Les 4 niveaux de risque de l'AI Act expliqués par métier (exemples concrets)

Niveau 1 — Risque inacceptable (interdit)

Ces systèmes sont purement interdits depuis le 2 février 2025. Ils portent atteinte aux valeurs et aux droits fondamentaux de l'UE.

• RH : un logiciel qui analyse les émotions des salariés via la webcam pendant les réunions (reconnaissance des émotions au travail — interdit).
• Secteur public : un système de notation sociale des citoyens fondé sur leur comportement.
• Marketing : une IA exploitant les vulnérabilités psychologiques de personnes âgées pour les pousser à l'achat.
• Sécurité : le moissonnage non ciblé d'images faciales sur internet pour constituer une base de reconnaissance.

Voir : analyse d'émotions en entretien : ce qui est interdit.

Niveau 2 — Haut risque (Annexe III)

C'est le niveau qui concentre les obligations lourdes. L'Annexe III liste huit domaines. Les cas les plus fréquents :

• RH : tri automatisé de CV, scoring de candidats, analyse vidéo d'entretien, notation de la performance.
• Finance : scoring de solvabilité, décision d'octroi de crédit, évaluation du risque en assurance vie et santé.
• Santé / médico-social : aide au diagnostic, priorisation d'accès aux soins.
• Éducation : notation automatique d'examens, orientation des apprenants.
• Services essentiels : décision d'accès à une prestation sociale.

Pour ces systèmes : gestion des risques, qualité des données, documentation technique, journalisation, transparence, supervision humaine, robustesse et cybersécurité. Applicables le 2 décembre 2027 (report du Digital Omnibus), mais leur préparation doit démarrer bien avant.

Niveau 3 — Risque limité (transparence)

Ces systèmes interagissent avec des humains ou génèrent du contenu. L'obligation est la transparence (art. 50).

• Relation client : un chatbot doit indiquer clairement qu'il s'agit d'une IA.
• Communication : un visuel ou un texte généré par IA doit être étiqueté comme tel.
• Médias : un deepfake doit être identifié comme contenu artificiel.
• Comptabilité : un assistant conversationnel fiscal doit signaler sa nature et ses limites.

Détails : obligations de transparence (article 50).

Niveau 4 — Risque minimal (aucune obligation spécifique)

La grande majorité des systèmes d'IA existants relèvent de ce niveau : filtres anti-spam, correcteurs orthographiques, moteurs de recommandation basiques, IA de jeux vidéo. Aucune obligation spécifique ne s'applique ; un code de conduite volontaire est recommandé.

Point de vigilance : un même outil peut cumuler plusieurs niveaux selon ses fonctions. Un SIRH peut avoir un module de paie (risque minimal) et un module de scoring de candidats (haut risque). C'est la fonction qui est classée, pas le logiciel dans son ensemble.

Comment classer vos propres systèmes

La méthode est toujours la même : inventorier chaque système, identifier sa finalité précise, la confronter à l'Annexe III et à l'article 5, puis documenter la décision de classification. C'est ce raisonnement, système par système, que notre module AI Act automatise et que nos experts DPO valident. Point de départ : cartographier vos systèmes d'IA dans un registre.