La pyramide des risques du RIA : la clé de lecture de tout le règlement
La pyramide des risques du RIA : la clé de lecture de tout le règlement
Le RIA ne réglemente pas une technologie mais des usages, gradués en quatre niveaux de risque. Deuxième volet de la série Comprendre le RIA : situer chaque fonctionnalité de votre produit dans la pyramide pour calibrer vos obligations.
Le règlement européen sur l'intelligence artificielle ne réglemente pas une technologie mais des usages, gradués selon le risque qu'ils font peser sur la santé, la sécurité et les droits fondamentaux. Cette approche par les risques structure l'intégralité du texte : à chaque niveau correspond un régime juridique distinct, de l'interdiction pure à l'absence d'obligation. Situer correctement son produit dans cette pyramide constitue donc la deuxième étape de toute démarche de conformité, après la qualification de système d'IA. Deuxième volet de notre série « Comprendre le RIA ».
L'essentiel en 30 secondes. Le RIA distingue quatre niveaux. Le risque inacceptable : les pratiques interdites par l'article 5, huit à l'origine, complétées par l'omnibus IA de 2026. Le haut risque : les systèmes visés à l'article 6, soumis à un corpus complet d'exigences et à une évaluation de conformité. Le risque de transparence : les systèmes de l'article 50 (chatbots, contenus générés, deepfakes), soumis à des obligations d'information. Le risque minimal : tout le reste, libre de toute obligation spécifique, hors maîtrise de l'IA. Un même produit peut cumuler plusieurs niveaux selon ses fonctionnalités.
Le sommet : les pratiques interdites
Au sommet de la pyramide, l'article 5 dresse la liste des pratiques dont le législateur considère qu'aucune mesure de précaution ne peut compenser la nocivité : manipulation subliminale, exploitation des vulnérabilités, notation sociale généralisée, police prédictive individuelle fondée sur le seul profilage, reconnaissance des émotions au travail et dans l'enseignement, catégorisation biométrique sensible, moissonnage non ciblé d'images faciales, et identification biométrique à distance en temps réel dans l'espace public à des fins répressives, sauf exceptions strictement encadrées. Ces interdictions s'appliquent depuis le 2 février 2025 et leur violation expose aux sanctions les plus lourdes du texte. Le règlement omnibus IA de juillet 2026 a ajouté à cette liste les systèmes générant du matériel intime non consenti ou pédocriminel, interdits à compter du 2 décembre 2026.
L'étage central : les systèmes à haut risque
Le haut risque concentre l'essentiel du dispositif normatif. L'article 6 y fait entrer deux familles de systèmes. La première regroupe les systèmes d'IA intégrés comme composants de sécurité dans des produits soumis à la législation d'harmonisation de l'Union listée à l'annexe I : dispositifs médicaux, machines, véhicules, jouets notamment. La seconde regroupe les cas d'usage autonomes de l'annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels privés et publics, répression, migration, justice et processus démocratiques.
Le fournisseur d'un système à haut risque doit satisfaire aux exigences des articles 8 à 15 : système de gestion des risques, gouvernance des données, documentation technique, journalisation, transparence envers les déployeurs, supervision humaine, exactitude, robustesse et cybersécurité. S'y ajoutent l'évaluation de conformité, l'enregistrement dans la base de données de l'UE et le marquage CE. L'article 6, paragraphe 3, ménage une soupape : un système relevant de l'annexe III échappe au haut risque s'il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux, par exemple lorsqu'il n'accomplit qu'une tâche procédurale étroite. Cette dérogation se documente, elle ne se présume pas.
L'étage de la transparence
Certains systèmes présentent un risque spécifique de tromperie plutôt qu'un danger substantiel. L'article 50 leur impose des obligations d'information : signaler aux personnes qu'elles interagissent avec une IA, marquer les contenus générés artificiellement dans un format lisible par machine, étiqueter les hypertrucages, informer en cas de reconnaissance des émotions ou de catégorisation biométrique. Ce niveau concerne une part considérable des produits du marché, des assistants conversationnels aux générateurs de contenu, et se cumule le cas échéant avec le régime du haut risque.
La base : le risque minimal
Tout ce qui ne relève d'aucun des trois étages supérieurs reste libre : filtres anti-spam, IA de jeux vidéo, optimisation logistique, maintenance prédictive, la grande majorité des applications d'entreprise. Ces systèmes n'échappent pas pour autant à toute exigence : l'article 4, assoupli par l'omnibus IA, demande à tous les fournisseurs et déployeurs de favoriser la maîtrise de l'IA de leur personnel, et les codes de conduite volontaires prévus par le texte offrent un cadre à ceux qui veulent valoriser leurs bonnes pratiques.
Cartographier son produit : un exercice fonctionnalité par fonctionnalité
La pyramide ne s'applique pas à une entreprise mais à chaque système, et souvent à chaque fonctionnalité. Une même plateforme RH peut cumuler un module de tri de candidatures (haut risque, annexe III), un assistant conversationnel (transparence, article 50) et un tableau de bord statistique (risque minimal). La cartographie des risques qui en résulte détermine votre budget de conformité, vos priorités et votre discours commercial. Les investisseurs et grands comptes la demandent désormais dès les premières discussions : mieux vaut la construire avant qu'ils ne la réclament.
Vous souhaitez cartographier vos produits dans la pyramide des risques du RIA et prioriser votre mise en conformité ? Le cabinet accompagne startups et PME tech dans cet exercice. Prendre rendez-vous pour une consultation
Sources
- Protéger ses créations
- Sécuriser ses données
- Contractualiser son activité
.png){kind=small}