Le règlement européen sur l'IA classe chaque système d'IA dans l'un de quatre niveaux de risque, inacceptable, élevé, limité ou minimal, et vos obligations découlent presque entièrement du niveau qui s'applique. La plupart des IA d'entreprise ordinaires tombent dans le niveau le plus bas sans devoir obligatoire, mais mal classer, surtout traiter un système à haut risque comme à faible risque, est l'erreur la plus coûteuse que vous puissiez commettre. Déterminer votre niveau est la première vraie étape de la conformité, car il vous dit lesquelles des règles de cette série vous devez réellement suivre.
Dans les deux derniers épisodes, nous avons examiné des devoirs de transparence précis. Mais avant qu'aucune de ces règles ne compte pour vous, il y a une question préalable : quel genre d'IA faites-vous réellement tourner ? Tout le règlement repose sur une seule idée, que les obligations doivent croître avec le risque, et il met cette idée en pratique en classant chaque système dans l'un de quatre niveaux. Trouvez le bon niveau et le reste de la conformité devient une feuille de route claire et gérable. Trompez-vous et vous gaspillez de l'argent en sur-conformité ou vous vous exposez à de lourdes sanctions. Voici comment fonctionnent les niveaux et comment y situer vos propres systèmes.
Les quatre niveaux, du plus au moins réglementé
Le premier niveau est le risque inacceptable. Un ensemble restreint d'usages de l'IA est tout simplement interdit dans l'UE comme menace claire aux droits et à la sécurité des personnes, des choses comme la notation sociale et certains systèmes manipulateurs. Il n'y a pas de voie de conformité ici ; ces usages sont interdits purement et simplement, et le sont depuis février 2025. Nous couvrirons exactement ce qui est interdit dans un épisode ultérieur.
Le deuxième niveau est le haut risque. Ce sont les systèmes utilisés dans des domaines sensibles, recrutement et emploi, notation de crédit, éducation, santé, forces de l'ordre, identification biométrique, infrastructures critiques, où une mauvaise décision peut gravement affecter la vie de quelqu'un. Les systèmes à haut risque sont autorisés, mais seulement avec de lourdes obligations : gestion documentée des risques, supervision humaine, tenue de registres, et dans certains cas une évaluation indépendante avant leur mise sur le marché. C'est le niveau exigeant, et déterminer correctement si vous y êtes compte plus que tout le reste de la classification.
Le troisième niveau est le risque limité, aussi appelé risque de transparence. C'est là que vivent les chatbots et le contenu d'IA générative, et c'est le niveau derrière les deux premiers épisodes de cette série. Le devoir ici est la déclaration : dire aux gens qu'ils ont affaire à une IA, et étiqueter le contenu généré par IA. C'est là toute l'obligation de ce niveau, pas d'évaluation de conformité, juste de la transparence.
Le quatrième niveau est le risque minimal, et c'est là que se trouve la plupart de l'IA. Filtres anti-spam, systèmes de recommandation, IA dans les jeux vidéo, la grande majorité des outils d'entreprise quotidiens tombent ici, et ils ne portent aucune obligation obligatoire au titre du règlement. Pour un grand nombre d'entreprises, c'est la réalité rassurante : la plupart de ce que vous utilisez est à risque minimal.
Une mise à jour compte ici. Le Digital Omnibus, un ensemble d'amendements en vigueur depuis juillet 2026, a repoussé les échéances du niveau à haut risque. Les lourdes obligations de haut risque s'appliquent désormais à partir de décembre 2027 pour la plupart de ces systèmes, et d'août 2028 pour une catégorie plus étroite, plutôt qu'en 2026. Deux nouveaux usages interdits ont aussi été ajoutés, prenant effet en décembre 2026. Mais notez ce qui n'a pas bougé : les devoirs de transparence du risque limité, déclaration des chatbots et étiquetage du contenu, ont pris effet à l'heure prévue en août 2026. Donc si vous êtes à haut risque, vous avez plus de temps pour vous préparer, mais si vous êtes à risque limité, vos devoirs sont déjà actifs.
Comment classer votre propre système
Procédez de haut en bas, dans l'ordre, car les niveaux sont une hiérarchie. D'abord, demandez si votre usage est l'une des pratiques interdites ; si oui, arrêtez, il ne peut pas être utilisé. Ensuite, et c'est le plus important, vérifiez s'il tombe dans un domaine à haut risque : prend-il ou influence-t-il fortement des décisions lourdes de conséquences sur des personnes dans des domaines comme l'emploi, le crédit, l'éducation, la santé ou les forces de l'ordre ? Si oui, traitez-le comme à haut risque et préparez-vous aux obligations plus lourdes. Sinon, demandez s'il interagit avec des personnes ou génère du contenu, un chatbot, un assistant virtuel, des médias générés par IA ; si oui, il est à risque limité et doit les devoirs de transparence vus plus tôt dans cette série. Si rien de cela ne s'applique, il est presque certainement à risque minimal, sans obligation obligatoire. Quel que soit le niveau retenu, consignez votre raisonnement : les régulateurs attendent que vous puissiez montrer comment vous êtes arrivé à votre classification.
L'erreur qui coûte le plus cher
Il y a une erreur à éviter avant toutes les autres : mal classer un système à haut risque comme à risque limité ou minimal. C'est un piège facile, un outil de recrutement ou de décision de crédit peut ressembler à un logiciel ordinaire, mais s'il prend des décisions lourdes de conséquences sur des personnes dans un domaine sensible, il porte tout le poids des obligations de haut risque, et le traiter comme à faible risque vous laisse gravement exposé. Quand un système est proche de la frontière, ou couvre plus d'une catégorie, c'est exactement le moment de demander un avis professionnel plutôt que de deviner. Le coût de sur-préparer un système à risque limité est faible ; celui de sous-préparer un système à haut risque ne l'est pas.
Votre action cette semaine
Dressez une simple liste de chaque système d'IA que votre entreprise utilise, puis passez chacun par la vérification descendante ci-dessus et écrivez son niveau à côté, avec une phrase sur le pourquoi. La plupart ressortiront à risque minimal, ce qui est normal et attendu. Signalez tout ce qui touche au recrutement, au crédit, à l'éducation, à la santé, aux forces de l'ordre ou à la biométrie comme candidat au haut risque et priorité pour un examen plus poussé. Notez les chatbots ou outils génératifs comme à risque limité, et confirmez qu'ils respectent les devoirs de déclaration des épisodes 1 et 2. Cet inventaire unique est l'ossature de tout votre effort de conformité ; tout le reste de cette série devient plus facile une fois que vous savez dans quel niveau se trouve chaque système. La semaine prochaine, nous examinons les pratiques interdites, les usages qui tombent dans ce niveau supérieur et sont interdits purement et simplement.
Questions fréquentes
Quels sont les quatre niveaux de risque du règlement européen sur l'IA ?
Risque inacceptable (interdit purement et simplement), haut risque (autorisé mais lourdement réglementé), risque limité (devoirs de transparence comme déclarer l'IA et étiqueter le contenu), et risque minimal (aucune obligation obligatoire). Vos obligations découlent presque entièrement du niveau où tombe votre système, donc la classification est le fondement de la conformité.
Qu'est-ce qui rend un système d'IA à haut risque ?
En gros, être utilisé dans un domaine sensible où les décisions affectent gravement les personnes : emploi et recrutement, notation de crédit, éducation, santé, forces de l'ordre, identification biométrique et infrastructures critiques, ou être un composant de sécurité dans un produit réglementé. Les systèmes à haut risque portent de lourdes obligations comme la gestion des risques, la supervision humaine et la tenue de registres. En mal classer un comme à moindre risque est l'erreur la plus coûteuse de la conformité.
Quel niveau pour un chatbot ?
Un chatbot qui interagit avec des personnes est généralement à risque limité, aussi appelé risque de transparence. Son obligation est la déclaration : dire aux utilisateurs qu'ils ont affaire à une IA. L'IA générative qui crée du contenu se trouve dans le même niveau, avec un devoir d'étiqueter ce contenu. Ce sont les devoirs couverts dans les épisodes 1 et 2 de cette série, entrés en vigueur en août 2026.
La plupart de mon IA d'entreprise a-t-elle des obligations ?
Probablement pas de lourdes. La plupart de l'IA quotidienne, filtres anti-spam, systèmes de recommandation, outils de productivité généraux, tombe dans le risque minimal, qui ne porte aucune obligation obligatoire au titre du règlement. Les devoirs se concentrent dans les niveaux à haut risque et à risque limité. Il vaut quand même la peine de consigner que vous avez évalué chaque système et pourquoi il est à risque minimal.
Quand les règles de haut risque prennent-elles effet ?
Plus tard que prévu à l'origine. Au titre des amendements du Digital Omnibus en vigueur depuis juillet 2026, les lourdes obligations de haut risque s'appliquent à partir de décembre 2027 pour la plupart de ces systèmes et d'août 2028 pour une catégorie plus étroite. Les pratiques interdites s'appliquent depuis février 2025, et les devoirs de transparence du risque limité ont pris effet à l'heure prévue en août 2026. Donc les opérateurs à haut risque ont plus de délai, mais les devoirs de transparence sont déjà actifs.
Suivez la série, mettez-vous en conformité une règle à la fois
Ceci est la partie 3 de notre guide hebdomadaire de la réglementation de l'IA, qui décortique une règle à la fois pour que la conformité paraisse gérable plutôt qu'écrasante. Explorez d'autres guides clairs et honnêtes sur AISetApp et suivez chaque semaine.
Explorer AISetApp- Règlement européen sur l'IA (règlement (UE) 2024/1689), cadre de classification des risques et domaines à haut risque de l'annexe III
- Digital Omnibus sur l'IA (règlement (UE) 2026/1744), en vigueur le 27 juillet 2026, sur les échéances révisées du haut risque et les nouvelles interdictions
- Guides praticiens 2026 sur les niveaux de risque du règlement et la classification descendante de Jaggaer, Airia, Snowflake et Glocert International
- Analyses de GDPR Local et trail-ml sur les critères de haut risque et la structure à quatre niveaux, 2026
Révisé en août 2026. Ceci est un explicatif, pas un conseil juridique. La loi évolue ; vérifiez les détails auprès d'un professionnel qualifié avant d'agir.
Recherché et rédigé avec l'assistance de l'IA, revu et édité par Yasser El Hardouz, qui assume la responsabilité éditoriale de cet article.