La classification des risques de l'IA (intelligence artificielle)

Pionnière dans l'encadrement de l'IA, l'Union européenne a adopté en 2024 l'IA Act, le règlement (UE) 2024/1689, qui s'applique par étapes depuis février 2025. Il classe les risques en 4 catégories. De l'interdiction stricte aux systèmes à risque minimal, cette législation redéfinit l'interaction avec l'IA dans notre société. Une démarche cruciale pour la conformité des entreprises et la protection des individus.

Partie 1 : La classification des risques de l'IA

L'IA Act, entré en vigueur le 1er août 2024, est une étape cruciale dans la régulation de l'intelligence artificielle en Europe. Cette législation introduit une classification nuancée des risques liés à l'IA, répartie en quatre catégories distinctes :

1. Les interdictions catégoriques
2. Les systèmes à haut risque
3. Les systèmes à risque limité, soumis à des obligations de transparence
4. Les systèmes à risque minimal

Cette segmentation reflète la volonté européenne d'adapter la régulation à la nature et à l'impact potentiel de chaque système d'IA.

Les obligations entrent en application par étapes. Le calendrier ci-dessous tient compte du règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », qui a reporté les échéances des systèmes à haut risque :

• 2 février 2025 : pratiques interdites et mesures de maîtrise de l'IA pour les personnes qui utilisent ces systèmes.
• 2 août 2025 : règles applicables aux modèles d'IA à usage général, gouvernance et sanctions.
• 2 août 2026 : application générale du règlement, dont les obligations de transparence.
• 2 décembre 2026 : nouvelles interdictions ajoutées en 2026, et date limite de marquage des contenus générés par les systèmes mis sur le marché avant le 2 août 2026.
• 2 décembre 2027 : systèmes à haut risque des domaines listés à l'annexe III du règlement.
• 2 août 2028 : systèmes à haut risque intégrés à des produits déjà réglementés (annexe I).

Partie 2 : Catégorie 1 : les interdictions catégoriques, une ligne rouge claire

La première catégorie, la plus stricte, concerne les usages de l'IA jugés inacceptables et donc formellement interdits.

Ces interdictions visent à protéger les droits fondamentaux et les valeurs européennes. Elles s'appliquent depuis le 2 février 2025.

Ces systèmes d’intelligence artificielle incluent :

• La manipulation des comportements par des techniques subliminales, manipulatrices ou trompeuses
• L’exploitation des vulnérabilités des individus, liées à leur âge, à un handicap ou à leur situation sociale ou économique
• La notation sociale
• L'évaluation du risque qu'une personne commette une infraction, fondée uniquement sur son profilage ou ses traits de personnalité
• La constitution de bases de données de reconnaissance faciale par moissonnage non ciblé d'images sur internet ou de vidéosurveillance
• La reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité
• La catégorisation biométrique visant à déduire l'origine raciale, les opinions politiques, l'affiliation syndicale, les convictions religieuses ou l'orientation sexuelle d'une personne
• L'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf exceptions strictement encadrées (recherche de victimes ou de personnes disparues, menace imminente ou terroriste, localisation de suspects d'infractions graves)

Le règlement (UE) 2026/1744 ajoute deux interdictions, applicables à partir du 2 décembre 2026 : les systèmes qui génèrent, sans le consentement de la personne, des images, vidéos ou contenus audio intimes ou sexuellement explicites réalistes d'une personne identifiable, et ceux qui génèrent des contenus pédopornographiques.

Cette catégorie souligne la fermeté de l'Europe face aux risques les plus critiques.

Partie 3 : Catégorie 2 : les systèmes à haut risque, une régulation exigeante

Dans cette deuxième catégorie, les systèmes d'IA à haut risque sont ceux qui touchent des domaines sensibles comme :

• La santé, par exemple les dispositifs médicaux intégrant de l'IA
• La justice et les processus démocratiques
• L’éducation et la formation professionnelle
• L'emploi et la gestion des travailleurs, du recrutement à l'évaluation
• Le maintien de l’ordre
• La migration, l'asile et le contrôle aux frontières
• Les infrastructures critiques
• Les services publics et privés essentiels, comme l'évaluation de la solvabilité pour un crédit
• La biométrie, dont la reconnaissance des émotions lorsqu'elle n'est pas interdite

Ils sont soumis à des exigences rigoureuses et doivent se conformer à des normes strictes de gestion des risques, de gouvernance des données et de contrôle humain. Ceci afin de garantir leur fiabilité et leur sécurité.

Depuis le règlement (UE) 2026/1744, ces obligations s'appliquent à partir du 2 décembre 2027 pour les domaines listés à l'annexe III (emploi, éducation, services essentiels, biométrie, etc.) et du 2 août 2028 pour l'IA intégrée à des produits déjà réglementés, comme les dispositifs médicaux ou les jouets (annexe I).

Partie 4 : Catégorie 3 : les systèmes à risque limité, transparence et responsabilité

Dans la troisième catégorie, on retrouve les systèmes dits « à risque limité ». Le règlement ne leur donne pas de nom : il leur impose des obligations de transparence (article 50), applicables depuis le 2 août 2026.

La législation exige une transparence accrue envers les utilisateurs.

Cette catégorie englobe les technologies comme :

• Les chatbots, qui doivent indiquer à leurs utilisateurs qu'ils échangent avec une IA
• La reconnaissance des émotions, lorsqu'elle est autorisée : les personnes exposées doivent en être informées, en plus des exigences propres aux systèmes à haut risque
• Les deep fakes (hypertrucages), qui doivent être signalés comme tels
• Les IA génératives comme ChatGPT, Gemini (anciennement Bard) ou Midjourney, dont les contenus doivent être marqués comme générés par une IA, dans un format lisible par machine

L'accent est mis sur l'information des utilisateurs quant à leur interaction avec ces systèmes.

L’objectif est de prévenir toute manipulation involontaire.

Les modèles d'IA à usage général sur lesquels reposent ces outils ont en outre leurs propres obligations depuis le 2 août 2025 : documentation technique, politique de respect du droit d'auteur et résumé public des contenus utilisés pour leur entraînement.

Partie 5 : Catégorie 4 : les systèmes à risque minimal, une régulation plus légère

Enfin, la quatrième catégorie concerne les systèmes à risque minimal.

Ces systèmes, présentant les risques les moins élevés, ne sont pas soumis à des obligations spécifiques par l'IA Act, en dehors des mesures de maîtrise de l'IA demandées à tous les fournisseurs et utilisateurs professionnels (article 4). Des codes de conduite volontaires peuvent aussi s'y appliquer.

On retrouve dans cette catégorie :

• Les jeux vidéo
• Les filtres anti-spam
• Les interfaces de conseil sur un site e-commerce

Toutefois, ils peuvent être assujettis à d'autres réglementations, comme celles concernant la sécurité des produits ou la protection des données.

Conclusion : l'équilibre entre conformité réglementaire et avancées technologiques

Cette classification en quatre niveaux offre un cadre clair pour les fournisseurs d’IA.

Elle soulève des défis de conformité, tout en laissant la place à l’innovation.

L'IA Act et sa classification des risques envoient un message : l'Europe est déterminée. Elle compte bien se positionner en leader dans la régulation éthique de l’IA.

Pour les entreprises, c'est une invitation à naviguer dans ce nouvel environnement réglementaire tout en exploitant les opportunités offertes par cette technologie qui ne cesse d'évoluer.

FAQ : 4 questions pour résumer la classification des risques de l'IA

1. Quelles sont les implications de cette classification des risques pour les entreprises et les fournisseurs d'IA ?

Les implications varient en fonction de la catégorie à laquelle un système d'IA est attribué. Les pratiques interdites le sont depuis le 2 février 2025. Les systèmes à haut risque sont soumis à des exigences strictes de gestion des risques, de gouvernance des données, et de contrôle humain. Les systèmes à risque limité doivent assurer une transparence accrue envers les utilisateurs. Les systèmes à risque minimal ne sont pas soumis à des obligations spécifiques par l'IA Act. Les entreprises doivent comprendre comment ces classifications affectent leurs opérations et leur conformité.

2. Quelles sont les principales exigences imposées aux systèmes d'IA à haut risque en vertu de l'IA Act ?

Les systèmes d'IA à haut risque, tels que ceux utilisés dans les domaines de la santé ou de la justice, sont soumis à des exigences rigoureuses. Ils doivent se conformer à des normes strictes de gestion des risques, de gouvernance des données et de contrôle humain. L'objectif est de garantir leur fiabilité et leur sécurité, étant donné leur impact potentiellement critique sur la société. Ces exigences s'appliquent à partir du 2 décembre 2027 ou du 2 août 2028, selon le type de système.

3. Comment les systèmes à risque limité sont-ils affectés par la réglementation de l'IA Act en Europe ?

Les systèmes à risque limité, tels que les chatbots ou les outils d'IA générative, sont également pris en compte par l'IA Act. Cependant, la réglementation exige principalement une transparence accrue envers les utilisateurs, depuis le 2 août 2026. Les entreprises qui développent ces technologies doivent informer clairement les utilisateurs de leur interaction avec ces systèmes pour prévenir toute manipulation involontaire. Les exigences sont moins strictes que pour les systèmes à haut risque, mais la transparence reste essentielle.

4. Comment les entreprises peuvent-elles se préparer à se conformer à l'IA Act et à gérer les risques liés à l'IA ?

Pour se préparer à se conformer à l'IA Act, les entreprises doivent d'abord évaluer la classification de leurs systèmes d'IA. Ensuite, elles doivent mettre en place des politiques de conformité, des protocoles de gouvernance des données et des processus de contrôle humain conformes aux exigences réglementaires. Il est essentiel de rester informé des développements de la législation et de s'adapter rapidement pour garantir la conformité continue et l'innovation responsable.