AI Act : quelles obligations selon le niveau de risque

Le règlement européen sur l’intelligence artificielle, souvent appelé AI Act, ne prévoit pas une règle identique pour tous les systèmes. Les sources disponibles décrivent un cadre où les obligations varient selon le risque présenté par un système ou un modèle. Elles invitent aussi à distinguer le texte applicable des évolutions qui n’étaient, dans l’article de presse cité, qu’à l’état d’hypothèse.

Des niveaux de risque différents

L’approche européenne repose sur une gradation. Les pratiques présentées comme créant un risque inacceptable comprennent notamment les systèmes conçus pour manipuler des personnes afin d’influencer leur comportement, le crédit social et, sauf exceptions, certaines formes d’identification à distance fondées sur des caractéristiques personnelles. Ces interdictions visent les usages les plus intrusifs au regard des droits des personnes.

Les systèmes à haut risque concernent des usages susceptibles d’avoir des conséquences importantes sur la santé, la sécurité ou les droits fondamentaux. Les sources citent le recrutement, l’accès à des droits sociaux et l’octroi de l’asile. Elles mentionnent également des exigences de gestion des risques, de documentation technique, de gouvernance des données, de supervision humaine et de cybersécurité.

Les modèles de fondation, capables d’être adaptés à plusieurs tâches, relèvent d’un régime distinct. Selon leurs capacités, certains peuvent être qualifiés de modèles présentant un risque systémique. Les fournisseurs concernés sont alors soumis à des obligations renforcées, dont la notification d’incidents de cybersécurité à la Commission européenne.

La transparence n’épuise pas l’analyse

Les dispositifs à risque faible ou limité peuvent rester soumis à une obligation de transparence lorsqu’ils sont destinés à interagir directement avec des personnes. La classification de dossiers et la correction orthographique figurent parmi les exemples de tâches à influence limitée cités par les sources. Cette qualification ne dispense pas de regarder l’usage concret du système.

Pour examiner un outil, une organisation peut décrire les données traitées, la décision concernée et les personnes qui interviennent dans son utilisation. Cette démarche aide à ne pas déduire le régime applicable du seul nom commercial d’un service. Elle permet surtout de rapprocher le cas étudié des catégories décrites par les sources.

Un calendrier à lire avec prudence

L’AI Act est entré en vigueur en août 2024. D’après l’article de Numerama fourni dans le dossier, la plupart des obligations visant les systèmes à haut risque devaient, en théorie, s’appliquer à partir d’août 2026. Le calendrier ne se lit donc pas comme une date unique pour l’ensemble des obligations.

Publié en novembre 2025, l’article de Numerama rapportait un scénario d’assouplissement alors envisagé par la Commission européenne : un délai de grâce d’un an pour certaines entreprises et un report à août 2027 de l’application d’amendes liées à la transparence. Cet élément rapportait une possibilité, non une modification établie par les extraits fournis.

Un cadre à combiner avec d’autres textes

La gouvernance du dispositif associe notamment le Comité européen de l’intelligence artificielle et le Bureau européen de l’IA. En France, la CNIL a renforcé son expertise sur l’intelligence artificielle et publié des recommandations relatives au développement et au déploiement de ces systèmes.

Les sources soulignent également que l’AI Act ne couvre pas seul toutes les questions. Un système traitant des données personnelles appelle aussi une lecture du RGPD. Une intelligence artificielle intégrée à une plateforme peut, selon le cas, conduire à examiner le règlement sur les services numériques ou le règlement sur les marchés numériques.

Retrouvez d’autres décryptages dans la rubrique Économie.

Sources

• Numerama, Sous pression américaine, l’Union européenne pourrait assouplir sa loi sur l’IA
• The Conversation France, L’AI Act, ou comment encadrer les systèmes d’IA en Europe

La question des obligations réellement applicables aux systèmes d’intelligence artificielle appelle une réponse nuancée. Le règlement européen sur l’IA, appelé AI Act, ne crée pas une règle unique pour tous les outils. Il organise les exigences selon le niveau de risque, le rôle de l’acteur et le type de modèle concerné. Il faut donc distinguer le cadre adopté des aménagements encore présentés comme des hypothèses.

L’approche européenne part d’une idée simple: plus un système peut porter atteinte à la santé, à la sécurité ou aux droits fondamentaux, plus les obligations sont fortes. Les pratiques considérées comme présentant un risque inacceptable sont destinées à être interdites. Les exemples cités dans le dossier comprennent la manipulation visant à influencer le comportement, les dispositifs de crédit social et, sauf exception, certaines identifications biométriques à distance.

Les systèmes à haut risque forment une autre catégorie. Elle peut concerner des usages liés au recrutement, à l’accès à des droits sociaux ou à l’octroi de l’asile. Dans ces cas, le fournisseur ou l’utilisateur doit notamment prévoir une gestion robuste des risques, une documentation technique, une gouvernance des données, une supervision humaine et des garanties de cybersécurité. La présence d’une intelligence artificielle dans un produit ne suffit donc pas, à elle seule, à déterminer la règle applicable.

Le règlement distingue aussi les modèles de fondation, capables d’être adaptés à de nombreuses tâches. Certains peuvent relever d’un régime renforcé lorsqu’ils présentent un risque systémique. Le dossier cite alors des obligations supplémentaires, comme la notification d’incidents de cybersécurité à la Commission. Cette catégorie ne doit pas être confondue avec tous les logiciels génératifs ni avec toutes les utilisations d’un même modèle.

Les systèmes à risque faible ou limité restent soumis à une obligation de transparence lorsqu’ils interagissent directement avec des personnes. La classification de dossiers ou la correction orthographique sont citées comme des tâches spécifiques ayant une influence limitée sur la décision. La transparence ne signifie pas que l’outil est automatiquement sans conséquence. Elle indique que le niveau de contrainte n’est pas celui d’un système utilisé pour décider d’un recrutement ou d’un droit.

Photo à la une. Source: Ideogram. Attribution: Ideogram. Licence: Ideogram API Terms.