Pouvez-vous prouver ce que votre IA a fait, et pourquoi ?

Le système met-il en œuvre une pratique interdite ?

Exemples : manipulation causant un préjudice, exploitation de groupes vulnérables, pratiques biométriques ou liées aux émotions interdites.

Art. 5 · Déclenche un arrêt immédiat ou une refonte.

S’agit-il de l’un des cas d’usage d’IA à haut risque courants, tels que le recrutement, l’éducation, le crédit, l’assurance, les services publics, l’application de la loi, le contrôle aux frontières, la justice ou les infrastructures critiques ?

Répondez Oui si le système est utilisé dans l’un de ces contextes sensibles de décision ou de sécurité. C’est ce que l’AI Act appelle un cas d’usage à haut risque de l’annexe III.

Art. 6, annexe III · Déclencheur clé de la classification à haut risque.

Pourrait-il affecter significativement la santé, la sécurité ou les droits juridiques fondamentaux des personnes ?

Répondez Oui si l’IA influence de manière significative des décisions, l’accès, le traitement, les résultats en matière de sécurité, la vie privée, l’égalité de traitement ou d’autres impacts importants sur les personnes.

Art. 6 · Confirme le traitement à haut risque.

L’IA ne fait-elle qu’assister les humains de manière restreinte ou à faible impact, sans remplacer le jugement humain ?

Répondez Oui uniquement si elle se limite clairement à des tâches d’assistance, comme améliorer une activité humaine préalable, traiter une étape procédurale restreinte, ou détecter des schémas sans déterminer la décision finale.

Art. 6(3) · Peut réduire une classification potentielle à haut risque.

Interagit-il avec des personnes, génère-t-il du contenu par IA, ou utilise-t-il des fonctionnalités biométriques ou liées aux émotions ?

Exemples : chatbots, texte, images, audio ou vidéo générés par IA, analyse faciale ou vocale, catégorisation biométrique, ou reconnaissance des émotions.

Art. 50 · Déclenche des obligations de transparence.

Est-ce construit sur, ou fournissez-vous, un modèle d’IA à usage général utilisé dans de nombreux cas d’usage différents ?

Pensez aux modèles de fondation ou aux modèles à usage large réutilisables dans de nombreux produits en aval, et non à un moteur de règles interne à portée restreinte ou à un modèle à usage unique.

Art. 53-56 · Déclenche les obligations spécifiques à l’IA à usage général le cas échéant.

Tenez-vous un inventaire clair des systèmes d’IA, de leur finalité, et du fait que vous agissez en tant que fournisseur, déployeur, ou les deux ?

À quoi ressemble une bonne pratique Registre d’IA avec propriétaire de système nommé et cartographie des rôles.

Art. 3, 6, 26 · S'applique à Fournisseurs et déployeurs

La conformité IA est-elle attribuée à des rôles responsables au sein des équipes juridiques, métier, techniques et opérationnelles ?

À quoi ressemble une bonne pratique Responsables nommés, chemin d’escalade et instance de gouvernance.

Art. 17, 26 · S'applique à Fournisseurs et déployeurs

Vos systèmes de management existants incluent-ils explicitement des contrôles et points de revue spécifiques à l’IA ?

À quoi ressemble une bonne pratique IA intégrée au système de management de la qualité, à la conformité, à la sécurité et à la gestion du changement.

Art. 17, 26 · S'applique à Fournisseurs et déployeurs

Existe-t-il un processus documenté pour identifier et examiner les risques liés à l’IA, couvrant l’usage prévu, le mésusage prévisible et les personnes concernées ?

À quoi ressemble une bonne pratique Registre des risques et cycle de revue couvrant les impacts sur la sécurité et les droits.

Art. 9 · S'applique à Haut risque, certains risques limités

Des mesures d’atténuation sont-elles définies, testées et communiquées pour les risques connus, y compris pour les groupes vulnérables ?

À quoi ressemble une bonne pratique Contrôles documentés, communication du risque résiduel et garanties spécifiques aux groupes.

Art. 9 · S'applique à Haut risque

Validez-vous la performance, la robustesse et la cybersécurité dans des conditions représentatives de l’usage réel ?

À quoi ressemble une bonne pratique Plan de test, seuils, contrôles de résilience et preuves de durcissement de la sécurité.

Art. 15 · S'applique à Haut risque

Les sources de données, les critères de sélection, les hypothèses et les choix de conception du modèle sont-ils documentés et gouvernés ?

À quoi ressemble une bonne pratique Provenance documentée, étapes d’approbation et justification du modèle.

Art. 10, annexe IV · S'applique à Fournisseurs, déployeurs gérant des données

Évaluez-vous les données en termes de qualité, de représentativité, de biais et d’adéquation à l’usage prévu ?

À quoi ressemble une bonne pratique Critères de qualité, revue des biais et remédiation des lacunes de données.

Art. 10 · S'applique à Haut risque

Lorsque des données sensibles sont utilisées, les garanties juridiques et les protections techniques sont-elles clairement définies ?

À quoi ressemble une bonne pratique Accès restreint, justification et garanties alignées sur le RGPD.

Art. 10(5) · S'applique à Conditionnel

Les utilisateurs, opérateurs et personnes concernées sont-ils clairement informés lorsque l’IA est utilisée ou lorsque des décisions sont assistées par IA ?

À quoi ressemble une bonne pratique Mentions claires, informations destinées aux utilisateurs et instructions aux déployeurs.

Art. 13, 50 · S'applique à Tous les systèmes concernés

Les personnes responsables peuvent-elles comprendre les limites du système et le contourner ou l’arrêter en cas de besoin ?

À quoi ressemble une bonne pratique Procédures de surveillance, commandes d’arrêt et voies de contournement.

Art. 14 · S'applique à Haut risque

Les équipes sont-elles formées pour éviter une dépendance excessive à l’IA et pour n’utiliser le système que dans le cadre de sa finalité prévue ?

À quoi ressemble une bonne pratique Registres de formation, règles d’usage et garanties contre le biais d’automatisation.

Art. 14, 26 · S'applique à Fournisseurs et déployeurs

Tenez-vous à jour une documentation technique et opérationnelle couvrant la finalité, la conception, les limites et la performance attendue ?

À quoi ressemble une bonne pratique Dossier technique principal avec mises à jour versionnées.

Art. 11, annexe IV · S'applique à Principalement les fournisseurs

Le comportement du système peut-il être retracé grâce à des enregistrements ou journaux montrant comment les résultats ont été générés et utilisés ?

À quoi ressemble une bonne pratique Champs de journalisation traçables et registres opérationnels accessibles.

Art. 12, 26(5) · S'applique à Haut risque, déployeurs concernés

La documentation et les journaux sont-ils conservés, protégés et accessibles pour les audits, les incidents et les demandes des régulateurs ?

À quoi ressemble une bonne pratique Règles de conservation, protection de l’intégrité et processus de récupération.

Art. 12, 17 · S'applique à Fournisseurs et déployeurs

Surveillez-vous la performance, la dérive, le mésusage, les réclamations et d’autres signaux opérationnels après le déploiement ?

À quoi ressemble une bonne pratique Plan de surveillance, canaux de retour et fréquence de revue.

Art. 72 · S'applique à Haut risque, IA à usage général le cas échéant

Disposez-vous de seuils et de workflows pour les actions correctives, le retour en arrière, la suspension ou le réentraînement ?

À quoi ressemble une bonne pratique Playbooks d’incident et déclencheurs de remédiation.

Art. 72, 73 · S'applique à Haut risque

Les incidents graves et les échanges avec les régulateurs sont-ils traités via un processus défini de signalement et d’escalade ?

À quoi ressemble une bonne pratique Processus de notification aux autorités et préparation du dossier de preuves.

Art. 73 · S'applique à Haut risque, IA à usage général le cas échéant

Si vous déployez une IA à haut risque dans des contextes de secteur public ou de service public, avez-vous évalué les impacts sur les groupes concernés et défini des garanties ?

À quoi ressemble une bonne pratique Processus FRIA, analyse des groupes concernés et mesures d’atténuation.

Art. 27 · S'applique à Conditionnel

Si les systèmes génèrent du contenu synthétique ou utilisent des fonctions biométriques ou liées aux émotions, les obligations de transparence supplémentaires sont-elles opérationnalisées ?

À quoi ressemble une bonne pratique Étiquetage, mentions et traitement opérationnel des cas particuliers.

Art. 50 · S'applique à Conditionnel

Si vous fournissez ou construisez sur de l’IA à usage général, gérez-vous la documentation du modèle, l’information en aval, le droit d’auteur et les obligations liées au risque systémique ?

À quoi ressemble une bonne pratique Dossier de documentation IA à usage général et gouvernance du risque systémique.

Art. 53-56 · S'applique à Fournisseurs d’IA à usage général