AI Act classification risques entreprise – guide 2026

Le Règlement (UE) 2024/1689, connu sous le nom d’AI Act, et au cœur de l’AI Act classification risques entreprise, introduit une obligation nouvelle pour toutes les entreprises qui utilisent, déploient ou développent des systèmes d’intelligence artificielle sur le territoire européen : classifier leurs usages selon un niveau de risque. Cette classification n’est pas une formalité administrative.

Elle détermine directement les obligations auxquelles votre organisation est soumise, les sanctions encourues en cas de non-conformité, et le calendrier à respecter pour se mettre en ordre. Comprendre la logique de l’AI Act classification risques entreprise est donc une priorité stratégique, que vous soyez fournisseur d’un outil d’IA ou simple utilisateur d’une solution tierce.

AI Act classification risques entreprise – guide 2026

Temps de lecture : ~10 min

1. Les quatre niveaux de risque de l’AI Act
2. Comment identifier un système d’IA à haut risque selon l’article 6 et l’annexe III
3. Les obligations concrètes selon le niveau de risque
4. Comment cartographier vos usages d’IA pour se conformer à l’AI Act
5. Exemples concrets par secteur
6. Calendrier de mise en conformité AI Act pour les entreprises
7. FAQ

Les quatre niveaux de risque de l’AI Act

Présentation des quatre niveaux de risque

L’AI Act repose sur une architecture graduée à quatre niveaux de risque, chacun entraînant des obligations proportionnées à l’impact potentiel du système sur les droits fondamentaux et la sécurité des personnes.

Le niveau « risque inacceptable » correspond aux systèmes d’IA que le règlement interdit purement et simplement sur le marché européen. Sont visés notamment les systèmes de notation sociale fondés sur le comportement ou les caractéristiques personnelles des individus, les outils qui exploitent la vulnérabilité de personnes en raison de leur âge ou de leur handicap pour influencer leurs décisions, ainsi que certaines formes d’identification biométrique à distance en temps réel dans des espaces accessibles au public, hors exceptions strictement encadrées. Ces systèmes ne peuvent ni être mis sur le marché, ni être exploités dans l’Union européenne.

Le niveau « haut risque » concerne les systèmes d’IA autorisés, mais soumis à un ensemble d’obligations de conformité renforcées. Il s’agit des systèmes susceptibles d’avoir un impact significatif sur la santé, la sécurité ou les droits fondamentaux des personnes. Ce niveau est celui qui concentre la majorité des exigences réglementaires et qui demande le plus de préparation de la part des entreprises.

Le niveau « risque limité », parfois appelé niveau de transparence, vise principalement les systèmes d’IA qui interagissent directement avec des utilisateurs humains, comme les chatbots, les assistants virtuels ou les générateurs de contenu. L’obligation centrale est ici d’informer clairement les utilisateurs qu’ils interagissent avec un système automatisé, et non avec un être humain.

Le niveau « risque minimal » regroupe les systèmes d’IA qui ne présentent qu’un risque négligeable pour les droits fondamentaux ou la sécurité. Les filtres antispam, les moteurs de recommandation simples ou les outils de productivité de base entrent généralement dans cette catégorie. Aucune obligation spécifique au titre de l’AI Act ne s’applique à ces systèmes, même si les bonnes pratiques de gouvernance restent recommandées.

Comment identifier un système d’IA à haut risque selon l’article 6 et l’annexe III

Les deux scénarios de qualification en haut risque

L’article 6 de l’AI Act fixe les critères permettant de qualifier un système d’IA comme relevant du haut risque. Deux scénarios distincts conduisent à cette qualification.

Dans le premier scénario, le système d’IA est un composant de sécurité d’un produit réglementé, ou constitue lui-même un tel produit, et ce produit est soumis à une évaluation de conformité par un organisme tiers au titre de la législation d’harmonisation de l’Union européenne. Sont concernés, par exemple, les dispositifs médicaux, les machines industrielles, les équipements aéronautiques ou les véhicules, dès lors qu’un système d’IA y joue un rôle dans la sécurité.

Dans le second scénario, le système d’IA relève d’un des domaines d’utilisation explicitement listés dans l’annexe III du règlement. Ces domaines sont au nombre de huit :

• la biométrie (identification, catégorisation, reconnaissance d’émotions)
• les infrastructures critiques comme les réseaux de transport ou d’énergie
• l’éducation et la formation professionnelle
• l’emploi et la gestion de la main-d’œuvre, incluant le recrutement et l’évaluation des salariés
• l’accès aux services essentiels comme le crédit, l’assurance ou les prestations sociales
• le maintien de l’ordre public
• la gestion des flux migratoires et le contrôle aux frontières
• l’administration de la justice et les processus démocratiques

Pour les entreprises françaises des secteurs régulés, plusieurs de ces domaines sont directement concernés. Un outil d’IA utilisé pour trier des candidatures en ressources humaines, pour évaluer la solvabilité d’un client, pour orienter un patient vers un parcours de soins ou pour analyser des comportements dans un établissement médico-social peut relever du haut risque selon l’usage précis qui en est fait.

Bon à savoir
Un système d’IA à haut risque reste autorisé à être utilisé et commercialisé dans l’Union européenne. C’est le niveau d’exigences de conformité qui change, pas l’autorisation d’usage elle-même.

Les obligations concrètes selon le niveau de risque

La table suivante synthétise les principales obligations associées à chaque niveau de risque, ainsi que les sanctions maximales prévues par le règlement.

Obligations et sanctions par niveau de risque de l’AI Act

Niveau de risque	Exemples d’usages	Principales obligations	Sanctions maximales
Risque inacceptable	Notation sociale, surveillance biométrique en temps réel dans l’espace public	Interdiction totale de mise sur le marché et d’exploitation dans l’UE	Jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial
Haut risque	Scoring RH, crédit, dispositifs médicaux IA, outils de recrutement algorithmique	Gestion des risques, documentation technique, traçabilité (logs), surveillance humaine, évaluation de conformité, marquage CE, enregistrement dans la base de données UE, surveillance post-commercialisation	Jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial
Risque limité	Chatbots, assistants virtuels, générateurs de contenu textuel	Information claire des utilisateurs sur l’interaction avec un système d’IA, signalement du contenu généré artificiellement	Jusqu’à 7,5 M€ ou 1,5 % du chiffre d’affaires mondial
Risque minimal	Filtres antispam, recommandations simples, outils de productivité de base	Aucune obligation spécifique AI Act, conformité RGPD maintenue	Non applicable au titre de l’AI Act

Pour les systèmes à haut risque, les obligations sont particulièrement structurantes. L’entreprise doit mettre en place un système de gestion des risques documenté et maintenu à jour tout au long du cycle de vie du système d’IA. Elle doit garantir la qualité, la représentativité et la gouvernance des données utilisées pour entraîner ou tester le système. Elle doit assurer une traçabilité complète via des journaux d’événements permettant de reconstituer les décisions en cas d’incident ou de contrôle. Elle doit également organiser une surveillance humaine appropriée, de sorte qu’aucune décision critique ne soit prise de manière entièrement automatisée sans possibilité d’intervention ou de contestation. Enfin, avant toute mise sur le marché, une évaluation de conformité doit être conduite, souvent avec l’intervention d’un organisme notifié, et le système doit être enregistré dans la base de données européenne dédiée aux systèmes d’IA à haut risque. Les sanctions prévues par le règlement visent à garantir le respect effectif de ces obligations.

Comment cartographier vos usages d’IA pour se conformer à l’AI Act

Les étapes de la cartographie des usages d’IA

La cartographie des usages d’IA est le point de départ incontournable de toute démarche de mise en conformité. Elle consiste à recenser l’ensemble des systèmes d’IA utilisés ou développés dans votre organisation, qu’ils soient intégrés dans des solutions tierces ou développés en interne, et à analyser chacun d’eux selon la logique de classification du règlement.

La démarche se déroule en quatre étapes principales :

1. Identifier tous les systèmes d’IA présents dans votre organisation : outils de recrutement, systèmes de scoring client, assistants conversationnels, outils d’analyse prédictive, solutions de gestion documentaire avec IA, etc.
2. Analyser l’usage précis de chaque système et le domaine dans lequel il opère, en vérifiant s’il est composant de sécurité d’un produit réglementé ou s’il relève d’un des cas d’usage de l’annexe III.
3. Attribuer un niveau de risque à chaque système selon les critères de l’article 6 et des annexes du règlement.
4. Aligner les mesures de conformité sur le niveau de risque identifié : gestion des risques renforcée pour le haut risque, obligations de transparence pour le risque limité, bonnes pratiques générales pour le risque minimal.

Une attention particulière doit être portée au fait que l’AI Act s’applique non seulement aux fournisseurs de systèmes d’IA, mais aussi aux déployeurs, c’est-à-dire aux entreprises qui utilisent une solution d’IA développée par un tiers dans un contexte professionnel. Si votre organisation déploie un outil d’IA à haut risque, des obligations vous incombent directement, même si vous n’avez pas développé le système.

À retenir
L’AI Act distingue les fournisseurs, qui conçoivent et mettent sur le marché des systèmes d’IA, des déployeurs, qui les utilisent dans un contexte professionnel. Les deux catégories sont soumises à des obligations, même si elles diffèrent en nature et en intensité selon le niveau de risque.

Exemples concrets par secteur

Pour illustrer la logique de classification, voici comment elle s’applique dans plusieurs secteurs régulés.

Dans le secteur des ressources humaines, un outil d’IA utilisé pour trier automatiquement des candidatures ou pour évaluer les performances des salariés relève du haut risque au titre de l’emploi et de la gestion de la main-d’œuvre (annexe III). Les obligations de traçabilité des décisions algorithmiques et de surveillance humaine s’appliquent pleinement. En revanche, un assistant d’IA générative utilisé pour rédiger des offres d’emploi ou préparer des comptes rendus de réunion relève du risque limité et n’impose que des obligations de transparence envers les utilisateurs.

Dans le secteur bancaire et assurantiel, un système de scoring algorithmique utilisé pour évaluer la solvabilité d’un client ou déterminer l’éligibilité à une assurance relève du haut risque. Un chatbot d’assistance client qui répond à des questions générales sur les produits relève du risque limité.

Dans le secteur médico-social, un outil d’aide à la décision clinique ou un système d’orientation des patients vers un parcours de soins peut relever du haut risque selon la nature de l’impact sur la santé. Un outil d’IA générative utilisé pour rédiger des transmissions infirmières ou préparer des projets personnalisés relève du risque limité, à condition que la décision finale reste entre les mains des professionnels.

Dans le secteur public, un système d’IA utilisé pour évaluer l’éligibilité à des prestations sociales ou pour analyser des comportements dans le cadre du maintien de l’ordre relève du haut risque. Un assistant d’IA utilisé pour rédiger des notes à destination des élus ou préparer des délibérations relève du risque limité.

Ces exemples montrent que la classification dépend avant tout de l’usage concret du système et du contexte dans lequel il est déployé, pas uniquement de la technologie sous-jacente. Une même technologie d’IA générative peut relever de niveaux de risque différents selon qu’elle est utilisée pour rédiger un rapport d’activité ou pour prendre une décision ayant un impact sur les droits d’une personne.

Calendrier de mise en conformité AI Act pour les entreprises

L’AI Act est entré en vigueur le 1er août 2024. Son application est progressive selon les catégories concernées. Les interdictions relatives aux systèmes à risque inacceptable sont applicables depuis le 2 février 2025. Les obligations relatives aux systèmes à haut risque relevant de l’annexe III s’appliquent à partir du 2 août 2026 pour les fournisseurs et à partir du 2 août 2027 pour certains déployeurs. Les systèmes à haut risque relevant de l’annexe I suivent un calendrier légèrement décalé, avec une application prévue pour certains cas jusqu’en 2028.

Ces échéances peuvent sembler lointaines, mais la mise en conformité pour les systèmes à haut risque est un processus long. La cartographie des usages, la mise en place d’un système de gestion des risques, la production de la documentation technique et l’organisation de la surveillance humaine demandent plusieurs mois de travail. Les entreprises qui opèrent dans des secteurs régulés ont tout intérêt à engager cette démarche dès maintenant, en commençant par identifier leurs systèmes à haut risque et en structurant leur gouvernance de l’IA en conséquence.

Chez SafeBrain, nous accompagnons les organisations des secteurs régulés dans le déploiement d’une IA générative souveraine, hébergée en France, conçue pour répondre aux exigences de conformité réglementaire et de maîtrise des données. Nos cas d’usage sont pensés pour s’inscrire dans une logique de risque limité ou minimal, avec une surveillance humaine intégrée dans chaque processus. Pour en savoir plus sur notre approche de la gouvernance de l’IA, vous pouvez consulter notre article dédié sur la gouvernance IA et le comité éthique ainsi que notre guide sur l’AI Act et la conformité RGPD.

Ce qu’il faut retenir pour votre entreprise

Classer vos usages d’IA selon l’AI Act classification risques entreprise n’est pas un exercice théorique : cette démarche conditionne directement vos obligations, vos processus de gouvernance et votre exposition aux sanctions. En recensant vos systèmes, en identifiant ceux qui relèvent du haut risque et en mettant en place une gestion des risques proportionnée, vous transformez une contrainte réglementaire en levier de maîtrise et de confiance autour de l’IA dans votre organisation.

FAQ

L’AI Act s’applique-t-il à une entreprise qui utilise une IA sans l’avoir développée ?

Oui. L’AI Act distingue les fournisseurs, qui conçoivent les systèmes d’IA, et les déployeurs, qui les utilisent dans un contexte professionnel. Les déployeurs de systèmes à haut risque sont soumis à des obligations spécifiques, notamment en matière de surveillance humaine, de tenue de journaux d’événements et d’information des utilisateurs finaux.

Un assistant d’IA générative utilisé en interne est-il concerné par l’AI Act ?

Dans la plupart des cas, un assistant d’IA générative utilisé pour des tâches de rédaction, de synthèse ou de recherche documentaire relève du niveau de risque limité. L’obligation principale est d’informer les utilisateurs qu’ils interagissent avec un système automatisé. Si cet assistant est utilisé pour prendre des décisions ayant un impact sur les droits des personnes, comme une décision de recrutement ou d’accès à un service, la qualification peut évoluer vers le haut risque.

Quelles sont les premières actions concrètes à mener pour se conformer à l’AI Act ?

La première action est de réaliser une cartographie complète de tous les systèmes d’IA utilisés dans l’organisation, en précisant pour chacun l’usage exact, le domaine d’application et le rôle du système dans les processus de décision. Cette cartographie permet d’identifier les systèmes potentiellement à haut risque et de prioriser les actions de mise en conformité.

Un outil de scoring crédit ou d’évaluation assurantielle est-il automatiquement à haut risque ?

Oui, selon l’annexe III de l’AI Act, les systèmes d’IA utilisés pour évaluer la solvabilité de personnes physiques ou pour déterminer l’éligibilité à des produits d’assurance relèvent du haut risque, dès lors qu’ils ont un impact significatif sur la décision finale. Les obligations de documentation, de traçabilité et de surveillance humaine s’appliquent.

Comment savoir si mon système d’IA relève de l’annexe I ou de l’annexe III ?

L’annexe I liste les législations européennes d’harmonisation sectorielles (dispositifs médicaux, machines, aéronautique, etc.) dans le cadre desquelles un composant d’IA peut être qualifié à haut risque. L’annexe III liste directement les domaines d’usage à haut risque, indépendamment du produit dans lequel l’IA est intégrée. La Commission européenne a publié des lignes directrices provisoires sur la classification des systèmes à haut risque qui détaillent ces deux scénarios avec des exemples concrets.