Nehos Groupe

Test Conformité AI Act — Êtes-vous à risque ?

10 questions pour classifier vos systèmes IA selon l'AI Act européen. Résultat immédiat : niveau de risque, obligations légales applicables, amendes potentielles et plan d'action.

Adapté à toute taille de structure

Artisan
Startup
PME / TPE
ETI
Grand Groupe
Questions & Réponses

Questions fréquentes

Oui, partiellement depuis 2024 et de façon progressive jusqu'en 2027. Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Les interdictions de pratiques à risque inacceptable (Article 5) sont opposables depuis le 2 février 2025 — toute entreprise utilisant ces systèmes dans l'UE est déjà en infraction. Les obligations pour les modèles d'IA à usage général (GPAI), dont les grands modèles de langage utilisés via API, s'appliquent depuis août 2025. Enfin, les obligations les plus complètes pour les systèmes à risque élevé listés à l'Annexe III entrent pleinement en vigueur en août 2026. Si vous déployez ou commercialisez un système IA destiné à des utilisateurs situés dans l'Union européenne, vous êtes concerné, qu'il soit développé en interne ou acheté auprès d'un tiers.
La différence est à la fois qualitative et réglementaire. Un système à risque élevé (Annexe III) prend des décisions qui affectent directement des droits fondamentaux ou des opportunités significatives : accès à l'emploi, au crédit, aux soins, à la justice. Ces systèmes sont soumis à une dizaine d'obligations cumulatives : documentation technique exhaustive, évaluation de conformité ex-ante, gestion des risques formalisée, supervision humaine effective documentée, tests de robustesse et de biais, enregistrement dans la base de données EU AI. Un système à risque limité interagit avec des personnes mais sans prendre de décisions structurantes pour leur vie : chatbot de service client, générateur de contenu, recommandation de produits. Les obligations se limitent essentiellement à la transparence : informer l'utilisateur qu'il interagit avec une IA, identifier les contenus synthétiques. Les amendes sont également différenciées : jusqu'à 240 M€ ou 3% CA pour un risque élevé non conforme, contre 120 M€ ou 1,5% CA pour défaut de transparence.
Oui, mais les obligations sont mesurées. Un chatbot de service client qui répond à des questions, gère des tickets ou oriente les clients relève en général de la catégorie risque limité au sens de l'Article 50 de l'AI Act. L'obligation principale est la transparence : vous devez informer clairement l'utilisateur qu'il interagit avec un système IA, et non avec un être humain. Cette obligation est applicable depuis août 2025. Si en revanche votre chatbot participe à des décisions impactant des droits — gestion de réclamations avec remboursements automatiques, scoring de fidélité conditionnant des offres, ou traitement de données sensibles — la classification peut évoluer vers le risque élevé selon le contexte sectoriel. En pratique, un chatbot e-commerce ou support IT interne représente un effort de conformité modeste : bandeau d'information, DPA signé avec le fournisseur LLM, registre de traitement RGPD mis à jour.
Les conséquences sont à la fois financières, opérationnelles et réputationnelles. Sur le plan financier, les amendes sont parmi les plus élevées du droit européen : jusqu'à 560 M€ ou 7% du chiffre d'affaires mondial annuel pour les pratiques interdites à partir de 3,8 M€ ou 3% pour les systèmes à risque élevé non conformes. Les autorités nationales compétentes (en France, probablement la CNIL et l'Arcom selon le domaine) pourront ordonner la suspension immédiate d'un système non conforme — avec un impact direct sur votre activité si ce système est critique. À partir de 2026, les acheteurs B2B et les donneurs d'ordre publics vont progressivement exiger des déclarations de conformité AI Act dans leurs appels d'offres, à l'image de ce que le RGPD a produit sur la sous-traitance de données. Anticiper est donc aussi un avantage concurrentiel.
Nehos Groupe propose un accompagnement structuré en trois phases, adapté à la taille et à la maturité IA de l'organisation. La première phase est un audit de conformité en 10 à 15 jours : cartographie des systèmes IA déployés, classification selon l'Annexe III, analyse des écarts entre obligations applicables et dispositifs existants. La deuxième phase est la mise en conformité opérationnelle : rédaction de la documentation technique, mise en place des systèmes de supervision humaine et de journalisation, tests de biais algorithmique, formation des équipes DSI et juridiques. La troisième phase est le maintien en conformité : veille réglementaire continue, revue annuelle des systèmes, préparation aux audits des autorités compétentes. Avec 50 collaborateurs spécialisés IA et une expertise croisée technique et juridique, Nehos est l'interlocuteur unique pour une conformité AI Act durable, sans mobiliser plusieurs prestataires distincts.

Exploration associée

Services conformité IA NehosGlossaire AI ActChecklist AI Act 2026Audit conformité IA gratuitScore maturité IAchecklist AI Act 2026

#Test Conformité AI Act — Êtes-vous à risque ? : pourquoi cet outil

Ce diagnostic de conformité AI Act est un premier niveau d'évaluation réglementaire conçu pour aider les DPO, DSI, Compliance Officers et CTO à positionner rapidement leurs systèmes IA au regard du règlement européen (UE) 2024/1689, en vigueur depuis le 1er août 2024. Il s'appuie directement sur la grille de classification de l'Annexe III du règlement — qui définit les domaines à risque élevé — ainsi que sur les critères d'interdiction absolue de l'Article 5.

En 10 questions couvrant le secteur d'activité, le type de système IA, l'impact sur les droits fondamentaux et le degré d'autonomie décisionnelle, l'outil produit une classification dans l'une des quatre catégories officielles : Risque Minimal, Risque Limité, Risque Élevé ou Risque Inacceptable. Il croise également les obligations AI Act avec les règlements sectoriels applicables (DORA pour la finance, NIS2 pour les infrastructures critiques, HDS pour la santé).

Date clé à retenir : les obligations pour les systèmes à risque élevé (Annexe III) s'appliquent pleinement depuis août 2026. Les démarches de mise en conformité prenant en moyenne 9 à 18 mois, ce diagnostic est conçu pour identifier les priorités sans délai. Les résultats constituent une orientation stratégique, non un avis juridique.

Resultat en moins de 3 minutes. Gratuit. Sans inscription. Export PDF disponible pour partage en CODIR ou COMEX.

#Comment utiliser cet outil

  1. Secteur d'activité (dropdown : banque/assurance, santé, RH, justice, infrastructure critique, autre)
  2. Type de système IA concerné (classification, recommandation, génération, traitement documentaire, autre)
  3. L'IA interagit-elle directement avec des personnes humaines ? (oui/non)
  4. L'IA prend-elle des décisions impactant des droits ou des opportunités ? (oui/non)
  5. L'IA traite-t-elle des données personnelles sensibles ? (oui/non)
  6. Votre organisation est-elle soumise à DORA ou NIS2 ? (oui/non/en évaluation)
  7. Taille de l'organisation (effectifs)
  8. L'IA est-elle déployée auprès de personnes vulnérables ? (oui/non)
  9. Degré d'autonomie de l'IA (humain supervise toujours / humain valide les cas complexes / IA décide seule)
  10. Avez-vous déjà une documentation technique sur vos systèmes IA ? (oui/non/partielle)

Les parametres par defaut sont calibres sur les medianes observees dans notre base de 80+ projets. Ajustez-les pour refleter votre contexte specifique : secteur d'activite, taille d'equipe, volume d'operations et budget envisage.

#Methodologie de calcul

La classification produite par ce diagnostic suit un arbre de décision en quatre étapes aligné sur la méthodologie officielle de l'AI Office européen.

Étape 1 — Vérification des pratiques interdites (Article 5). Le premier filtre appliqué est celui des systèmes à risque inacceptable, dont l'usage est interdit sans dérogation possible depuis le 2 février 2025. Sont concernés notamment : la manipulation comportementale subliminale, l'exploitation de vulnérabilités de publics protégés, le scoring social par des entités publiques ou privées, la reconnaissance des émotions en milieu de travail ou scolaire, et la reconnaissance biométrique à distance en temps réel dans l'espace public. Un seul critère positif déclenche une alerte de niveau Inacceptable.

Étape 2 — Classification selon l'Annexe III (risque élevé). Les réponses relatives au secteur, au type de décision et à l'impact sur les droits fondamentaux sont croisées avec les 8 domaines de l'Annexe III : infrastructures critiques, éducation et formation professionnelle, emploi et gestion des ressources humaines, accès aux services essentiels (crédit, assurance, logement), répression et contrôle aux frontières, administration de la justice, biométrie. La combinaison secteur × autonomie décisionnelle × droits impactés détermine la classification.

Étape 3 — Croisement avec les règlements sectoriels (DORA, NIS2, HDS). Les déclarations relatives aux certifications en cours permettent d'identifier les superpositions réglementaires. Un système bancaire à risque élevé peut ainsi cumuler jusqu'à 18 obligations croisées AI Act + DORA. Ces obligations sont listées explicitement dans le résultat.

Étape 4 — Calcul du score de conformité et plan d'action. Sur la base du niveau de risque et des mesures déjà en place (documentation existante, certifications obtenues, supervision humaine documentée), un score de conformité estimé est calculé en pourcentage. Les 5 actions prioritaires sont générées et classées selon leur urgence réglementaire, en tenant compte du calendrier d'application de l'AI Act (obligations GPAI depuis août 2025, obligations risque élevé Annexe III depuis août 2026).

#Interpreter vos resultats

L'outil produit les indicateurs suivants :

  • Niveau de risque AI Act (Minimal / Limité / Élevé / Inacceptable)
  • Liste des obligations légales applicables à votre système
  • Montant des amendes potentielles en cas de non-conformité
  • Checklist des 5 actions prioritaires à mener
  • Score de conformité estimé (% des obligations déjà respectées)

Les fourchettes affichees tiennent compte d'un intervalle de confiance de +/-20 a +/-30 % selon le type de projet. Pour les contextes complexes (multi-sites, secteur tres regule), l'intervalle peut etre plus large. Le resultat donne un ordre de grandeur fiable pour pre-qualifier un investissement — il ne remplace pas un audit personnalise.

#Exemples concrets

Chatbot service client e-commerce — qualification automatique des retours

  • Entree : Secteur : commerce / Décisions impactant droits : non / Données personnelles : oui (email, historique achats) / DORA : non / Autonomie : humain supervise
  • Resultat : Niveau de risque : Minimal — 3 obligations (information utilisateur, registre traitement, DPA fournisseur LLM) — Amende potentielle : 120 M€ ou 1% CA en cas d'informations incorrectes — Score conformité estimé : 40% — Action prioritaire : signer DPA avec fournisseur LLM

Outil IA de screening de candidatures RH — pré-sélection automatique

  • Entree : Secteur : RH / Décisions impactant droits : oui (emploi) / Données personnelles : oui (données biographiques) / DORA : non / Autonomie : IA décide seule sur la présélection
  • Resultat : Niveau de risque : ÉLEVÉ (Annexe III AI Act) — 14 obligations applicables dont : documentation technique, évaluation conformité, supervision humaine obligatoire, registre systèmes IA, transparence envers candidats — Amende potentielle : 240 M€ ou 3% CA — Score conformité estimé : 15% — URGENT : suspendre l'usage autonome et mettre en place supervision humaine

Système de scoring crédit IA — décision automatique d'octroi de prêt

  • Entree : Secteur : banque / Décisions impactant droits : oui (accès crédit) / Données personnelles : oui (données financières) / DORA : oui / Autonomie : IA décide dans 80% des cas
  • Resultat : Niveau de risque : ÉLEVÉ + DORA — 18 obligations croisées AI Act + DORA — Amende potentielle : 240 M€ (AI Act) + 160 M€ (DORA) — Score conformité estimé : 25% — Actions critiques : (1) documentation technique complète sous 30j, (2) marquage CE, (3) déclaration UE conformité, (4) tests de résilience DORA, (5) droit à l'explication pour les refus de crédit

Ces exemples illustrent des situations reelles rencontrees par les equipes Nehos. Vos resultats varieront selon votre contexte specifique.

#Aller plus loin

Cet outil donne un premier cadrage chiffre. Pour affiner l'estimation avec vos donnees specifiques :

  1. Audit gratuit : reservez un creneau decouverte de 60 minutes avec un expert Nehos. On analyse votre contexte et on fournit une estimation detaillee.
  2. Audit ROI-First complet : si le cadrage confirme le potentiel, on peut lancer un audit ROI-First IA (9 500 euros, 5 jours) pour chiffrer precisement le ROI avant tout developpement.

Les resultats sont exportables en PDF. Partagez-les en CODIR pour alimenter la reflexion budgetaire.

Réserver un audit