Madrid sanctionne les deepfakes d’IA

Madrid a approuvé le 26 mai une loi nationale sur l’IA, avec des amendes pouvant atteindre 35 millions d’euros et l’interdiction des deepfakes sexuels. Le texte comble, à sa manière, le délai laissé par Bruxelles dans l’application du règlement européen.

L’Europe voulait un cadre unique pour l’intelligence artificielle. Elle découvre une réalité plus désordonnée : quand Bruxelles temporise, les capitales reprennent la main.

Le 26 mai, le conseil des ministres espagnol a approuvé la loi pour le bon usage et la gouvernance de l’intelligence artificielle, qualifiée de loi organique, une catégorie réservée en Espagne aux textes touchant aux droits fondamentaux. Le texte va plus loin que le règlement européen sur l’IA sur deux points : il interdit les deepfakes sexuels générés par IA et les contenus d’exploitation sexuelle de mineurs, et crée un « délégué à l’IA » dans chaque administration utilisant des systèmes automatisés.

La loi rend aussi juridiquement responsables à la fois les fournisseurs d’IA et les entreprises qui déploient leurs outils. La logique ressemble à celle de la sécurité alimentaire : le fabricant et le restaurant qui sert le plat peuvent tous deux être mis en cause si un client tombe malade.

Bruxelles a donné du temps. Madrid a choisi d’avancer.

Le règlement européen sur l’IA est entré en vigueur en août 2024, mais ses obligations les plus lourdes, celles qui concernent l’IA utilisée dans le recrutement, le diagnostic médical ou les forces de l’ordre, ont été repoussées. Le 7 mai, le Parlement et le Conseil ont accepté de décaler ces obligations de plus d’un an, dans un paquet législatif baptisé Digital Omnibus. La plupart des États membres n’avaient pas encore créé leur régulateur national de l’IA, et les normes techniques dont les entreprises ont besoin pour prouver leur conformité n’étaient pas prêtes.

L’Espagne avait pris de l’avance. Dès juin 2024, avant même l’entrée en vigueur du règlement européen, elle avait lancé l’AESIA, première agence de supervision de l’IA dédiée dans l’Union. La nouvelle loi donne désormais à cette agence un vrai pouvoir de sanction.

Cinq pays, cinq méthodes

Un patchwork réglementaire se dessine en Europe, façonné moins par Bruxelles que par les traditions juridiques et les rapports politiques nationaux.

L’Italie a choisi le pénal. Sa loi 132/2025 a fait de la diffusion de deepfakes une infraction autonome, dans un contexte marqué par une affaire d’images truquées visant la présidente du Conseil, Giorgia Meloni. Anna Ascani, vice-présidente de la Chambre issue de l’opposition, a jugé cette criminalisation « inutile » si les autorités ne disposent pas aussi du pouvoir d’imposer le retrait des contenus.

L’Allemagne laisse les tribunaux ouvrir la voie. Le 12 mai, l’Oberlandesgericht Hamm, une cour d’appel régionale, a jugé que les entreprises étaient pleinement responsables des fausses déclarations de leurs chatbots, même lorsque ceux-ci ont été entraînés sur des données correctes. Dans l’affaire en cause, le chatbot d’une clinique esthétique avait inventé des diplômes médicaux pour ses médecins. La loi allemande de mise en œuvre est, elle, toujours en discussion au Parlement.

La France a privilégié la coordination institutionnelle plutôt qu’une nouvelle loi. La CNIL, autorité de protection des données, joue le rôle de coordinateur de la régulation de l’IA auprès de plus de quinze agences sectorielles. Arthur Mensch, fondateur de Mistral AI, a expliqué à l’Assemblée nationale que cette charge réglementaire favorisait les géants américains au détriment des start-up européennes : une petite équipe de conformité doit naviguer entre des dizaines de mises en œuvre nationales d’un même texte européen.

L’Irlande part presque de zéro. Son AI Office doit ouvrir le 1er août avec une équipe réduite et sans directeur général encore nommé. Son premier test sérieux pourrait venir de Grok, l’outil de X, signalé par les régulateurs irlandais pour génération d’images intimes non consenties.

Le vide que personne n’avait vraiment prévu

La loi espagnole a aussi ses angles morts. Les administrations qui utilisent mal l’IA risquent des réprimandes, pas des amendes. En Italie, le paysage de supervision reste fragmenté entre plusieurs agences, que les critiques jugent mal coordonnées. En Irlande, le régulateur n’est pas encore doté, encore moins éprouvé.

Le règlement européen devait produire un cadre commun pour tout le continent. Le report organisé par le Digital Omnibus a donné du temps aux États membres, mais il a aussi ouvert un vide que chaque gouvernement remplit avec ses priorités. Quand les obligations les plus strictes entreront en vigueur, l’Europe pourrait se retrouver avec 27 versions nationales d’une même loi : l’Espagne interdit les deepfakes, l’Italie pénalise leurs auteurs, l’Allemagne responsabilise les opérateurs de chatbots pour leurs hallucinations, et l’Irlande n’a pas encore recruté son régulateur en chef. Un cadre unique, pour l’instant, cela n’en est pas un.