Vérificateur de risque AI Act
Douze questions au maximum. Tout s'exécute dans votre navigateur — aucune donnée ne quitte votre appareil. Vous obtenez la catégorie de risque dans laquelle tombe votre système au titre du règlement européen sur l'IA, l'article qui la fonde, l'échéance, et ce que cela implique concrètement selon que vous êtes fournisseur, déployeur, ou les deux.
Textes vérifiés contre le texte consolidé publié sur EUR-Lex au 27 juillet 2026. La formulation de l'exception étroite (article 6, paragraphe 3) reflète en outre les lignes directrices de classification de la Commission européenne, publiées en projet le 19 mai 2026 et non contraignantes jusqu'à leur adoption définitive (attendue fin 2026). Dernière relecture de cette page : août 2026.
Quelles sont les catégories de risque de l'AI Act ?
Le règlement européen sur l'IA (règlement (UE) 2024/1689) répartit les systèmes d'IA en quatre niveaux de risque — pratiques interdites, haut risque, risque limité (obligations de transparence) et risque minimal — et ajoute un chapitre distinct pour les modèles d'IA à usage général. Le niveau qui s'applique détermine ce que vous devez faire, et pour quand. Vos obligations dépendent aussi de votre rôle : un fournisseur développe le système et le met sur le marché ou en service sous son nom, un déployeur l'utilise sous sa propre autorité, et beaucoup d'organisations sont les deux, pour des systèmes différents.
Le tableau ci-dessous est la référence qu'applique le questionnaire ci-dessus. Les dates tiennent compte du règlement (UE) 2026/1744 (le « Digital Omnibus »), en vigueur depuis le 27 juillet 2026.
| Catégorie | Base légale | Applicable à partir du | Ce que ça veut dire |
|---|---|---|---|
| Pratique interdite | Article 5 | Applicable depuis le 2 février 2025 | Interdite purement et simplement dans l'Union, quel que soit votre rôle et quel que soit l'usage qui en est fait. Ce n'est pas une question de paperasse : c'est reconcevoir le système ou renoncer au marché européen. |
| Haut risque — annexe I (IA intégrée à un produit) | Article 6, paragraphe 1 | 2 août 2028 (reporté du 2 août 2027) | Le système est un composant de sécurité d'un produit déjà couvert par la législation d'harmonisation de l'Union. Fournisseur : gestion des risques, gouvernance des données, documentation technique, évaluation de la conformité (souvent par un organisme notifié), marquage CE, enregistrement, surveillance après commercialisation. Déployeur : usage conforme à la notice, contrôle humain, tenue des journaux. |
| Haut risque — annexe III (système autonome) | Article 6, paragraphe 2 | 2 décembre 2027 (reporté du 2 août 2026) | Le système relève de l'un des huit domaines d'usage de l'annexe III et sa sortie pèse matériellement sur une décision concernant une personne. Fournisseur : système de gestion de la qualité, journalisation, évaluation de la conformité, enregistrement dans la base de données de l'UE (article 49), surveillance après commercialisation. Déployeur : contrôle humain, journaux conservés au moins six mois, et dans certains cas une analyse d'impact sur les droits fondamentaux (article 27). |
| Exception de la tâche étroite | Article 6, paragraphes 3 et 4 | Même échéance que le niveau dont elle exempte | Un système de l'annexe III peut échapper au haut risque s'il n'accomplit qu'une tâche procédurale étroite. En pratique elle joue rarement : le profilage l'écarte toujours, et classer ou noter n'est pas une tâche procédurale. L'article 6, paragraphe 4, impose de toute façon une évaluation documentée avant la mise sur le marché, et l'enregistrement prévu à l'article 49, paragraphe 2. |
| Modèle d'IA à usage général — obligations de base | Article 53 | Applicable depuis le 2 août 2025 | Vise celui qui entraîne le modèle, pas ceux qui l'appellent par API. Tenir à jour la documentation technique, informer les fournisseurs en aval, mettre en place une politique de respect du droit d'auteur et publier un résumé du contenu d'entraînement. |
| Modèle d'IA à usage général — risque systémique | Articles 51 et 55 | Applicable depuis le 2 août 2025 | Présumé à partir de 1025 opérations en virgule flottante cumulées pour l'entraînement (présomption réfragable). Notifier la Commission européenne dans les deux semaines suivant le moment où le seuil est atteint ou prévu, puis évaluation du modèle, essais contradictoires, suivi et signalement des incidents graves, cybersécurité. |
| Obligations de transparence (risque limité) | Article 50 | Applicable depuis le 2 août 2026 | S'ajoutent à n'importe quel niveau ci-dessus, dès lors que des personnes interagissent avec le système ou en voient les sorties : signaler l'interaction avec une IA, signaler les hypertrucages, marquer les contenus générés dans un format lisible par machine. Un sursis ciblé court jusqu'au 2 décembre 2026 pour cette seule obligation de marquage lisible par machine. |
| Risque minimal | Aucune obligation propre au niveau | — | C'est là que tombe la majorité des systèmes d'IA. L'obligation générale de maîtrise de l'IA (article 4, applicable depuis le 2 février 2025, sans seuil d'effectif) s'applique quand même, et le silence de l'AI Act n'éteint ni le RGPD ni le droit sectoriel. |
Pourquoi cet outil
La plupart des check-lists AI Act s'arrêtent à « haut risque ou pas ». Les deux endroits où l'on se trompe réellement sont en amont : savoir si l'on est fournisseur ou déployeur (la plupart des fondateurs qui appellent une API sont les deux, pour des systèmes différents), et savoir si l'exception étroite de l'article 6, paragraphe 3, s'applique vraiment à son cas — en pratique elle joue rarement, parce que la plupart des outils qui informent une décision concernant une personne finissent par la façonner, et pas seulement par organiser la paperasse autour. Ce questionnaire pose ces deux questions exprès, avant de donner une réponse.
Cet outil ou la grille de classification ? Le vérificateur ci-dessus est un questionnaire interactif : un système à la fois, une réponse en trois minutes, un lien partageable. La grille de classification des risques AI Act est un arbre de décision statique : la même logique déroulée par écrit, avec les exemples travaillés, le tableau des obligations par niveau et un modèle de registre des systèmes d'IA à réutiliser (licence CC BY 4.0). Le vérificateur pour trancher un cas ; la grille pour outiller la démarche et documenter le résultat. Les deux appliquent le même règlement et les mêmes dates.
Les questions que l'on nous pose
Ce résultat a-t-il une valeur juridique ou une certification quelconque ?
Non. C'est un outil d'orientation gratuit, construit à partir d'informations publiques, destiné à vous aider à poser les bonnes questions tôt. Ce n'est pas un substitut à l'évaluation documentée que le règlement exige pour les cas limites, et ce n'est pas un avis juridique.
Ce que je saisis part-il vers un serveur ?
Non. La classification s'exécute intégralement dans votre navigateur, en JavaScript simple — aucun modèle d'IA, aucun appel d'API, aucun serveur applicatif. La seule requête réseau de cette page est la balise Google Analytics utilisée sur l'ensemble du site, chargée uniquement après votre consentement, et qui ne voit pas vos réponses.
Pourquoi les échéances « haut risque » semblent-elles si lointaines ?
Parce qu'elles ont été reportées, et récemment. Le règlement (UE) 2026/1744 (le « Digital Omnibus »), publié au Journal officiel de l'Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a décalé le haut risque autonome de l'annexe III du 2 août 2026 au 2 décembre 2027, et le haut risque produit de l'annexe I du 2 août 2027 au 2 août 2028. Les pratiques interdites (article 5), la maîtrise de l'IA (article 4), les obligations sur les modèles à usage général et la transparence (article 50) n'ont pas été reportées — l'article 50 est applicable depuis le 2 août 2026. Attention à ne pas confondre : le report déplace la date de mise en conformité, pas la qualification.
Je ne fais qu'appeler l'API d'OpenAI, d'Anthropic ou de Google — le chapitre sur les modèles à usage général me concerne-t-il ?
En général non, pas directement. C'est l'entraînement d'un modèle de fondation qui déclenche le chapitre V (articles 51 à 56). Appeler un modèle par API fait de vous un déployeur de ce modèle — les obligations lourdes pèsent sur son fournisseur — tandis que vous restez fournisseur de ce que vous construisez par-dessus, jugé pour lui-même par le reste de ce questionnaire. Une réserve : si ce que vous construisez s'avère à haut risque, c'est vous qui héritez des obligations de fournisseur pour ce système (article 25), et une clause des conditions d'utilisation de l'éditeur excluant les usages à haut risque ne suffit pas, à elle seule, à vous en exonérer.
Vous appuyez-vous sur les lignes directrices de la Commission, ou seulement sur le règlement ?
Sur les deux, et nous disons lequel fait quoi. La logique de classement elle-même (interdit, haut risque, transparence, minimal) vient du règlement. Les exemples détaillés de la question sur l'exception étroite (article 6, paragraphe 3, notamment ce qui compte comme « tâche procédurale étroite ») viennent des lignes directrices de classification de la Commission, publiées en projet le 19 mai 2026 et soumises à consultation jusqu'au 23 juillet 2026. Ces lignes directrices ne sont ni contraignantes ni définitives — la Commission prévoit d'adopter une version finale d'ici fin 2026, qui peut différer du projet. L'outil est calé sur le projet tel qu'il existe aujourd'hui, et sera mis à jour si le texte final change.
Quelle différence avec la grille de classification déjà publiée sur ce site ?
Le vérificateur est un questionnaire : il vous pose les questions dans l'ordre, saute celles qui ne s'appliquent pas et produit un résultat pour un système donné, avec un lien partageable. La grille de classification des risques est un document : l'arbre de décision déroulé par écrit, en cinq étapes, avec les exemples d'entreprise, le tableau récapitulatif des obligations et un modèle de registre des systèmes d'IA réutilisable sous licence CC BY 4.0. Beaucoup d'utilisateurs commencent par le vérificateur pour un cas précis, puis passent à la grille pour traiter l'ensemble de leur parc et le documenter.
Jérôme Denis — Consultant senior IA & Gouvernance Data, Toulouse. Plus de vingt ans en transformation numérique, missions de conformité AI Act auprès de TPE, PME et ETI. C'est le questionnaire que j'utilise comme première passe en mission, publié librement parce qu'un point de départ partagé vaut mieux qu'un point de départ gardé.
Vous tombez sur un résultat « haut risque » ou « pratique interdite » et vous voulez un second avis, humain ?
Le premier échange est gratuit et sans engagement.