Guide pratique par secteur
L'AI Act ne s'applique pas de la même façon à une banque, un hôpital ou un ministère. Cette page détaille les obligations concrètes, les régulateurs concernés et les risques spécifiques à chaque secteur réglementé.
L'essentiel pour le dirigeant
L'AI Act classe des systèmes et des usages, pas des secteurs. Dans la banque, la santé, le droit, le secteur public ou l'industrie, certains usages définis par les Annexes I et III relèvent de la catégorie à haut risque selon leur fonction et leur contexte d'utilisation. Les obligations dépendent de chaque usage et de vos régulateurs sectoriels ; les sanctions sont proportionnelles à votre chiffre d'affaires.
Impact : chaque secteur a ses propres régulateurs, obligations et délais. L'anticipation est critique.
Texte officiel de l'AI Act : annexes I et III (classification des systèmes à haut risque)Définition
Système IA à haut risque au sens de l'AI Act
Un système d'IA à haut risque est un système d'intelligence artificielle dont l'utilisation présente un risque significatif pour la santé, la sécurité ou les droits fondamentaux des personnes. L'AI Act en établit la liste dans ses Annexes I (composants IA de produits réglementés) et III (usages autonomes : emploi, éducation, accès à certains services essentiels dont l'évaluation de solvabilité, infrastructures critiques, justice, migration…). La classification dépend de la fonction du système et de son contexte d'utilisation, pas du secteur. Ces systèmes sont soumis à des obligations de documentation, de traçabilité, de transparence et de supervision humaine avant leur mise sur le marché européen.
L'AI Act européen adopte une approche par le risque. Le niveau d'obligation dépend de la fonction du système IA, de son contexte d'utilisation et de l'impact de ses décisions sur les personnes concernées, puis des cadres sectoriels qui s'y ajoutent.
Les Annexes I et III du règlement listent explicitement les catégories de systèmes IA à haut risque. Certains usages de l'IA dans l'emploi, l'accès à certains services essentiels (dont l'évaluation de solvabilité), les infrastructures critiques, la justice ou d'autres domaines définis par l'Annexe III peuvent relever de cette catégorie selon leur fonction et leur contexte d'utilisation.
Chaque secteur a ses propres régulateurs, ses propres cadres réglementaires complémentaires (RGPD, MiFID II, MDR, NIS2) et ses propres exigences de preuve. L'AI Act ne remplace pas ces cadres : il s'y ajoute.
Référence : Annexes I et III du Règlement (UE) 2024/1689
| Secteur | Niveau de risque AI Act | Régulateurs clés |
|---|---|---|
| Banque & Finance | Haut risque selon l'usage (Annexe III, point 5 b : évaluation de solvabilité) | ACPR, AMF, BCE, ABE (EBA) |
| Santé & Hôpitaux | Haut risque selon l'usage (Annexe I, section A : dispositifs médicaux ; Annexe III, point 5 d : triage des urgences) | ANSM, HAS, CNIL (données de santé), ARS |
| Droit & Juridique | Haut risque selon l'usage (Annexe III, point 8 : administration de la justice) | CNB, Chancellerie, CNIL |
| Secteur public & Administrations | Haut risque selon l'usage (Annexe III, points 5 a, 6, 7, 8) | CNIL, DINUM, Défenseur des droits, Cour des comptes |
| Industrie & Conformité | Variable (Annexe I pour les composants IA de produits réglementés) | DGCCRF, DREAL, organismes notifiés (BSI, TÜV, Bureau Veritas) |
Classification AI Act
Haut risque selon l'usage (Annexe III, point 5 b : évaluation de solvabilité)
Cas d'usage IA concernés
Scoring de crédit, détection de fraude, due diligence KYC/AML, trading algorithmique, analyse de risque de contrepartie
Obligations spécifiques
Documentation complète de chaque modèle de scoring, traçabilité des décisions de crédit, supervision humaine des refus automatisés, explicabilité du scoring vis-à-vis des clients (RGPD art. 22 + AI Act art. 13).
Régulateurs sectoriels
ACPR, AMF, BCE, ABE (EBA)
Exemple concret
Une banque utilisant l'IA pour refuser automatiquement des demandes de crédit doit pouvoir expliquer, pour chaque refus, quels facteurs ont été déterminants, quelles données ont été utilisées, et permettre une contestation effective par le client.
Classification AI Act
Haut risque selon l'usage (Annexe I, section A : dispositifs médicaux ; Annexe III, point 5 d : triage des urgences)
Cas d'usage IA concernés
Aide au diagnostic, triage des urgences, prescription assistée, analyse d'imagerie médicale, prédiction de réadmission
Obligations spécifiques
Conformité au Règlement Dispositifs Médicaux (MDR) en plus de l'AI Act, traçabilité de chaque recommandation, validation clinique, supervision par un professionnel de santé qualifié.
Régulateurs sectoriels
ANSM, HAS, CNIL (données de santé), ARS
Exemple concret
Un CHU déployant un outil d'IA pour le triage aux urgences doit documenter les critères de priorisation, garantir la validation médicale des décisions de triage, et pouvoir expliquer pourquoi un patient a été classé « non urgent » si son état se dégrade.
Classification AI Act
Haut risque selon l'usage (Annexe III, point 8 : administration de la justice)
Cas d'usage IA concernés
Analyse de jurisprudence, prédiction judiciaire, rédaction de conclusions, due diligence contractuelle, analyse de conformité réglementaire
Obligations spécifiques
Transparence sur l'utilisation de l'IA dans les processus judiciaires, traçabilité des sources citées, interdiction de l'IA pour le scoring des justiciables, supervision humaine systématique.
Régulateurs sectoriels
CNB, Chancellerie, CNIL
Exemple concret
Un cabinet d'avocats utilisant l'IA pour analyser la jurisprudence et recommander une stratégie contentieuse doit s'assurer que les citations sont vérifiables, que les hallucinations sont détectées, et que l'avocat valide les conclusions avant présentation au tribunal.
Classification AI Act
Haut risque selon l'usage (Annexe III, points 5 a, 6, 7, 8)
Cas d'usage IA concernés
Attribution de prestations sociales, évaluation des demandes d'asile, notation d'examens, surveillance des espaces publics, détection de fraude fiscale
Obligations spécifiques
Évaluation d'impact obligatoire (AIPD + analyse conformité AI Act), transparence vis-à-vis des citoyens, registre public des systèmes IA à haut risque, supervision humaine renforcée pour les décisions affectant les droits fondamentaux.
Régulateurs sectoriels
CNIL, DINUM, Défenseur des droits, Cour des comptes
Exemple concret
Une CAF utilisant l'IA pour détecter les fraudes aux prestations sociales doit informer les allocataires, expliquer les critères de ciblage, permettre une contestation effective et garantir qu'aucune décision de suspension n'est prise sans validation humaine.
Classification AI Act
Variable (Annexe I pour les composants IA de produits réglementés)
Cas d'usage IA concernés
Maintenance prédictive, contrôle qualité automatisé, optimisation de chaîne d'approvisionnement, gestion de la sécurité, évaluation des risques environnementaux
Obligations spécifiques
Intégration dans les systèmes de management existants (ISO 9001, 14001, 45001), documentation AI Act pour les composants IA des produits certifiés CE, traçabilité des décisions de contrôle qualité.
Régulateurs sectoriels
DGCCRF, DREAL, organismes notifiés (BSI, TÜV, Bureau Veritas)
Exemple concret
Un groupe industriel utilisant l'IA pour le contrôle qualité en ligne de production doit documenter les critères de rejet, tracer les décisions d'acceptation/rejet, et garantir qu'un opérateur peut intervenir pour contester une décision automatisée.
Art. 11 : documentation
Sur les parcours instrumentés, les traces d'exécution fournissent des éléments de documentation technique : modèles utilisés, versions, données traitées, règles appliquées. Une base exploitable pour la documentation attendue, qui ne la remplace pas.
Art. 12 : journalisation
Les traitements sensibles disposent d'une piste d'audit structurée. Les logs sont conservés et exportables pour les revues de conformité ou les contrôles d'autorités de tutelle.
Art. 13 : transparence
KOREV Evidence accompagne ses livrables de leurs sources et passages référencés. Les éléments de traitement sont rendus intelligibles aux équipes métier et aux fonctions de contrôle.
Art. 14 : supervision humaine
KOREV Evidence et KOREV PRISM permettent d'insérer des points de revue ou de validation humaine aux étapes définies par la politique du processus. Le rôle de l'humain est défini selon le contexte d'usage et l'organisation du processus.
Résumé opérationnel
Les étapes clés pour évaluer et préparer la conformité AI Act dans votre secteur.
Les obligations AI Act dépendent de vos usages et des cadres propres à votre secteur. Identifiez vos risques et préparez la mise en œuvre de vos obligations avec une infrastructure conçue pour la gouvernance, la supervision humaine et la traçabilité.