Classification du risque IA : tableau complet des niveaux et obligations

Comprendre la classification des risques de l'AI Act, c'est comprendre 80% du règlement. Tout le reste — les obligations, les sanctions, le calendrier — découle directement de cette classification. Ce tableau de référence vous permet de situer rapidement n'importe quel système d'IA.

Les 4 niveaux de risque : vue d'ensemble

L'AI Act classe les systèmes d'IA en 4 niveaux de risque : Risque inacceptable (interdit depuis février 2025), Risque élevé (obligations strictes, applicables à partir du 2 décembre 2027 pour l'Annexe III et du 2 août 2028 pour l'Annexe I, report fixé par le règlement (UE) 2026/1744), Risque limité (transparence obligatoire depuis août 2026), Risque minimal (aucune obligation spécifique). La classification détermine toutes les obligations légales.

Niveau 1 : Risque inacceptable — Ce qui est interdit

Les systèmes à risque inacceptable sont bannis car leurs risques pour les droits fondamentaux sont jugés impossibles à atténuer.

Les 8 pratiques interdites : 1. Manipulation subliminale causant un préjudice 2. Exploitation des vulnérabilités (âge, handicap, situation socioéconomique) 3. Scoring social par des autorités publiques 4. Profilage prédictif à des fins policières (basé sur caractéristiques personnelles sans acte objectif) 5. Identification biométrique en temps réel dans l'espace public (sauf exceptions policières strictes) 6. Reconnaissance d'émotions au travail et en éducation 7. Catégorisation biométrique sur données sensibles (race, religion, orientation sexuelle) 8. Constitution de bases de données faciales par scraping massif

• Système de scoring social municipal → Interdit
• Logiciel RH analysant les émotions des candidats → Interdit
• Service d'identification faciale en temps réel pour commerçants → Interdit
• IA de recrutement ciblant les biais cognitifs → Interdit

Niveau 2 : Risque élevé — Les domaines concernés

Les systèmes à risque élevé sont légaux mais très encadrés. Ils doivent respecter un ensemble d'obligations techniques et procédurales avant d'être mis sur le marché ou déployés.

Les 8 domaines de l'Annexe III :

1. Identification biométrique : systèmes d'identification biométrique à distance (non temps réel ou temps réel avec exceptions), catégorisation biométrique hors cas interdits.

2. Infrastructures critiques : IA gérant les réseaux d'électricité, d'eau, de gaz, transport, internet, systèmes financiers.

3. Éducation et formation : IA qui détermine l'accès à l'éducation (sélection des candidats, évaluation des étudiants, identification des comportements à risque de décrochage).

4. Emploi et gestion des travailleurs : IA de recrutement (tri de CV, scoring des candidats), IA d'évaluation des performances, IA de promotion ou licenciement, IA de surveillance de la productivité.

5. Accès aux services essentiels : scoring de crédit, scoring d'éligibilité aux aides sociales, scoring d'assurance vie et santé, évaluation des urgences médicales.

6. Application de la loi : IA d'aide à l'investigation, évaluation de fiabilité des preuves, analyse comportementale des suspects, prédiction de la récidive pour les décisions de libération.

7. Gestion des migrations et frontières : évaluation des risques à la frontière, aide à l'examen des demandes d'asile et de visa, détection des comportements suspects.

8. Justice et démocratie : IA d'aide à la décision judiciaire, IA dans les processus électoraux.

Les obligations pour les systèmes à risque élevé

Voici la liste des 10 obligations principales que doit respecter tout système d'IA à risque élevé :

• 1. Système de gestion des risques (cycle de vie complet)
• 2. Gouvernance et qualité des données d'entraînement
• 3. Documentation technique complète (Annexe IV — 15 éléments minimum)
• 4. Tenue de journaux d'événements (logs automatiques)
• 5. Transparence et communication aux déployeurs (article 13)
• 6. Supervision humaine effective (article 14)
• 7. Exactitude, robustesse et cybersécurité (article 15)
• 8. Évaluation de conformité (avant mise sur le marché)
• 9. Enregistrement dans la base de données européenne
• 10. Monitoring post-déploiement

Niveau 3 : Risque limité — La transparence avant tout

Les systèmes à risque limité ne présentent pas de danger majeur, mais peuvent induire les utilisateurs en erreur s'ils n'informent pas clairement de leur nature artificielle.

Systèmes concernés : - Chatbots et agents conversationnels : obligation d'informer l'utilisateur qu'il interagit avec une IA (sauf si contexte évident) - Systèmes de génération de contenu synthétique (texte, images, vidéo, audio) : obligation de marquage du contenu comme généré par IA - Systèmes de reconnaissance des émotions (hors contextes interdits) - Systèmes de catégorisation biométrique (hors cas interdits)

L'obligation principale : l'information doit être fournie de façon claire, compréhensible, et avant ou au début de l'interaction. L'exception : si le contexte rend évident qu'on interagit avec une IA (personne ne croit interagir avec un humain en utilisant Siri).

L'obligation de transparence ne s'applique pas aux œuvres artistiques ou satiriques impliquant de l'IA. Un film de fiction avec des acteurs virtuels IA n'a pas à être marqué 'contenu IA' de façon intrusive.

Niveau 4 : Risque minimal — Liberté totale (ou presque)

La grande majorité des systèmes d'IA entre dans la catégorie risque minimal. Aucune obligation spécifique de l'AI Act ne s'applique.

Exemples typiques : - Filtres anti-spam des messageries - IA de recommandation musicale ou vidéo (Netflix, Spotify) - Jeux vidéo avec IA des personnages non-joueurs - IA de maintenance prédictive de machines industrielles (standard) - Correcteurs orthographiques et outils de traduction - IA d'inventaire et de logistique - Outils de retouche photo avec IA (hors contextes de désinformation)

Attention : 'risque minimal' ne signifie pas absence totale de contraintes. Le RGPD s'applique si des données personnelles sont traitées. Le DSA peut s'appliquer aux plateformes. Les règles de droit commun (responsabilité, droit de la consommation) restent en vigueur.

→ Conformité AI Act pour les PME

Comment classifier son système d'IA : la démarche pratique

Voici un arbre de décision simplifié :

Étape 1 : Mon système est-il dans la liste des pratiques interdites (article 5) ? → Si oui : INTERDICTION. Stop.

Étape 2 : Mon système est-il un modèle GPAI (LLM, modèle multimodal généraliste) ? → Si oui : obligations GPAI (depuis août 2025).

Étape 3 : Mon système est-il intégré dans un produit soumis à une législation sectorielle listée en Annexe I, avec une évaluation de conformité tierce ? → Si oui : RISQUE ÉLEVÉ.

Étape 4 : Mon système est-il utilisé dans l'un des 8 domaines de l'Annexe III ? → Si oui : évaluation détaillée (potentiellement RISQUE ÉLEVÉ).

Étape 5 : Mon système est-il un chatbot, un générateur de contenu synthétique, un système de reconnaissance d'émotions hors cas interdits ? → Si oui : RISQUE LIMITÉ (obligations de transparence).

Étape 6 : Aucune des étapes précédentes ne s'applique → RISQUE MINIMAL.

→ FAQ AI Act pour PME

FAQ : classification des risques IA

Conclusion

La classification des risques IA est l'outil fondamental pour comprendre vos obligations. Pour la grande majorité des PME, les systèmes utilisés au quotidien — outils IA de productivité, CRM, ERP avec IA, chatbots de service client — seront à risque minimal ou limité. Les obligations lourdes concernent principalement les développeurs de systèmes IA dans des domaines sensibles (santé, emploi, justice, crédit).