Règlement européen sur l'IA : une approche par le risqueEuropean AI regulation: a risk-based approach explained
Le règlement européen sur l'intelligence artificielle introduit une logique de classification par niveau de risque : les obligations imposées à un système dépendent de l'usage auquel il est destiné et de l'impact potentiel sur les personnes. Pour une DSI, la première conséquence n'est pas juridique mais organisationnelle : il devient nécessaire de savoir quels systèmes d'IA sont réellement utilisés dans l'entreprise.The European regulation on artificial intelligence introduces a classification by risk level: the obligations imposed on a system depend on its intended use and its potential impact on people. For an IT department, the first consequence is not legal but organisational: it becomes necessary to know which AI systems are actually in use across the organisation.
Une classification fondée sur l'usageA classification based on intended use
Le texte distingue plusieurs niveaux, des pratiques considérées comme inacceptables jusqu'aux usages présentant un risque limité, en passant par une catégorie de systèmes à haut risque soumise à des exigences substantielles de gestion des risques, de qualité des données, de documentation technique, de journalisation, de transparence et de supervision humaine. Le critère déterminant n'est pas la technologie employée mais la finalité : un même modèle peut relever de niveaux différents selon le contexte d'utilisation.The text distinguishes several levels, from practices considered unacceptable to uses presenting limited risk, via a high-risk category subject to substantial requirements on risk management, data quality, technical documentation, logging, transparency and human oversight. The decisive criterion is not the technology used but the purpose: the same model may fall under different levels depending on the context of use.
- La classification dépend de la finalité, pas de la technologie sous-jacente
- La catégorie à haut risque concentre l'essentiel des exigences
- Documentation technique, journalisation et supervision humaine sont récurrentes
- Un même outil peut changer de catégorie selon son contexte d'usage
- Classification depends on purpose, not on the underlying technology
- The high-risk category concentrates most of the requirements
- Technical documentation, logging and human oversight recur throughout
- The same tool may change category depending on its context of use
Le premier chantier : savoir ce que vous utilisezThe first workstream: knowing what you use
Dans la plupart des organisations, des fonctionnalités d'intelligence artificielle sont déjà présentes sans avoir fait l'objet d'une décision explicite : modules intégrés à des logiciels métier, assistants inclus dans une suite bureautique, outils adoptés directement par des équipes. Établir un inventaire des usages, de leurs finalités, des données qu'ils traitent et de leurs fournisseurs constitue le préalable à toute qualification. C'est également un exercice utile en soi du point de vue de la protection des données.In most organisations, artificial intelligence features are already present without any explicit decision: modules embedded in business software, assistants included in an office suite, tools adopted directly by teams. Establishing an inventory of use cases, their purposes, the data they process and their suppliers is the prerequisite to any qualification. It is also a worthwhile exercise in itself from a data protection standpoint.
- Recenser les usages existants, y compris ceux adoptés hors circuit officiel
- Documenter finalité, données traitées, fournisseur et hébergement
- Identifier les décisions qui affectent des personnes
- Croiser cet inventaire avec le registre des traitements existant
- Inventory existing use cases, including those adopted outside official channels
- Document purpose, data processed, supplier and hosting
- Identify decisions that affect individuals
- Cross-reference this inventory with the existing processing records
Gouvernance et sécurité des usagesGovernance and security of AI use cases
Au-delà de la qualification réglementaire, ces usages posent des questions de sécurité classiques : où partent les données transmises, qui y accède, comment les accès sont-ils contrôlés, que journalise-t-on des décisions produites. Un système d'IA intégré à une application métier fait partie de la surface d'attaque de cette application et doit être inclus dans le périmètre de test. S2I Consulting couvre ce volet technique lors des tests applicatifs. La qualification juridique de vos systèmes relève, elle, de votre conformité et d'un conseil spécialisé.Beyond regulatory qualification, these use cases raise classic security questions: where transmitted data goes, who accesses it, how access is controlled, what is logged about the decisions produced. An AI system embedded in a business application is part of that application's attack surface and must be included in the testing scope. S2I Consulting covers this technical strand during application testing. Legal qualification of your systems belongs to your compliance function and specialised counsel.
- Traiter un composant d'IA comme une partie de la surface d'attaque applicative
- Contrôler et journaliser les accès ainsi que les données transmises au service
- Prévoir une supervision humaine sur les décisions qui affectent des personnes
- Faire qualifier juridiquement vos systèmes par un conseil spécialisé
- Treat an AI component as part of the application attack surface
- Control and log access as well as the data sent to the service
- Provide human oversight over decisions affecting individuals
- Have your systems legally qualified by specialised counsel
Repères de configurationConfiguration guidance
Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).
Questions fréquentesFrequently asked questions
À lire aussiRelated reading
- Conformité NIS2 : périmètre élargi et obligations renforcées
- ISO 27001 : comprendre les bases avant de se lancer
- Pentest d'application web : périmètre et points de contrôle
- RGPD et effacement du matériel en fin de vie : vos obligations
Un besoin précis à chiffrer ?A specific need to quote?
Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.