1. Les pratiques suivantes de l'IA sont interdites :
(a) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui déploie des techniques subliminales au-delà de la conscience d'une personne ou des techniques délibérément manipulatrices ou trompeuses, ayant pour objectif ou pour effet de fausser sensiblement le comportement d'une personne ou d'un groupe de personnes en altérant de manière appréciable leur capacité à prendre une décision en connaissance de cause, les amenant ainsi à prendre une décision qu'elles n'auraient pas prise autrement, d'une manière qui cause ou est raisonnablement susceptible de causer à cette personne, à une autre personne ou à un groupe de personnes, un préjudice important ;
(b) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui exploite les vulnérabilités d'une personne physique ou d'un groupe spécifique de personnes en raison de leur âge, d'un handicap ou d'une situation sociale ou économique particulière, avec pour objectif ou pour effet d'altérer de manière significative le comportement de cette personne ou d'une personne appartenant à ce groupe d'une manière qui cause ou est raisonnablement susceptible de causer à cette personne ou à une autre personne un préjudice important ;
(c) la mise sur le marché, la mise en service ou l'utilisation de systèmes d'IA pour l'évaluation ou la classification de personnes physiques ou de groupes de personnes sur une certaine période de temps, sur la base de leur comportement social ou de caractéristiques personnelles ou de personnalité connues, déduites ou prédites, le score social conduisant à l'un ou l'autre des éléments suivants, ou aux deux :
(i) le traitement préjudiciable ou défavorable de certaines personnes physiques ou de certains groupes de personnes dans des contextes sociaux qui ne sont pas liés aux contextes dans lesquels les données ont été initialement générées ou collectées ;
(ii) le traitement préjudiciable ou défavorable de certaines personnes physiques ou de certains groupes de personnes, qui est injustifié ou disproportionné par rapport à leur comportement social ou à la gravité de celui-ci ;
(d) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation d'un système d'IA pour l'évaluation des risques des personnes physiques afin d'évaluer ou de prédire le risque qu'une personne physique commette une infraction pénale, sur la seule base du profilage d'une personne physique ou de l'évaluation de ses traits de personnalité et de ses caractéristiques ; cette interdiction ne s'applique pas aux systèmes d'IA utilisés pour soutenir l'évaluation humaine de l'implication d'une personne dans une activité criminelle, qui est déjà fondée sur des faits objectifs et vérifiables directement liés à l'activité criminelle ;
(e) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation de systèmes d'intelligence artificielle qui créent ou développent des bases de données de reconnaissance faciale par l'extraction non ciblée d'images faciales sur l'internet ou d'images de vidéosurveillance ;
(f) la mise sur le marché, la mise en service à cette fin spécifique, ou l'utilisation de systèmes d'intelligence artificielle pour déduire les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement, sauf lorsque l'utilisation du système d'intelligence artificielle est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité ;
(g) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation de systèmes de catégorisation biométrique qui classent individuellement des personnes physiques sur la base de leurs données biométriques afin de déduire ou d'inférer leur race, leurs opinions politiques, leur appartenance à un syndicat, leurs croyances religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle ; cette interdiction ne couvre pas l'étiquetage ou le filtrage d'ensembles de données biométriques légalement acquis, tels que des images, sur la base de données biométriques, ni la catégorisation de données biométriques dans le domaine de l'application de la loi ;
(h) l'utilisation de systèmes d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public à des fins de maintien de l'ordre, sauf si et dans la mesure où cette utilisation est strictement nécessaire pour atteindre l'un des objectifs suivants :
(i) la recherche ciblée de victimes spécifiques d'enlèvement, de traite des êtres humains ou d'exploitation sexuelle des êtres humains, ainsi que la recherche de personnes disparues ;
(ii) la prévention d'une menace spécifique, substantielle et imminente pour la vie ou la sécurité physique de personnes physiques ou d'une menace réelle et actuelle ou réelle et prévisible d'attentat terroriste ;
(iii) la localisation ou l'identification d'une personne soupçonnée d'avoir commis une infraction pénale, aux fins de mener une enquête ou des poursuites pénales ou d'exécuter une sanction pénale pour les infractions visées à l'annexe II et passibles, dans l'État membre concerné, d'une peine privative de liberté ou d'une mesure de sûreté d'une durée maximale d'au moins quatre ans. Le point h) du premier alinéa est sans préjudice de l'article 9 du règlement (UE) 2016/679 pour le traitement des données biométriques à des fins autres que répressives.
2. L'utilisation de systèmes d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public à des fins répressives pour l'un des objectifs visés au paragraphe 1, premier alinéa, point h), est déployée aux fins énoncées dans ce point uniquement pour confirmer l'identité de la personne spécifiquement ciblée, et tient compte des éléments suivants :
(a) la nature de la situation donnant lieu à l'utilisation éventuelle, en particulier la gravité, la probabilité et l'ampleur du préjudice qui serait causé si le système n'était pas utilisé ;
(b) les conséquences de l'utilisation du système pour les droits et libertés de toutes les personnes concernées, en particulier la gravité, la probabilité et l'ampleur de ces conséquences. En outre, l'utilisation de systèmes d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public à des fins répressives pour l'un des objectifs visés au paragraphe 1, premier alinéa, point h), du présent article est assortie des garanties et conditions nécessaires et proportionnées en ce qui concerne l'utilisation, conformément au droit national autorisant cette utilisation, notamment en ce qui concerne les limitations temporelles, géographiques et personnelles. L'utilisation du système d'identification biométrique à distance "en temps réel" dans les espaces accessibles au public n'est autorisée que si le service répressif a réalisé une analyse d'impact sur les droits fondamentaux, comme le prévoit l'article 27, et a enregistré le système dans la base de données de l'UE conformément à l'article 49. Toutefois, dans des cas d'urgence dûment justifiés, l'utilisation de ces systèmes peut commencer sans enregistrement dans la base de données de l'UE, à condition que cet enregistrement soit effectué sans retard injustifié.
3. Aux fins du paragraphe 1, premier alinéa, point h), et du paragraphe 2, chaque utilisation à des fins répressives d'un système d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public est soumise à une autorisation préalable délivrée par une autorité judiciaire ou une autorité administrative indépendante dont la décision est contraignante de l'État membre dans lequel l'utilisation doit avoir lieu, sur demande motivée et conformément aux règles détaillées de droit national visées au paragraphe 5. Toutefois, dans une situation d'urgence dûment justifiée, l'utilisation d'un tel système peut commencer sans autorisation, à condition que cette autorisation soit demandée sans retard injustifié, au plus tard dans les 24 heures. Si cette autorisation est refusée, l'utilisation est interrompue avec effet immédiat et toutes les données, ainsi que les résultats et les produits de cette utilisation, sont immédiatement mis au rebut et effacés. L'autorité judiciaire compétente ou une autorité administrative indépendante dont la décision est contraignante n'accorde l'autorisation que si elle est convaincue, sur la base de preuves objectives ou d'indications claires qui lui sont présentées, que l'utilisation du système d'identification biométrique à distance "en temps réel" concerné est nécessaire et proportionnée à la réalisation de l'un des objectifs visés au paragraphe 1, premier alinéa, point h), tels qu'identifiés dans la demande et, en particulier, reste limitée à ce qui est strictement nécessaire en ce qui concerne la période de temps ainsi que le champ d'application géographique et personnel. En statuant sur la demande, cette autorité tient compte des éléments visés au paragraphe 2. Aucune décision produisant un effet juridique défavorable sur une personne ne peut être prise sur la seule base des résultats du système d'identification biométrique à distance "en temps réel".
4. Sans préjudice du paragraphe 3, chaque utilisation d'un système d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public à des fins répressives est notifiée à l'autorité de surveillance du marché concernée et à l'autorité nationale chargée de la protection des données, conformément aux règles nationales visées au paragraphe 5. La notification contient au minimum les informations visées au paragraphe 6 et ne comprend pas de données opérationnelles sensibles.
5. Un État membre peut décider de prévoir la possibilité d'autoriser totalement ou partiellement l'utilisation de systèmes d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public à des fins répressives, dans les limites et conditions énumérées au paragraphe 1, premier alinéa, point h), et aux paragraphes 2 et 3. Les États membres concernés fixent dans leur droit national les modalités nécessaires à la demande, à la délivrance et à l'exercice des autorisations visées au paragraphe 3, ainsi qu'au contrôle et à l'établissement de rapports y afférents. Ces règles précisent également les objectifs énumérés au paragraphe 1, premier alinéa, point h), y compris les infractions pénales visées au point h) iii), pour lesquels les autorités compétentes peuvent être autorisées à utiliser ces systèmes à des fins répressives. Les États membres notifient ces règles à la Commission au plus tard trente jours après leur adoption. Les États membres peuvent introduire, conformément au droit de l'Union, des lois plus restrictives sur l'utilisation des systèmes d'identification biométrique à distance.
6. Les autorités nationales de surveillance du marché et les autorités nationales chargées de la protection des données des États membres qui ont été informées de l'utilisation de systèmes d'identification biométrique à distance "en temps réel" dans des espaces accessibles au public à des fins répressives, conformément au paragraphe 4, soumettent à la Commission des rapports annuels sur cette utilisation. À cette fin, la Commission fournit aux États membres et aux autorités nationales de surveillance du marché et de protection des données un modèle comprenant des informations sur le nombre de décisions prises par les autorités judiciaires compétentes ou par une autorité administrative indépendante dont la décision est contraignante en ce qui concerne les demandes d'autorisation conformément au paragraphe 3, ainsi que sur leur résultat.
7. La Commission publie des rapports annuels sur l'utilisation des systèmes d'identification biométrique à distance en temps réel dans les espaces accessibles au public à des fins répressives, sur la base de données agrégées dans les États membres à partir des rapports annuels visés au paragraphe 6. Ces rapports annuels ne contiennent pas de données opérationnelles sensibles relatives aux activités répressives concernées.
8. Le présent article n'affecte pas les interdictions applicables lorsqu'une pratique d'IA enfreint d'autres dispositions du droit de l'Union.