Article 3 — Définitions (AI Act européen)

Article 3 du Règlement (UE) 2024/1689 — Définitions. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 3 du Règlement (UE) 2024/1689 (l'AI Act européen) établit le cadre définitionnel qui régit l'ensemble du règlement. Il contient 65 définitions numérotées qui confèrent une signification juridique précise à la terminologie centrale utilisée tout au long du règlement.

La définition la plus fondamentale est celle du « système d'IA » (article 3(1)) : un système basé sur des machines, conçu pour fonctionner avec différents niveaux d'autonomie, pouvant faire preuve d'adaptabilité après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit de l'entrée qu'il reçoit la manière de générer des sorties — telles que des prédictions, des contenus, des recommandations ou des décisions — susceptibles d'influencer des environnements physiques ou virtuels. Cette définition s'aligne délibérément sur la Recommandation de l'OCDE sur l'IA et est neutre sur le plan technologique.

L'article 3 définit également les principaux acteurs du marché : les fournisseurs (article 3(3)), qui développent et mettent sur le marché des systèmes d'IA ; les déployeurs (article 3(4)), qui utilisent des systèmes d'IA dans un contexte professionnel ; les importateurs (article 3(6)) ; les distributeurs (article 3(7)) ; et les opérateurs, terme collectif désignant les fournisseurs et les déployeurs. Des définitions supplémentaires couvrent les modèles d'IA à usage général (article 3(63)), les systèmes d'IA à usage général (article 3(66)), les systèmes d'IA à haut risque, la destination, l'utilisation abusive raisonnablement prévisible, la modification substantielle, la mise sur le marché, la mise en service, le composant de sécurité, les données biométriques, et bien d'autres encore, qui sont essentiels pour déterminer le champ d'application, les obligations et les catégories de risque applicables au titre du règlement.

Ce que cela signifie en pratique

L'article 3 est la porte d'entrée de l'AI Act européen. Avant qu'une organisation puisse déterminer si elle est réglementée, à quelle intensité et dans quel rôle, elle doit travailler de manière systématique à travers les définitions de l'article 3.

Étape 1 — Votre produit se qualifie-t-il comme système d'IA ? Appliquez le test de l'article 3(1) : le système fonctionne-t-il avec une certaine autonomie ? Déduit-il des entrées pour générer des sorties ? Un modèle d'apprentissage automatique utilisé pour la notation du crédit se qualifie. Un calculateur d'éligibilité codé en dur avec des règles fixes ne se qualifie pas.

Étape 2 — Quel est votre rôle ? Une entreprise qui entraîne et commercialise un modèle de détection de fraude est un fournisseur. Une banque qui concède une licence pour ce même modèle et l'intègre dans son processus d'approbation de prêts est un déployeur. Une entreprise dont le siège social est aux États-Unis qui vend le modèle sur le marché de l'UE est un importateur. La même entité juridique peut simultanément occuper plusieurs rôles pour différents produits d'IA ou au sein de la même chaîne de valeur.

Étape 3 — La définition du GPAI s'applique-t-elle ? Si votre organisation développe un grand modèle de fondation (comme un grand modèle de langage) entraîné sur des données vastes et capable de multiples tâches, l'article 3(63) s'applique probablement, déclenchant les obligations du Titre VIII pour les modèles GPAI, que le modèle soit ou non déployé en tant que système d'IA autonome.

Exemple concret : Une entreprise SaaS à Berlin qui affine un LLM open source et le vend comme chatbot de service client à des détaillants est fournisseur à la fois d'un modèle GPAI (si elle publie le modèle sous-jacent) et d'un système d'IA. Un détaillant utilisant le chatbot pour les interactions avec les clients est un déployeur. Les deux font face à des obligations de conformité distinctes au titre du règlement, qui dépendent toutes de l'identification correcte des rôles via l'article 3.

Obligations clés

• Identifier correctement le rôle juridique applicable — chaque organisation doit déterminer si elle agit en tant que fournisseur, déployeur, importateur, distributeur ou en plusieurs de ces qualités simultanément, car chaque rôle comporte un ensemble distinct et non transférable d'obligations au titre des Titres III à VIII.
• Appliquer le test du système d'IA de l'article 3(1) avant de supposer que le règlement s'applique — confirmer la présence d'une inférence basée sur des machines, à partir d'entrées pour générer des sorties, avant d'enclencher le cadre de conformité complet.
• Distinguer les systèmes d'IA des modèles GPAI — les articles 3(63) et 3(66) créent une voie réglementaire distincte pour les modèles d'IA à usage général ; les organisations développant des modèles de fondation ou de base doivent évaluer l'applicabilité des obligations du Titre VIII indépendamment des classifications de systèmes d'IA.
• Évaluer si une « modification substantielle » a eu lieu — l'article 3(23) définit la modification substantielle comme une modification apportée à un système d'IA après sa mise sur le marché qui affecte la conformité du système avec le règlement ou modifie sa destination ; de telles modifications réinitialisent les obligations du fournisseur et peuvent déclencher une nouvelle certification.
• Établir la « destination » — l'article 3(12) définit la destination comme l'utilisation pour laquelle un système d'IA est spécifiquement conçu et documentée par le fournisseur ; la classification des risques et les exigences applicables sont ancrées à cette définition, faisant de la documentation précise de la destination un contrôle de conformité critique.
• Tenir compte de l'« utilisation abusive raisonnablement prévisible » — l'article 3(13) exige que les fournisseurs prennent en compte les utilisations de leur système qui ne sont pas intentionnelles mais qui peuvent résulter d'un comportement humain raisonnablement prévisible, élargissant le champ effectif de l'évaluation des risques au-delà des cas d'usage déclarés.

Relation avec les autres articles

L'article 3 sous-tend chaque disposition ultérieure du règlement. Il se connecte directement à l'article 2 (champ d'application), qui utilise les définitions de « fournisseur », « déployeur », « importateur » et « distributeur » pour déterminer qui est soumis au règlement et dans quelles conditions territoriales. La définition du système d'IA à l'article 3(1) délimite la frontière entre le règlement et la réglementation des logiciels non-IA, alimentant directement les pratiques interdites énumérées à l'article 5 et les critères de classification à haut risque aux articles 6 et Annex III.

La définition de la destination est liée aux procédures d'évaluation de conformité des articles 43 à 48 et aux exigences de documentation technique à l'article 11 et Annex IV. Les définitions des modèles GPAI aux articles 3(63 à 66) sont fondamentales pour l'ensemble du cadre du Titre VIII (articles 51 à 56). Le concept de modification substantielle (article 3(23)) déclenche le retour aux obligations du fournisseur et se connecte à la surveillance post-commercialisation en vertu de l'article 72.

Calendrier de conformité

L'article 3, en tant que partie du Titre I (Dispositions générales), est entré en application le 2 août 2026 — 24 mois après l'entrée en vigueur du règlement le 1er août 2024. Toutes les définitions de l'article 3 ont donc plein effet juridique à compter de cette date.

Les organisations doivent noter, cependant, que l'identification précise des rôles et des classifications de systèmes au titre de l'article 3 est une condition préalable à la conformité avec les phases antérieures de la mise en œuvre du règlement. Les pratiques interdites à l'article 5 étaient applicables dès le 2 février 2025 (6 mois après l'entrée en vigueur), ce qui signifie que les organisations devaient appliquer les définitions de l'article 3 pour évaluer leur exposition à ces interdictions à partir de cette date. Les obligations relatives aux modèles GPAI au titre du Titre VIII étaient applicables à partir du 2 août 2025 (12 mois après l'entrée en vigueur). Les exigences relatives aux systèmes d'IA à haut risque au titre de l'Annex I s'appliquent à partir du 2 août 2028 (36 mois) ; celles au titre de l'Annex III s'appliquent à partir du 2 décembre 2027, avec une dérogation jusqu'au 2 août 2028 pour certains systèmes déjà en service. Les organisations qui n'ont pas encore effectué l'exercice de classification des rôles et des systèmes au titre de l'article 3 sont en violation de la condition préalable de conformité fondamentale pour plusieurs phases d'application.