Aller au contenu

Guides

Vérification du risque AI Act

Répondez à six questions au plus sur un usage de l'IA et voyez dans lequel des quatre niveaux de risque de l'AI Act il se situe probablement, ce que cela implique pour vous et à partir de quand.

Rédigé et relu par Solorai

En bref

L'AI Act classe chaque usage de l'IA en quatre niveaux : interdit, haut risque, transparence et minimal. Cette vérification fait passer un usage par les critères des articles 5, 6 et 50 et de l'annexe III, tels que modifiés par le règlement (UE) 2026/1744, et indique le niveau probable, ce qu'il implique et la date à laquelle il s'applique.

Elle donne une première indication pour planifier, pas un avis juridique. Classez chaque usage, pas chaque produit : refaites la vérification pour chaque façon d'utiliser un système.

Vérifier un usage de l'IA

Pensez à un usage concret, par exemple un assistant qui trie des candidatures. Répondez pour cet usage uniquement.

L'usage correspond-il à une pratique interdite ?

L'article 5 interdit ces pratiques :

  • Techniques manipulatrices ou trompeuses qui altèrent le comportement d'une personne et causent un préjudice important
  • Exploitation de vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique
  • Notation sociale conduisant à un traitement injustifié ou disproportionné
  • Prédiction du risque qu'une personne commette une infraction sur la seule base du profilage ou de traits de personnalité
  • Constitution de bases de données de reconnaissance faciale par collecte non ciblée d'images
  • Inférence des émotions au travail ou dans l'enseignement, sauf pour des raisons médicales ou de sécurité
  • Catégorisation biométrique déduisant la race, les opinions politiques, la religion, l'appartenance syndicale, la vie sexuelle ou l'orientation sexuelle
  • Identification biométrique à distance en temps réel dans les espaces publics à des fins répressives, hors exceptions étroites
  • À partir du 2 décembre 2026 : création ou manipulation d'images intimes ou sexuellement explicites de personnes identifiables sans leur consentement, ou de contenus pédopornographiques
L'IA est-elle un composant de sécurité d'un produit réglementé ?

Il s'agit de l'IA qui est un composant de sécurité d'un produit relevant de la législation européenne listée à l'annexe I, comme les machines, les dispositifs médicaux, les jouets, les ascenseurs ou les véhicules, ou qui est elle-même un tel produit, lorsque le produit exige une évaluation de conformité par un tiers. L'IA utilisée uniquement pour le confort, l'efficacité ou le contrôle qualité n'est pas un composant de sécurité, sauf si sa défaillance mettait en danger la santé ou la sécurité.

Est-elle utilisée dans l'un de ces domaines ?

L'annexe III liste les domaines à haut risque :

  • Biométrie : identification à distance, catégorisation selon des attributs sensibles, reconnaissance des émotions
  • Infrastructures critiques : composants de sécurité pour les infrastructures numériques, le trafic routier, l'eau, le gaz, le chauffage ou l'électricité
  • Éducation et formation : admission, évaluation des acquis, surveillance pendant les examens
  • Emploi : recrutement et sélection, décisions touchant la relation de travail, attribution des tâches, suivi des performances ou du comportement
  • Services essentiels : accès aux prestations publiques, évaluation de la solvabilité, tarification des assurances vie et santé, tri des appels d'urgence
  • Répression
  • Migration, asile et contrôle aux frontières
  • Justice et processus démocratiques : assistance aux juridictions, influence sur les élections
Établit-elle le profil de personnes ?

Le profilage est le traitement automatisé de données personnelles pour évaluer des aspects d'une personne, comme ses performances au travail, sa situation économique, sa santé, ses préférences ou son comportement.

N'accomplit-elle qu'une tâche limitée ?

Selon l'article 6, paragraphe 3, un usage dans un domaine de l'annexe III n'est pas à haut risque lorsqu'il ne présente pas de risque important et n'influence pas sensiblement la décision, parce qu'il se limite à :

  • Accomplir une tâche procédurale étroite
  • Améliorer le résultat d'une activité humaine déjà achevée
  • Détecter des constantes dans les décisions passées, sans remplacer ni influencer l'évaluation humaine
  • Accomplir une tâche préparatoire à une évaluation
Interagit-elle avec des personnes ou génère-t-elle du contenu ?

L'article 50 vise les systèmes qui :

  • Interagissent directement avec des personnes, comme les chatbots et les agents vocaux
  • Génèrent du texte, des images, de l'audio ou de la vidéo
  • Créent des deepfakes

Probablement interdit

L'usage correspond à une pratique interdite par l'article 5. Cessez de l'utiliser. Les interdictions s'appliquent depuis le 2 février 2025, et les deux ajoutées par le Digital Omnibus à partir du 2 décembre 2026. Les amendes atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.

Haut risque probable : IA dans un produit réglementé

L'IA est un composant de sécurité d'un produit couvert par l'annexe I. Les obligations complètes des fournisseurs et des déployeurs s'appliquent à partir du 2 août 2028.

Haut risque probable : usage de l'annexe III

L'usage relève d'un domaine listé à l'annexe III. Les obligations complètes s'appliquent à partir du 2 décembre 2027. Si vous utilisez le système d'un fournisseur, vous êtes déployeur : suivez la notice d'utilisation, confiez le contrôle humain, conservez les journaux au moins six mois et informez les personnes concernées.

Probablement pas à haut risque, selon l'article 6, paragraphe 3

L'usage se situe dans un domaine de l'annexe III mais n'accomplit qu'une tâche limitée. Le fournisseur documente cette évaluation avant la mise sur le marché du système, l'enregistre et remet la documentation aux autorités sur demande.

Des obligations de transparence s'appliquent

Selon l'article 50, depuis le 2 août 2026 : les personnes doivent savoir qu'elles ont affaire à une IA, sauf si c'est évident, les contenus générés par l'IA sont marqués dans un format lisible par machine et les deepfakes sont signalés.

Risque minimal probable

Aucune obligation spécifique au-delà de la maîtrise de l'IA. La plupart des usages, comme la rédaction, la synthèse et l'analyse, se situent ici.

Que faire ensuite

Notez le résultat dans votre registre IA, avec la finalité de l'usage et son responsable. Quel que soit le niveau, l'article 4 vous demande de soutenir la maîtrise de l'IA des personnes qui utilisent le système.

Voir la checklist AI Act pour les entreprises.

Les quatre niveaux de risque

Chaque usage relève de l'un des quatre niveaux. Classez chaque usage, pas chaque produit : le même assistant peut être à risque minimal pour rédiger des e-mails et à haut risque s'il sert à trier des candidatures.

NiveauCe qu'il couvreCe que cela implique pour vous
InterditLes pratiques interdites par l'article 5, comme la notation sociale ou la reconnaissance des émotions au travail, et à partir du 2 décembre 2026 l'IA qui crée des images intimes non consentiesCesser de l'utiliser
Haut risqueLes usages listés à l'annexe III, comme le recrutement, la notation de crédit et l'accès aux services essentiels, et l'IA dans les produits couverts par l'annexe IObligations complètes à partir du 2 décembre 2027 ou du 2 août 2028
TransparenceLes systèmes qui interagissent avec des personnes, génèrent du contenu ou créent des deepfakesInformer les personnes et marquer les contenus, au titre de l'article 50, depuis le 2 août 2026
MinimalLa plupart des autres usages, comme la rédaction, la synthèse et l'analyseAucune obligation spécifique au-delà de la maîtrise de l'IA

Ce que la vérification ne couvre pas

  • Votre rôle : les obligations diffèrent pour les fournisseurs et les déployeurs. La plupart des entreprises sont des déployeurs.
  • Modèles d'IA à usage général : leurs fournisseurs ont des obligations distinctes.
  • Systèmes déjà utilisés : les systèmes à haut risque déjà sur le marché avant leur date ne sont couverts que s'ils sont ensuite modifiés de manière importante ; ceux utilisés par les autorités publiques doivent être conformes au plus tard le 2 août 2030.
  • Autres règles : le RGPD, les règles sectorielles et le droit national s'appliquent en parallèle de l'AI Act.

Pour une classification sur laquelle vous appuyer, faites examiner chaque usage à la lumière des lignes directrices de la Commission et avec vos conseils juridiques. Voir la conformité à l'AI Act.

Sources

FAQ

Questions sur les niveaux de risque de l'AI Act

Un assistant comme Claude, ChatGPT ou Copilot est-il à haut risque selon l'AI Act ?

Cela dépend de l'usage, pas du produit. Rédiger, résumer et analyser relèvent du risque minimal. Le même assistant utilisé pour trier des candidats relève d'un domaine de l'annexe III et est probablement à haut risque.

Qui doit classer un système d'IA ?

Le fournisseur classe le système qu'il met sur le marché. Le déployeur doit connaître le niveau de chaque usage pour respecter ses propres obligations, et devient fournisseur s'il modifie la finalité d'un système au point de le rendre à haut risque.

À partir de quand les obligations haut risque s'appliquent-elles ?

À partir du 2 décembre 2027 pour les usages listés à l'annexe III et du 2 août 2028 pour l'IA dans les produits couverts par l'annexe I, selon l'AI Act tel que modifié par le règlement (UE) 2026/1744.

Le résultat de cette vérification est-il juridiquement contraignant ?

Non. C'est une première indication pour planifier. La classification dépend des faits propres à chaque usage et des lignes directrices de la Commission européenne.

À lire aussi

Classez chaque usage de l'IA. Commencez par un briefing de 30 minutes.

Dites-nous quels systèmes d'IA vous utilisez aujourd'hui. Nous vous répondons avec une prochaine étape claire.

Réserver un briefingÉcrivez-nous