Le 22 janvier 2026, la Corée est devenue le premier pays à mettre pleinement en vigueur une loi-cadre sur l’IA [1]. L’UE avait adopté son AI Act plus tôt, mais sa réglementation des IA à haut risque s’applique progressivement à partir d’août 2026. La Corée est donc la première à appliquer effectivement dans son intégralité une loi globale sur l’IA.
[1] Loi-cadre sur le développement de l’intelligence artificielle et l’établissement de fondements de confiance, dite loi-cadre sur l’IA : promulguée en janvier 2025, entrée en vigueur le 22 janvier 2026.
Le sujet ayant beaucoup fait débat, présentations générales et critiques selon lesquelles une réglementation excessive freinerait l’innovation sont déjà nombreuses. Je voudrais prendre une autre direction : relever deux lacunes qui me paraissent importantes et examiner plus largement le paradigme de réglementation de l’IA.
🧩 Première lacune — identifier les acteurs
La première difficulté tient à la confusion dans l’identification des acteurs. L’article 2 définit l’IA et plusieurs autres concepts, notamment les suivants.
Article 2 — Définitions. Les termes employés ont le sens suivant, après modification du 20 janvier 2026. 1. L’intelligence artificielle est la réalisation, par des moyens électroniques, de capacités intellectuelles humaines telles que l’apprentissage, le raisonnement, la perception, le jugement et la compréhension du langage. […] 4. L’IA à fort impact est un système d’IA susceptible d’affecter gravement ou de mettre en danger la vie, la sécurité physique ou les droits fondamentaux, utilisé dans l’un des domaines suivants : a. fourniture d’énergie au sens de l’article 2, point 1, de la loi sur l’énergie, etc. […] 7. Un opérateur d’IA est une personne morale, organisation, personne physique, institution publique ou assimilée exerçant une activité liée à l’industrie de l’IA et appartenant à l’une des catégories suivantes : a. développeur d’IA, qui développe et fournit de l’IA ; b. exploitant d’IA, qui utilise l’IA fournie par le développeur pour fournir un produit ou un service d’IA. 8. L’utilisateur est celui qui reçoit un produit ou un service d’IA.
La distinction exacte entre IA et IA à fort impact a déjà été abondamment critiquée. Mais distinguer opérateur et utilisateur me paraît bien plus important, et tout aussi difficile.
La loi distingue opérateurs et utilisateurs, puis subdivise les premiers en développeurs et exploitants. Elle impose de lourdes obligations aux opérateurs, surtout ceux d’IA à fort impact ou générative, tout en excluant de son champ les utilisateurs qui se contentent d’employer l’IA.
Or, dans cette industrie, la frontière est floue. Une entreprise qui développe sa propre IA générative pour proposer un service d’évaluation de prêts est à la fois développeur, exploitant, opérateur d’IA générative et d’IA à fort impact. Alors que beaucoup créent des services en affinant des grands modèles de langage existants, ou LLM, ce n’est pas un problème mineur.
🧩 Deuxième lacune — l’obligation d’étiquetage
La seconde concerne les limites de l’étiquetage. La loi prévoit principalement : ① une information préalable sur le produit ou le service, paragraphe 1 ; ② une mention indiquant que le résultat provient d’une IA générative, paragraphe 2 ; ③ une information ou une mention pour les deepfakes difficilement distinguables de la réalité, paragraphe 3. Plus précisément :
Article 31 — Transparence de l’IA. ① L’opérateur proposant un produit ou service utilisant une IA à fort impact ou générative doit informer préalablement l’utilisateur qu’il fonctionne sur cette base. ② Celui qui fournit une IA générative, ou un produit ou service l’utilisant, doit indiquer que ses résultats ont été générés par cette IA. ③ Lorsqu’un système d’IA produit des sons, images ou vidéos virtuels difficiles à distinguer de la réalité, l’opérateur doit l’indiquer ou en informer l’utilisateur de façon clairement perceptible. Si le résultat est une expression artistique ou créative, ou en fait partie, la mention peut être présentée sans gêner l’exposition ou l’appréciation de l’œuvre. ④ Un décret présidentiel fixe les autres modalités nécessaires de l’information préalable, des mentions des paragraphes 2 et 3 et de leurs exceptions.
Les modalités concrètes ne figurent pas dans la loi elle-même, mais dans l’article 22 du projet de décret soumis à consultation en novembre 2025 par le ministère des Sciences et des TIC, puis dans ses lignes directrices pour la transparence de l’IA.
Pour les productions ordinaires, textes ou images notamment, sont admises les mentions visibles comme les marques invisibles lisibles par machine, telles que filigranes et métadonnées. Avec une marque invisible, il faut aussi avertir au moins une fois, par un texte ou un message vocal, de l’origine générative. Pour un contenu restant dans le service, une mention dans l’interface ou un logo suffit ; pour un résultat exporté, la marque doit l’accompagner. En revanche, pour un deepfake difficilement distinguable de la réalité, l’information doit être clairement perceptible : la cacher dans les métadonnées ne suffit pas.
Le problème est que cette obligation ne pèse que sur l’opérateur du service. Le gouvernement entend éviter la confusion du public face aux contenus trompeurs d’IA, mais l’utilisateur qui abuse de l’IA puis diffuse le contenu n’est pas responsable au titre de cette réglementation, puisqu’il en est exclu. Même si l’opérateur marque le résultat, le diffuseur peut retirer la mention. La loi protège-t-elle alors réellement le public ? Demander à ChatGPT d’inscrire « cette image a été générée par l’IA » lors de sa création apporte-t-il une protection effective aux droits des citoyens ?
À mon avis, le problème vient aussi d’avoir réuni l’étiquetage de l’IA générative, destiné à indiquer l’origine, et la réglementation de l’IA à fort impact, destinée à prévenir les accidents.
💡 Pour conclure — de la marque du faux à la certification du vrai
Il ne s’agit pas simplement de dire que la loi est mal conçue. Elle a certainement fait l’objet de nombreuses réflexions et vérifications. Le gouvernement ayant prévu au moins un an d’accompagnement avant sanctions, des améliorations interviendront sans doute pendant cette période.
Je pense néanmoins que l’obligation même d’indiquer une création ou une modification par IA comporte une limite fondamentale.
Sans même discuter de la possibilité de réglementer toutes les productions qui affluent, je crains surtout un effet inverse : plus la mention d’IA devient obligatoire et courante, plus les gens risquent de croire que l’absence de mention garantit l’authenticité. Des utilisateurs malveillants pourraient alors les tromper plus facilement en retirant la marque de faux élaborés.
Il faut donc changer de direction : dépasser l’effort épuisant consistant à marquer les faux comme mensongers et donner aux originaux non modifiés une étiquette de vérité. Plutôt que de se fixer sur les filigranes visibles, encourager les standards de certification d’origine fondés sur les métadonnées, comme C2PA, et récompenser ceux qui les respectent me paraît plus réaliste pour construire la confiance numérique dans un déluge de faux.
Rappelons que la loi, bien qu’en vigueur, est actuellement dans sa période d’accompagnement. Une violation de l’étiquetage peut entraîner une injonction corrective, puis jusqu’à trente millions de wons d’amende administrative en cas de refus, mais ces sanctions sont temporairement suspendues. Comparée aux sanctions de l’AI Act européen, pouvant atteindre 7 % du chiffre d’affaires mondial, la Corée paraît donc appliquer les premières règles, mais aussi les plus légères. J’espère d’autant plus que cette période ne servira pas seulement à différer les sanctions, mais à réexaminer les questions structurelles précédentes. Être première au monde est précieux, sans garantir la qualité du dispositif. Je suivrai cette année pour voir si le premier pays à partir peut aussi montrer la meilleure voie.
#EntreRèglesEtTechnologie #LoiCadreIA #IAGénérative #Étiquetage #C2PA #ConfianceNumérique