Classification des risques de l'IA 101 : les quatre niveaux de la Loi européenne sur l'IA en langage clair

La Loi européenne sur l'IA classe chaque système d'IA dans quatre niveaux de risque : inacceptable (interdit), élevé (fortement réglementé), limité (transparence seulement) et minimal (essentiellement non réglementé). Plus le risque pour les personnes est élevé, plus vos obligations sont lourdes. Réussissez la classification et tout le reste se met en place — et le test le plus rapide consiste à demander ce qui arrive à une personne si le système se trompe.

Comment la Loi européenne sur l'IA classe-t-elle le risque?

La Loi européenne sur l'IA — le Regulation (EU) 2024/1689 — repose sur une seule idée organisatrice qui rend l'ensemble bien moins intimidant qu'il n'y paraît d'abord : plus un système d'IA pose de risque pour les personnes, plus les obligations sont lourdes. Un système qui pourrait démolir la vie de quelqu'un s'il tourne mal est réglementé étroitement. Un système qui ne fait que filtrer le pourriel est laissé tranquille.

C'est l'approche fondée sur le risque, et elle place chaque système d'IA dans l'un de quatre niveaux. Apprendre les niveaux est la chose la plus utile qu'une entreprise puisse faire ici, car tout votre fardeau de conformité découle de celui où atterrit votre système. Réussissez la classification et tout le reste suit. Ratez-la et soit vous gaspillez des efforts inutiles, soit, pire, vous manquez des obligations réelles.

Même s'il s'agit d'une loi européenne, la logique à quatre niveaux vaut la peine d'être apprise par toute entreprise, car le projet de LIAD du Canada et la plupart des cadres émergents d'IA pensent de la même façon : trouver les usages à enjeux élevés, réglementer ceux-là, et laisser le reste largement tranquille.

Niveau un : risque inacceptable (interdit)

Au sommet se trouve un petit ensemble de pratiques d'IA jugées si nuisibles qu'elles sont carrément bannies. Pas « soigneusement réglementées » — pas permises du tout.

La catégorie interdite vise les usages qui menacent fondamentalement les droits et la sécurité des personnes. Les exemples que la Loi aborde comprennent la notation sociale par les autorités publiques qui juge la fiabilité des gens à travers des contextes sans lien, l'IA qui manipule les gens par des techniques subliminales ou trompeuses à leur détriment, les systèmes qui exploitent les vulnérabilités de groupes précis comme les enfants ou les personnes en difficulté économique, et le moissonnage non ciblé d'images faciales sur Internet ou par vidéosurveillance pour constituer des bases de données de reconnaissance faciale. Certains usages de l'identification biométrique à distance en temps réel dans les espaces publics sont eux aussi fortement restreints.

En termes clairs : si un usage de l'IA ressemble à quelque chose tiré d'un film dystopique — notation par surveillance de masse, manipulation psychologique de personnes vulnérables — il vit probablement ici. La grande majorité des entreprises ne s'en approchent jamais, mais il vaut la peine de savoir que la ligne existe.

Niveau deux : risque élevé (fortement réglementé)

C'est le niveau qui compte le plus pour les entreprises légitimes, car c'est là que peuvent atterrir de véritables usages quotidiens et bien intentionnés de l'IA — et où les obligations deviennent sérieuses.

Un système d'IA est généralement à risque élevé lorsqu'il est utilisé dans un contexte où une décision erronée ou biaisée peut toucher considérablement les droits, la sécurité ou les perspectives de vie d'une personne. La Loi pointe vers des domaines comprenant :

• L'emploi — le tri des candidats, l'évaluation des candidatures, les décisions de promotion ou de congédiement
• L'accès aux services essentiels — l'évaluation du crédit, l'admissibilité aux prestations, les décisions d'assurance
• L'éducation — la notation des examens, la détermination des admissions
• L'identification et la catégorisation biométriques des personnes
• La sécurité des infrastructures critiques
• L'application de la loi, la migration et l'administration de la justice
• Les composants de sécurité de produits réglementés

Construisez ou déployez un système à risque élevé et la Loi attend un vrai travail : un système de gestion des risques, une solide gouvernance des données pour réduire les biais, une documentation technique détaillée, la tenue de registres, la transparence envers les utilisateurs, une supervision humaine significative, ainsi qu'une exactitude et une sécurité appropriées — plus une évaluation de la conformité avant que le système n'arrive sur le marché. C'est précisément le genre de preuve qu'une plateforme de gouvernance de l'IA est conçue pour assembler et tenir à jour.

En termes clairs : si votre IA aide à décider qui est embauché, qui obtient un prêt, qui entre dans un programme ou qui obtient un service public, présumez que vous êtes face à des obligations de risque élevé. C'est le niveau que les entreprises sous-estiment le plus souvent.

Niveau trois : risque limité (obligations de transparence)

La plupart de l'IA commerciale quotidienne vit confortablement ici. La préoccupation à ce niveau n'est pas que le système prenne des décisions qui bouleversent la vie — c'est que les gens ne devraient pas être trompés quant au fait qu'ils interagissent avec une machine ou consomment du contenu fabriqué par une machine.

Les obligations portent surtout sur la transparence et la divulgation :

• Les agents conversationnels et les assistants virtuels doivent indiquer clairement qu'une personne interagit avec une IA, non un humain
• Le contenu généré ou manipulé par IA — images, audio et vidéo synthétiques, y compris les hypertrucages — doit généralement être divulgué comme étant généré artificiellement
• Le texte généré par IA publié pour informer le public sur des questions d'intérêt public comporte des attentes de divulgation dans des situations définies
• Les systèmes de reconnaissance des émotions et de catégorisation biométrique doivent informer les personnes qui y sont exposées

En termes clairs : votre agent conversationnel de service à la clientèle doit dire qu'il est un robot, et le contenu que votre entreprise génère avec l'IA devrait être étiqueté comme tel. L'effort est modeste, et une grande partie relève simplement d'une bonne pratique bâtissant la confiance que vous voudriez suivre de toute façon.

Niveau quatre : risque minimal (essentiellement non réglementé)

L'écrasante majorité des systèmes d'IA tombent dans ce niveau inférieur et ne comportent aucune obligation précise en vertu de la Loi. Filtres antipourriel, IA dans les jeux vidéo, outils de prévision des stocks, moteurs de recommandation pour votre propre catalogue de produits, correcteurs grammaticaux — aucun de ceux-ci ne pose un grand risque pour les droits de quiconque, et la Loi les laisse largement tranquilles.

Les entreprises sont encouragées à suivre des codes de conduite volontaires et de bonnes pratiques pour ces systèmes, mais il n'y a aucun régime de conformité obligatoire. Si votre usage de l'IA est réellement à faible enjeu et évite les contextes sensibles ci-dessus, c'est presque certainement là que vous vous situez.

En termes clairs : la plupart de l'IA qu'une entreprise canadienne typique utilise au quotidien est à risque minimal, et vous pouvez l'utiliser librement — tout en appliquant un bon jugement quant à la confidentialité et à l'exactitude.

Un mot sur l'IA à usage général

Se situant un peu en travers de ces niveaux se trouve un ensemble distinct de règles pour les modèles d'IA à usage général — les grands modèles de fondation qui alimentent de nombreux outils en aval. Les fournisseurs de ces modèles font face à leurs propres devoirs de transparence et de documentation, avec des obligations supplémentaires pour les modèles les plus puissants qui pourraient poser un risque systémique. Si vous utilisez ces modèles plutôt que de les construire, le message pratique est plus simple : la façon dont vous déployez le modèle est toujours classée selon la logique à quatre niveaux ci-dessus.

Comment utiliser ceci

Prenez votre inventaire d'IA et faites passer chaque système par une question : qu'arrive-t-il à une personne si cela se trompe? Si la réponse est « une décision qui bouleverse sa vie va à son encontre », vous êtes vraisemblablement en territoire de risque élevé et devriez le traiter sérieusement. Si la réponse est « elle obtient une recommandation de produit un peu moins bonne », vous êtes en territoire de risque minimal. Cette seule question résout la plupart des classifications, et le faire délibérément — avec le résultat consigné dans vos registres de gouvernance — est le fondement de toute posture crédible de conformité en matière d'IA. Jumelez-la à une évaluation de la LPRPDE et vous aurez couvert le volet confidentialité qui accompagne chaque système d'IA.

Cet article constitue de l'information générale et non un avis juridique — la classification d'un système précis peut être nuancée, alors confirmez les cas à enjeux élevés auprès d'un professionnel qualifié.

Faire passer vos systèmes par cette logique à quatre niveaux, consigner le résultat et le tenir à jour à mesure que vos outils changent est précisément le flux de travail qu'une plateforme comme Valdra est conçue pour rendre courant — pour que votre classification soit toujours prête quand un client, un partenaire ou un organisme de réglementation demande à la voir.