Article 5 AI Act : 8 usages de l'IA interdits en Europe (post-Digital Omnibus on AI)
- ZenBot
- 11 juin
- 8 min de lecture
L'AI Act repose sur une logique de classification des risques. Au sommet de cette pyramide se trouve une catégorie particulière : les pratiques d'intelligence artificielle à risque inacceptable. Ces usages sont purement et simplement interdits sur l'ensemble du territoire de l'Union européenne, sans dérogation possible pour les entreprises privées.
L'Article 5 du Règlement (UE) 2024/1689 liste précisément ces pratiques. Elles sont au nombre de huit. Toutes s'appliquent depuis le 2 février 2025, ce qui en fait l'une des premières dispositions du règlement à être devenue effective. Les sanctions encourues sont les plus lourdes prévues par le texte : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel.
Si vous lisez cet article, vous vous demandez probablement si votre entreprise est concernée. La bonne nouvelle, c'est que la majorité des PME et ETI françaises n'utilisent pas ces pratiques. La moins bonne, c'est que certaines pratiques tangentes — particulièrement en matière de marketing, de RH et de relation client — peuvent flirter avec les interdits sans que vous en ayez conscience. Cet article vous donne la liste exacte, des exemples concrets, et la méthode pour vérifier votre propre exposition.
Pourquoi ces 8 pratiques sont-elles interdites
Le législateur européen a considéré qu'au-delà d'un certain seuil, certains usages de l'IA portent une atteinte si grave aux droits fondamentaux des personnes — dignité, liberté, non-discrimination — qu'aucun équilibre coûts-bénéfices ne peut justifier leur déploiement.
À la différence des systèmes "haut risque" (qui sont autorisés mais soumis à un cadre strict), les pratiques de l'Article 5 ne peuvent pas être encadrées : elles sont prohibées dans leur principe même. Ni la mise en place d'une supervision humaine, ni la documentation, ni l'évaluation des risques ne peuvent rendre légales ces pratiques.
Voici, dans l'ordre du règlement, les huit pratiques interdites.
Pratique 1 — Les techniques subliminales ou manipulatrices
Texte du règlement (Article 5 paragraphe 1, point a) : Sont interdits les systèmes d'IA qui déploient « des techniques subliminales, intentionnellement manipulatrices ou trompeuses », dans le but de distordre matériellement le comportement d'une personne ou d'un groupe, en altérant leur capacité à prendre une décision éclairée, et qui leur causent ou sont susceptibles de leur causer un préjudice significatif.
En clair : Toute IA conçue pour influencer le comportement de quelqu'un à son insu, en exploitant des biais cognitifs ou en utilisant des techniques en dessous du seuil de conscience, est interdite si elle peut causer un préjudice significatif.
Exemples concernés :
Application qui pousse à la dépendance en exploitant la psychologie comportementale au point d'altérer la santé mentale
Système qui manipule des personnes vulnérables pour leur faire prendre des décisions financières contraires à leurs intérêts
Contenus générés par IA conçus pour radicaliser des opinions politiques par manipulation cognitive
Zone grise pour les entreprises : Le marketing comportemental classique, la personnalisation publicitaire et les techniques d'optimisation de conversion restent autorisés tant qu'ils ne franchissent pas le seuil du préjudice significatif. La ligne rouge est l'intention manipulatoire combinée au dommage substantiel.
Pratique 2 — L'exploitation des vulnérabilités
Texte du règlement (Article 5 paragraphe 1, point b) : Sont interdits les systèmes d'IA qui exploitent les vulnérabilités d'une personne ou d'un groupe dues à leur âge, leur handicap ou leur situation socio-économique, dans le but de distordre matériellement leur comportement et de leur causer un préjudice significatif.
En clair : Cibler intentionnellement des publics vulnérables — enfants, personnes âgées, personnes handicapées, populations en situation de précarité — avec des systèmes d'IA conçus pour modifier leur comportement à leur détriment, est interdit.
Exemples concernés :
Applications de jeu d'argent qui ciblent algorithmiquement les personnes en addiction
Systèmes de vente forcée orientés vers les personnes âgées isolées
Outils d'optimisation de prix qui ciblent spécifiquement les ménages en difficulté financière
Pratique 3 — Le scoring social
Texte du règlement (Article 5 paragraphe 1, point c) : Sont interdits les systèmes d'IA d'évaluation ou de classification de personnes physiques sur la base de leur comportement social ou de caractéristiques personnelles connues, déduites ou prédites, lorsque cette notation sociale conduit à un traitement préjudiciable.
En clair : Tout système qui agrège des données comportementales pour attribuer un "score" global à une personne et qui aboutit à des décisions discriminatoires (refus d'accès à un service, traitement défavorable) est interdit. Le règlement vise explicitement le type de "crédit social" déployé dans certains pays autoritaires.
Exemples concernés :
Système qui agrège les données issues des réseaux sociaux, des paiements et de la mobilité pour noter les "bons" et "mauvais" citoyens
Outil qui combine comportement de paiement, fréquentation des lieux et activité numérique pour autoriser ou refuser l'accès à des services
Ce qui reste autorisé : Les scores de solvabilité bancaire calculés sur des critères financiers explicites, l'évaluation client interne d'une entreprise sur ses transactions avec elle. Le critère décisif est l'agrégation transversale d'informations issues de contextes différents pour produire une notation globale de la personne.
Pratique 4 — La prédiction d'infractions par profilage
Texte du règlement (Article 5 paragraphe 1, point d) : Sont interdits les systèmes d'IA qui évaluent le risque qu'une personne commette une infraction pénale uniquement sur la base de son profilage ou de ses traits de personnalité.
En clair : Les systèmes de "police prédictive" qui prétendent identifier de futurs criminels à partir d'un profil psychologique ou démographique sont interdits. Les outils qui aident une enquête en cours sur la base de faits objectifs et vérifiables restent autorisés.
Pour la plupart des entreprises privées, cette interdiction ne concerne pas leur
activité. Elle vise principalement les usages des forces de l'ordre.
Pratique 5 — La constitution de bases de données de reconnaissance faciale
Texte du règlement (Article 5 paragraphe 1, point e) : Est interdite la constitution de bases de données de reconnaissance faciale par moissonnage non ciblé d'images issues d'internet ou de vidéosurveillance.
En clair : Scraper massivement des photos depuis les réseaux sociaux ou des caméras de vidéosurveillance pour entraîner ou alimenter un système de reconnaissance faciale est interdit. Cette disposition vise directement les pratiques de sociétés comme Clearview AI, déjà sanctionnées en France par la CNIL avant même l'entrée en vigueur de l'AI Act.
Conséquence pratique : Si vous envisagez d'utiliser un service de reconnaissance faciale en BtoB, vérifiez l'origine des données d'entraînement du fournisseur. L'utilisation d'un système entraîné par moissonnage non ciblé peut engager votre responsabilité.
Pratique 6 — La reconnaissance d'émotions au travail et à l'école
Texte du règlement (Article 5 paragraphe 1, point f) : Sont interdits les systèmes d'IA qui infèrent les émotions d'une personne sur le lieu de travail ou dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité.
En clair : Vous ne pouvez pas analyser par IA l'humeur, le stress, l'engagement ou la satisfaction de vos salariés à partir de leur visage, de leur voix ou de leur posture pendant qu'ils travaillent.
Cette interdiction est particulièrement importante car elle touche directement de nombreux outils RH récents qui proposaient ce type de fonctionnalités : analyse vidéo d'entretiens d'embauche pour détecter la confiance ou le stress, monitoring émotionnel en open-space, suivi de la "qualité émotionnelle" des appels en centre de relation client.
Vérification à faire dans votre entreprise :
Aucun outil RH ne doit analyser les émotions de vos candidats lors des entretiens vidéo (sauf si le candidat lui-même le demande pour des raisons d'accompagnement)
Aucun système de monitoring d'open-space ne doit inférer les états émotionnels des collaborateurs
Aucun outil de QVT ne doit déduire la "satisfaction" des salariés à partir d'analyses biométriques
Pratique 7 — La catégorisation biométrique sur attributs sensibles
Texte du règlement (Article 5 paragraphe 1, point g) : Sont interdits les systèmes de catégorisation biométrique qui déduisent la race, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l'orientation sexuelle d'une personne.
En clair : Vous ne pouvez pas utiliser un système d'IA qui, à partir d'images, de vidéos ou de données biométriques, déduit les attributs protégés d'une personne. Cela vise typiquement les outils qui prétendent identifier l'orientation sexuelle à partir d'un visage ("gaydar IA"), les opinions politiques à partir d'images ("political deep learning"), ou l'appartenance religieuse à partir de caractéristiques physiques.
Cette pratique est interdite indépendamment du contexte d'usage — marketing, sécurité, RH, recherche. La seule exception concerne l'étiquetage ou le filtrage de jeux de données biométriques acquises légalement, ainsi que certains usages strictement encadrés par les forces de l'ordre.
Pratique 8 — La reconnaissance biométrique en temps réel par les forces de l'ordre
Texte du règlement (Article 5 paragraphe 1, point h) : Est interdite l'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf dans des cas strictement limités (recherche de victimes d'enlèvement, prévention d'attentat imminent, identification de suspects d'infractions graves).
Pour les entreprises privées, cette interdiction ne concerne pas directement votre activité puisqu'elle vise les forces de l'ordre. Mais elle a un effet collatéral : si vous fournissez ce type de technologie à un acteur public, vous devez vérifier que son usage entre dans les cas d'exception strictement limités.
Comment savoir si votre entreprise utilise une pratique interdite
Bien que la plupart des PME françaises n'utilisent aucune de ces pratiques, certaines zones de risque méritent d'être vérifiées systématiquement.
Audit RH. Examinez tous vos outils de recrutement, d'évaluation et de monitoring des collaborateurs. Aucun d'eux ne doit analyser les émotions, déduire des attributs protégés, ni établir un scoring agrégé sur des comportements transversaux.
Audit marketing. Vos outils de personnalisation, d'optimisation publicitaire et de scoring client ne doivent pas cibler intentionnellement les vulnérabilités de publics fragiles, ni manipuler les comportements jusqu'à causer un préjudice significatif.
Audit relation client. Vos chatbots et systèmes d'analyse vocale ne doivent pas inférer des émotions à des fins de pression commerciale, ni manipuler les utilisateurs vulnérables.
Audit fournisseurs. Si vous utilisez des services de reconnaissance faciale, de surveillance vidéo intelligente ou d'analyse comportementale, vérifiez auprès de vos fournisseurs l'origine des données d'entraînement et les classifications de risque de leurs systèmes.
Cette vérification doit être documentée. Le fait d'avoir mené un audit conscient et structuré constitue une preuve de bonne foi en cas de contrôle.
Les sanctions et leur portée
L'Article 99 du règlement prévoit pour les violations de l'Article 5 les sanctions les plus lourdes : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu.
À titre de comparaison, c'est plus lourd que le plafond RGPD (20 millions d'euros ou 4 % du chiffre d'affaires mondial). Cette sévérité reflète la nature des atteintes visées : des pratiques jugées contraires aux droits fondamentaux dans l'ordre juridique européen.
Les sanctions s'appliquent depuis le 2 août 2026, mais les pratiques sont interdites depuis février 2025. En cas de contrôle après août 2026 portant sur une pratique en cours depuis 2025, la période d'antériorité sera prise en compte.
Que faire concrètement dans votre entreprise
Trois actions structurées doivent être engagées rapidement.
Action 1 — Cartographier vos systèmes IA pour les croiser avec la liste de l'Article 5. C'est le premier livrable du Kit Conformité AI Act ZenBot : un inventaire systématique de tous les outils IA déployés dans votre organisation, avec une colonne dédiée à l'évaluation Article 5.
Action 2 — Auditer vos contrats fournisseurs. Vos prestataires IA doivent vous garantir contractuellement que leurs systèmes ne relèvent d'aucune des pratiques interdites. C'est une clause à intégrer dans vos contrats SaaS.
Action 3 — Former vos collaborateurs. Les équipes marketing, RH et relation client doivent connaître la liste de l'Article 5 pour ne pas développer ou intégrer involontairement des fonctionnalités problématiques. C'est l'objet d'un module dédié dans nos formations.
Comment ZenBot Academy vous aide à vérifier votre conformité
Notre formation Conformité AI Act pour dirigeants (890 € HT · 8h) consacre un module complet à la classification des risques selon l'AI Act, dont la vérification systématique des pratiques interdites. Vous repartez avec une matrice de classification appliquée à vos propres outils, et une checklist d'audit fournisseurs.
Pour les organisations qui veulent un audit collectif rapide, le Pack Conformité Entreprise intègre une session de cadrage en visio durant laquelle nous parcourons ensemble votre cartographie IA pour identifier les zones tangentes à l'Article 5.
Conclusion
L'Article 5 dresse la ligne rouge absolue de l'usage de l'IA en Europe. La plupart des entreprises françaises n'utilisent aucune de ces pratiques interdites, mais certaines zones — particulièrement en RH (reconnaissance d'émotions, scoring de candidats) et en marketing (ciblage de vulnérabilités) — méritent une vérification attentive.
L'enjeu n'est pas seulement réglementaire. Il est éthique et réputationnel. Une entreprise qui vérifie scrupuleusement sa conformité à l'Article 5 envoie un signal fort à ses clients, ses partenaires et ses collaborateurs sur sa manière de déployer l'IA. À l'inverse, une entreprise qui découvre trop tard qu'un de ses outils relève d'une pratique interdite s'expose à des conséquences en cascade : sanctions, médiatisation négative, défiance des parties prenantes.
Faites le diagnostic AI Act gratuit ZenBot pour identifier en 90 secondes vos zones de risque, dont les pratiques Article 5.
Commentaires