La classification des risques du règlement IA de l'UE expliquée : ce que toute équipe de conformité doit savoir en 2025

Ces systèmes d'IA sont purement et simplement interdits. Aucune voie de mise en conformité n'existe : si vous déployez l'un d'eux, votre seule option légale est de cesser. La sanction en cas de violation est la plus élevée du règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.

Ce qui déclenche la classification en risque inacceptable :

• Les systèmes de notation sociale par les autorités publiques qui évaluent ou classent les individus en fonction de leur comportement social ou de traits de personnalité, entraînant un traitement préjudiciable disproportionné par rapport au contexte
• L'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives (à de rares exceptions près pour certaines infractions graves, sous réserve d'une autorisation judiciaire préalable)
• Les systèmes d'IA qui recourent à des techniques subliminales, manipulatrices ou trompeuses pour altérer substantiellement le comportement d'une manière qui cause ou est susceptible de causer un préjudice important
• Les systèmes d'IA qui exploitent les vulnérabilités de groupes spécifiques, liées à l'âge, au handicap ou à la situation sociale ou économique, pour altérer substantiellement le comportement en causant un préjudice important
• Les systèmes de reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement (sauf à des fins médicales ou de sécurité)
• La collecte non ciblée d'images faciales sur Internet ou à partir d'images de vidéosurveillance afin de créer ou d'enrichir des bases de données de reconnaissance faciale
• Les systèmes de catégorisation biométrique qui classent les individus à partir de données biométriques pour en déduire la race, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou l'orientation sexuelle (sauf pour des données biométriques licitement acquises dans un contexte répressif)

Règlement IA de l'UE, article 5, pratiques interdites en matière d'intelligence artificielle, texte consolidé final adopté en juin 2024

C'est là que se concentre l'essentiel de la complexité opérationnelle. Les systèmes d'IA à risque élevé sont autorisés, mais ils s'accompagnent d'exigences étendues en matière de documentation, de tests, de suivi et de surveillance humaine. Le non-respect déclenche des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Pour les organisations multi-entités, le défi se démultiplie : différentes filiales peuvent déployer le même type de système dans des conditions distinctes, chacune nécessitant une évaluation de conformité indépendante.

Catégories à risque élevé au titre de l'annexe III (les plus pertinentes pour les entreprises) :

• L'identification et la catégorisation biométriques des personnes physiques (au-delà des catégories interdites mentionnées ci-dessus)
• La gestion et l'exploitation des infrastructures critiques. Les systèmes d'IA utilisés comme composants de sécurité dans la circulation routière et l'approvisionnement en eau, gaz, chauffage et électricité
• L'éducation et la formation professionnelle. L'IA utilisée pour déterminer l'accès à l'éducation, évaluer les acquis d'apprentissage, apprécier le niveau d'enseignement approprié ou détecter les comportements interdits pendant les examens
• L'emploi, la gestion des travailleurs et l'accès au travail indépendant. L'IA utilisée pour le recrutement, la diffusion d'offres d'emploi, le tri ou le filtrage des candidatures, l'évaluation des candidats, les décisions de promotion ou de licenciement, l'attribution de tâches en fonction du comportement ou des caractéristiques individuelles, ainsi que le suivi et l'évaluation de la performance des travailleurs
• L'accès aux services essentiels. L'IA utilisée pour évaluer la solvabilité, pour l'appréciation des risques et la tarification en assurance vie et santé, pour évaluer et classer les appels d'urgence, et pour apprécier l'éligibilité aux prestations et services publics
• Les activités répressives. L'IA utilisée pour les évaluations individuelles des risques, les polygraphes, la détection des hypertrucages présentés comme preuves, l'appréciation de la fiabilité des preuves et la prédiction d'infractions à partir du profilage
• La migration, l'asile et le contrôle aux frontières. L'IA utilisée pour le traitement des demandes, l'évaluation des risques de sécurité et l'examen des documents de voyage
• L'administration de la justice et les processus démocratiques. L'IA utilisée pour assister les autorités judiciaires dans la recherche et l'interprétation des faits et du droit

Obligations de conformité pour les systèmes d'IA à risque élevé :

• Système de gestion des risques, établir, mettre en œuvre, documenter et tenir à jour un processus continu de gestion des risques tout au long du cycle de vie du système d'IA
• Gouvernance des données, les jeux de données d'entraînement, de validation et de test doivent répondre à des critères de qualité incluant la pertinence, la représentativité, l'exhaustivité et l'adéquation statistique
• Documentation technique, une documentation détaillée avant la mise sur le marché du système, tenue à jour et suffisante pour permettre aux autorités d'évaluer la conformité
• Tenue de registres, la journalisation automatique des événements (journaux) tout au long de la durée de vie du système, permettant la traçabilité de son fonctionnement
• Transparence et information des déployeurs, fournir des instructions d'utilisation claires précisant la finalité prévue du système, son niveau d'exactitude, ses limites connues et les circonstances de mauvaise utilisation prévisible
• Surveillance humaine, conçue pour permettre une surveillance effective par des personnes physiques pendant l'utilisation, incluant la capacité à comprendre pleinement les capacités et les limites du système d'IA, à interpréter correctement les résultats et à décider de ne pas l'utiliser ou d'en ignorer les résultats
• Exactitude, robustesse et cybersécurité, des niveaux appropriés doivent être atteints et maintenus tout au long du cycle de vie
• Évaluation de la conformité, avant le déploiement, selon le type de système
• Enregistrement dans la base de données de l'UE, les systèmes d'IA à risque élevé doivent être enregistrés dans la base de données de l'UE avant leur mise sur le marché
• Surveillance après commercialisation, les fournisseurs doivent établir et documenter un système de surveillance après commercialisation proportionné à la nature et au risque du système

Règlement IA de l'UE, articles 6 à 15 (classification et exigences relatives au risque élevé), annexe III (domaines à risque élevé énumérés), texte consolidé final

Les systèmes d'IA à risque limité ne sont pas soumis aux lourdes exigences de documentation et de surveillance des systèmes à risque élevé, mais ils sont assortis d'obligations de transparence spécifiques. Le principe central : les personnes qui interagissent avec une IA doivent savoir qu'elles interagissent avec une IA. Ce niveau englobe une grande partie des systèmes d'IA que les organisations déploient aujourd'hui, dont la plupart des agents conversationnels, des outils de génération de contenu et des applications de médias synthétiques.

Ce qui relève du risque limité :

• Les systèmes d'IA conçus pour interagir directement avec des personnes physiques (agents conversationnels, assistants virtuels, agents de service client par IA), qui doivent clairement indiquer qu'ils sont pilotés par l'IA, à moins que cela ne ressorte clairement du contexte
• Les systèmes d'IA qui génèrent ou manipulent du contenu image, audio ou vidéo (hypertrucages, médias synthétiques, images générées par IA), dont les résultats doivent être lisibles par machine comme étant générés ou manipulés artificiellement
• Les systèmes d'IA qui génèrent du texte publié afin d'informer le public sur des questions d'intérêt général, qui doivent être étiquetés comme générés artificiellement, sauf s'ils ont fait l'objet d'une relecture éditoriale par un être humain
• Les systèmes de reconnaissance des émotions et de catégorisation biométrique (lorsqu'ils ne sont pas interdits au titre du niveau 1), qui doivent informer les personnes qui y sont exposées du fonctionnement du système et traiter les données personnelles conformément au RGPD

Obligations de conformité :

• Information, les fournisseurs doivent veiller à ce que les systèmes d'IA destinés à interagir directement avec des personnes physiques soient conçus de manière que les individus soient informés qu'ils interagissent avec un système d'IA, à moins que cela ne ressorte clairement des circonstances et du contexte d'utilisation
• Marquage du contenu synthétique, les fournisseurs de systèmes d'IA qui génèrent du contenu audio, image, vidéo ou texte synthétique doivent veiller à ce que les résultats soient marqués dans un format lisible par machine comme étant générés ou manipulés artificiellement
• Obligations des déployeurs pour les hypertrucages, les déployeurs doivent indiquer que le contenu a été généré ou manipulé artificiellement lorsqu'il constitue un hypertrucage, sauf à des fins artistiques, satiriques ou de fiction assorties de garanties appropriées

Règlement IA de l'UE, article 50, obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA, texte consolidé final

La grande majorité des systèmes d'IA utilisés aujourd'hui relèvent de ce niveau. Les jeux vidéo dotés d'IA, les filtres anti-spam, les systèmes de gestion des stocks, les algorithmes de recherche alimentés par l'IA, l'optimisation de la production assistée par IA, tous présentent un risque minimal. Le règlement IA de l'UE n'impose aucune obligation réglementaire spécifique aux systèmes d'IA à risque minimal, au-delà d'encourager l'adoption volontaire de codes de conduite.

Exemples de systèmes d'IA à risque minimal :

• Filtres anti-spam et catégorisation des courriels alimentés par l'IA
• Jeux vidéo et applications de divertissement dotés d'IA
• Gestion des stocks et optimisation de la chaîne d'approvisionnement pilotées par l'IA
• Moteurs de recherche et de recommandation alimentés par l'IA (lorsqu'ils ne sont pas utilisés dans des contextes à risque élevé tels que l'emploi ou l'éducation)
• Contrôle qualité et optimisation des processus de fabrication assistés par IA
• Outils de traduction linguistique alimentés par l'IA (lorsqu'ils ne génèrent pas de contenu destiné au public)
• Automatisation robotisée des processus (RPA) intégrant des composants d'IA pour des tâches administratives courantes

Ce que « aucune obligation spécifique » signifie réellement :

• Aucune exigence obligatoire de documentation, d'évaluation de la conformité ou d'enregistrement au titre du règlement IA
• La Commission européenne encourage (mais n'impose pas) les fournisseurs d'IA à risque minimal à appliquer volontairement les principes d'une IA digne de confiance et à adhérer à des codes de conduite volontaires
• D'autres réglementations restent applicables. Le RGPD, les réglementations sectorielles, les règles de sécurité des produits et le droit du travail continuent de régir ces systèmes indépendamment du règlement IA
• La classification peut évoluer : si un système à risque minimal est réaffecté à un cas d'usage à risque élevé (p. ex. adapter une IA d'optimisation des stocks au suivi de la performance des collaborateurs), il déclenche une nouvelle classification

Règlement IA de l'UE, article 95, codes de conduite à application volontaire, considérant 28, approche fondée sur le risque, texte consolidé final