IA locale : êtes-vous concerné par l’AI Act en Europe ?

Depuis l’adoption de l’AI Act, une question revient souvent dans les forums tech, chez les développeurs et dans les entreprises : si une IA est exécutée en local, est-elle concernée par la loi européenne ? Avec la montée en puissance des modèles open source, l’essor des PC capables de faire tourner de gros modèles en local et les entreprises qui font tourner leurs propres modèles sur leurs serveurs en interne, il est important de clarifier les règles.

La réponse ? Cela dépend de l’usage, du contexte et du type de mise à disposition.

AI Act et IA locale : un cadre pensé pour la mise sur le marché, pas l’usage privé

L’AI Act a été conçu pour encadrer la mise sur le marché et l’utilisation de systèmes d’IA en Europe. Comme l’indique la Commission européenne, il vise en priorité les développeurs, distributeurs et intégrateurs qui fournissent des systèmes d’IA aux utilisateurs européens.

👉 Cela signifie que l’IA locale utilisée à titre strictement privé (par exemple : installer un modèle open source comme Gemma, LLaMA, Mistral ou DeepSeek sur son PC personnel pour tester ou générer du contenu) n’entre pas dans le champ direct de l’AI Act.

• Aucun service n’est “mis sur le marché”.
• Aucun traitement n’est fourni à des tiers.
• L’usage est purement individuel.

En clair : exécuter un modèle IA en local chez soi n’impose pas de se conformer à l’AI Act.

Pour aller plus loin : AI Act : les modèles d’IA générative face à l’échéance du 2 août 2025

Quand l’IA locale est-elle concernée par l’AI Act ?

Là où les choses changent, c’est lorsque l’IA locale fait partie d’un produit ou service mis à disposition de tiers.

1. Produits ou logiciels intégrant une IA locale

Exemple :

• Un éditeur de logiciel vend un programme utilisant un modèle IA embarqué (inférence sur le PC de l’utilisateur).
• L’IA fonctionne en local, mais le produit est distribué à des clients en Europe.

Dans ce cas, l’éditeur est responsable de la conformité AI Act, même si le modèle n’est pas hébergé dans le cloud.

Comme pour un modèle SaaS, il devra fournir une documentation technique, indiquer les risques, et éventuellement publier un résumé des données d’entraînement si le modèle répond aux critères de GPAI.

2. Entreprises utilisant une IA locale dans des secteurs réglementés

L’AI Act classe certains usages comme à haut risque (santé, finance, emploi, justice…). Si une entreprise déploie un modèle IA en local sur ses systèmes dans un contexte professionnel à fort impact réglementaire, elle devra se conformer aux exigences correspondantes (gestion des risques, transparence, supervision humaine).

Exemple : un hôpital utilisant un modèle médical en local doit respecter l’AI Act, comme s’il utilisait un service cloud.

3. Modèles locaux intégrés dans des services publics ou B2B

Si une administration, une banque ou une société de recrutement intègre une IA locale dans ses outils internes, la conformité AI Act s’applique dès que le système est utilisé pour prendre des décisions affectant des individus.

Peu importe que le modèle tourne hors ligne : c’est l’usage qui détermine l’obligation.

IA locale, AI Act et open source

L’AI Act prévoit des dispositions spécifiques pour l’open source. Les projets open source ne sont pas exemptés de toutes obligations, mais bénéficient d’une flexibilité accrue (source : European AI Office).

• Modèle open source exécuté en local par un particulier : pas d’obligation.
• Modèle open source intégré dans un produit commercial : les obligations s’appliquent au fournisseur du produit (et non à l’utilisateur final).

Les difficultés d’application et de contrôle sur l’IA locale

L’application de l’AI Act aux IA locales pose des défis similaires à ceux du RGPD pour les logiciels autonomes :

• Détection difficile : comment savoir qu’un modèle est exécuté en local ?
• Contrôle limité : pas de surveillance directe des usages privés.
• Sanctions ciblées sur les fournisseurs : les autorités européennes concentreront leurs efforts sur les éditeurs, intégrateurs et distributeurs plutôt que sur les utilisateurs finaux.

L’enjeu est moins de traquer l’utilisateur privé que de garantir que les produits et modèles distribués en Europe soient conformes dès leur conception.

A lire également : L’Europe peut-elle imposer vraiment l’AI Act aux sociétés étrangères ?

Tableau l’IA en local vs AI Act

Cas d’usage IA locale	Exemple concret	Statut vis-à-vis de l’AI Act	Commentaire
Usage privé, IA locale personnelle	Un particulier exécute LLaMA ou Mistral en local sur son PC pour un usage personnel.	Non concerné	L’AI Act ne s’applique pas aux usages privés sans mise sur le marché ni prestation de service à des tiers.
Open source, utilisation personnelle	Téléchargement et exécution locale d’un modèle Hugging Face.	Non concerné	L’usage strictement personnel n’entre pas dans le champ de la régulation.
Open source intégré dans un produit commercial	Une entreprise vend un logiciel avec un modèle open source embarqué (inférence en local chez l’utilisateur).	Concerné	Le fournisseur du produit doit se conformer à l’AI Act (documentation, gestion des risques, transparence).
Entreprise, usage interne standard	IA locale utilisée en entreprise pour tâches internes non réglementées (ex. traitement texte, automatisation bureautique).	Faiblement concerné	Les obligations sont faibles si l’usage n’entre pas dans les catégories “haut risque” définies par l’AI Act.
Entreprise, secteur réglementé (haut risque)	Banque utilisant une IA locale pour analyser des dossiers de crédit ; hôpital utilisant un modèle médical local.	Fortement concerné	Obligation de conformité stricte (gestion des risques, transparence, supervision humaine).
Service public ou B2B intégrant une IA locale	Administration utilisant un modèle IA local pour décisions administratives ; société de recrutement avec IA locale.	Fortement concerné	Conformité obligatoire dès que l’IA a un impact sur les droits ou opportunités des personnes.