L'erreur la plus fréquente n'est pas la non-conformité. C'est de faire la classification à la fin, quand le système est construit, le budget dépensé et la date de mise en service annoncée. À ce moment-là, chaque constat devient une crise.
Les quatre niveaux de risque
Le règlement classe par usage, pas par technologie. Le même modèle de langage est hors périmètre dans un cas d'usage et à haut risque dans un autre. C'est ce que la plupart des chartes IA internes manquent : elles encadrent l'outil au lieu d'encadrer l'usage.
- Inacceptable — interdit purement et simplement. Notation sociale, exploitation de vulnérabilités, identification biométrique en temps réel dans l'espace public dans la plupart des cas.
- Haut risque — autorisé, lourdement documenté. Recrutement, crédit, éducation, infrastructures critiques, services publics essentiels. C'est là que se trouvent la plupart des projets d'entreprise qui font mal.
- Risque limité — obligations de transparence. L'utilisateur doit savoir qu'il s'adresse à une machine, et les contenus générés doivent être identifiables comme tels.
- Risque minimal — aucune obligation spécifique. La plupart des cas d'usage de productivité interne s'y trouvent, et cela mérite d'être documenté aussi — pour pouvoir montrer pourquoi.
Ce que vous devez pouvoir produire
Pour un système à haut risque, la documentation technique n'est pas une formalité rédigée la semaine précédant un audit. Elle se construit au fil de l'eau, et elle contient des éléments impossibles à reconstituer après coup.
- La finalité prévue, écrite avant le développement, et les mésusages prévisibles contre lesquels vous avez décidé de vous prémunir.
- Les données utilisées : origine, couverture, biais connus et ce que vous en avez fait. Pas « nous avons utilisé des données internes ».
- Les performances et leurs limites : la grille d'évaluation, les seuils, les cas limites où le système sous-performe, mesurés — pas affirmés.
- La supervision humaine : qui peut passer outre le système, comment, et ce que devient la traçabilité de la décision dans ce cas.
Comment nous le traitons
Chaque cas d'usage est classé par niveau de risque au cadrage, avant la première ligne de code. La classification tient sur une page, elle est validée par la direction métier, et elle est revue si le périmètre bouge. Elle coûte une demi-journée en début de projet et évite la crise de fin de projet.
La documentation technique est produite au fil du développement et vous est remise avec le dossier de conformité en fin de mission. Nous ne fournissons pas de conseil juridique : quand un point relève de l'avis d'un avocat, nous le signalons et travaillons avec le vôtre.
Mise à jour février 2026. Ce guide est informatif et ne constitue pas un conseil juridique.