Simulateur AI Act : quel est le niveau de risque de votre système d’IA ?

L’AI Act n’impose pas les mêmes obligations à toutes les utilisations de l’intelligence artificielle. La qualification dépend principalement de la finalité du système, du contexte dans lequel il est utilisé et de ses effets possibles sur les personnes.

Une IA qui reformule un email, un chatbot de service client et un outil qui classe des candidats ne relèvent pas nécessairement du même régime. Certaines pratiques sont interdites, certains systèmes sont susceptibles d’être qualifiés de systèmes d’IA à haut risque et d’autres sont principalement soumis à des obligations de transparence.

Le simulateur ci-dessous permet d’obtenir une première orientation en 7 questions : niveau de risque probable, rôle au regard de l’AI Act et principaux points de conformité à examiner.

Cette estimation est indicative. Elle ne constitue ni une certification de conformité ni une analyse juridique individualisée.

Quels sont les niveaux de risque prévus par l’AI Act ?

Le règlement européen sur l’intelligence artificielle repose sur une approche graduée. Le niveau d’exigence dépend de l’usage concret du système et non simplement de la technologie employée.

Les pratiques interdites

L’article 5 interdit certaines pratiques considérées comme incompatibles avec les droits fondamentaux. Sont notamment concernés, selon les conditions prévues par le texte, certains usages de manipulation, d’exploitation de vulnérabilités, de notation sociale, de catégorisation biométrique sensible, de constitution de bases de reconnaissance faciale par collecte non ciblée d’images ou encore de reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement.

Les systèmes d’IA à haut risque

Un nombre limité de systèmes sont soumis au régime dit « à haut risque ». La qualification peut notamment concerner certains systèmes intégrés à des produits réglementés ainsi que des cas d’usage listés à l’annexe III.

Parmi les domaines les plus importants pour les entreprises figurent le recrutement et la gestion des travailleurs, l’éducation, certains usages de biométrie, l’accès à certains services essentiels, l’évaluation de la solvabilité, certaines assurances, les infrastructures critiques, la justice, la migration et le maintien de l’ordre.

Un système relevant d’un domaine sensible n’est toutefois pas automatiquement à haut risque dans tous les cas. La finalité exacte, l’incidence sur la décision et les éventuelles exceptions prévues par l’article 6 doivent être examinées.

Les obligations de transparence

Certains systèmes sont soumis à des obligations spécifiques de transparence sans être nécessairement à haut risque. Pour une vue d’ensemble des obligations applicables aux entreprises, consultez notre guide sur les obligations de l’AI Act en 2026. L’exemple le plus courant est le chatbot : une personne qui interagit directement avec une IA doit, dans les situations prévues par l’article 50, pouvoir comprendre qu’elle n’échange pas avec un humain.

Des règles spécifiques existent également pour certains contenus générés ou manipulés par IA, notamment les deepfakes et certains contenus destinés à informer le public.

Les autres systèmes d’IA

De nombreux outils d’IA ne relèvent ni d’une pratique interdite ni du régime des systèmes à haut risque. Cela ne signifie pas qu’aucune règle ne s’applique. Le RGPD, le droit du travail, le droit de la consommation, les règles de propriété intellectuelle ou les obligations contractuelles peuvent continuer à encadrer l’usage du système.

Comment savoir si un système d’IA est à haut risque ?

La puissance du modèle ou la notoriété du fournisseur ne permettent pas, à elles seules, de déterminer le niveau de risque. La même technologie peut relever de régimes différents selon son utilisation.

Utiliser un modèle génératif pour reformuler un document interne n’est pas comparable à l’utilisation d’un système qui attribue un score à des candidats et détermine ceux qui seront reçus en entretien.

La qualification doit donc partir du cas d’usage. Il faut notamment regarder ce que produit le système, les personnes concernées, le domaine dans lequel il intervient et l’importance de son résultat dans une décision.

Dans les ressources humaines, par exemple, les systèmes destinés au recrutement, à la sélection, à l’évaluation des candidats ou à certaines décisions concernant les salariés font partie des usages expressément visés par l’annexe III. Nous détaillons ce cas dans notre article sur l’IA dans le recrutement et les obligations AI Act et RGPD.

À la suite de la réforme de 2026, les règles visant les systèmes à haut risque de l’annexe III s’appliqueront à compter du 2 décembre 2027. Pour les systèmes à haut risque intégrés dans certains produits réglementés, l’échéance est fixée au 2 août 2028.

Fournisseur ou déployeur : pourquoi votre rôle change vos obligations

Le niveau de risque n’est qu’une partie du diagnostic. Il faut également déterminer le rôle de l’entreprise.

Une entreprise qui utilise un système fourni par un tiers dans le cadre de son activité agit généralement comme déployeur. C’est par exemple le cas d’un employeur qui utilise une solution externe pour analyser des candidatures.

Une entreprise qui développe un système d’IA, le fait développer et le commercialise sous son nom, ou l’intègre dans sa propre solution commercialisée, peut en revanche être considérée comme fournisseur.

Cette distinction est essentielle : les obligations du fournisseur d’un système à haut risque sont plus étendues et portent notamment sur la gestion des risques, les données, la documentation technique, la journalisation, le contrôle humain, l’évaluation de conformité et le suivi du système.

Quelques exemples de classification AI Act

Que faire si votre système est potentiellement à haut risque ?

Une qualification « haut risque potentiel » ne signifie pas automatiquement que le système est interdit ou que votre entreprise est non conforme. Elle signifie qu’une vérification plus précise est nécessaire.

Il convient généralement de confirmer la qualification au regard de l’article 6 et des annexes du règlement, d’identifier le rôle de chaque acteur, de vérifier la documentation fournie par l’éditeur et de préparer les mesures de conformité applicables.

Selon votre rôle et le système concerné, les sujets à examiner peuvent inclure la gouvernance des données, la documentation, les journaux, la surveillance humaine, l’information des personnes, la gestion des risques, la cybersécurité et les relations contractuelles entre fournisseur et déployeur.

AI Act et RGPD : deux analyses qui se cumulent

La qualification au regard de l’AI Act ne remplace pas l’analyse RGPD. Si votre sujet porte d’abord sur les traitements de données personnelles, vous pouvez également utiliser notre calculateur de risque RGPD. Un système peut présenter un niveau de risque limité au titre de l’AI Act tout en traitant des données personnelles de manière sensible.

Une entreprise qui utilise une IA générative en interne doit par exemple vérifier quelles informations ses salariés transmettent au fournisseur, sur quelle base les données personnelles sont traitées, quelles garanties contractuelles existent et si les personnes concernées ont été correctement informées.

À l’inverse, un système à haut risque au sens de l’AI Act peut également déclencher des obligations RGPD renforcées, notamment lorsqu’il réalise du profilage ou contribue à une décision automatisée concernant une personne.

Comment préparer sa conformité AI Act ?

La première étape consiste à recenser les systèmes d’IA réellement utilisés dans l’organisation. Une charte IA interne peut ensuite aider à encadrer les usages autorisés, limiter le shadow AI et formaliser les règles applicables aux équipes. Cette cartographie doit inclure les outils achetés officiellement, les fonctionnalités IA intégrées à des logiciels existants et les outils génératifs adoptés directement par les équipes.

Il faut ensuite documenter, pour chaque système, sa finalité, son fonctionnement, les personnes concernées, le fournisseur, le rôle de l’entreprise et la qualification de risque retenue.

Le cabinet Mirabile accompagne les entreprises et éditeurs dans la qualification de leurs systèmes d’IA, la détermination des rôles fournisseur/déployeur et la mise en conformité AI Act et RGPD. Découvrez également notre accompagnement en droit de l’intelligence artificielle.