Les pratiques d’IA interdites sont les usages de l’intelligence artificielle que le règlement (UE) 2024/1689, l’AI Act, prohibe dans toute l’Union parce qu’il les considère comme un risque inacceptable. Elles figurent à l’article 5 et s’appliquent depuis le 2 février 2025. Elles sont au nombre de huit, parmi lesquelles la manipulation subliminale, la notation sociale, la reconnaissance des émotions sur le lieu de travail et la constitution de bases de données de reconnaissance faciale à partir d’images moissonnées sur internet. L’omnibus numérique sur l’IA, en vigueur depuis le 27 juillet 2026, en ajoute deux à partir du 2 décembre 2026. Elles visent la génération d’images intimes sans consentement et de matériel pédopornographique. L’interdiction touche celui qui met le système sur le marché et aussi l’entreprise qui l’utilise. C’est l’infraction la plus coûteuse du règlement, avec des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Si vous avez besoin d’un conseil juridique en intelligence artificielle en Espagne, demandez une évaluation initiale gratuite.
L’article 5, paragraphe 1, du règlement (UE) 2024/1689 interdit de mettre sur le marché, de mettre en service ou d’utiliser des systèmes d’IA à huit fins. Chaque point a ses propres conditions, et pour plusieurs d’entre eux l’interdiction ne joue qu’en cas de préjudice important ou de finalité précise.
| Point | Ce qui est interdit | Condition qui la déclenche |
|---|---|---|
| a) | Techniques subliminales, manipulatrices ou trompeuses | Qu’elles altèrent substantiellement le comportement et causent, ou soient raisonnablement susceptibles de causer, un préjudice important |
| b) | Exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale ou économique | La même altération et le même préjudice |
| c) | Notation sociale des personnes selon leur comportement ou leurs caractéristiques | Qu’elle entraîne un traitement préjudiciable dans d’autres contextes ou disproportionné |
| d) | Évaluation du risque qu’une personne commette une infraction | Qu’elle repose uniquement sur son profilage ou ses traits de personnalité |
| e) | Création ou extension de bases de données de reconnaissance faciale | Par moissonnage non ciblé d’images sur internet ou de vidéosurveillance |
| f) | Inférence des émotions d’une personne | Sur le lieu de travail ou dans les établissements d’enseignement, sauf raisons médicales ou de sécurité |
| g) | Catégorisation biométrique pour déduire des données sensibles | Race, opinions politiques, affiliation syndicale, religion, vie ou orientation sexuelle |
| h) | Identification biométrique à distance en temps réel | Dans des espaces accessibles au public et à des fins répressives, sauf exceptions limitativement énumérées |
En février 2025, la Commission a publié des lignes directrices sur ces pratiques, avec des exemples de ce qui est visé et de ce qui ne l’est pas. Elles ne sont pas contraignantes, mais ce sont la référence que les autorités utiliseront pour interpréter chaque point.
Le règlement (UE) 2026/1744, l’omnibus numérique sur l’IA, ajoute à l’article 5, paragraphe 1, deux points applicables à partir du 2 décembre 2026. Le point b bis interdit les systèmes qui génèrent ou manipulent des images, vidéos ou sons réalistes des parties intimes d’une personne identifiable sans son consentement explicite. Il interdit aussi ceux qui la montrent dans des activités sexuellement explicites sans ce consentement. Le point b ter interdit ceux qui génèrent du matériel pédopornographique au sens de la directive 2011/93/UE.
Le nouveau paragraphe 1 bis délimite qui est concerné par l’interdiction. Pour le fournisseur, la mise sur le marché du système n’est interdite que dans deux cas.
Pour celui qui utilise le système, l’interdiction joue lorsqu’il l’utilise dans le but de générer ce matériel. Le paragraphe 1 ter précise qu’il n’y a pas de manipulation si la modification n’accroît l’exposition d’aucune partie intime ni ne modifie la nature de l’activité représentée.
En pratique, cela concerne surtout ceux qui développent ou intègrent des générateurs d’image, de vidéo ou de voix. Les garde-fous contre les usages abusifs prévisibles ne sont plus une bonne pratique, ils décident de la licéité du produit dans l’Union.
Une grande partie de l’article 5 vise les autorités publiques, comme l’identification biométrique en temps réel ou la prédiction d’infractions. Pour une entreprise privée, quatre points concentrent presque tout le risque.
Le point f interdit d’utiliser l’IA pour inférer les émotions d’une personne sur le lieu de travail ou dans les établissements d’enseignement. Seul échappe à l’interdiction le système installé pour des raisons médicales ou de sécurité. Sont concernés les outils d’analyse vocale des centres d’appels, d’analyse faciale en réunion ou de mesure de l’humeur des équipes. En dehors du travail et de l’enseignement, la reconnaissance des émotions n’est pas interdite, mais elle est à haut risque selon l’annexe III.
Les points a et b visent les conceptions qui poussent une personne vers une décision qu’elle n’aurait pas prise et qui lui nuit. Un système de recommandation ou un assistant commercial n’est pas interdit parce qu’il persuade. Il l’est s’il recourt à des techniques subliminales ou trompeuses, ou exploite l’âge ou la situation économique de l’utilisateur, et cause un préjudice important. Le seuil est élevé, mais les interfaces truquées visant des mineurs ou des personnes en difficulté financière sont en zone de risque.
Le point c ne se limite pas aux pouvoirs publics. Une entreprise qui note ses clients selon des comportements étrangers au service et leur refuse un traitement en conséquence peut tomber sous le coup de l’interdiction. Le point e interdit de constituer des bases de données faciales à partir d’images collectées massivement sur internet ou par des caméras. Il concerne les fournisseurs de reconnaissance faciale et ceux qui achètent leurs bases.
Enfreindre une interdiction de l’article 5 expose à l’amende la plus élevée du règlement. Elle peut atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Pour les PME et les jeunes pousses, c’est le moins élevé des deux qui s’applique. Le détail des niveaux figure dans notre analyse des sanctions de l’AI Act.
L’Espagne n’a pas encore son propre régime de sanctions. Le projet de loi organique sur le bon usage et la gouvernance de l’intelligence artificielle, publié par le Congrès des députés le 12 juin 2026, qualifiait les pratiques interdites d’infraction très grave. Il répartissait aussi leur contrôle entre plusieurs autorités.
Le projet est devenu caduc avec la dissolution des Cortes Generales, publiée au Journal officiel espagnol (BOE) le 6 octobre 2026, et le gouvernement issu des élections du 29 novembre devra le présenter à nouveau. L’interdiction, elle, s’applique directement depuis février 2025 et ne dépend pas de cette loi.
Le cas est fictif. Voxia Servicios, S.L. gère un centre d’appels à Valence avec 90 téléconseillers. Son fournisseur lui propose un module qui analyse la voix de chaque téléconseiller et lui attribue une note de stress et d’irritation. L’idée est de l’utiliser dans les évaluations mensuelles.
Ce module infère les émotions de salariés sur leur lieu de travail, son utilisation est donc interdite par l’article 5, paragraphe 1, point f. Peu importe que la note soit indicative, ou que le fournisseur le présente comme un outil de bien-être, car il ne répond pas à une raison médicale ou de sécurité. Voxia pourrait en revanche analyser la voix des clients pour repérer les appels urgents, car les clients ne sont pas sur leur lieu de travail. Ce second usage serait toutefois à haut risque selon l’annexe III et emporterait ses propres obligations.
Si Voxia utilisait le module avec ses salariés, elle déclencherait en outre l’obligation d’information algorithmique du décret royal espagnol 723/2026. Nous l’expliquons dans notre guide sur l’information algorithmique des salariés en Espagne. Le cadre complet du règlement figure dans notre guide de l’AI Act pour les entreprises.
Les huit pratiques de l’article 5, paragraphe 1, de l’AI Act sont interdites depuis le 2 février 2025. Les deux ajoutées par l’omnibus numérique sur l’IA s’appliquent à partir du 2 décembre 2026. Il s’agit de la génération d’images intimes sans consentement et de matériel pédopornographique. Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Non, sauf si le système répond à une raison médicale ou de sécurité. L’article 5, paragraphe 1, point f, de l’AI Act interdit d’utiliser l’IA pour inférer les émotions des personnes sur le lieu de travail et dans les établissements d’enseignement. L’interdiction s’applique même si la finalité affichée est le bien-être des équipes ou si la note n’est qu’indicative.
Pas parce qu’il persuade. L’article 5, paragraphe 1, point a, n’interdit que les systèmes qui recourent à des techniques subliminales, manipulatrices ou trompeuses pour altérer substantiellement la décision d’une personne. Il exige en outre qu’ils lui causent, ou soient susceptibles de lui causer, un préjudice important. Un chatbot commercial transparent n’est pas visé, même s’il doit indiquer à l’utilisateur qu’il échange avec une IA selon l’article 50.
À partir du 2 décembre 2026, l’interdiction vise l’utilisateur qui se sert du système dans le but de générer ce contenu. Elle vise le fournisseur si cette génération est la destination du système ou un résultat prévisible faute de garde-fous raisonnables. L’entreprise qui n’utilise l’outil qu’à d’autres fins n’est pas visée, mais il est utile qu’elle fixe des règles internes d’utilisation.
L’Espagne n’a pas encore son propre régime de sanctions pour l’AI Act. Le projet de loi organique sur la gouvernance de l’IA confiait le contrôle à l’AESIA à titre général. Il réservait à l’Agence espagnole de protection des données les bases de données faciales et la catégorisation biométrique, et au Conseil général du pouvoir judiciaire les usages répressifs. Le projet est devenu caduc avec la dissolution des Cortes Generales en octobre 2026 et devra être présenté à nouveau.
Les interdictions de l’AI Act s’appliquent déjà, et l’omnibus allonge la liste en décembre 2026. Pour la plupart des entreprises, le risque ne tient pas à un usage délibéré. Il tient à un module intégré dans un outil de ressources humaines, de relation client ou de marketing. Vérifier ce que fait chaque système avant de l’activer coûte moins cher que de le retirer ensuite. Chez Innovatech, nous examinons la conformité de vos systèmes à l’article 5 dans le cadre de notre conseil juridique en intelligence artificielle. Écrivez-nous et nous vous donnerons une évaluation initiale gratuite.
Marta Suárez-Mansilla est associée gérante d'Innovatech Legal et abogada inscrite à l'ICAM (Ilustre Colegio de la Abogacía de Madrid), active en droit des technologies. Elle a suivi le cours Copyright de la Harvard Law School et le programme Blockchain de BerkeleyX, et conseille des entreprises technologiques depuis plus de huit ans.