La plus grosse erreur sur l'IA Act ? Croire que le risque dépend de l'outil. Il n'en dépend pas. Le niveau de risque dépend de l'usage. Le même modèle d'IA peut être anodin dans un cas et à haut risque dans un autre. Comprendre cette logique, c'est déjà maîtriser l'essentiel de l'IA Act, et c'est exactement ce que les entreprises vont chercher.
L'IA Act range les usages en quatre niveaux. Voici 10 cas du quotidien pour rendre ça concret.
Interdit
Notation sociale des personnes (attribuer un score global à des individus à partir de leurs comportements pour conditionner un accès). Interdit, purement et simplement, par l'article 5, depuis février 2025.
Haut risque
Ce sont les usages les plus encadrés : documentation technique, supervision humaine, enregistrement au registre européen.
- Tri de CV et scoring de candidats (Annexe III.4, emploi).
- Évaluation de la performance des salariés — toute décision automatisée touchant l'emploi relève du haut risque.
- Scoring crédit / octroi de prêt et tarification d'assurance selon profil (Annexe III.5, accès à un service essentiel).
- Reconnaissance faciale / accès biométrique (Annexe III.1) — et certains usages à distance sont même interdits.
Point clé sur le calendrier : la mise en conformité du haut risque a été reportée à décembre 2027 (accord du 7 mai 2026, adoption formelle en cours).
Risque limité
Une simple obligation de transparence (article 50, applicable décembre 2026) :
- Chatbot de service client — la personne doit être informée qu'elle parle à une IA.
- IA générative de contenu — le contenu produit doit être identifié comme tel.
Risque minime
Aucune obligation spécifique :
- Aide à la reformulation d'une offre d'emploi (sans intervenir dans la sélection).
- Filtre anti-spam / tri de mails.
Le détail qui fait tout basculer
Regarde bien : reformuler une annonce d'emploi, c'est risque minime. Classer des candidats, c'est haut risque. Le même univers, l'IA appliquée au recrutement, et deux mondes réglementaires. La bascule tient à un seul mot : le profilage de personnes. Dès qu'une IA note, classe ou décide sur des personnes, on change de catégorie.
Et le report à 2027 ne désarme rien, au contraire : c'est maintenant que les organisations cartographient leurs usages. Celles qui s'y prennent tôt prennent une longueur d'avance, et elles ont besoin de gens qui savent classer. Cette compétence, c'est la tienne à construire. On la travaille ensemble à l'Atelier RGPD & IA Act.