Les quatre niveaux de risque de l'AI Act : comment classer vos systèmes d'IA

Le règlement européen sur l'IA repose sur une idée directrice : toutes les intelligences artificielles ne se valent pas face au droit. Un correcteur orthographique et un algorithme de présélection de candidats ne présentent pas les mêmes enjeux pour les personnes. Le texte gradue donc ses exigences selon quatre niveaux de risque.

Comprendre cette gradation est le préalable à toute démarche de conformité. Tant qu'une organisation n'a pas classé ses systèmes, elle ne peut pas savoir quelles obligations la concernent.

Niveau 1 : le risque inacceptable

Ce sont les usages interdits, sans possibilité de dérogation ni de mise en conformité. L'article 5 en dresse la liste limitative.

Y figurent notamment les techniques subliminales ou manipulatrices altérant substantiellement le comportement d'une personne à son détriment, l'exploitation des vulnérabilités tenant à l'âge, au handicap ou à la situation sociale, et la notation sociale conduisant à des traitements défavorables disproportionnés.

Trois interdictions touchent particulièrement la vie des entreprises :

Ces interdictions sont applicables depuis le 2 février 2025 et exposent aux sanctions maximales du règlement.

Niveau 2 : le haut risque

C'est la catégorie la plus exigeante parmi celles qui restent autorisées, et celle que les entreprises sous-estiment le plus souvent. Elle se définit par deux voies distinctes.

Première voie : les composants de sécurité de produits réglementés

Un système d'IA qui constitue un composant de sécurité d'un produit déjà couvert par une législation européenne d'harmonisation, ou qui est lui-même un tel produit, est à haut risque dès lors que ce produit doit faire l'objet d'une évaluation de conformité par un tiers. L'annexe I liste les législations concernées : machines, dispositifs médicaux, jouets, ascenseurs, équipements radioélectriques, aviation, véhicules.

Seconde voie : les domaines de l'annexe III

L'annexe III énumère huit domaines dans lesquels un système d'IA est présumé à haut risque :

Deux de ces domaines méritent une attention particulière dans un contexte d'entreprise ordinaire. Le quatrième, l'emploi, couvre des pratiques devenues banales : un outil qui classe ou présélectionne des candidatures relève du haut risque. Le cinquième concerne tout le secteur du crédit et de l'assurance.

L'exception de l'article 6

Le règlement prévoit qu'un système relevant d'un domaine de l'annexe III peut échapper au haut risque s'il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux. C'est le cas lorsqu'il se borne à accomplir une tâche procédurale étroite, à améliorer le résultat d'une activité humaine déjà achevée, ou à effectuer une tâche préparatoire.

Cette exception est encadrée : le fournisseur qui l'invoque doit documenter son analyse et enregistrer le système dans la base de données européenne. Elle ne s'applique jamais lorsque le système réalise un profilage de personnes physiques.

Les obligations attachées au haut risque

Elles sont substantielles : système de gestion des risques sur tout le cycle de vie, gouvernance des jeux de données d'entraînement, documentation technique, journalisation automatique des événements, transparence vis-à-vis du déployeur, contrôle humain effectif, et niveau approprié d'exactitude, de robustesse et de cybersécurité.

Le déployeur, de son côté, doit utiliser le système conformément à la notice, confier la supervision humaine à des personnes compétentes, conserver les journaux et informer les personnes concernées. Certains déployeurs, notamment les organismes publics et les acteurs du crédit et de l'assurance, doivent en outre réaliser une analyse d'impact sur les droits fondamentaux.

Niveau 3 : le risque limité, ou obligations de transparence

Ce niveau ne crée pas de contraintes techniques lourdes, mais des devoirs d'information prévus à l'article 50.

Les personnes doivent être informées lorsqu'elles interagissent avec un système d'IA, sauf lorsque cela ressort à l'évidence du contexte. Les contenus de synthèse doivent être marqués dans un format lisible par machine. Les hypertrucages doivent être signalés comme tels. Les textes publiés dans le but d'informer le public sur des questions d'intérêt général doivent indiquer leur origine artificielle lorsqu'ils n'ont pas fait l'objet d'une relecture humaine engageant une responsabilité éditoriale.

Ces obligations deviennent applicables le 2 août 2026. Elles concernent la plupart des entreprises qui exploitent un agent conversationnel ou publient des visuels générés.

Niveau 4 : le risque minimal

Tout ce qui ne relève d'aucune des catégories précédentes. Filtres anti-spam, moteurs de recommandation de contenus, correcteurs orthographiques, outils de traduction, assistants de rédaction à usage interne : l'immense majorité des usages professionnels se range ici.

Aucune obligation spécifique ne s'applique. Le règlement encourage simplement l'adoption volontaire de codes de conduite.

Attention toutefois : l'absence d'obligation au titre de l'AI Act ne dispense ni du RGPD lorsque des données personnelles sont traitées, ni du droit du travail, ni du droit de la consommation.

Une méthode en quatre temps

Pour classer vos systèmes sans y passer des semaines :

Recenser. Établissez la liste de tous les systèmes d'IA utilisés, fournis ou intégrés, y compris les outils adoptés spontanément par les équipes. Un inventaire incomplet fausse tout le reste.

Écarter l'interdit. Confrontez chaque usage à la liste de l'article 5. Cette étape est rapide et doit être documentée.

Tester le haut risque. Pour chaque système, posez deux questions : est-il un composant de sécurité d'un produit réglementé ? Relève-t-il d'un domaine de l'annexe III ? Une réponse positive déclenche l'analyse complète.

Identifier les devoirs de transparence. Tout système en contact avec des personnes ou produisant du contenu diffusé est concerné.

Consignez le résultat dans un registre indiquant, pour chaque système : sa finalité, votre rôle, son niveau de risque, le responsable désigné et la date de la dernière revue. Ce document est la première pièce qu'une autorité vous demandera.

La classification n'est pas définitive

Un système peut changer de catégorie. Une modification substantielle de sa finalité, un changement d'usage ou une évolution fonctionnelle imposent de refaire l'analyse. Prévoyez une revue périodique et un point de contrôle systématique avant tout nouveau déploiement.

Situer votre organisation

Notre diagnostic comporte un volet de classification qui vous aide à identifier les catégories dont relèvent vos usages et les obligations correspondantes.

Pour un accompagnement sur mesure : victor@antartica-ai.com

---

*Sources : règlement (UE) 2024/1689, articles 5, 6, 8 à 15, 26, 27 et 50. Annexes I et III.*

FAQ

Quels sont les quatre niveaux de risque du règlement ?

Le risque inacceptable, qui conduit à l'interdiction de la pratique, le haut risque, soumis à des obligations étendues, le risque limité, soumis à des obligations de transparence, et le risque minimal, sans obligation spécifique au-delà de la littératie IA.

Comment savoir si mon système est à haut risque ?

Deux voies : soit il constitue un composant de sécurité d'un produit déjà réglementé au titre de l'annexe I, soit il relève d'un des domaines de l'annexe III, parmi lesquels l'emploi, l'éducation, l'accès aux services essentiels et le crédit.

Un outil de rédaction assistée est-il à haut risque ?

Généralement non. Un usage bureautique de l'IA générative relève du risque minimal ou limité. La qualification change dès que l'outil intervient dans une décision concernant une personne, par exemple le tri de candidatures.

La classification peut-elle évoluer ?

Oui. Elle dépend de la finalité d'usage, pas de la technologie. Un même modèle peut relever du risque minimal dans un usage et du haut risque dans un autre. C'est pourquoi l'inventaire doit être tenu à jour.

Pour aller plus loin

Évaluez votre conformité avec le test de maturité IA d'Antartica AI : 23 questions dont un volet dédié au règlement européen sur l'IA. Pour former vos équipes au titre de l'article 4, découvrez notre offre de formation IA certifiée Qualiopi, ou cadrez votre situation avec un audit IA. Pour en discuter, écrivez à victor@antartica-ai.com.

*Cet article présente une lecture du règlement (UE) 2024/1689 à des fins d'information et ne constitue pas un conseil juridique.*