AI Act : les obligations par niveau de risque

Vous savez que le règlement IA impose des obligations, mais lesquelles vous concernent vraiment ? La réponse ne dépend pas de votre secteur ni de votre taille : elle dépend du niveau de risque de chaque système d'IA que vous utilisez. Un même outil peut être quasi libre d'obligations ou très encadré selon l'usage que vous en faites.

Cet article répond à une question précise : quelles sont les obligations de l'AI Act selon le niveau de risque, et ce que votre entreprise doit concrètement faire dans chaque cas. Pour le décryptage général du texte, voyez notre article AI Act : ce qui change pour les entreprises ; pour les dates d'application, le calendrier du règlement IA. Ici, on se concentre sur les obligations par catégorie.

Définition — Les obligations de l'AI Act sont les règles qu'un acteur doit respecter selon le niveau de risque de son système d'IA. Le règlement (UE) 2024/1689 classe les systèmes en quatre catégories, de l'usage interdit au risque minimal, et attache à chacune un régime d'obligations distinct.

Points clés

• L'AI Act ne raisonne pas par secteur mais par niveau de risque : chaque système d'IA se range dans une catégorie qui détermine ses obligations.
• Quatre niveaux structurent le texte : risque inacceptable (interdit), haut risque, risque limité (transparence), risque minimal (aucune obligation spécifique).
• Les systèmes à haut risque concentrent la charge : documentation, gestion des risques, supervision humaine, qualité des données, information des utilisateurs.
• Votre rôle compte autant que le système : fournisseur et déployeur n'ont pas les mêmes obligations pour un même outil.
• La bonne méthode consiste à classer chaque usage, puis à traiter en priorité ce qui présente le risque le plus élevé pour les personnes.

Les quatre niveaux de risque de l'AI Act

L'AI Act repose sur une idée simple : plus un système d'IA peut porter atteinte aux droits ou à la sécurité des personnes, plus il est encadré. Le règlement définit quatre niveaux de risque, et à chacun correspond un régime d'obligations propre.

Le tableau ci-dessous résume ces niveaux, avec des exemples et les obligations principales attachées à chacun. Il sert de grille de lecture pour situer vos propres systèmes.

Niveau de risque	Exemples	Obligations principales
Inacceptable (interdit)	Notation sociale généralisée, manipulation exploitant des vulnérabilités	Usage interdit : ni mise sur le marché ni utilisation
Haut risque	IA de tri des candidatures, scoring de crédit, IA dans certains produits réglementés	Gestion des risques, documentation technique, qualité des données, supervision humaine, journalisation, information
Risque limité (transparence)	Agents conversationnels, contenus générés ou modifiés par IA	Informer clairement les personnes qu'elles interagissent avec une IA ou consultent un contenu synthétique
Risque minimal	Filtres anti-spam, IA de recommandation basique, jeux vidéo	Aucune obligation spécifique au titre de l'AI Act

Bon à savoir — La grande majorité des systèmes d'IA utilisés au quotidien relèvent du risque minimal ou limité. Le haut risque concerne une part plus restreinte d'usages, mais c'est là que se concentrent l'essentiel des obligations et le travail de mise en conformité.

Risque inacceptable : les pratiques interdites

Le premier niveau ne se conforme pas, il s'abstient. Certaines pratiques d'IA sont jugées contraires aux valeurs de l'Union et purement interdites, quel que soit le contexte.

Le règlement vise par exemple la notation sociale généralisée des personnes par les autorités, ou certaines formes de manipulation exploitant les vulnérabilités liées à l'âge ou au handicap. Un système relevant de ces catégories ne peut être ni proposé ni utilisé sur le marché européen.

Pour la plupart des entreprises, ce niveau ne pose pas de difficulté : leurs usages n'y tombent pas. Le réflexe utile reste de le vérifier plutôt que de le supposer, en passant vos systèmes au regard de la liste des pratiques interdites.

Attention — Une pratique interdite ne se rachète pas par de la documentation ou une information de l'utilisateur. Si un usage relève de cette catégorie, aucune mesure ne le rend conforme : il faut y renoncer. C'est la première vérification à mener, avant tout travail de mise en conformité.

Haut risque : le cœur des obligations

Les systèmes à haut risque concentrent la majeure partie des obligations de l'AI Act. Ce sont les systèmes dont une défaillance ou un biais peut affecter la sécurité des personnes ou leurs droits fondamentaux.

On y trouve par exemple l'IA utilisée pour trier des candidatures, évaluer la solvabilité d'un emprunteur, ou intégrée à des produits déjà soumis à une réglementation de sécurité. Pour ces systèmes, le fournisseur doit mettre en place un système de gestion des risques, produire une documentation technique, garantir la qualité des données d'entraînement, assurer une supervision humaine, journaliser le fonctionnement et informer les utilisateurs.

Cette charge est réelle et demande du temps. Elle rejoint la logique de responsabilité et de documentation que vous connaissez sans doute déjà avec le RGPD, sur lequel une mise en conformité RGPD solide constitue une base réutilisable.

Conseil — Ne visez pas la conformité parfaite en un projet unique. Partez des systèmes à haut risque qui touchent le plus les personnes, documentez-les d'abord, puis étendez. C'est l'approche que nous appliquons chez le cabinet mydari avec plus de dix clients accompagnés. Pour la transposer à vos systèmes, prenez contact.

Risque limité : les obligations de transparence

Le troisième niveau tient en un mot : transparence. Les systèmes à risque limité n'imposent pas de documentation lourde, mais l'obligation d'informer clairement les personnes.

Concrètement, un agent conversationnel doit signaler qu'il s'agit d'une IA et non d'un humain. De même, les contenus générés ou modifiés par une IA, images, audio ou texte, doivent pouvoir être identifiés comme tels. L'objectif est que personne ne soit trompé sur la nature de ce qu'il consulte ou de son interlocuteur.

Beaucoup d'entreprises sont concernées par ce niveau sans le savoir, dès qu'elles déploient un chatbot ou publient du contenu produit par IA. La bonne nouvelle est que la mise en conformité y est souvent simple : elle relève d'une mention claire au bon endroit.

Bon à savoir — Un même outil peut relever de plusieurs régimes selon l'usage. Un agent conversationnel classique relève de la transparence, mais s'il sert à évaluer des personnes dans un contexte sensible, il peut basculer en haut risque. C'est l'usage réel, pas l'outil en lui-même, qui détermine le niveau.

Risque minimal : la grande majorité des systèmes

Le quatrième niveau regroupe la plus grande part des systèmes d'IA, et c'est aussi le plus simple : aucune obligation spécifique au titre de l'AI Act.

Filtres anti-spam, moteurs de recommandation basiques, IA de jeux vidéo relèvent de ce niveau. Le règlement encourage des bonnes pratiques volontaires, mais n'impose pas de contraintes contraignantes pour ces usages sans danger notable pour les personnes.

Cela ne dispense pas de vigilance. Un système à risque minimal aujourd'hui peut changer de catégorie si vous en modifiez l'usage. Le classement n'est pas figé une fois pour toutes : il se vérifie à chaque évolution significative.

Fournisseur ou déployeur : votre rôle change vos obligations

À niveau de risque égal, vos obligations dépendent de votre rôle. L'AI Act distingue principalement le fournisseur, qui conçoit ou met sur le marché un système, du déployeur, qui l'utilise dans son activité.

Pour un système à haut risque, le fournisseur porte l'essentiel des obligations de conception et de documentation. Le déployeur, lui, doit notamment utiliser le système conformément à sa notice, assurer une supervision humaine effective et surveiller son fonctionnement. Ces responsabilités sont réelles mais différentes de celles du fournisseur.

Utiliser un outil d'IA du commerce fait le plus souvent de vous un déployeur, pas un fournisseur. Bien identifier votre rôle évite de vous attribuer des contraintes qui ne sont pas les vôtres, ou d'en négliger qui le sont.

Attention — Modifier substantiellement un système d'IA existant, ou le commercialiser sous votre marque, peut vous faire endosser le rôle de fournisseur et ses obligations. La frontière entre déployeur et fournisseur mérite d'être vérifiée dès que vous adaptez un outil au-delà de son usage prévu.

Ce que votre entreprise doit faire selon son cas

La bonne méthode ne consiste pas à retenir les quatre niveaux, mais à y ranger vos propres systèmes. Une fois chaque usage classé, ses obligations découlent presque automatiquement de sa catégorie et de votre rôle.

Voici une démarche progressive pour vous positionner sans vous disperser :

1. Recenser vos usages de l'IA, internes et clients, y compris les outils du commerce.
2. Classer chaque usage dans l'un des quatre niveaux de risque.
3. Identifier votre rôle pour chacun : fournisseur ou déployeur.
4. Prioriser les systèmes à haut risque et ceux qui touchent le plus les personnes.
5. Documenter au fil de l'eau, plutôt que de tout reconstituer en fin de parcours.

Cette priorisation par les risques est au cœur de notre approche. Pour les systèmes les plus sensibles, une analyse d'impact reste un bon outil de cadrage, et le réflexe privacy by design évite de corriger dans l'urgence. Notre page conformité à l'AI Act détaille cette méthode étape par étape.

Conseil — Si vous ne savez pas par où commencer, un premier échange suffit souvent à cadrer la démarche et à repérer vos systèmes à haut risque. Un accompagnement par un DPO externe permet de mener cet effort sans mobiliser une ressource interne à plein temps. Prenez contact pour situer vos usages.

FAQ

Quelles sont les obligations de l'AI Act selon le niveau de risque ?

L'AI Act attache un régime d'obligations à chaque niveau de risque. Le risque inacceptable est interdit. Le haut risque impose gestion des risques, documentation, qualité des données et supervision humaine. Le risque limité impose la transparence. Le risque minimal n'impose aucune obligation spécifique au titre du règlement.

Comment savoir si mon système d'IA est à haut risque ?

Un système est à haut risque si son usage figure parmi les cas listés par le règlement, comme le tri de candidatures ou le scoring de crédit, ou s'il est intégré à un produit déjà soumis à une réglementation de sécurité. C'est l'usage réel qui compte, pas seulement la technologie. En cas de doute, un examen au regard du texte s'impose.

Quelles sont les obligations pour un système d'IA à haut risque ?

Un système à haut risque suppose un système de gestion des risques, une documentation technique, des données d'entraînement de qualité, une supervision humaine, une journalisation du fonctionnement et une information claire des utilisateurs. Ces obligations se répartissent entre le fournisseur et le déployeur selon leur rôle respectif dans la chaîne.

Mon entreprise utilise un chatbot, quelles sont ses obligations ?

Un agent conversationnel relève en général du risque limité, avec une obligation de transparence : informer clairement les personnes qu'elles échangent avec une IA et non un humain. Si ce chatbot sert aussi à évaluer des personnes dans un contexte sensible, il peut basculer en haut risque et déclencher des obligations plus lourdes.

Quelle différence entre fournisseur et déployeur dans l'AI Act ?

Le fournisseur conçoit ou met sur le marché un système d'IA, le déployeur l'utilise dans son activité. Pour un système à haut risque, le fournisseur porte l'essentiel de la conception et de la documentation, tandis que le déployeur doit respecter la notice, assurer une supervision humaine et surveiller le système. Utiliser un outil du commerce fait le plus souvent de vous un déployeur.

Tous les systèmes d'IA sont-ils soumis à des obligations ?

Non. La majorité des systèmes relèvent du risque minimal et n'ont aucune obligation spécifique au titre de l'AI Act. Seuls les niveaux supérieurs sont encadrés : transparence pour le risque limité, obligations complètes pour le haut risque, interdiction pour le risque inacceptable. Le classement dépend de l'usage et peut évoluer si celui-ci change.

Par où commencer pour se conformer à l'AI Act ?

Commencez par recenser vos usages de l'IA, puis classez chacun dans l'un des quatre niveaux de risque et identifiez votre rôle. Vous priorisez ensuite les systèmes à haut risque et ceux qui touchent le plus les personnes. Cette priorisation par les risques permet d'avancer sans se disperser, en documentant au fil de l'eau.

Conclusion

Se conformer à l'AI Act ne veut pas dire appliquer les mêmes règles partout, mais reconnaître le niveau de risque de chaque système et en tirer les obligations qui s'imposent. La plupart de vos usages relèveront du risque minimal ou de la simple transparence. L'effort se concentre sur les systèmes à haut risque, là où la documentation et la supervision comptent vraiment.

La suite dépend de vos usages réels. Pour situer vos systèmes dans ces quatre niveaux et savoir quelles obligations en découlent, prenez contact avec nos équipes : nous cadrons ensemble les prochaines étapes. Pour approfondir, parcourez le blog et notre page conformité à l'AI Act.

Pour aller plus loin, consultez le texte du règlement sur EUR-Lex et les ressources de la CNIL.

L'équipe mydari

Tous les articles