Le règlement européen sur l’intelligence artificielle (AI Act) établit quatre niveaux de risque afin d’encadrer l’utilisation des systèmes d’IA. Cette approche, fondée sur le risque, permet d’adapter les obligations réglementaires en fonction de l’impact potentiel des systèmes sur la société, les droits fondamentaux et la sécurité.
Le règlement européen sur l’IA adopte une approche globale de la régulation de l’intelligence artificielle. Il définit des obligations pour les fournisseurs et les utilisateurs de systèmes d’IA afin d’assurer un usage sûr, transparent et éthique de ces technologies. Dans ce cadre, l’Union européenne a mis en place un cadre réglementaire structuré reposant sur une classification des systèmes d’IA selon leur niveau de risque AI Act.
Les 4 niveaux de risque de l’AI Act
| Niveau de risque | Statut | Exemples | Principales obligations |
|---|---|---|---|
| Inacceptable | Interdit | Notation sociale, manipulation subliminale, identification biométrique à distance en temps réel (sauf exceptions) | Aucun : mise sur le marché et déploiement interdits |
| Élevé (haut risque) | Autorisé, fortement encadré | Recrutement, crédit, dispositifs médicaux, infrastructures critiques, forces de l'ordre | Gestion des risques, documentation technique, supervision humaine, marquage CE, registre |
| Limité | Autorisé | Chatbots, contenus générés ou manipulés par IA (deepfakes) | Obligations de transparence (article 50) |
| Minimal | Autorisé | Filtres anti-spam, systèmes de recommandation, outils bureautiques | Aucune obligation spécifique |
1. AI Act : le risque inacceptable
Cette catégorie regroupe les systèmes d'IA considérés comme une menace directe pour la sécurité ou les droits fondamentaux. Ils sont strictement interdits dans l'Union européenne.
Exemples de pratiques interdites :
- la manipulation subliminale des comportements,
- l'exploitation des vulnérabilités de groupes spécifiques (par exemple les jouets connectés à assistance vocale qui encouragent des comportements dangereux chez les enfants),
- la notation sociale des individus,
- l'identification biométrique à distance en temps réel dans les espaces publics (sauf exceptions strictement encadrées),
- le moissonnage non ciblé d'images faciales pour constituer des bases de reconnaissance,
- la police prédictive fondée sur le profilage,
- la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement.
Ces usages sont incompatibles avec le respect des droits fondamentaux, de la dignité humaine et du principe de non-discrimination. Ils ne peuvent ni être mis sur le marché ni être déployés au sein de l'Union.
2. Risque élevé (ou IA à haut risque)
Les systèmes d'IA à haut risque sont autorisés mais fortement encadrés, car ils peuvent avoir un impact significatif sur la santé, la sécurité ou les droits fondamentaux.
Exemples de systèmes à haut risque :
- les infrastructures critiques (transport, énergie),
- les dispositifs médicaux, l'aviation, l'automobile ou les jouets,
- la gestion des travailleurs et les processus de recrutement (tri de CV),
- l'accès au crédit et à l'assurance,
- la notation d'examens et l'admission dans les établissements d'enseignement,
- les forces de l'ordre (évaluation de la fiabilité des preuves), le contrôle des frontières et la vérification des documents de voyage,
- l'accès aux prestations et services publics essentiels,
- la reconnaissance des émotions (hors lieu de travail et enseignement, où elle est interdite),
- les systèmes intégrant un composant de sécurité.
L'annexe III du règlement précise ces cas d'usage. L'objectif : garantir que ces systèmes respectent des exigences strictes de gestion des risques, de supervision humaine et de transparence avant leur mise sur le marché.
3. Risque limité
Les systèmes à risque limité sont autorisés mais soumis à des obligations de transparence (article 50). Ils doivent informer clairement les utilisateurs lorsqu'ils interagissent avec une IA, et signaler les contenus générés ou manipulés par IA, afin d'éviter toute confusion ou manipulation.
Exemples de systèmes à risque limité :
- les chatbots : l'utilisateur doit savoir qu'il s'adresse à une machine et pouvoir demander un interlocuteur humain,
- les contenus de synthèse et les deepfakes (à signaler),
- certains systèmes de détection de contenus.
Pour vous conformer à ces obligations, Dastra propose un modèle de notice de transparence IA conforme à l'article 50.
4. Risque minimal
La majorité des systèmes d'IA utilisés aujourd'hui en Europe appartiennent à cette catégorie. Ils ne sont soumis à aucune obligation réglementaire spécifique, au-delà du droit existant.
Exemples de systèmes à risque minimal :
- les filtres anti-spam,
- les systèmes de recommandation (films, musique, contenus),
- les outils bureautiques et assistants de productivité.
Le cas particulier des IA à usage général (GPAI)
Au-delà des quatre niveaux, l'AI Act soumet les modèles d'IA à usage général (GPAI), comme ceux qui alimentent ChatGPT ou Gemini, à un régime propre et transversal : documentation technique, résumé des données d'entraînement, respect du droit d'auteur et transparence sur les contenus produits.
Lorsqu'un modèle présente un risque systémique (puissance de calcul très élevée), des obligations renforcées s'ajoutent : évaluations de sécurité, tests adversariaux, cybersécurité et déclaration des incidents graves.
Les niveaux de risque au quotidien : comment les opérationnaliser
Connaître les quatre niveaux est une chose ; les intégrer aux processus de l'entreprise en est une autre. En pratique, une gouvernance de l'IA efficace traite chaque niveau différemment :
- Risque inacceptable : détection et blocage automatiques dès l'identification, aucun système de cette catégorie ne doit être déployé.
- Risque limité et minimal : validation accélérée, voire approbation automatique, car les règles sont claires.
- Haut risque : mise en revue manuelle obligatoire. C'est là que se concentre l'effort de conformité (documentation, supervision humaine, évaluation des risques). Automatiser le tri en amont libère du temps pour cette diligence.
Ce sont les fournisseurs qui déterminent d'abord la catégorie de leur système, selon les critères de l'AI Act ; les déployeurs assument ensuite la conformité continue (contrôle, surveillance humaine, transparence) tout au long de l'utilisation. La solution AI Act de Dastra permet d'automatiser cette classification et le suivi des obligations.
Comment appliquer les niveaux de risque IA en entreprise ?
Comprendre les niveaux de risque définis par l’AI Act est essentiel, mais leur mise en œuvre opérationnelle est le véritable enjeu pour les organisations.
Automatiser la gestion des risques IA
Une approche efficace consiste à intégrer la gestion des risques directement dans les workflows internes de gouvernance.
Les systèmes d’IA à risque inacceptable doivent être détectés et bloqués dès leur identification, afin d’éviter toute mise sur le marché ou déploiement interne.
À l’inverse, les systèmes à risque limité ou minimal peuvent être validés plus rapidement via des processus automatisés.
Les systèmes d’IA à usage général (ou IA à usage général) doivent également être surveillés en raison de leur potentiel de réutilisation dans des contextes sensibles.
Focus sur les systèmes à haut risque
Les systèmes à haut risque nécessitent une analyse approfondie avant leur mise en production, reposant sur une gestion des risques structurée :
- l'évaluation des impacts sur les droits fondamentaux,
- la documentation technique,
- la supervision humaine,
- la transparence des décisions,
- la réduction des biais algorithmiques.
Les fournisseurs sont responsables de la conformité initiale, mais les déployeurs doivent assurer une mise en œuvre continue conforme au cadre réglementaire.
Cas pratique n°1 : le recrutement automatisé (haut risque)
Un outil d'IA utilisé pour trier des CV est généralement classé comme système à haut risque (annexe III), car il influence directement l'accès à l'emploi. Avant toute mise en œuvre, l'organisation doit documenter les données utilisées, évaluer les risques de discrimination, assurer une supervision humaine des décisions et garantir la transparence envers les candidats. Lorsque des données personnelles sont traitées, cette démarche rejoint l'analyse d'impact relative à la protection des données (AIPD) prévue par le RGPD.
Cas pratique n°2 : un usage à faible risque approuvé rapidement
À l'inverse, prenons une équipe marketing qui souhaite utiliser une IA générative pour rédiger des emails personnalisés. Le parcours type :
- Initialisation : le porteur de projet décrit son cas d'usage et ses objectifs.
- Évaluation : l'équipe conformité vérifie que l'usage est sûr et documenté.
- Classification : le système se voit attribuer un niveau de risque, ici, faible.
- Décision : l'usage est approuvé rapidement, l'équipe peut avancer.
Un même type d'outil peut ainsi suivre deux parcours très différents selon son usage : c'est toute la logique de l'approche par les risques.
Concilier innovation et conformité IA
L'objectif de l'AI Act n'est pas de freiner l'innovation, mais de l'encadrer. Une gouvernance efficace permet de concilier innovation et conformité, en sécurisant les usages tout en facilitant l'adoption de l'IA. Les organisations doivent mettre en place un cadre robuste de gestion des risques : suivi des systèmes, documentation et conformité continue.
Pour aller plus loin
- AI Act : tout comprendre du règlement européen sur l'IA - le guide complet.
- Les questions clés de votre registre IA.
- Guide des ressources officielles pour se conformer à l'AI Act.
- La solution AI Act de Dastra pour piloter la classification et le suivi de vos systèmes.
FAQ
Quels sont les 4 niveaux de risque définis par l'AI Act ?
Les systèmes d'IA sont classés en quatre catégories : risque inacceptable (interdit), risque élevé ou haut risque (fortement encadré), risque limité (obligations de transparence) et risque minimal (peu ou pas d'obligations spécifiques). Les modèles à usage général (GPAI) relèvent d'un régime transversal distinct.
Qu'est-ce qu'un système à risque inacceptable ?
Ce sont des usages interdits car contraires aux droits fondamentaux : notation sociale, manipulation subliminale, identification biométrique à distance dans l'espace public, ou encore la reconnaissance des émotions sur le lieu de travail et dans l'enseignement.
Qu'est-ce qu'un système d'IA à haut risque ?
Ce sont des systèmes pouvant affecter la sécurité ou les droits des personnes : infrastructures critiques, santé, éducation, recrutement, crédit, forces de l'ordre, dispositifs de sécurité intégrés. Ils sont autorisés mais soumis à des exigences strictes (gestion des risques, supervision humaine, documentation, marquage CE).
Que signifie « risque limité » ?
Il s'agit de systèmes autorisés mais soumis à des obligations de transparence (article 50) : chatbots, contenus générés ou manipulés par IA. Les utilisateurs doivent savoir qu'ils interagissent avec une IA.
Quels sont les systèmes à risque minimal ?
La majorité des IA utilisées aujourd'hui : filtres anti-spam, systèmes de recommandation, outils bureautiques. Ils ne sont pas soumis à des obligations spécifiques au-delà du droit existant.
Qui décide du niveau de risque d'un système d'IA ?
Le fournisseur classe son système selon les critères de l'AI Act ; le déployeur reste responsable d'une utilisation conforme. En cas de doute, une évaluation documentée est recommandée.
Un outil de tri de CV est-il à haut risque ?
Oui : les systèmes d'IA utilisés dans le recrutement figurent à l'annexe III et sont classés à haut risque, car ils influencent directement l'accès à l'emploi.
Où se situent ChatGPT et les IA génératives ?
Les modèles d'IA à usage général (GPAI) qui alimentent ces outils relèvent d'un régime propre : transparence, documentation technique et, pour les modèles à risque systémique, obligations renforcées.
Pourquoi l'AI Act utilise-t-il une approche fondée sur le risque ?
Cette approche adapte le niveau de contrôle à l'impact potentiel des systèmes sur la société, la sécurité et les droits fondamentaux : plus le risque est élevé, plus les obligations sont strictes.