Niveaux de risque de l'Acte IA de l'UE : un guide pour les praticiens

Fonctionnement de la pyramide des risques dans la pratique

La Loi est une loi basée sur les risques. Les utilisations plus lourdes impliquent des devoirs plus lourds ; les pratiques interdites n'ont pas de chemin de conformité. La vue d'ensemble de la Commission est le point d'entrée officiel le plus court avant de plonger dans les articles (Commission européenne — Loi sur l'IA). Gardez le texte du Journal officiel ouvert lorsque une diapositive d'un fournisseur est en conflit avec la loi primaire (Règlement (UE) 2024/1689).

Les dates changent. Le paquet Digital Omnibus a déplacé plusieurs dates d'applications à haut risque après que le calendrier initial s'est avéré inviable pour les normes et les orientations. Traitez toute table de dates — y compris la nôtre — comme un instantané et vérifiez à nouveau une chronologie mise à jour avant de vous engager à un budget (Calendrier de mise en œuvre de la Loi sur l'IA de l'UE). "Nous avions prévu août 2026" n'est pas une défense si la date contraignante est plus tardive — et ce n'est pas non plus une raison de geler les travaux.

Fournisseur vs déploieur en une phrase

Les fournisseurs placent le système sur le marché ou le mettent en service sous leur nom ; les déploieurs l'utilisent sous leur autorité. De nombreux systèmes d'agents d'entreprise mélangent les deux rôles. Classez d'abord le système, puis attribuez qui possède quelle obligation. Mélanger les deux conversations est la façon dont les équipes "terminent" une liste de contrôle que personne ne peut signer.

Risque inacceptable : interdit purement et simplement

L'article 5 interdit des pratiques telles que la notation sociale par les autorités publiques, certaines identifications biométriques à distance en temps réel dans les espaces accessibles au public (avec des exceptions étroites), et la reconnaissance des émotions sur les lieux de travail et dans les écoles dans les contextes que l'article définit. Ces interdictions ont été appliquées à partir du 2 février 2025. Il n'y a pas de chemin de conformité : si votre système tombe ici, il ne peut pas être placé sur le marché de l'UE.

Les équipes de produits inventent parfois un "mode limité" pour une pratique interdite. Cela ne crée pas de chemin juridique. Si l'objectif prévu est la pratique interdite, arrêtez. Si une fonctionnalité pourrait être utilisée de cette manière en tant que mauvaise utilisation prévisible, documentez la mauvaise utilisation et les contrôles techniques ou contractuels qui la bloquent — et obtenez des conseils lorsque la limite est floue.

Liste de contrôle — écran d'utilisation interdite

- Déclaration d'objectif prévu examinée contre les catégories de l'article 5 - Liste d'utilisation prévisible écrite (et non seulement des démonstrations de chemin heureux) - Plan d'arrêt ou de désactivation si une fonctionnalité glisse vers un territoire interdit - Aucun langage de vente qui implique une "version conforme" d'une pratique interdite

Risque élevé : la charge de documentation et de surveillance

Un système est à risque élevé via deux voies dans l'article 6 : il s'agit d'un composant de sécurité d'un produit couvert par la législation d'harmonisation de l'UE énumérée à l'annexe I, ou son objectif intentionnel relève de l'un des domaines de l'annexe III - y compris la biométrie, les infrastructures critiques, l'éducation, l'emploi, l'accès à des services privés et publics essentiels (le crédit et l'assurance sont des déclencheurs fréquents), l'application de la loi, la migration et l'administration de la justice. Les obligations complètes du chapitre à risque élevé pour les systèmes autonomes de l'annexe III s'appliquent désormais à partir du 2 décembre 2027 dans le cadre des amendements du Digital Omnibus (la date générale d'origine était le 2 août 2026). Les systèmes à risque élevé intégrés aux produits de l'annexe I s'appliquent à partir du 2 août 2028. Confirmez le calendrier en direct avant d'imprimer une diapositive.

Lorsque vous êtes à risque élevé, la charge comprend un système de gestion des risques (art. 9), une gouvernance des données (art. 10), une documentation technique (art. 11), un enregistrement automatique (art. 12), une transparence pour les déploiements (art. 13), une surveillance humaine (art. 14) et des attentes en matière de précision et de cybersécurité (art. 15). Notre article sœur présente les lacunes de documentation que les équipes oublient le plus souvent.

Test de l'article 6 - comment nous le réalisons dans un atelier

- Écrivez l'objectif intentionnel dans un paragraphe simple. Interdisez les adjectifs marketing. - Demandez : s'agit-il d'un composant de sécurité d'un produit de l'annexe I ? Si oui, suivez le chemin de l'annexe I et les interactions avec le droit des produits sectoriels. - Sinon, parcourez les domaines de l'annexe III un par un. Le dépistage de l'emploi, la gestion des travailleurs, la solvabilité et la notation scolaire sont les aimants des agents d'entreprise. - Enregistrez la décision, le propriétaire et la date. Réexaminez lorsque l'objectif ou la classe de déploiement change. - Si la réponse est « peut-être », traitez-le comme à risque élevé pour la planification jusqu'à ce que le conseil en dise autrement. L'ambiguïté n'est pas une excuse pour ne rien faire.

Niveau | Exemples typiques | Forme de devoir principal | Note de calendrier (vérifiez en direct) Inacceptable | Notation sociale par les autorités publiques ; utilisations biométriques / émotionnelles interdites dans l'art. 5 | Interdiction - pas de chemin de conformité | À partir du 2 février 2025 Risque élevé (annexe III) | Agents de recrutement, outils d'évaluation du crédit, outils d'évaluation de l'éducation | Documents, enregistrement, surveillance, gestion des risques, chemin de conformité | À partir du 2 décembre2027 (Omnibus) Risque élevé (annexe I) | IA en tant que composant de sécurité dans les produits réglementés | Même chapitre à risque élevé + droit des produits sectoriels | À partir du 2 août 2028 (Omnibus) Risque limité | De nombreux chatbots ; médias synthétiques avec des devoirs de transparence | Divulguer l'IA / étiqueter le contenu synthétique (famille d'art. 50) | La transparence est toujours sur la piste 2026 - réexaminez le calendrier Risque minimal | Filtres de spam ; de nombreux outils de rédaction internes | Aucun devoir obligatoire de l'Acte IA ; codes volontaires uniquement | Classifiez toujours - ne supposez pas

Risque limité : obligations de transparence

Les chatbots, les générateurs de deepfake et la reconnaissance des émotions en dehors des contextes à risque élevé atterrissent souvent ici. Le devoir principal est la transparence : les utilisateurs doivent savoir qu'ils interagissent avec l'IA, et le contenu synthétique doit être étiqueté lorsque l'Acte le requiert. Il n'y a pas d'évaluation de la conformité pour les chatbots à risque limité ordinaires. Les pénalités pour certaines défaillances d'information et de transparence sont situées dans une bande inférieure à celle des amendes pour pratiques interdites (l'article 99 utilise des niveaux ; voir le texte de la réglementation pour les plafonds exacts).

Ne traitez pas le « risque limité » comme « ignorer le calendrier ». Plusieurs obligations de transparence sont restées sur la piste 2026, même lorsque les dates à risque élevé ont été déplacées. Les règles de marquage technique et de marquage connexe pour les systèmes déjà sur le marché ont leurs propres sous-dates sur les chronologies publiques. Lisez la page de calendrier de mise en œuvre avant de dire à un client « tout a glissé à 2027 ».

Liste de contrôle - honnêteté à risque limité

- Divulgation à l'utilisateur que l'interlocuteur est une IA (lorsque requis) - Plan d'étiquetage des médias synthétiques pour les médias audio/vidéo/images générés - Aucune affirmation de « certifié à risque élevé » pour un chatbot à risque limité - Note distincte si une fonctionnalité de chatbot alimente ultérieurement une décision de l'annexe III

Risque minimal : essentiellement non réglementé par l'Acte

Les filtres de spam, de nombreux moteurs de recommandation et la plupart des assistants de rédaction internes se situent dans cette catégorie. L'Acte n'impose aucune obligation obligatoire, bien que des codes de conduite volontaires existent. La plupart des agents d'IA d'entreprise qui prennent ou influencent des décisions conséquentes ne se trouvent pas dans cette catégorie — c'est l'écart que les équipes sous-estiment lorsqu'elles pointent un assistant de rédaction et concluent que toute l'entreprise est « hors champ ».

Si votre agent ne fait que des brouillons et qu'un humain retape toujours dans un autre système sans décision influencée par l'IA, vous pouvez être plus proche du risque minimal. Si le score, le classement ou la recommandation de l'agent est la décision de facto, réexaminez l'annexe III. Le but et l'utilisation battent les diagrammes d'architecture.

Pénalités en chiffres clairs (vérifiez toujours l'art. 99)

L'article 99 fixe des plafonds en fonction de la gravité : les pratiques interdites jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial (le montant le plus élevé) ; la non-conformité à haut risque jusqu'à 15 millions d'euros ou 3 % ; certaines informations incorrectes / défaillances de transparence jusqu'à 7,5 millions d'euros ou 1,5 %. Ce sont des maximums, et non des factures automatiques. Néanmoins, ce sont les raisons pour lesquelles la classification est un sujet de niveau de direction, et non une corvée de vendredi après-midi.

Pour le vocabulaire des processus en dehors du statut de l'UE, les équipes empruntent parfois le cadre de gestion des risques liés à l'IA de la NIST. C'est acceptable pour le langage de gouvernance interne (NIST AI RMF). Cela ne change pas votre niveau sous le règlement (UE) 2024/1689. Le contexte plus large de la politique numérique de l'UE se situe également autour de l'Acte ; les pages « Europe adaptée à l'ère numérique » de la Commission aident à placer les règles de l'IA à côté des dossiers numériques voisins (Europe adaptée à l'ère numérique), mais le niveau de classification commence toujours à partir des articles 5-6 et des annexes.

Erreurs de classification courantes

- Classer le modèle au lieu de l'utilisation. Le même modèle de base peut alimenter un filtre de spam et un classeur de recrutement. L'utilisation décide du niveau. - Supposer que « interne uniquement » signifie risque minimal. Les outils de recrutement internes sont un déclencheur classique de l'annexe III. - Geler le calendrier au 2 août 2026 pour toutes les tâches à haut risque. L'Omnibus a modifié les dates d'application à haut risque de l'annexe III / annexe I ; les obligations de transparence n'ont pas toutes été déplacées avec elles. - Laisser les ventes choisir le niveau. Les ventes veulent un « risque faible ». L'ingénierie et le juridique possèdent la carte. - Sauter une décision écrite. Si vous ne pouvez pas montrer pourquoi vous n'êtes pas à haut risque, un réviseur supposera que vous n'avez jamais regardé.

Critères de décision : ce à faire ce trimestre

Si vous créez ou achetez de l'IA tournée vers l'UE en 2026 :

- Inventorier les systèmes qui influencent l'emploi, le crédit, l'éducation ou les services essentiels - Exécuter le test de l'article 6 et stocker le résultat écrit - Garder les travaux sur les utilisations interdites et la transparence sur le calendrier proche - Utiliser la voie de lancement à haut risque 2027/2028 pour construire la documentation, la journalisation et la surveillance — ne pas attendre la semaine précédant la date - Pointer chaque revendication externe vers EUR-Lex ou la page de la Commission, et non vers un résumé de podcast

Ce que cela n'est pas

Ce guide de démarrage ne constitue pas un conseil juridique, ni une évaluation de la conformité, ni une promesse que VendorVet (ou tout outil de liste de contrôle) garantit une classification correcte ou « ne manque jamais » une utilisation à haut risque. Nous n'inventons pas de métriques client ou ne prétendons pas que vous « éviterez définitivement » une amende. Les dates de cet article reflètent le changement numérique omnibus pour les applications à haut risque tel que communément rapporté après l'adoption de mi-2026 ; vérifiez toujours contre le Journal officiel et un calendrier de mise en œuvre maintenu avant de lier un programme de conformité.

Conclusion

Cartographiez d'abord le niveau. Ouvrez ensuite la bonne liste de contrôle. Les pratiques interdites cessent ; les systèmes à haut risque collectent des preuves ; les systèmes à risque limité disent la vérité aux utilisateurs ; les systèmes à risque minimal ont toujours besoin d'un inventaire honnête. Lorsque la charge de documentation commence, lisez la liste de contrôle de la documentation technique suivante - c'est là que la plupart des équipes découvrent les lacunes que la classification seule ne peut pas résoudre.

Références

- Règlement (UE) 2024/1689 (EUR-Lex) - Commission européenne — Loi sur l'IA - Loi sur l'IA de l'UE — Calendrier de mise en œuvre - Cadre de gestion des risques liés à l'IA de la NIST - Commission européenne — L'Europe adaptée à l'ère numérique

Articles liés

- Documentation technique dans le cadre de la Loi sur l'IA : ce que les équipes ont souvent manqué - Explorez la matrice complète des sujets de micro-SaaS liés à l'IA →