L’AI Act repose sur une classification des systèmes d’intelligence artificielle selon quatre niveaux de risque : minimal, limité, élevé et inacceptable. Cette hiérarchisation permet d’adapter les obligations réglementaires en fonction du potentiel d’impact sur les droits fondamentaux, la sécurité ou la vie des personnes.
Les systèmes à risque minimal regroupent les usages les plus courants et les moins sensibles, tels que les filtres anti-spam ou les moteurs de recommandation génériques. Ces outils ne font l’objet d’aucune obligation particulière et peuvent être utilisés librement.
Les systèmes à risque limité incluent des IA qui interagissent avec les utilisateurs sans pour autant créer de préjudice significatif. C’est le cas, par exemple, des chatbots, des assistants virtuels ou des générateurs de contenu à usage marketing. Pour ces outils, l’exigence principale est la transparence : l’utilisateur doit être clairement informé qu’il interagit avec une intelligence artificielle.
Les systèmes à risque élevé représentent la majorité des cas d’usage professionnels encadrés par le règlement. Ils concernent notamment le recrutement automatisé, l’évaluation de la performance des employés, la personnalisation des parcours de formation ou encore certains systèmes de gestion RH. Ces usages impliquent des obligations strictes : documentation technique détaillée, contrôle humain renforcé, analyse et réduction des biais algorithmiques, traçabilité des décisions et transparence envers les utilisateurs.
Enfin, les systèmes à risque inacceptable sont purement et simplement interdits dans l’Union européenne. Ils incluent, par exemple, les systèmes de notation sociale, la surveillance biométrique de masse dans l’espace public ou les outils de manipulation cognitive exploitant des vulnérabilités humaines. Ces usages sont considérés comme contraires aux valeurs fondamentales de l’Union et sont bannis de toute commercialisation ou utilisation.
Dans ce contexte, toute entreprise utilisant des systèmes d’IA, même indirectement, doit être en mesure d’identifier le niveau de risque associé, afin d’adopter les bonnes pratiques et de garantir la conformité à cette nouvelle réglementation.