Les huit catégories de l'annexe III en détail

Catégorie 1, Identification et catégorisation biométriques : IA utilisée pour l'identification biométrique à distance en temps réel dans des espaces accessibles au public (sous réserve d'exceptions spécifiques en matière répressive et d'autorisations des États membres), systèmes d'identification biométrique à distance a posteriori utilisés par les autorités répressives, et IA utilisée pour catégoriser des personnes sur la base de données biométriques selon des attributs sensibles (race, opinions politiques, religion, orientation sexuelle). Remarque : l'IA de reconnaissance des émotions et la catégorisation biométrique à des fins privées restreintes (déverrouiller son propre téléphone) ne relèvent pas de cette catégorie.

Catégorie 2, Infrastructures critiques : IA utilisée comme composant de sécurité dans la gestion ou l'exploitation d'infrastructures numériques critiques (réseaux électriques, systèmes d'approvisionnement en eau, réseaux de transport), dans la gestion du trafic routier et dans la fourniture d'eau, de gaz, de chauffage ou d'électricité. Le point essentiel est que l'IA doit être critique pour la sécurité, une IA utilisée à des fins d'optimisation ou d'efficacité ne relève pas automatiquement de cette catégorie.

Catégorie 3, Éducation et formation professionnelle : IA utilisée pour déterminer l'accès ou l'affectation aux établissements d'enseignement et de formation professionnelle, pour évaluer les acquis d'apprentissage d'une manière qui influe sur le parcours éducatif des étudiants, pour évaluer les compétences des étudiants d'une manière qui affecte leur avenir, et pour surveiller les étudiants pendant les examens. L'IA utilisée pour soutenir l'enseignement ou aider les étudiants dans leur apprentissage n'est généralement pas à haut risque au titre de cette catégorie.

Catégorie 4, Emploi, gestion des travailleurs et accès à l'emploi indépendant : IA utilisée pour prendre des décisions en matière d'emploi, notamment le recrutement et la sélection (présélection des candidatures), les décisions de promotion, la résiliation des relations de travail, l'attribution des tâches, le suivi et l'évaluation des performances, et les décisions relatives à l'accès à des opportunités d'emploi indépendant. C'est la catégorie qui concerne le plus grand nombre de déploiements d'IA en entreprise, pratiquement toute IA utilisée dans les RH qui influe sur des décisions d'emploi est à haut risque.

Catégorie 5, Accès aux services privés essentiels et aux services et prestations publics essentiels : IA utilisée pour évaluer la solvabilité et établir la note de crédit (avec des exceptions limitées), IA utilisée pour l'évaluation des risques et la tarification en assurance vie et santé, IA utilisée pour évaluer l'éligibilité aux prestations sociales et aux services sociaux, IA utilisée dans la répartition des interventions des services d'urgence, et IA utilisée dans l'accès à l'éducation. Cette catégorie couvre la plupart des IA de services financiers qui influent sur les résultats pour les clients.

Catégorie 6, Activités répressives : IA utilisée comme polygraphe ou outil similaire, IA utilisée pour évaluer la fiabilité des éléments de preuve, IA utilisée pour prédire la probabilité qu'une personne commette une infraction pénale, IA utilisée pour le profilage dans le cadre d'enquêtes. Des restrictions importantes s'appliquent à l'IA à usage répressif et de nombreuses applications sont interdites plutôt que simplement classées à haut risque.

Catégorie 7, Migration, asile et gestion des contrôles aux frontières : IA utilisée pour évaluer les risques liés aux personnes demandant un visa ou l'asile, IA utilisée dans le contrôle aux frontières, et IA utilisée pour détecter l'authenticité des documents.

Catégorie 8, Administration de la justice et processus démocratiques : IA utilisée pour aider les autorités judiciaires à rechercher et interpréter les faits et le droit, IA utilisée dans le règlement des litiges, et IA utilisée pour influencer les élections et le comportement électoral.

Votre IA est-elle à haut risque ? Le cadre d'évaluation

Étape 1 : identifiez précisément le cas d'usage. La classification à haut risque est propre au cas d'usage, pas à la technologie. Un grand modèle de langage n'est pas intrinsèquement à haut risque, mais le même modèle utilisé pour présélectionner des candidats à un emploi est à haut risque au titre de la catégorie 4. Étape 2 : confrontez le cas d'usage aux catégories de l'annexe III. Lisez attentivement chaque catégorie et déterminez si votre cas d'usage spécifique en relève. Les catégories sont assorties, dans l'AI Act, de textes de définition qui doivent être lus conjointement avec l'annexe III. Étape 3 : vérifiez si des exclusions s'appliquent. L'AI Act exclut l'IA utilisée uniquement à des fins procédurales étroites, l'IA utilisée pour détecter la fraude, et l'IA destinée à constituer un élément préparatoire à une décision humaine (avec un examen humain réel) dans certains contextes. Étape 4 : documentez votre évaluation. Que votre conclusion soit que l'IA est ou n'est pas à haut risque, documentez l'évaluation en la motivant. Cette documentation est nécessaire pour la diligence raisonnable, en cas de demande d'une autorité de régulation et pour la responsabilité interne.

Pour aller plus loin : texte intégral du règlement européen sur l'IA

Lectures associées

Pour aller plus loin : texte intégral du règlement européen sur l'IA