Les niveaux de risque de l'AI Act de l'UE sont le cadre de classification basé sur les risques établi par la loi sur l'intelligence artificielle (AI Act) de l'Union européenne, un règlement entré en vigueur le 1er août 2024. La loi crée un cadre réglementaire et juridique commun pour intelligence artificielle dans toute l'UE, couvrant la plupart des systèmes d'IA dans un large éventail de secteurs. Elle classe les applications d'IA non exemptées en quatre niveaux - risque inacceptable, élevé, limité et minimal - avec une catégorie supplémentaire pour l'IA à usage général. Les niveaux de risque déterminent les obligations imposées aux fournisseurs et aux déployeurs d'IA, suivant un modèle de sécurité des produits où les devoirs deviennent plus exigeants à mesure que l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux augmente.
L'AI Act a été proposé par la Commission européenne le 21 avril 2021, adopté par le Parlement européen le 13 mars 2024, et approuvé à l'unanimité par le Conseil de l'UE le 21 mai 2024. Le projet a été révisé pour répondre à l'essor des systèmes d'IA générative, tels que les grands modèles de langage, dont les capacités à usage général ne correspondaient pas au cadre principal. Le règlement ne crée pas de droits individuels mais impose des devoirs aux fournisseurs d'IA et aux utilisateurs professionnels, et il peut s'appliquer de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs dans l'UE.
Risque inacceptable
Les applications présentant un risque inacceptable sont interdites d'emblée, avec des exemptions spécifiques. Lorsqu'aucune exemption ne s'applique, cette catégorie inclut les systèmes d'IA qui manipulent le comportement humain, ceux qui utilisent l'identification biométrique à distance en temps réel (telle que la reconnaissance faciale) dans les espaces publics, et ceux utilisés pour la notation sociale - classant les individus en fonction de caractéristiques personnelles, de statut socio-économique ou de comportement. L'interdiction est absolue, ce qui signifie qu'aucune évaluation de conformité ni mesure d'atténuation ne peut permettre à de tels systèmes d'être mis sur le marché de l'UE.
Risque élevé
Les applications d'IA à haut risque sont celles qui sont susceptibles de poser des menaces significatives pour la santé, la sécurité ou les droits fondamentaux des personnes. Notamment, les systèmes d'IA utilisés dans la santé, l'éducation, le recrutement, la gestion des infrastructures critiques, l'application de la loi ou la justice entrent dans cette catégorie. Ils doivent se conformer aux obligations de sécurité, de transparence et de qualité, et subir des évaluations de conformité avant leur déploiement. Dans certains cas, une évaluation d'impact sur les droits fondamentaux (FRIA) est requise - un examen ex ante pour identifier et atténuer les impacts potentiels sur les droits fondamentaux. Les systèmes à haut risque doivent être évalués à la fois avant leur mise sur le marché et tout au long de leur cycle de vie. La liste des applications à haut risque peut être élargie au fil du temps sans modifier l'AI Act lui-même. Les citoyens ont le droit de soumettre des plaintes concernant les systèmes d'IA et de recevoir des explications sur les décisions prises par l'IA à haut risque qui affectent leurs droits.
Risque limité
Les systèmes d'IA à risque limité ont des obligations de transparence, garantissant que les utilisateurs sont informés qu'ils interagissent avec un système d'IA et leur permettant de faire des choix éclairés. Cette catégorie inclut les applications qui génèrent ou manipulent des images, des sons ou des vidéos - telles que les deepfakes basés sur le apprentissage profond. Le devoir de transparence est plus léger que pour les systèmes à haut risque, mais il exige toujours une divulgation claire aux utilisateurs.
Risque minimal
Les systèmes d'IA à risque minimal ne sont pas réglementés par l'AI Act. Cette catégorie inclut, par exemple, l'IA utilisée dans les jeux vidéo ou les filtres anti-spam. La plupart des applications d'IA devraient entrer dans cette catégorie. En raison des règles d'harmonisation maximale, les États membres de l'UE ne peuvent pas imposer de réglementations supplémentaires sur ces systèmes, et les lois nationales existantes concernant leur conception ou leur utilisation sont supplantées. Cependant, un code de conduite volontaire est suggéré pour les fournisseurs.
IA à usage général
Ajoutée en 2023, la catégorie de l'IA à usage général inclut les modèles de fondation capables d'effectuer un large éventail de tâches, tels que ChatGPT d'OpenAI ou les modèles d'Anthropic et de Google DeepMind. Si les poids et la conception d'un modèle sont rendus open source, les développeurs doivent publier un résumé des données d'entraînement et une politique de droits d'auteur ; les modèles à code source fermé doivent répondre à des exigences de transparence plus larges. Les modèles à fort impact qui posent des risques systémiques - nécessitant plus de 10^25 opérations en virgule flottante pour l'entraînement - doivent subir une évaluation supplémentaire, y compris des évaluations de modèles, des tests contradictoires, l'atténuation des risques de biais et de défaillances de sécurité, le signalement des incidents graves et une cybersécurité adéquate. Un code de pratique sur l'IA à usage général, publié le 10 juillet 2025, décrit trois chapitres principaux sur la transparence, les droits d'auteur et la sécurité et la sûreté pour aider les fournisseurs à démontrer leur conformité. La participation au code est volontaire.
Exemptions
Les articles 2.3 et 2.6 de l'AI Act exemptent les systèmes d'IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale, ainsi que ceux destinés à la recherche et au développement scientifiques purs. Le règlement ne s'applique pas non plus à l'IA utilisée à des fins non professionnelles. Ces exemptions sont étroites et ne couvrent pas les systèmes à double usage ayant des applications civiles.
Mise en œuvre et application
Les dispositions de l'AI Act entrent en vigueur progressivement sur 6 à 36 mois après son entrée en vigueur. La loi crée un Conseil européen de l'intelligence artificielle pour promouvoir la coopération nationale et garantir la conformité. Comme le Règlement général sur la protection des données de l'UE, l'AI Act peut s'appliquer de manière extraterritoriale aux fournisseurs hors de l'UE s'ils ont des utilisateurs dans l'UE. Le schéma basé sur les risques est conçu pour concentrer la surveillance sur les systèmes susceptibles de créer des risques significatifs tout en permettant des approches plus légères pour les utilisations moins sensibles. Selon une évaluation initiale du Service de recherche du Parlement européen, l'analyse d'impact de la Commission s'est appuyée sur des consultations des parties prenantes et un large éventail de recherches existantes lors de la comparaison des options politiques pour ce cadre.