Comparer l'AI Act européen à l'approche australienne de la gouvernance de l'IA révèle deux philosophies réglementaires fondamentalement différentes appliquées au même défi. L'UE a adopté la première loi complète au monde spécifique à l'IA (règlement 2024/1689), instaurant un système de classification des risques, des évaluations de conformité obligatoires, des pratiques interdites et des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. L'Australie a choisi de ne pas adopter de législation spécifique à l'IA, préférant encadrer l'IA par le biais de dispositifs existants : le Privacy Act, le droit de la consommation, la législation sur la santé et la sécurité au travail, la réglementation sectorielle de l'APRA (Australian Prudential Regulation Authority) et de l'ASIC (Australian Securities and Investments Commission), ainsi qu'une norme volontaire, l'AI Safety Standard. Pour les organisations actives sur les deux marchés, ou les organisations australiennes dont les produits ou services d'IA touchent des résidents de l'UE, il est essentiel de comprendre les deux approches, car l'AI Act européen s'applique de manière extraterritoriale.

Périmètre et approche

L'AI Act européen s'applique aux fournisseurs, aux déployeurs, aux importateurs et aux distributeurs de systèmes d'IA mis sur le marché de l'UE ou dont les résultats sont utilisés dans l'UE. Il repose sur une classification des risques en quatre niveaux : risque inacceptable (interdit), risque élevé (réglementation renforcée), risque limité (obligations de transparence) et risque minimal (largement non réglementé). L'Australie applique les dispositifs juridiques existants à l'IA, sans classification des risques spécifique. Le Privacy Act s'applique au traitement des données personnelles. Les garanties consommateurs (Consumer Guarantees) s'appliquent aux produits et services d'IA. La législation sur la santé et la sécurité au travail (WHS) s'applique à l'IA en milieu professionnel. L'APRA et l'ASIC appliquent des exigences prudentielles et de conduite de marché à l'IA dans les services financiers. La norme volontaire AI Safety Standard prévoit 10 garde-fous, mais elle n'a pas de force contraignante.

Comparaison des principales obligations réglementaires

Classification des risques : l'AI Act européen impose une classification formelle des risques des systèmes d'IA, avec des obligations spécifiques pour chaque niveau. L'Australie n'a pas d'équivalent ; les organisations doivent évaluer elles-mêmes leurs obligations au regard de plusieurs lois existantes. Évaluation de la conformité : l'AI Act européen exige une évaluation de conformité par un tiers pour l'IA à haut risque dans certaines catégories. L'Australie n'impose aucune exigence d'évaluation de conformité pour l'IA. Transparence : l'AI Act européen impose une information des personnes lorsqu'elles interagissent avec une IA (article 50, en vigueur à partir d'août 2026). L'obligation de transparence sur les décisions automatisées (ADM) du Privacy Act australien (en vigueur à partir de décembre 2026) impose une notification lorsque des décisions reposent substantiellement sur un traitement automatisé. Pratiques interdites : l'AI Act européen interdit des usages spécifiques de l'IA (notation sociale, identification biométrique en temps réel dans les espaces publics, certaines formes de reconnaissance des émotions). L'Australie ne prévoit aucune interdiction équivalente. Sanctions : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires pour l'AI Act européen. Jusqu'à 50 millions de dollars australiens (A$) ou 30 % du chiffre d'affaires pour les atteintes à la protection des données au titre du Privacy Act australien.

Comparaison des calendriers

AI Act européen : les pratiques interdites s'appliquent depuis février 2025. Les obligations relatives à l'IA à usage général (GPAI) s'appliquent depuis août 2025. Les obligations de transparence s'appliquent à partir d'août 2026. L'annexe III sur le risque élevé s'applique à partir de décembre 2027 (délai prolongé par l'Omnibus numérique de mai 2026). L'annexe I sur le risque élevé s'applique à partir d'août 2028. Australie : la transparence des décisions automatisées (ADM) au titre du Privacy Act s'applique à partir de décembre 2026. Les attentes de l'APRA en matière d'IA ont été communiquées en avril 2026 (attentes prudentielles permanentes). La cyber-résilience exigée par l'ASIC s'applique à partir de mai 2026. La norme volontaire AI Safety Standard est déjà publiée.

Ce que les organisations australiennes doivent faire

Si votre IA a une incidence sur des résidents de l'UE, par le biais de produits, de services ou de processus décisionnels, vous êtes soumis à l'AI Act européen, quel que soit votre lieu d'implantation. Si vous êtes réglementé par l'APRA, vous êtes d'ores et déjà soumis à ses attentes en matière de gouvernance de l'IA. Si vous traitez des données personnelles au moyen de l'IA, l'obligation de transparence sur les décisions automatisées (ADM) du Privacy Act s'applique à partir de décembre 2026. L'approche pratique consiste à construire des dispositifs de gouvernance qui satisfont à l'AI Act européen (la norme la plus prescriptive), ce qui permettra généralement de dépasser les exigences australiennes. Lorsque les exigences australiennes sont distinctes (attentes propres à l'APRA, obligations propres au Privacy Act), ajoutez des couches spécifiques à chaque juridiction.

Sources principales : Texte intégral de l'AI Act européen | Gouvernement australien, norme volontaire AI Safety Standard | Lettre de l'APRA aux acteurs du secteur sur l'IA

À lire également