L'AI Act ne traite pas tous les systèmes d'intelligence artificielle de la même manière. Le règlement (UE) 2024/1689 retient quatre niveaux de risque, auxquels correspondent des obligations graduées. Comprendre ces catégories aide à situer un usage donné.
Risque inacceptable : les pratiques interdites
Certains usages sont considérés comme une menace claire pour les droits et la sécurité des personnes et sont donc interdits. L'AI Act prohibe huit pratiques, parmi lesquelles la manipulation ou la tromperie nuisibles, l'exploitation des vulnérabilités, la notation sociale, l'évaluation ou la prédiction du risque qu'une personne commette une infraction sur la seule base d'un profilage, la constitution de bases de reconnaissance faciale par moissonnage non ciblé d'images, la reconnaissance des émotions sur le lieu de travail et dans l'enseignement, la catégorisation biométrique révélant des caractéristiques sensibles, et l'identification biométrique à distance en temps réel dans l'espace public à des fins répressives (avec des exceptions strictement encadrées). Ces interdictions s'appliquent depuis février 2025.
Haut risque : autorisé mais strictement encadré
Les systèmes susceptibles de porter gravement atteinte à la santé, à la sécurité ou aux droits fondamentaux sont classés à haut risque. On y trouve par exemple l'IA dans les infrastructures critiques, l'éducation, l'emploi (tri de CV), l'accès à des services essentiels (comme la notation de crédit), la biométrie, le maintien de l'ordre, la migration et l'asile, ou encore l'administration de la justice. Ces systèmes doivent respecter des exigences strictes : gestion des risques, qualité des données, traçabilité, documentation, information des déployeurs, supervision humaine et robustesse.
Risque limité : la transparence
D'autres systèmes présentent surtout un enjeu de transparence. Les utilisateurs doivent par exemple savoir qu'ils interagissent avec un agent conversationnel (chatbot), et les contenus générés par IA doivent pouvoir être identifiés.
Risque minime : la grande majorité
La plupart des systèmes d'IA utilisés aujourd'hui (filtres anti-spam, IA de jeux vidéo) relèvent du risque minime et ne font l'objet d'aucune obligation nouvelle ; l'adhésion à des codes de conduite volontaires est encouragée.
Conformité et surveillance
Avant leur mise sur le marché, les systèmes à haut risque doivent faire l'objet d'une évaluation de conformité et, pour certains d'entre eux, d'un enregistrement dans une base de données de l'UE. Ils sont ensuite suivis tout au long de leur cycle de vie : les fournisseurs assurent un suivi après commercialisation et signalent les incidents graves, les déployeurs veillent à la supervision humaine, et les autorités exercent une surveillance du marché. Les personnes concernées peuvent introduire une plainte auprès de l'autorité nationale désignée.
Attention : une même solution peut basculer d'une catégorie à l'autre selon son usage. Fournisseurs et déployeurs ont donc intérêt à évaluer le classement de chaque système au regard du texte et des orientations officielles.