Le piège classique
Le considérant 26 pose la grille de lecture du AI Act : approche par les risques, avec quatre niveaux (inacceptable, haut risque, risque limite, risque minimal). Le piège en pratique, c'est de mal classifier ses propres systèmes d'IA. Beaucoup d'organisations pensent être en 'risque limite' alors qu'elles opèrent un système classe 'haut risque' au sens de l'annexe III (RH, scoring crédit, éducation, accès aux services essentiels). L'EU AI Office et la future autorité de surveillance luxembourgeoise contesteront en premier lieu votre classification, et c'est sur cette qualification que se joue 80% de votre charge de conformité.
La méthode de classification opposable
Pour chaque système d'IA deploye ou developpe, vous devez documenter une analyse de classification structuree :
- Identifier la finalité reelle du système, pas son nom marketing (un 'assistant RH' peut être un système de tri de CV = haut risque annexe III point 4).
- Vérifier si la finalité tombe dans une pratique interdite article 5 (notation sociale, manipulation subliminale, reconnaissance des emotions au travail, categorisation biometrique sensible).
- Croiser avec la liste de l'annexe III pour les huit domaines a haut risque.
- Vérifier les obligations de transparence article 50 (chatbots, deepfakes, contenus generes).
- Documenter la décision avec ses justifications, datees et signees, pour pouvoir la defendre en cas de contrôle.
- Reevaluer la classification a chaque changement de finalité ou de fonctionnalite matérielle.
Sans cette analyse formalisee, vous êtes par defaut en position de faiblesse : le régulateur presumera la classification la plus exigeante.
Comment Luxgap automatise ce risque
Notre Luxgap AI Risk Classifier elimine l'incertitude de classification en faisant le travail a votre place : un agent LLM spécialisé lit la documentation technique de chacun de vos systèmes d'IA (fiches modèles, specifications fonctionnelles, contrats fournisseurs, prompts système) et produit une qualification AI Act opposable en moins de 10 minutes par système. L'outil se connecte directement a votre Confluence, SharePoint M365, Azure ML, AWS SageMaker, Vertex AI et GitHub pour inventorier automatiquement les systèmes d'IA en production et en développement, sans dependre d'un formulaire rempli par les équipes metier.
- Detecte automatiquement les systèmes d'IA deployes en croisant les logs Azure OpenAI, les endpoints SageMaker actifs, les API calls vers OpenAI/Anthropic/Mistral et les modèles Hugging Face importes.
- Classifie chaque système selon les quatre niveaux du AI Act en s'appuyant sur les critères de l'annexe III, de l'article 5 et de l'article 50, avec un score de confiance et les passages textuels qui justifient la décision.
- Alerte en temps reel sur Teams ou Slack des qu'un nouveau système d'IA apparait dans le SI et nécessité une qualification.
- Genere les fiches de classification pretes a verser au registre article 49 (haut risque) ou a la documentation interne accountability article 26.
- Reevalue automatiquement la classification quand le prompt système, le modèle sous-jacent ou la finalité documentee change.
- Produit un rapport PDF horodate cryptographiquement scelle, opposable a l'EU AI Office et a l'autorité luxembourgeoise de surveillance lors d'un contrôle.
Disponible en complement d'un mandat DPO ou CISO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur vos systèmes d'IA reels, avec un audit blanc gratuit sous 48h pour cartographier votre exposition AI Act avant tout engagement.
