Le piège classique
Le considérant 26 pose la grille de lecture du AI Act : approche par les risques, avec quatre niveaux (inacceptable, haut risque, risque limite, risque minimal). Le piège en pratique, c'est de mal classifier ses propres systèmes d'IA. Beaucoup d'organisations pensent être en 'risque limite' alors qu'elles opèrent un système classe 'haut risque' au sens de l'annexe III (RH, scoring crédit, éducation, accès aux services essentiels). L'EU AI Office et la future autorité de surveillance luxembourgeoise contesteront en premier lieu votre classification, et c'est sur cette qualification que se joue 80% de votre charge de conformité.
La méthode de classification opposable
Pour chaque système d'IA deploye ou developpe, vous devez documenter une analyse de classification structurée :
- Identifier la finalité réelle du système, pas son nom marketing (un 'assistant RH' peut être un système de tri de CV = haut risque annexe III point 4).
- Vérifier si la finalité tombe dans une pratique interdite article 5 (notation sociale, manipulation subliminale, reconnaissance des emotions au travail, categorisation biométrique sensible).
- Croiser avec la liste de l'annexe III pour les huit domaines a haut risque.
- Vérifier les obligations de transparence article 50 (chatbots, deepfakes, contenus générés).
- Documenter la décision avec ses justifications, datées et signées, pour pouvoir la defendre en cas de contrôle.
- Reevaluer la classification a chaque changement de finalité ou de fonctionnalite matérielle.
Sans cette analyse formalisée, vous êtes par défaut en position de faiblesse : le régulateur presumera la classification la plus exigeante.
Comment Luxgap automatise ce risque
Notre Luxgap AI Risk Classifier élimine l'incertitude de classification en faisant le travail a votre place : un agent LLM spécialisé lit la documentation technique de chacun de vos systèmes d'IA (fiches modèles, specifications fonctionnelles, contrats fournisseurs, prompts système) et produit une qualification AI Act opposable en moins de 10 minutes par système. L'outil se connecte directement a votre Confluence, SharePoint M365, Azure ML, AWS SageMaker, Vertex AI et GitHub pour inventorier automatiquement les systèmes d'IA en production et en développement, sans dependre d'un formulaire rempli par les équipes métier.
- Détecte automatiquement les systèmes d'IA deployes en croisant les logs Azure OpenAI, les endpoints SageMaker actifs, les API calls vers OpenAI/Anthropic/Mistral et les modèles Hugging Face importes.
- Classifie chaque système selon les quatre niveaux du AI Act en s'appuyant sur les critères de l'annexe III, de l'article 5 et de l'article 50, avec un score de confiance et les passages textuels qui justifient la décision.
- Alerte en temps réel sur Teams ou Slack des qu'un nouveau système d'IA apparaît dans le SI et nécessité une qualification.
- Génère les fiches de classification prêtes a verser au registre article 49 (haut risque) ou a la documentation interne accountability article 26.
- Reevalue automatiquement la classification quand le prompt système, le modèle sous-jacent ou la finalité documentée change.
- Produit un rapport PDF horodate cryptographiquement scelle, opposable a l'EU AI Office et a l'autorité luxembourgeoise de surveillance lors d'un contrôle.
Disponible en complément d'un mandat DPO ou CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos systèmes d'IA réels, avec un audit blanc gratuit sous 48h pour cartographier votre exposition AI Act avant tout engagement.
