AI Act : quel niveau de risque, qui est responsable ?

Le règlement européen ne classe pas les outils, il classe les usages. Le même ChatGPT peut être sans risque… ou « haut risque » selon ce qu'on lui fait faire.

Inacceptableinterdit

Haut risqueautorisé sous obligations strictes

Risque limitéobligation de transparence

Risque minimalaucune obligation spécifique (hors formation des équipes)

1 / —

Partie 2

Qui est responsable ?

L'AI Act répartit les obligations selon le rôle de chacun. Le même logiciel a un fournisseur, des déployeurs, et des utilisateurs au quotidien.

FournisseurDéveloppe un système d'IA (ou le fait développer) et le met sur le marché ou en service sous son nom. Porte l'essentiel des obligations.

DéployeurL'organisation qui utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. C'est le cas de presque toutes les entreprises.

UtilisateurLa personne qui s'en sert au quotidien pour le compte de l'entreprise. Pas d'obligation AI Act en propre : elle applique les règles et le contrôle humain prévus par son employeur.

Bilan AI Act

À retenir — niveaux

C'est l'usage qui fait le niveau, pas l'outil. ChatGPT pour un mail : minimal. ChatGPT pour classer des candidats : haut risque.
Inacceptable (art. 5, depuis le 2 février 2025) : notation sociale, manipulation ou exploitation des vulnérabilités, reconnaissance des émotions au travail et à l'école, reconnaissance faciale par aspiration d'images… Jusqu'à 35 M€ ou 7 % du CA mondial.
Haut risque (Annexe III) : recrutement et gestion des salariés, crédit, éducation, accès aux services essentiels… Obligations reportées au 2 décembre 2027 par le Règlement (UE) 2026/1744 — elles restent dues.
Limité (art. 50, depuis le 2 août 2026) : dire qu'on parle à une IA, signaler les contenus truqués réalistes (deepfakes).
Minimal : la grande majorité des usages bureautiques. Seule obligation transversale : former les équipes (art. 4).

À retenir — rôles

Une entreprise qui utilise ChatGPT, Gemini ou Claude pour son travail est déployeur : former les équipes, respecter la notice, assurer le contrôle humain et informer les personnes quand l'usage est à haut risque.
Elle devient fournisseur si elle met un système d'IA sur le marché sous son nom, le modifie substantiellement, ou détourne un outil généraliste vers un usage à haut risque (art. 25).
Le salarié utilisateur n'a pas d'obligation AI Act en propre, mais il est le maillon du contrôle humain — et reste tenu par le RGPD, le secret des affaires et les règles internes (section 7).

Revoir toutes les réponses

Simplification pédagogique : la qualification exacte d'un système ou d'un rôle dépend de critères précis du règlement (art. 3, 6, 25). En cas de doute sur un usage réel, faire confirmer par un professionnel.