Votre outil IA est-il à haut risque au sens européen ? Comment trancher
L'EU AI Act impose une classification précise de chaque système d'IA utilisé en entreprise. Voici comment déterminer concrètement si votre outil tombe…
Par Laurent Maréchal · · 6 min de lecture
Depuis l'entrée en application progressive de l'EU AI Act, une question revient systématiquement lors des diagnostics que nous menons auprès des PME belges et françaises : « Notre outil IA, il est concerné par quoi exactement ? » La réponse honnête, c'est que ça dépend. Pas de ce que l'outil fait en surface, mais de l'usage que vous en faites, du secteur dans lequel vous opérez, et des décisions qu'il influence. Voici une méthode claire pour trancher sans vous perdre dans les textes juridiques.
Ce que dit concrètement l'EU AI Act sur les niveaux de risque
Le règlement européen classe les systèmes d'IA en quatre grandes catégories : risque inacceptable (interdit), haut risque (encadré strictement), risque limité (obligations de transparence) et risque minimal (quasiment libre). La grande majorité des PME ne touche pas à la catégorie interdite. En revanche, la frontière entre haut risque et risque limité est bien moins évidente qu'il n'y paraît.
Un système à haut risque, selon le texte, est un système utilisé dans des domaines sensibles listés en annexe : recrutement et gestion RH, accès au crédit, évaluation scolaire, sécurité des infrastructures, gestion des migrations, administration de la justice. Si votre outil IA intervient dans l'un de ces contextes pour prendre ou influencer une décision qui affecte une personne physique, vous êtes potentiellement dans la zone rouge réglementaire.
Les trois questions à vous poser avant tout
Plutôt que de lire l'intégralité du règlement, commencez par trois questions simples :
1. Qui est affecté par la décision ?
Si l'output de votre IA influence directement la situation d'un individu — un candidat à un poste, un client qui demande un crédit, un élève évalué — le niveau de vigilance monte automatiquement. Un outil qui classe des factures ou résume des réunions internes ne produit pas ce type d'impact.
2. Dans quel secteur opère cet outil ?
L'annexe III du règlement liste les secteurs sensibles. Si votre activité principale touche à l'emploi, aux services financiers, à l'éducation ou à la santé, et que votre outil IA y joue un rôle décisionnel, la classification haut risque est probable.
3. L'humain reste-t-il dans la boucle ?
Un outil qui suggère sans décider n'est pas automatiquement haut risque. Mais si en pratique la recommandation de l'IA est suivie sans examen critique, le régulateur peut considérer que le contrôle humain est fictif. Ce point est souvent sous-estimé dans les PME où les équipes font confiance à l'outil sans procédure de validation formelle.
Les cas concrets qui surprennent les dirigeants
Plusieurs situations courantes méritent une attention particulière. Un logiciel de tri de CV connecté à un modèle de scoring automatique ? Haut risque RH. Un chatbot de service client qui répond à des questions générales sur vos produits ? Risque limité, obligation de transparence suffisante. Un outil d'analyse de solvabilité intégré à votre CRM pour qualifier des leads ? Potentiellement haut risque selon la façon dont il est utilisé dans le processus de décision commerciale.
Ce qui surprend souvent les dirigeants, c'est que la classification ne dépend pas du nom commercial de l'outil ni de ce que dit la fiche produit du fournisseur. Elle dépend de votre usage réel dans votre contexte métier. Un même modèle de langage peut être à risque minimal dans une entreprise et à haut risque dans une autre.
Pour les PME qui veulent s'assurer d'être en règle sur ce point, le site Audityo propose un accompagnement spécialisé en conformité EU AI Act pour les PME, avec une approche pragmatique adaptée aux structures qui n'ont pas de juriste IA en interne.
Ce que la classification haut risque implique réellement
Si votre outil tombe dans cette catégorie, les obligations sont concrètes et non négociables. Vous devez notamment : documenter le système dans un registre technique, mettre en place une supervision humaine effective et traçable, évaluer les risques avant déploiement, garantir la qualité et la représentativité des données utilisées, et assurer la transparence vis-à-vis des personnes concernées.
Ces obligations s'appliquent à vous en tant qu'utilisateur professionnel (ce que le règlement appelle le « déployeur »), même si vous n'avez pas développé l'outil vous-même. Acheter une solution clé en main ne vous exonère pas de responsabilité sur la façon dont vous l'utilisez.
Pour structurer cette démarche de conformité sans partir de zéro, notre page sur les solutions IA pour PME détaille les approches que nous mettons en place selon le niveau de risque identifié.
Par où commencer si vous n'avez pas encore fait le point
La première étape, c'est d'établir un inventaire de tous les outils IA actifs dans votre entreprise — y compris ceux utilisés de façon informelle par certaines équipes. Beaucoup de PME découvrent lors d'un Diagnostic IA qu'elles utilisent bien plus de systèmes automatisés qu'elles ne le pensaient : scoring commercial, analyse de sentiment sur les avis clients, génération automatique de contenus diffusés publiquement, outils de planification RH.
Une fois l'inventaire fait, chaque outil est passé au filtre des trois questions évoquées plus haut. Le résultat, c'est une cartographie simple avec trois colonnes : outil, usage réel, niveau de risque probable. À partir de là, vous savez où concentrer vos efforts de mise en conformité.
Si votre activité inclut de la communication audio ou des contenus générés par IA diffusés en voix, notez que la transparence sur l'origine artificielle du contenu est une obligation dès le risque limité. Des acteurs comme Distr Action, spécialisé en production de spots radio, voice-over et sound design, intègrent déjà ces exigences dans leur processus de production pour leurs clients.
Ce que cette démarche change pour votre entreprise
Au-delà de la conformité réglementaire, classifier correctement vos outils IA a un effet secondaire utile : ça force une réflexion sur la qualité de vos processus décisionnels. Qui valide quoi ? Sur quelle base ? Avec quelle traçabilité ? Ces questions, beaucoup de PME ne se les posaient pas avant que la réglementation les y oblige. Résultat : des processus mieux documentés, une meilleure gestion des risques opérationnels, et une posture plus solide face aux clients ou partenaires qui commencent à demander des garanties sur l'usage de l'IA.
La conformité n'est pas une contrainte administrative supplémentaire. C'est une occasion de mettre de l'ordre dans des pratiques qui se sont souvent développées vite, sans cadre clair. Les PME qui s'y attellent maintenant auront une longueur d'avance sur celles qui attendront une mise en demeure.
Conclusion
La classification du risque de vos systèmes IA n'est pas un exercice réservé aux grandes entreprises avec des équipes juridiques dédiées. C'est une démarche accessible, à condition de partir des bonnes questions et d'avoir une vision claire de vos usages réels. Si vous voulez faire ce point sérieusement, sans y passer des semaines, commencez par un rendez-vous de découverte de trente minutes, offert et sans engagement : réservez votre audit IA sur ainspiration.eu et repartez avec une première cartographie de vos outils et de leur niveau de risque.