La pyramide des risques de l'IA Act expliquée simplement

Vous venez de lire que l'IA Act impose des obligations, et vous vous demandez lesquelles s'appliquent à votre produit. La réponse tient en un mot : tout dépend du niveau de risque de votre système. Le règlement ne traite pas un agent conversationnel comme un outil de tri de candidatures. Comprendre cette gradation vous permet de cibler vos efforts là où ils comptent vraiment.

L'essentiel en 30 secondes. L'IA Act classe les systèmes selon une pyramide à quatre niveaux. Au sommet, les pratiques à risque inacceptable, interdites. En dessous, les systèmes à haut risque, soumis à des obligations strictes. Puis le risque limité, avec de simples obligations de transparence. À la base, le risque minimal, sans obligation. Situer votre produit dans cette pyramide est le premier réflexe de conformité.

Niveau 1 : le risque inacceptable, des pratiques interdites

Au sommet de la pyramide figurent les usages que le règlement juge contraires aux valeurs de l'Union. Ces pratiques sont purement interdites depuis le 2 février 2025, sans possibilité de mise en conformité. Aucune mesure technique ne peut les rendre licites, car c'est l'usage lui-même qui est prohibé.

Le règlement liste huit pratiques interdites. On y trouve la manipulation nuisible, l'exploitation des vulnérabilités d'une personne, la notation sociale et la police prédictive individuelle. S'y ajoutent le moissonnage non ciblé d'images faciales, la reconnaissance des émotions au travail et à l'école, la catégorisation biométrique de caractéristiques sensibles et l'identification biométrique à distance en temps réel par les forces de l'ordre dans l'espace public.

Pour une PME tech, le risque principal est involontaire. Un outil d'analyse comportementale des salariés, ou un module qui infère des émotions pendant un entretien, peut basculer dans cette catégorie. Vérifier qu'aucune de vos fonctionnalités ne relève des pratiques interdites est une priorité absolue.

Niveau 2 : le haut risque, des obligations strictes

Juste en dessous se trouvent les systèmes à haut risque. Ils ne sont pas interdits, mais soumis à des obligations exigeantes parce qu'ils touchent des domaines sensibles. L'emploi et les ressources humaines, l'accès aux services essentiels, la biométrie, l'éducation ou les infrastructures critiques en relèvent typiquement.

Les obligations couvrent un large spectre. Le fournisseur doit mettre en place une gestion des risques, garantir la qualité des données, produire une documentation technique et assurer la journalisation. Il doit également prévoir une surveillance humaine, ainsi qu'un niveau suffisant de robustesse et de cybersécurité. Le déployeur, de son côté, utilise le système conformément à sa notice et conserve les journaux.

Beaucoup de PME tech sont concernées sans le savoir. Un logiciel de présélection de CV, un outil d'évaluation des étudiants ou un système de scoring pour l'accès au crédit entrent dans cette catégorie. Si votre produit prend ou prépare des décisions affectant des personnes, examinez sérieusement votre classification.

Niveau 3 : le risque limité, la transparence

Le troisième niveau regroupe les systèmes à risque limité, soumis à de simples obligations de transparence prévues à l'article 50. La logique est ici d'informer, non de contraindre lourdement. L'utilisateur doit savoir qu'il interagit avec une machine ou qu'un contenu a été généré artificiellement.

Les exemples sont familiers. Un agent conversationnel doit signaler sa nature à l'utilisateur, qui ne doit pas croire échanger avec un humain. Les contenus générés par IA doivent être marqués, et les deepfakes étiquetés comme tels. Ces obligations s'appliquent à compter du 2 août 2026.

Pour une PME, ces exigences sont généralement simples à intégrer. Un message clair, un marquage visible, une mention dans l'interface suffisent souvent à satisfaire l'obligation. Bien conçue, cette transparence renforce d'ailleurs la confiance de vos utilisateurs plutôt qu'elle ne la dégrade.

Niveau 4 : le risque minimal, sans obligation

À la base de la pyramide se trouve le risque minimal, qui concerne la grande majorité des systèmes d'IA en circulation. Filtres anti-spam, moteurs de recommandation de contenus, outils d'optimisation logistique ou correcteurs orthographiques en relèvent couramment. Le règlement n'impose aucune obligation particulière pour ces usages.

Cette absence de contrainte ne dispense pas de toute vigilance. Le RGPD continue de s'appliquer dès que des données personnelles sont traitées, indépendamment de l'IA Act. Un système à risque minimal au sens de l'IA Act peut donc rester soumis à des obligations au titre de la protection des données.

Documenter que vos systèmes relèvent bien du risque minimal a une valeur propre. Cette qualification, motivée et tracée, vous protège en cas de question d'un client ou d'une autorité. Elle évite aussi de vous imposer des contraintes qui ne vous concernent pas.

Situer vos systèmes, premier acte de conformité

La pyramide des risques n'est pas une abstraction théorique, mais un outil de pilotage concret. Classer chacun de vos systèmes au bon niveau détermine l'intégralité de vos obligations, ni plus ni moins. Cet inventaire raisonné est le point de départ de toute démarche sérieuse.

Cette cartographie a une valeur commerciale directe. Présenter à un investisseur ou à un grand compte une classification claire de vos systèmes démontre votre maîtrise du sujet. La conformité, loin de freiner, devient alors un argument qui accélère vos signatures et sécurise vos tours de table.

Vous voulez classer vos systèmes d'IA au bon niveau de risque et sécuriser votre conformité ? Cartographions vos outils ensemble.

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle
• Cadre réglementaire de l'UE sur l'intelligence artificielle, Commission européenne