Classification gratuite des risques du règlement sur l’IA en 5 minutes

La classification des risques est la première décision que toute entreprise d’IA doit prendre au titre du règlement sur l’IA. Tant que vous ne connaissez pas votre niveau de risque, vous ne pouvez pas déterminer quelles obligations s’appliquent, quelle documentation vous devez constituer, ni quel effort et quel budget la conformité exige.

Le problème est que la logique de classification du règlement s’étend sur plusieurs articles, deux annexes et plusieurs renvois à d’autres textes de l’Union, ce qui rend difficile, pour un non-spécialiste, d’arriver à une réponse assurée sans appui juridique.

L’évaluation gratuite de classification des risques du règlement sur l’IA de Legalithm règle cette première étape. Décrivez votre système d’IA en langage courant, et l’outil rattache votre cas d’usage au cadre de risque du règlement, identifie votre rôle probable (fournisseur, déployeur, ou les deux) et dresse les obligations qui s’appliquent, en minutes, pas en semaines.

Cet article explique comment fonctionne la classification des risques au titre du règlement sur l’IA, parcourt les quatre niveaux avec des exemples concrets, décrit ce que l’évaluation vous dit, et montre ce que trois types d’entreprises ont tiré du processus.

L’essentiel, les bases de la classification des risques du règlement sur l’IA

• Le règlement sur l’IA utilise un cadre de risque à quatre niveaux : interdit, haut risque, risque limité et risque minimal.
• Votre niveau de risque détermine l’ensemble de votre programme de conformité, de l’absence d’obligations (risque minimal) jusqu’à l’interdiction complète (interdit).
• La classification dépend de la destination du système d’IA, pas de la technologie sous-jacente. Le même modèle peut être à risque minimal dans une application et à haut risque dans une autre.
• Les pratiques interdites sont exécutoires depuis le 2 février 2025. Les obligations à haut risque s’appliquent à compter du 2 décembre 2027 (reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744).
• Une mauvaise classification, dans un sens comme dans l’autre, a des conséquences réelles : sous-classer crée une exposition réglementaire ; sur-classer gaspille des ressources de conformité.
• L’évaluation gratuite du règlement sur l’IA fournit une classification préliminaire, les obligations applicables selon le rôle, et une orientation pour les prochaines étapes, en moins de cinq minutes.
• Après la classification, les prochaines étapes sont : constituer un inventaire des systèmes d’IA, suivre la liste de contrôle de conformité, et préparer la documentation technique si vous êtes à haut risque.

Pourquoi la classification des risques est la première étape indispensable

Toute autre activité de conformité dépend de votre niveau de risque :

Sans classification claire, les organisations gaspillent soit des mois à construire une infrastructure de conformité pour un système qui s’avère à risque minimal, soit, pire, découvrent trop tard que leur système est à haut risque et se retrouvent face à l’exécution sans aucune documentation en place.

La décision de classification détermine aussi :

• L’allocation budgétaire, la conformité à haut risque peut exiger un investissement important en documentation, essais et surveillance. Les systèmes à risque minimal n’en ont pas besoin.
• La feuille de route produit, si une fonction prévue ferait basculer le système en territoire à haut risque, l’équipe produit doit le savoir avant le début du développement.
• La diligence à l’égard des fournisseurs, les déployeurs doivent vérifier le niveau de risque des systèmes d’IA qu’ils se procurent auprès de fournisseurs tiers.
• La confiance des investisseurs et des clients, démontrer que vous avez classé vos systèmes et que vous comprenez vos obligations devient de plus en plus une exigence d’audit préalable.

Les quatre niveaux de risque expliqués

Niveau 1 : pratiques d’IA interdites

L’article 5 interdit les pratiques d’IA que l’Union considère comme une menace inacceptable pour les droits fondamentaux. Elles sont exécutoires depuis le 2 février 2025.

Les pratiques interdites comprennent :

Sanction pour les pratiques interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Si l’évaluation indique que votre système peut impliquer une pratique interdite, la mesure immédiate est d’arrêter le déploiement dans l’Union et de consulter un conseil juridique sur la possibilité de retravailler le système pour le faire sortir de l’interdiction.

Niveau 2 : systèmes d’IA à haut risque

La classification à haut risque déclenche l’ensemble d’obligations le plus complet du règlement sur l’IA. Il y a deux voies :

Voie A, composants de sécurité (article 6, paragraphe 1) : votre système d’IA est un composant de sécurité d’un produit (ou constitue lui-même un tel produit) couvert par la législation d’harmonisation de l’Union énumérée à l’annexe I, et ce produit est soumis à une évaluation de la conformité par un tiers. Cela couvre l’IA dans les dispositifs médicaux, les machines, les jouets, l’équipement marin, l’aviation civile, les véhicules à moteur, et davantage.

Voie B, cas d’usage de l’annexe III (article 6, paragraphe 2) : votre système d’IA entre dans l’un des huit domaines à haut risque énumérés à l’annexe III :

1. Biométrie, identification biométrique à distance (pas en temps réel dans des espaces accessibles au public, ce qui est interdit), catégorisation biométrique (pas selon des attributs sensibles, ce qui est interdit), reconnaissance des émotions (pas sur le lieu de travail / dans les établissements d’enseignement, ce qui est interdit).
2. Infrastructures critiques, IA qui gère l’électricité, le gaz, le chauffage, l’approvisionnement en eau, les infrastructures numériques ou la circulation routière.
3. Éducation, IA qui détermine l’accès à l’éducation, évalue les résultats d’apprentissage, surveille un comportement interdit pendant les épreuves, ou apprécie le niveau d’éducation approprié.
4. Emploi, IA pour le recrutement (filtrage de CV, évaluation d’entretiens), les décisions de promotion / licenciement, l’attribution des tâches ou le suivi des performances.
5. Accès aux services essentiels, notation de crédit, évaluation du risque d’assurance, éligibilité aux prestations publiques, priorisation des interventions d’urgence.
6. Activités répressives, détection du mensonge, appréciation de la fiabilité des preuves, évaluation du risque d’infraction, analyse de la criminalité (pas la police prédictive individuelle).
7. Migration et contrôle aux frontières, évaluation des risques des voyageurs, examen des demandes de visa et d’asile, authentification des documents.
8. Administration de la justice, IA qui assiste les décisions judiciaires, le règlement extrajudiciaire des litiges, la recherche de jurisprudence qui influe sur l’issue des affaires.

Exception importante : l’article 6, paragraphe 3, prévoit qu’un système d’IA visé à l’annexe III n’est pas considéré comme étant à haut risque s’il ne présente pas un risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, par exemple s’il est destiné à accomplir une tâche procédurale étroite, à améliorer le résultat d’une activité humaine précédemment accomplie, à détecter des schémas décisionnels sans remplacer l’évaluation humaine, ou à accomplir une tâche préparatoire. Toutefois, un système d’IA visé à l’annexe III est toujours considéré comme étant à haut risque lorsqu’il procède au profilage de personnes physiques, indépendamment de cette exception.

Exemple concret : une entreprise SaaS fournit un outil d’IA qui analyse des CV et classe les candidats pour les recruteurs. C’est clairement dans l’annexe III, domaine 4 (emploi, recrutement). Le système est à haut risque. Le fournisseur doit mettre en œuvre l’ensemble des obligations du chapitre III avant de le mettre sur le marché de l’Union.

Exemple concret : une entreprise de services publics utilise un système d’IA pour prédire la demande d’électricité et optimiser l’équilibrage de charge du réseau. Cela entre dans l’annexe III, domaine 2 (infrastructures critiques, gestion de l’approvisionnement en électricité). La classification à haut risque s’applique, avec un système de gestion des risques, une documentation technique et une surveillance continue.

Exemple concret : une jeune pousse de legal tech propose un outil d’IA qui recherche la jurisprudence et met en évidence les précédents pertinents pour les avocats. Si l’outil n’accomplit qu’une tâche préparatoire (trouver les affaires pertinentes) sans remplacer ni influencer substantiellement l’évaluation judiciaire, il peut relever de l’exception de l’article 6, paragraphe 3, et ne pas être classé à haut risque. En revanche, s’il classe les affaires selon la pertinence prédite pour l’issue ou suggère comment un juge devrait statuer, il serait à haut risque au titre de l’annexe III, domaine 8.

Pour la méthodologie complète de classification, voir Mon système d’IA est-il à haut risque ?.

Niveau 3 : risque limité (obligations de transparence)

L’article 50 impose des obligations de transparence à certains systèmes d’IA, qu’ils soient ou non à haut risque :

• Les systèmes d’IA qui interagissent avec des personnes doivent divulguer que la personne interagit avec un système d’IA (p. ex. agents conversationnels, assistants virtuels).
• Les systèmes de reconnaissance des émotions et de catégorisation biométrique (ceux qui ne sont pas déjà interdits) doivent informer les personnes qui y sont soumises.
• Les contenus générés ou manipulés par l’IA (hypertrucages, audio / vidéo / images synthétiques) doivent être marqués comme artificiellement générés ou manipulés dans un format lisible par machine.
• Le texte généré par l’IA publié pour informer le public sur des questions d’intérêt public doit être marqué comme généré par l’IA (sauf s’il a fait l’objet d’un contrôle éditorial humain).

Exemple concret : une agence marketing utilise l’IA pour générer des photos de produits qui représentent des personnes d’apparence réaliste qui n’existent pas. Au titre de l’article 50, ces images doivent être marquées comme générées par l’IA. L’agence doit aussi veiller à ce que les métadonnées incluent un marqueur lisible par machine indiquant la génération artificielle.

Niveau 4 : risque minimal

Les systèmes d’IA qui n’entrent dans aucune des catégories ci-dessus n’ont pas d’obligations spécifiques au titre du règlement sur l’IA. Cela comprend :

• les filtres anti-pourriel assistés par l’IA
• les outils d’optimisation des stocks
• les moteurs de recommandation de contenus (pour le divertissement, pas les services essentiels)
• les outils d’aide à la complétion de code
• les tableaux de bord d’analyse internes
• la recherche enrichie par l’IA (non biométrique)

Les fournisseurs de systèmes à risque minimal sont encouragés à adopter des codes de conduite volontaires et doivent se souvenir que le RGPD, le droit de la consommation et d’autres textes peuvent encore s’appliquer.

Comment fonctionne l’évaluation gratuite

L’évaluation Legalithm de classification des risques du règlement sur l’IA suit un processus structuré :

Étape 1 : décrivez votre système d’IA

Vous fournissez une description en langage courant de la destination de votre système d’IA, du contexte dans lequel il opère, et de qui il affecte. Aucune expertise juridique n’est requise : décrivez ce que le système fait comme vous l’expliqueriez à un collègue.

Étape 2 : analyse du système

L’évaluation analyse votre description au regard des critères de classification du règlement sur l’IA :

• Le système implique-t-il une pratique interdite au titre de l’article 5 ?
• Entre-t-il dans un domaine à haut risque de l’annexe III ?
• Est-il un composant de sécurité d’un produit au titre de la législation existante de l’Union sur la sécurité des produits (annexe I) ?
• Déclenche-t-il les obligations de transparence de l’article 50 ?
• L’exception de l’article 6, paragraphe 3, s’applique-t-elle ?

Étape 3 : détermination du rôle

L’évaluation identifie votre rôle probable au titre du règlement sur l’IA :

• Fournisseur, vous développez le système d’IA ou le mettez sur le marché sous votre nom.
• Déployeur, vous utilisez un système d’IA tiers sous votre propre autorité.
• Les deux, vous développez certains systèmes et en déployez d’autres.

Votre rôle détermine quelles obligations spécifiques s’appliquent. Voir obligations du fournisseur et du déployeur pour le détail complet.

Étape 4 : résultats et prochaines étapes

Vous recevez :

• Classification des risques, dans quel niveau tombe votre système.
• Obligations applicables, une liste adaptée à votre niveau de risque et à votre rôle.
• Calendrier d’exécution, quelles échéances s’appliquent à vos obligations.
• Orientation pour les prochaines étapes, des actions concrètes, avec des liens vers les ressources pertinentes.

L’ensemble du processus prend moins de cinq minutes. Lancez maintenant l’évaluation gratuite du règlement sur l’IA.

Ce que vous apprenez de l’évaluation

Si votre système est à haut risque

L’évaluation identifie que votre système exige le programme de conformité complet du chapitre III et dresse les principaux chantiers :

1. Système de gestion des risques, concevoir et mettre en œuvre un processus itératif d’évaluation des risques (article 9).
2. Documentation technique, préparer les neuf sections obligatoires de la documentation de l’annexe IV.
3. Gouvernance des données, veiller à ce que les jeux de données d’entraînement, de validation et d’essai satisfassent aux exigences de qualité (article 10).
4. Évaluation de la conformité, déterminer si une auto-évaluation ou un organisme notifié est requis.
5. Surveillance après mise sur le marché, établir une surveillance continue et des processus de signalement des incidents.

Si votre système est à risque limité

L’évaluation identifie les obligations de transparence spécifiques qui s’appliquent et fournit une orientation pratique pour la mise en œuvre, par exemple comment mettre en place des mentions de divulgation pour un agent conversationnel qui satisfont à l’article 50.

Si votre système est à risque minimal

L’évaluation confirme que vous n’avez pas d’obligations spécifiques au titre du règlement sur l’IA et suggère des pratiques volontaires, tout en rappelant que le RGPD, la réglementation sectorielle et les exigences de maîtrise de l’IA (déjà en vigueur) peuvent encore s’appliquer.

Si votre système peut être interdit

L’évaluation signale l’interdiction pertinente au titre de l’article 5 et recommande un examen immédiat par un conseil juridique. Elle identifie si le système pourrait être retravaillé pour sortir de l’interdiction (p. ex. en ajoutant un contrôle humain significatif pour convertir une pratique entièrement automatisée interdite en un processus admissible sous contrôle humain).

À qui s’adresse l’évaluation

Fondateurs de jeunes pousses

Vous construisez un produit d’IA et devez comprendre votre position réglementaire avant le prochain tour de financement. Les investisseurs, en particulier les fonds européens et les investisseurs institutionnels, demandent de plus en plus des évaluations d’obligations au titre du règlement sur l’IA pendant l’audit préalable. L’évaluation gratuite vous donne une première réponse défendable à « avez-vous évalué vos obligations au titre du règlement sur l’IA ? »

Équipes produit et ingénierie

Vous concevez de nouvelles fonctions d’IA et devez comprendre si une fonction prévue déclencherait une classification à haut risque. L’évaluation vous aide à prendre des décisions produit informées par le risque avant d’engager des ressources de développement, pas après.

Équipes juridiques et de conformité

Vous êtes responsables de la posture réglementaire de l’organisation et avez besoin d’un point de départ structuré pour le programme de conformité au règlement sur l’IA. L’évaluation fournit le fondement de classification sur lequel votre feuille de route de conformité s’appuiera.

Achats et gestion des fournisseurs

Vous évaluez des outils d’IA tiers et devez comprendre le niveau de risque des systèmes que vous déployez. En tant que déployeur, vous avez vos propres obligations, et elles dépendent de la classification des risques du fournisseur.

Conseils et mandataires

Vous conseillez des clients sur la conformité au règlement sur l’IA et avez besoin d’un outil de classification rapide, fondé sur des éléments, à utiliser dans vos missions. L’évaluation fournit un résultat structuré qui sert de base à un travail de conseil plus approfondi.

Études de cas : trois entreprises, trois classifications

Étude de cas 1 : haut risque, jeune pousse RH

Entreprise : une jeune pousse de 15 personnes qui fournit un système de suivi des candidatures assisté par l’IA, lequel trie les CV, classe les candidats et génère des listes restreintes pour les recruteurs.

Résultat de l’évaluation : haut risque (annexe III, domaine 4, emploi, concrètement l’IA utilisée pour les décisions de recrutement). Le système influe directement sur les candidats qui progressent et ceux qui sont écartés, ce qui atteint le seuil d’une incidence significative sur les chances d’emploi des personnes.

Rôle : fournisseur (ils développent et mettent le système sur le marché sous leur propre marque).

Obligations identifiées :

• Mettre en œuvre un système de gestion des risques traitant les risques de biais, d’exactitude et de robustesse dans le contexte du recrutement.
• Préparer la documentation technique de l’annexe IV couvrant l’architecture du modèle, la composition des données d’entraînement, les métriques d’évaluation et les limites connues.
• Conduire une procédure d’évaluation de la conformité fondée sur un contrôle interne (annexe VI) ; un organisme notifié n’est pas requis pour l’IA en matière d’emploi.
• Mettre en œuvre la journalisation afin que les employeurs déployeurs puissent vérifier quels candidats ont été classés et pourquoi.
• Établir une surveillance après mise sur le marché pour la dérive des biais et la dégradation de l’exactitude.
• S’enregistrer dans la base de données de l’UE avant la mise sur le marché.

Prochaines étapes prises : l’équipe a suivi la liste de contrôle de conformité, constitué son inventaire des systèmes d’IA, et commencé à rédiger la documentation de l’annexe IV.

Étude de cas 2 : risque limité, SaaS de support client

Entreprise : une société SaaS de 50 personnes qui fournit un agent conversationnel d’IA pour le support client du commerce électronique. L’agent répond aux questions produits, traite les retours et fait remonter les cas complexes à des agents humains. Il ne prend pas de décisions ayant des effets juridiques ou significatifs ; il facilite les interactions de service client.

Résultat de l’évaluation : risque limité, l’agent conversationnel est un système d’IA qui interagit directement avec des personnes physiques, ce qui déclenche les obligations de transparence de l’article 50. Il n’est pas à haut risque parce que les agents de support client pour des questions générales de vente au détail n’entrent dans aucun domaine de l’annexe III et ne prennent pas de décisions ayant des effets juridiques ou significatifs sur les personnes.

Rôle : fournisseur (ils développent et vendent le produit d’agent conversationnel).

Obligations identifiées :

• Mettre en œuvre une divulgation selon laquelle les personnes interagissent avec un système d’IA au début de chaque conversation.
• Si l’agent génère du texte publié au nom du client de commerce électronique, veiller à ce que le marquage de génération par l’IA soit en place.
• Aucune obligation du chapitre III (système de gestion des risques, évaluation de la conformité, etc.) n’est requise.

Considérations supplémentaires : bien que les obligations du règlement sur l’IA soient limitées, l’agent traite des données à caractère personnel (noms des clients, numéros de commande, contenu des conversations), donc la conformité au RGPD reste essentielle. L’entreprise doit aussi veiller à ce que sa politique de confidentialité couvre le traitement des données par l’agent.

Prochaines étapes prises : l’équipe a ajouté une bannière persistante de divulgation d’IA à l’interface de l’agent et mis à jour sa politique de confidentialité pour décrire le traitement des données par l’agent.

Étude de cas 3 : risque minimal, outil d’analyse interne

Entreprise : une entreprise manufacturière de 200 personnes qui utilise un modèle d’apprentissage automatique développé en interne pour prédire les besoins de maintenance des équipements à partir de données de capteurs (vibration, température, pression). Le système alerte les équipes de maintenance pour planifier un entretien proactif. Il n’interagit pas avec le public, ne traite pas de données à caractère personnel, et ne prend pas de décisions affectant des personnes.

Résultat de l’évaluation : risque minimal, la maintenance prédictive sur des équipements industriels à partir de données de capteurs non personnelles n’entre dans aucun domaine de l’annexe III, n’implique aucune pratique interdite, et n’interagit pas avec des personnes physiques d’une manière qui déclenche l’article 50.

Rôle : déployeur de leur propre système interne (ils l’ont développé pour leur propre usage ; ils ne le mettent pas sur le marché).

Obligations identifiées :

• Pas d’obligations spécifiques au titre du règlement sur l’IA.
• Exigence de maîtrise de l’IA (déjà en vigueur) : veiller à ce que le personnel de maintenance qui se sert du système comprenne suffisamment ses capacités et ses limites.
• Envisager des codes de conduite volontaires pour une utilisation responsable de l’IA.

Prochaines étapes prises : l’entreprise a documenté le système dans son inventaire interne d’IA à des fins de gouvernance et a formé les équipes de maintenance à interpréter les alertes du modèle.

Que faire après la classification

La classification est la ligne de départ, pas l’arrivée. Voici la démarche après classification :

Pour les systèmes à haut risque

1. Constituez votre inventaire des systèmes d’IA, enregistrez pour chaque système le résultat de classification, la destination, le niveau de risque et le rôle. Voir Comment constituer un inventaire des systèmes d’IA.
2. Suivez la liste de contrôle de conformité, la liste de contrôle 2026 du règlement sur l’IA fournit un plan d’action étape par étape.
3. Commencez la documentation technique, commencez à rédiger la documentation de l’annexe IV le plus tôt possible. C’est en général le chantier le plus long.
4. Conduisez une FRIA, si vous êtes déployeur (surtout dans le secteur public), menez une évaluation d’impact sur les droits fondamentaux.
5. Préparez l’évaluation de la conformité, déterminez si l’auto-évaluation ou un organisme notifié s’applique.
6. Coordonnez avec la conformité au RGPD, si votre système traite des données à caractère personnel, alignez votre programme au titre du règlement sur l’IA avec vos obligations RGPD. Voir Règlement sur l’IA et RGPD.

Pour les systèmes à risque limité

1. Mettez en œuvre les divulgations de transparence, mentions d’interaction avec l’IA, marquage des contenus, notifications de reconnaissance des émotions / catégorisation biométrique selon le cas.
2. Mettez à jour votre politique de confidentialité, voir la liste de contrôle de politique de confidentialité pour les entreprises d’IA.
3. Documentez la classification, consignez pourquoi le système est à risque limité, pas à haut risque. C’est votre preuve si une autorité demande.

Pour les systèmes à risque minimal

1. Documentez la décision de classification, consignez l’évaluation et le raisonnement dans vos dossiers internes.
2. Remplissez les exigences de maîtrise de l’IA, déjà exécutoires depuis février 2025.
3. Envisagez des pratiques volontaires, les codes de conduite et les cadres d’IA responsable construisent la confiance auprès des clients et des autorités.
4. Surveillez une possible reclassification, si la destination du système change, ou si la Commission met à jour la liste de l’annexe III, réévaluez.

Exigences de maîtrise de l’IA, déjà en vigueur

Une obligation s’applique à toutes les organisations qui recourent à des systèmes d’IA, quel que soit le niveau de risque : l’article 4 exige que les fournisseurs et les déployeurs veillent à ce que leur personnel et les autres personnes chargées du fonctionnement et de l’utilisation des systèmes d’IA en leur nom aient un niveau suffisant de maîtrise de l’IA, en tenant compte :

• de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation ;
• du contexte dans lequel les systèmes d’IA doivent être utilisés ;
• des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA doivent être utilisés.

Cette obligation est exécutoire depuis le 2 février 2025. Les étapes pratiques comprennent :

• des programmes de formation pour les salariés qui interagissent avec des systèmes d’IA ;
• une formation spécifique au rôle (les équipes techniques ont besoin d’une formation différente de celle des équipes métier) ;
• des dossiers documentés des formations dispensées ;
• une formation de rappel périodique à mesure que les systèmes d’IA et les textes évoluent.

Échéances à venir

L’échéance à haut risque du 2 décembre 2027 est la plus exigeante sur le plan opérationnel. Les organisations qui n’ont pas encore classé leurs systèmes d’IA sont déjà en retard sur le calendrier recommandé pour atteindre la conformité à cette date.

Erreurs fréquentes dans la classification des risques

1. Classer selon la technologie, pas selon la destination. Un grand modèle de langage n’est pas intrinsèquement à haut risque. Un grand modèle de langage utilisé pour trier des candidatures l’est. La classification dépend de la destination et du contexte, pas de la technologie sous-jacente.
2. Ignorer le mécanisme de mise à jour de l’annexe III. La Commission européenne peut ajouter de nouveaux cas d’usage à haut risque à l’annexe III par des actes délégués. Un système classé aujourd’hui à risque minimal pourrait devenir à haut risque si la liste est élargie.
3. Supposer que les déployeurs n’ont pas à classer. Les déployeurs de systèmes d’IA à haut risque ont leurs propres obligations, et ils doivent vérifier la classification du fournisseur. Si un déployeur change la destination d’un système, le système doit être reclassé, et le déployeur peut devenir fournisseur.
4. S’appuyer sur l’exception de l’article 6, paragraphe 3, sans documentation. L’exception pour les systèmes de l’annexe III qui ne présentent pas de risque important est étroite. Si vous vous en prévalez, documentez votre raisonnement de façon approfondie : les autorités attendront des preuves, pas des assertions.
5. Classer une fois et ne jamais y revenir. La classification doit être réévaluée lorsque la destination du système change, lorsque le système est modifié (p. ex. affiné pour un nouveau cas d’usage), ou lorsque le cadre réglementaire est mis à jour. Intégrez des déclencheurs de réévaluation dans votre processus de conformité.
6. Confondre la classification du règlement sur l’IA avec l’évaluation interne des risques. Votre cadre interne de risque peut étiqueter un système « risque moyen » à des fins métier, mais le règlement sur l’IA a sa propre logique binaire : soit un système entre dans un domaine de l’annexe III (haut risque), soit il n’y entre pas. Les étiquettes internes n’écartent pas la classification réglementaire.

Questions fréquentes

L’évaluation de classification des risques est-elle vraiment gratuite ?

Oui. L’évaluation gratuite du règlement sur l’IA fournit une classification complète des risques, une détermination du rôle et un résumé des obligations, sans frais. Si vous devez poursuivre vers la rédaction détaillée de la documentation de l’annexe IV et l’export PDF, cela est disponible dans le parcours payant, mais la classification elle-même est gratuite.

Quelle est la précision de la classification automatisée ?

L’évaluation rattache votre description aux critères de classification du règlement de façon systématique. Elle fournit une classification préliminaire solide, adaptée à la planification. Pour les cas limites ou les systèmes qui pourraient relever de l’exception de l’article 6, paragraphe 3, nous recommandons de valider le résultat avec un conseil juridique avant de finaliser votre stratégie de conformité.

Puis-je classer plusieurs systèmes d’IA ?

Oui. Lancez l’évaluation séparément pour chaque système d’IA distinct. Différents systèmes au sein de la même organisation peuvent avoir des niveaux de risque différents : un agent conversationnel de support client assisté par l’IA (risque limité) et un modèle de notation de crédit fondé sur l’IA (haut risque) dans la même entreprise exigent des approches de conformité différentes.

Que se passe-t-il si mon système couvre plusieurs domaines de l’annexe III ?

Un même système peut être à haut risque au titre de plusieurs catégories de l’annexe III (p. ex. un système biométrique utilisé dans les activités répressives touche à la fois le domaine 1 et le domaine 6). Le système est classé à haut risque, et les obligations s’appliquent sur la base de la catégorie applicable la plus exigeante. L’évaluation identifie tous les domaines pertinents.

La classification change-t-elle si je modifie mon système d’IA ?

Oui. Si vous modifiez la destination, élargissez le contexte de déploiement, ou changez substantiellement la fonctionnalité du système, vous devez réévaluer la classification. L’ajout d’un nouveau cas d’usage (p. ex. adapter un outil d’analyse interne à l’évaluation des performances des salariés) peut faire basculer un système à risque minimal vers le haut risque.

Que dois-je apporter à l’évaluation ?

Vous devez pouvoir décrire : ce que fait le système d’IA, quelles décisions ou sorties il produit, qui est affecté par ces sorties, et le contexte dans lequel il opère (secteur, géographie, base de personnes concernées). Les détails techniques sur l’architecture du modèle sont utiles mais pas requis pour la classification.

Prêt à classer votre système d’IA ? Lancez l’évaluation gratuite du règlement sur l’IA et obtenez votre classification des risques, les obligations applicables et les prochaines étapes en moins de cinq minutes.

Pour le tableau réglementaire complet, explorez le guide complet du règlement sur l’IA.

Legalithm est un outil d’aide à la conformité assisté par l’IA, et non un conseil juridique. Les décisions finales de conformité doivent être examinées par un conseil juridique qualifié.