août 2024 : les interdictions visant les systèmes à risque inacceptable s’appliquent depuis le 2 février 2025, les obligations des modèles GPAI depuis le 2 août 2025, et l’application générale à partir du 2 août 2026. Selon la page de la Commission européenne, les obligations des systèmes à haut risque ont été reportées par la modification Digital Omnibus (entrée en vigueur en juillet 2026) au 2 décembre 2027 (systèmes relevant de l’annexe III) et au 2 août 2028 (systèmes intégrés dans des produits réglementés). Toute société qui vend de l’IA sur le marché européen — y compris les sociétés israéliennes ayant un seul client en Europe — est soumise à ce texte. Les sanctions (article 99 du règlement) : une amende administrative pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel (le montant le plus élevé étant retenu) pour le recours à une pratique interdite, et jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires pour la violation de la plupart des autres obligations.

L’essentiel de l’AI Act :

• Classification des risques : chaque système d’IA est classé dans l’un de quatre niveaux — risque inacceptable (interdit), risque élevé (high-risk), risque limité et risque minimal. Chaque niveau exige un degré de conformité différent.
• Systèmes totalement interdits : la notation sociale (social scoring) de personnes — par des organismes publics ou privés ; la manipulation subliminale ; l’exploitation de la vulnérabilité de groupes défavorisés ; l’évaluation du risque qu’une personne commette une infraction sur la seule base d’un profilage ; la constitution de bases de données de reconnaissance faciale par la collecte non ciblée d’images sur internet ou de caméras ; la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement ; la catégorisation biométrique pour déduire des caractéristiques sensibles comme l’origine raciale, les opinions politiques ou l’orientation sexuelle ; et l’identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf exceptions étroites (article 5). Ne les construisez pas. Ne les intégrez pas.
• Systèmes à haut risque : les systèmes qui influent sur le recrutement, les prêts et la notation de crédit, les systèmes judiciaires, l’éducation et les infrastructures critiques exigent une documentation détaillée, des tests de biais, une surveillance humaine et un enregistrement dans la base de données européenne.
• Transparence : tout système qui communique avec les utilisateurs comme s’il était humain (chatbots, deepfakes, voix synthétiques) doit indiquer qu’il s’agit d’une IA.
• Surveillance humaine : tout système à haut risque doit avoir une personne capable d’intervenir, d’annuler et de rejeter une décision.

L’AI Act est le RGPD de l’intelligence artificielle. Les sociétés qui ne s’y prépareront pas se retrouveront exposées.

Quelle est l’approche israélienne — et où sont les écarts avec l’Europe ?

En Israël, l’approche de la réglementation de l’IA en est encore à un stade moins avancé qu’en Europe. Plusieurs initiatives importantes existent toutefois :

• Initiative nationale pour l’IA : le gouvernement a publié une politique nationale de l’IA comprenant des principes éthiques et des normes indicatives — pas encore des obligations contraignantes, mais elles indiquent la direction.
• Autorité de protection de la vie privée : elle a publié en avril 2025 un projet de directive sur l’application de la loi sur la protection de la vie privée aux systèmes d’intelligence artificielle. Tout système d’IA qui traite des informations sur des personnes est soumis à la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981) — et parfois aussi au RGPD (GDPR), lorsque l’on propose des biens ou des services à des personnes qui se trouvent dans l’Union, ou que l’on suit leur comportement dans l’Union (article 3(2) du RGPD). Depuis l’amendement n° 13 (14 août 2025), le traitement d’informations personnelles d’une base de données à une fin illicite (article 8(b)) expose à une sanction pécuniaire de 4 ₪ par personne dont les informations figurent dans la base, de 8 ₪ pour des informations particulièrement sensibles. Si le montant est inférieur à 200 000 ₪, le chef de l’Autorité peut infliger 200 000 ₪ (article 23Z(e)).
• Loi sur la protection du consommateur, 5741-1981 (חוק הגנת הצרכן, התשמ״א-1981) : l’utilisation de l’IA pour une tarification dynamique, une publicité ciblée ou la création de résultats personnalisés sans information du consommateur risque d’être considérée comme une tromperie interdite (article 2 de la loi).
• Droit de la concurrence : l’utilisation de l’IA pour une coordination algorithmique des prix risque de constituer un arrangement restrictif (entente) interdit par la loi sur la concurrence économique, 5748-1988 (חוק התחרות הכלכלית, התשמ״ח-1988) (articles 2 et 4), même lorsque la coordination passe par un algorithme. Et celui qui a été partie à un arrangement restrictif non approuvé et non exempté commet une infraction (article 47(a1)).
• Institutions financières : les banques et les compagnies d’assurance sont aussi soumises aux directives de leurs régulateurs financiers — le Département de la supervision bancaire (Banque d’Israël) et l’Autorité des marchés de capitaux, de l’assurance et de l’épargne —, qui peuvent aussi s’appliquer à l’utilisation de l’IA.

Israël n’a pas encore de loi propre à la réglementation de l’IA — mais « pas de loi spécifique » ne veut pas dire « pas d’obligations ». Les sociétés qui se comportent comme si elles n’avaient aucune obligation se trompent.

Quel est le niveau de risque de votre système — et quelles sont les obligations juridiques ?

Que vous soyez déjà soumis à l’AI Act ou que vous vous prépariez pour l’avenir, il faut évaluer le niveau de risque de vos systèmes d’IA :

1. Risque minimal : filtres anti-spam, systèmes de recommandation de base, outils d’automatisation simples. L’AI Act ne leur impose pas d’obligations contraignantes ; une documentation de base et un code de conduite volontaire sont recommandés.

2. Risque limité : chatbots, systèmes qui créent du contenu synthétique (deepfakes), et systèmes de reconnaissance des émotions ou de catégorisation biométrique (dont certains sont aussi classés à haut risque selon l’annexe III ; la reconnaissance des émotions au travail et dans l’enseignement est interdite). L’exigence (article 50 du règlement) : indiquer clairement qu’il s’agit d’une IA — l’utilisateur doit savoir qu’il communique avec une machine ou qu’il est exposé à un tel système.

3. Risque élevé : les systèmes qui influent sur des décisions importantes — recrutement, prêts, notation de crédit, décisions judiciaires, médecine, éducation. Les exigences sont lourdes : documentation technique complète, gestion des risques et tests de biais, surveillance humaine réelle, évaluation de la conformité (conformity assessment) avant la mise sur le marché, et enregistrement dans la base de données européenne.

4. Totalement interdit : notation sociale, manipulation et exploitation de personnes vulnérables, évaluation du risque de commettre une infraction sur la seule base d’un profilage, bases de données de reconnaissance faciale issues d’une collecte non ciblée, reconnaissance des émotions au travail et dans l’enseignement, catégorisation biométrique selon des caractéristiques sensibles, et identification biométrique à distance en temps réel dans l’espace public à des fins répressives (sauf exceptions). Ne pas construire. Ne pas intégrer. Ne pas acheter auprès de fournisseurs.

Quelles mesures prendre dès maintenant ?

Il n’est pas trop tard pour commencer. Voici ce qu’il faut faire dès maintenant :

• Inventaire des systèmes d’IA : recensez chaque système d’IA que la société développe ou utilise — y compris les logiciels de fournisseurs extérieurs. Chacun d’eux.
• Classification des risques : examinez chaque système selon le cadre de l’AI Act. Aidez-vous de la liste de contrôle officielle de l’Union européenne.
• Documentation : comment le système fonctionne, sur quelles données il a été entraîné, quelles sont ses limites, et comment les biais sont testés.
• Test de biais : pour les systèmes à haut risque — un contrôle périodique de discrimination selon le sexe, l’âge, l’origine et d’autres caractéristiques sensibles.
• Désignation d’un responsable de la conformité IA : qui, dans la société, est responsable du sujet ? Si vous n’avez pas encore désigné quelqu’un à ce poste, faites-le maintenant, pas après avoir reçu une amende.

L’IA est un pouvoir — et la loi exige que ce pouvoir soit exercé de manière responsable. Les sociétés qui construiront des systèmes transparents, documentés et surveillés éviteront non seulement des amendes — elles bâtiront une confiance qui est un réel avantage concurrentiel.