D'abord — quel est votre rôle pour ce système ? Article 3. Le niveau de risque appartient au système ; les obligations, elles, suivent votre rôle.
Fournisseur Vous développez le système, ou le faites développer, et vous le mettez sur le marché de l'UE sous votre propre nom ou votre propre marque. Déployeur Vous utilisez le système sous votre propre autorité, dans le cadre d'une activité professionnelle. À la fois fournisseur et déployeur Vous concevez le système et vous l'utilisez vous-même — le cas courant des outils internes. Importateur, distributeur ou fabricant de produit Vous mettez sur le marché de l'UE, ou mettez à disposition, le système d'un tiers. Ce sont les articles 23 à 25 qui régissent vos obligations, et non l'article 50.
Votre système d'IA réalise-t-il l'une de ces actions ? Article 5 — pratiques interdites.
Notation sociale des personnes par des acteurs publics ou privés Identification biométrique à distance en temps réel dans les espaces publics (forces de l'ordre) Techniques subliminales ou manipulatrices causant un préjudice Reconnaissance des émotions sur le lieu de travail ou dans les établissements scolaires Extraction non ciblée d'images faciales pour constituer des bases de données de reconnaissance Exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique Prédiction du risque d'infraction pénale fondée uniquement sur le profilage ou les traits de personnalité Catégorisation biométrique visant à déduire la race, les opinions politiques, les convictions religieuses ou l'orientation sexuelle Génération d'images intimes non consenties de personnes réelles (interdite à partir du 2 décembre 2026) Génération de contenus pédopornographiques (interdite à partir du 2 décembre 2026)
L'IA fait-elle partie d'un produit réglementé, ou en est-elle un composant de sécurité ? Article 6, paragraphe 1 — les deux cases doivent être cochées pour que cette voie s'applique. Une IA utilisée uniquement pour l'assistance à l'utilisateur, l'optimisation des performances, l'efficacité du service, l'automatisation, le confort ou le contrôle qualité n'est pas un composant de sécurité, sauf si sa défaillance ou son dysfonctionnement mettrait en danger la santé ou la sécurité.
L'IA est un composant de sécurité d'un produit couvert par la législation d'harmonisation de l'UE listée à l'annexe I — ou constitue elle-même ce produit (machines, dispositifs médicaux, dispositifs de diagnostic in vitro, jouets, ascenseurs, équipements sous pression, équipements de protection individuelle, équipements radioélectriques, véhicules, aviation civile, rail, équipements marins) Ce produit doit faire l'objet d'une évaluation de la conformité par un organisme notifié avant sa mise sur le marché de l'UE, pour des motifs de santé et de sécurité — et non uniquement pour le spectre radioélectrique ou la compatibilité électromagnétique
Est-il utilisé dans l'un de ces domaines ? Annexe III — les huit domaines à haut risque listés.
Recrutement, embauche ou gestion des travailleurs Accès à l'éducation ou à la formation professionnelle Notation de crédit ou évaluation de la solvabilité Admissibilité aux services publics ou privés essentiels Forces de l'ordre, migration ou contrôle aux frontières Infrastructures critiques (p. ex. composants de sécurité) Identification ou catégorisation biométrique Administration de la justice, ou influence sur le résultat d'une élection ou d'un référendum ou sur le comportement électoral des personnes
Interagit-il avec des personnes ou génère-t-il du contenu ? Article 50 — obligations de transparence. Elles sont cumulatives : elles s'ajoutent aux obligations du haut risque, et sont réparties entre fournisseur et déployeur.
Il interagit directement avec des personnes — chatbot, assistant ou agent vocal (obligation du fournisseur, article 50, paragraphe 1) Il génère du contenu de synthèse : audio, image, vidéo ou texte (obligation du fournisseur, article 50, paragraphe 2) Il applique une reconnaissance des émotions ou une catégorisation biométrique à des personnes (obligation du déployeur, article 50, paragraphe 3) Il génère ou manipule des hypertrucages, ou du texte publié dans le but d'informer le public sur des questions d'intérêt public (obligation du déployeur, article 50, paragraphe 4)