Classificateur de risque de l'AI Act : quelles obligations pour votre système ?

Cinq niveaux de risque, un règlement déjà applicable.

L'AI Act — Règlement (UE) 2024/1689 — est la première loi complète sur l'intelligence artificielle au monde. Il est entré en vigueur le 1er août 2024, mais il ne s'applique pas d'un coup : il se déploie par phases, et chaque phase apporte des obligations et des sanctions différentes selon ce que fait votre système et le rôle que vous jouez à son égard. La confusion la plus fréquente chez les PME n'est pas d'ignorer l'existence de l'AI Act, mais de ne pas savoir dans quel niveau de risque se situe leur cas précis — et c'est cette classification qui détermine s'il faut agir maintenant, dans quelques mois, ou pas du tout.

Le Règlement organise les systèmes d'IA selon une pyramide à quatre niveaux. À la base, la plupart des usages courants de l'IA (analytique interne, automatisation de tâches, IA comme copilote de productivité) ne génèrent aucune obligation spécifique au-delà de la culture de l'IA prévue à l'art. 4 : que la personne qui exploite ou utilise le système comprenne ses capacités et ses limites. Au-dessus, le risque limité de l'art. 50 impose la transparence : il doit être clair qu'on interagit avec un chatbot, et le contenu synthétique — image, audio, vidéo ou texte généré ou manipulé, y compris les deepfakes — doit être identifié comme tel. Ces obligations s'appliquent depuis le 2 août 2026, avec une période transitoire jusqu'au 2 décembre 2026 pour le marquage technique des contenus déjà en circulation.

Haut risque : les huit domaines de l'annexe III

Le niveau de haut risque couvre les systèmes qui interviennent dans des décisions ayant un impact réel sur les personnes : biométrie, infrastructures critiques, éducation, emploi et gestion des salariés, accès aux services essentiels (crédit, assurance, prestations sociales), activités répressives, migration et contrôle aux frontières, et administration de la justice. S'y ajoute l'annexe I : les systèmes d'IA qui sont un composant de sécurité d'un produit déjà réglementé par une autre législation européenne — machines, jouets, dispositifs médicaux, ascenseurs, aviation, véhicules. C'est là que les PME se trompent le plus souvent : un outil de sélection de personnel, un système de notation du risque de crédit ou un système de vidéosurveillance avec analyse peuvent relever de l'annexe III sans que personne dans l'entreprise ne l'ait jamais qualifié d'« IA à haut risque ».

Et voici l'élément qui change le plus le calcul des délais : le paquet de simplification connu sous le nom de Digital Omnibus, avec l'accord final du Parlement européen (16 juin 2026) et du Conseil de l'UE (29 juin 2026), reporte les obligations spécifiques de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles de l'annexe I (produits réglementés) du 2 août 2027 au 2 août 2028. Les changements entrent en vigueur après leur publication au Journal officiel de l'UE, prévue pour juillet 2026. Ce qui n'est pas reporté, c'est l'application générale du Règlement au 2 août 2026 : c'est ce jour-là qu'entrent en vigueur la transparence de l'art. 50, la culture de l'IA et la pleine applicabilité des sanctions pour les pratiques interdites, les modèles GPAI et la transparence.

Pratiques interdites et modèles GPAI

Au sommet de la pyramide se trouvent les huit pratiques interdites de l'art. 5 — manipulation subliminale, exploitation de vulnérabilités, notation sociale, prédiction d'infractions par profilage, collecte massive de visages, reconnaissance des émotions au travail ou à l'école, catégorisation biométrique de données sensibles et identification biométrique à distance en temps réel à des fins répressives. Elles sont interdites sans exception depuis le 2 février 2025 : on ne les légalise pas en ajustant le consentement, on les retire. Indépendamment de cette pyramide de risque par usage, le chapitre V encadre les fournisseurs de modèles d'IA à usage général (GPAI) — les modèles de base sur lesquels d'autres construisent — avec des obligations de documentation technique, de résumé des données d'entraînement et de respect du droit d'auteur applicables depuis le 2 août 2025.

En Espagne, l'autorité de référence est l'Agence espagnole de supervision de l'intelligence artificielle (AESIA, dont le siège est à La Corogne, créée par le décret royal 729/2023), mais le cadre légal détaillant son régime de sanctions national — le projet de loi organique pour le bon usage et la gouvernance de l'IA, transmis au Congrès le 26 mai 2026 — est encore en cours d'examen parlementaire. Cela ne retarde rien : s'agissant d'un règlement et non d'une directive, l'AI Act et ses sanctions de l'art. 99 sont d'application directe dans toute l'UE sans attendre que chaque pays adopte sa loi de transposition, comme c'est le cas pour DORA dans le secteur financier.

Si le test vous situe dans le haut risque ou l'interdiction, notre plan de 90 jours pour mettre une PME en conformité avec l'annexe III de l'AI Act vous donne la feuille de route complète, et si vous préférez un système de gestion certifiable plutôt qu'un plan ad hoc, l'ISO 42001 de gestion de l'IA couvre une grande partie des mêmes obligations documentaires. Tout cela fait partie de notre pôle de conformité réglementaire, où nous traitons aussi l'ENS, la NIS2, DORA et le RGPD. Et si vous ne savez pas encore si ces réglementations vous concernent également, notre outil complémentaire quelle réglementation s'applique à moi ? les croise toutes en une fois.