L'Article 5 du Règlement (UE) 2024/1689 dresse la liste des usages de l'IA jugés contraires aux valeurs de l'Union et purement interdits. Ces pratiques ne sont pas encadrées : elles sont bannies, sans possibilité de mise en conformité. L'interdiction est en vigueur depuis le 2 février 2025.
Bonne nouvelle pour une PME : sur les huit interdictions, six concernent des usages réservés à des acteurs étatiques ou policiers. Deux seulement peuvent vous concerner, et un seul revient régulièrement dans les outils du commerce : la reconnaissance des émotions au travail.
Les 8 pratiques interdites, en clair
1. Manipulation subliminale ou trompeuse (Article 5 §1 a)
Sont interdits les systèmes qui recourent à des techniques subliminales, délibérément manipulatrices ou trompeuses, dans le but ou avec l'effet d'altérer substantiellement le comportement d'une personne, en lui causant un préjudice important. Un système de vente qui pousse à l'achat par des procédés que l'utilisateur ne peut pas percevoir consciemment entre dans ce cas.
2. Exploitation des vulnérabilités (Article 5 §1 b)
Interdiction d'exploiter les vulnérabilités d'une personne ou d'un groupe liées à l'âge, à un handicap ou à une situation sociale ou économique particulière, pour altérer son comportement et lui causer un préjudice important. Cibler des personnes âgées isolées ou en difficulté financière avec une IA persuasive relève de cette interdiction.
3. Notation sociale généralisée (Article 5 §1 c)
Interdiction d'évaluer ou de classer des personnes sur une certaine période, à partir de leur comportement social ou de caractéristiques personnelles, lorsque cette note conduit à un traitement défavorable dans des contextes sans rapport avec les données collectées, ou disproportionné. C'est le « score social » de type étatique. Un programme de fidélité ou un scoring d'appétence commerciale classique n'entre pas dans ce cas.
4. Police prédictive individuelle (Article 5 §1 d)
Interdiction d'évaluer le risque qu'une personne commette une infraction sur la seule base du profilage ou de l'analyse de ses traits de personnalité. Usage réservé au champ pénal, hors périmètre PME.
5. Moissonnage non ciblé d'images faciales (Article 5 §1 e)
Interdiction de constituer ou d'étendre des bases de reconnaissance faciale par moissonnage non ciblé d'images sur internet ou de vidéosurveillance. Cette interdiction vise les fournisseurs de bases biométriques.
6. Reconnaissance des émotions au travail et à l'école (Article 5 §1 f)
C'est l'interdiction la plus susceptible de concerner une PME. Sont interdits les systèmes qui déduisent les émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, sauf pour raisons médicales ou de sécurité. Un outil de recrutement qui note le « stress » ou l'« enthousiasme » d'un candidat à partir de sa voix ou de son visage, un logiciel qui surveille l'humeur des salariés en réunion : interdits.
7. Catégorisation biométrique sur données sensibles (Article 5 §1 g)
Interdiction des systèmes de catégorisation biométrique qui classent des personnes pour en déduire leur origine raciale ou ethnique, leurs opinions politiques, leur appartenance syndicale, leurs convictions religieuses ou philosophiques, leur vie ou orientation sexuelle.
8. Identification biométrique en temps réel dans l'espace public (Article 5 §1 h)
Interdiction de l'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sauf exceptions très encadrées réservées aux autorités. Hors périmètre PME.
Les deux cas qui concernent vraiment une PME
En pratique
Sur les huit interdictions, deux justifient une vérification dans une PME standard.
- Reconnaissance d'émotions au travail. Auditez vos outils RH et vos logiciels de réunion. Si l'un d'eux promet d'analyser le ton, le stress, l'engagement ou l'humeur à partir de la voix ou du visage, désactivez cette fonction ou changez d'outil.
- Manipulation et publics fragiles. Si votre marketing utilise une IA persuasive ciblant des personnes vulnérables (âge, précarité, handicap), faites valider la conformité par un regard juridique.
Les six autres interdictions ne concernent quasiment jamais une entreprise privée hors secteur de la sécurité.
Ne pas confondre interdit et haut risque
Une confusion fréquente : croire qu'un usage « sensible » est interdit alors qu'il est seulement à haut risque.
Le tri de CV par IA, le scoring de crédit, la biométrie d'accès aux locaux ne sont pas interdits. Ils relèvent du haut risque (Annexe III) : autorisés, mais soumis à des obligations. La nuance est capitale, car le régime n'a rien à voir. Une pratique interdite doit cesser. Un usage haut risque se met en conformité.
Erreur fréquente
Arrêter un outil de recrutement IA par excès de prudence en pensant qu'il est interdit. Le tri de CV n'est pas une pratique de l'Article 5 : c'est un usage haut risque de l'Annexe III, qui se conforme avec de la supervision humaine et un registre. À l'inverse, certains modules « d'analyse émotionnelle » greffés sur ces mêmes outils, eux, basculent dans l'interdit.
Sanctions
Le non-respect de l'Article 5 expose à la sanction la plus élevée du règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel (Article 99 §3), le montant le plus élevé étant retenu. Pour une PME, l'Article 99 §6 retient au contraire le montant le plus faible des deux. Le régime de sanctions s'applique depuis le 2 août 2025, mais l'interdiction de fond, elle, est effective depuis le 2 février 2025.
Ce que vous devez retenir
L'Article 5 ne demande aucune mise en conformité : il demande de ne pas faire. Pour une PME, le réflexe tient en une phrase : vérifier qu'aucun outil n'analyse les émotions des salariés ou candidats, et qu'aucune IA marketing n'exploite la vulnérabilité d'un public fragile.
Si vous avez un doute sur un usage sensible, posez d'abord la bonne question : est-il interdit (Article 5) ou seulement à haut risque (Annexe III) ? La réponse change toute la marche à suivre.