Classer un système IA par niveau de risque

L'EU AI Act ne traite pas tous les usages de la même façon. Il les classe par niveau de risque. La très grande majorité des usages de PME relève du risque limité.

Les quatre niveaux, en langage clair

Le règlement européen distingue quatre situations. Le classement dépend de l'usage, pas de la technologie.

• Risque inacceptable : usages interdits en Europe. Par exemple la notation sociale des personnes, ou la manipulation de personnes vulnérables.
• Haut risque : usages qui touchent les droits ou l'accès aux services essentiels. Ils demandent une documentation lourde et une supervision humaine renforcée.
• Risque limité : usages qui demandent surtout de la transparence. On doit savoir qu'un contenu ou un échange vient d'une IA.
• Risque minimal : le reste, sans obligation particulière au titre du règlement.

Un même outil peut changer de niveau selon ce que vous en faites. Rédiger une offre d'emploi n'est pas trier des candidatures.

Ce qu'est l'annexe III

L'annexe III est la liste des usages classés à haut risque. Elle vise des domaines précis, et non des outils précis.

On y trouve notamment le recrutement et la gestion des salariés. Figurent aussi l'accès au crédit ou à l'assurance, l'éducation et la formation. S'y ajoutent certains services publics essentiels et plusieurs usages biométriques.

Regardez donc votre finalité. Dans ces domaines, un système qui pèse sur une décision mérite un examen attentif.

Dans une PME, l'IA sert surtout à rédiger, résumer, traduire, trier des informations ou préparer un document. Un humain relit et décide.

Ces usages relèvent du risque limité. Vos obligations portent alors sur la transparence, l'information des personnes et une trace écrite de vos règles internes.

Le sujet devient sensible quand l'IA pèse sur une décision concernant une personne. Le tri de candidatures est le cas le plus fréquent en PME.

Ce qui est en vigueur aujourd'hui

L'obligation applicable maintenant est l'article 4, la littératie IA. Elle s'applique depuis le 2 février 2025 et concerne toute entreprise dont les salariés utilisent l'IA.

Les obligations de transparence de l'article 50 s'appliquent, elles, depuis le 2 août 2026. Elles concernent l'information des personnes quand un contenu ou un échange vient d'une IA.

Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a repoussé les obligations haut risque de l'annexe III. La nouvelle échéance est décembre 2027. L'urgence porte donc sur l'article 4, pas sur le haut risque.

Ce report est du temps pour structurer, pas une raison d'attendre. Les entreprises qui documentent dès maintenant aborderont 2027 sans course contre le calendrier.

Vous renseignez le niveau de risque de chaque entrée dans le module Registre des systèmes IA. dans le menu, cet écran s'appelle encore Outils IA

Et ensuite

Classez vos usages déjà déclarés, en commençant par ceux qui touchent des personnes. Lancez ensuite la formation à la littératie IA de vos équipes.