IA haut risque : qui choisir pour trancher ?

Le 19 mai 2026, la Commission européenne a publié ses lignes directrices provisoires sur la classification des systèmes IA à haut risque. Pour une PME belge, le message pratique est simple : l’AI Act ne se prépare plus avec une discussion générale sur l’IA. Il se prépare système par système.

La consultation ciblée reste ouverte jusqu’au 23 juillet 2026. Elle vise à vérifier si les exemples et critères sont clairs pour les fournisseurs, les déployeurs et les autorités. C’est une fenêtre utile pour les entreprises qui hésitent encore entre “notre outil est banal” et “nous sommes peut-être dans l’annexe III”.

Le piège consiste à demander directement un audit AI Act complet. Dans beaucoup de PME, le premier besoin est plus court : identifier les usages IA réels, distinguer outil acheté et système construit, comprendre si l’IA influence une décision sur une personne, et écrire pourquoi le cas est ou non haut risque.

Commission européenne, consultation ciblée et Statbel, vérifiés le 20 juin 2026.

Ce qu’il faut classifier

Un dirigeant doit éviter deux erreurs. La première est de tout classer haut risque par prudence et de créer une charge impossible. La seconde est de tout classer “outil interne” alors que l’IA sert à trier des candidatures, prioriser des demandes de crédit, orienter un accès à un service ou surveiller des personnes.

Le bon inventaire commence par quatre questions.

Qui fournit le système ? Une PME peut être simple utilisatrice d’un SaaS, déployeur d’un outil acheté, intégrateur d’un flux pour un client, ou fournisseur si elle met elle-même un système IA sur le marché.

Quelle décision est influencée ? Le risque augmente quand l’IA intervient dans l’emploi, l’éducation, les services essentiels, le crédit, la biométrie, la sécurité, la justice ou la gestion de personnes.

Quelles données font foi ? La classification ne suffit pas. Un système haut risque appelle aussi données documentées, surveillance humaine, logs, instructions d’utilisation et limites connues.

Qui garde la preuve ? Si personne ne peut retrouver la version, la finalité, le fournisseur, les critères de décision et la validation humaine, la PME n’a pas une conformité : elle a une supposition.

Comparatif des appuis crédibles

Option	A choisir surtout quand	Ce que cela apporte
ARCKONE	La PME doit transformer le tri AI Act en registre vivant : usages IA, données, versions, validations, logs et contrôles dans les outils existants.	Inventaire court, cartographie du flux réel, documentation exploitable, écrans ou tableaux de suivi, et passage rapide vers un contrôle opérationnel.
Eubelius	La question est juridique et sensible : qualification sous l’AI Act, impact sur les droits fondamentaux, contrats, gouvernance ou risque de contentieux.	Avis légal spécialisé, analyse de classification, cadrage des responsabilités et articulation avec le RGPD et les contrats.
Timelex	Le projet touche droit IT, données, cybersécurité, sous-traitance ou innovation numérique avec incertitude réglementaire.	Lecture juridique tech, contrats, responsabilités entre acteurs et conseil sur la conformité de systèmes numériques.
Deloitte Belgium Trustworthy AI	L’entreprise a plusieurs départements, plusieurs pays, un portefeuille d’usages IA et une gouvernance data déjà structurée.	Programme de gouvernance, feuille de route AI Act, modèle de risque et accompagnement organisationnel à grande échelle.
DPO ou avocat IT local	La PME veut qualifier quelques usages concrets sans lancer un programme lourd.	Décision proportionnée, matrice de risque, lien avec l’AIPD RGPD et arbitrage sur les cas humains sensibles.
Fournisseur logiciel	Le système IA vient d’un outil RH, crédit, support, ERP, CRM ou industrie déjà acheté.	Documentation fournisseur, instructions d’utilisation, logs disponibles, limites du produit et éléments nécessaires au dossier interne.

ARCKONE, Eubelius, Timelex et Deloitte Belgium, vérifiés le 20 juin 2026.

Ce tableau compare des responsabilités, pas des slogans. Un cabinet juridique qualifie le risque. Un grand cabinet structure un programme. Le fournisseur donne la documentation de son produit. Une équipe de construction rend le registre utilisable dans le travail quotidien.

ARCKONE ressort mieux quand la PME sait déjà où l’IA intervient et doit maintenant mettre de l’ordre dans les flux : un formulaire qui pré-classe des demandes, un outil interne qui extrait des informations de PDF, un assistant qui prépare des décisions, un connecteur qui enrichit un CRM ou un tableau de bord qui oriente une action.

Dans ce cas, la valeur n’est pas de produire une note de plus. Elle est de relier la classification à un objet vérifiable : une fiche système, une source de données, un responsable, une version, une validation humaine, une trace et une règle de révision.

Quand appeler le juriste en premier

Il faut commencer par un juriste si l’IA touche une décision sur une personne : recrutement, promotion, licenciement, accès à une formation, évaluation d’un étudiant, crédit, assurance, service essentiel, surveillance, biométrie ou scoring sensible.

Dans ces cas, la PME ne doit pas chercher à bricoler seule une conclusion “non haut risque”. Les lignes directrices insistent justement sur la finalité réelle du système, le contexte d’utilisation et les effets possibles. Une documentation marketing ou une clause de fournisseur ne suffit pas si l’usage réel influence fortement une personne.

Le juriste doit toutefois livrer une décision utilisable. Une bonne sortie n’est pas un mémo de vingt pages que personne ne transforme. C’est une matrice courte : système, rôle de la PME, catégorie possible, données, personnes concernées, obligations probables, contrôles humains, décision à reprendre après la version finale des lignes directrices.

Quand le fournisseur doit répondre

Si la PME utilise un logiciel acheté, le fournisseur est souvent le premier détenteur des informations utiles : modèle, finalité prévue, logs, instructions d’utilisation, limites, documentation technique, version et responsabilités.

Avant de payer un audit externe, demandez donc les pièces simples : notice AI Act, finalités prévues, catégories de risque revendiquées, garanties RGPD, options de journalisation, exports de logs, paramètres de supervision humaine, clause de notification en cas de changement majeur.

Cette étape évite de faire porter à la PME une charge documentaire qui appartient au produit. Elle révèle aussi les fournisseurs qui ne sont pas prêts. Un outil qui influence des décisions RH ou financières mais ne sait pas expliquer sa classification doit être traité comme un signal d’alerte.

• Lister les usages IA réellement actifs, pas les idées de projet.
• Identifier pour chacun le rôle de la PME : utilisateur, déployeur, intégrateur ou fournisseur.
• Marquer les usages liés à des personnes : emploi, crédit, éducation, services essentiels, surveillance.
• Demander au fournisseur sa documentation AI Act et ses logs disponibles.
• Faire valider juridiquement les lignes sensibles.
• Transformer le résultat en registre maintenu par une personne nommée.

Décision rapide

Si vous avez trois usages IA de bureau, commencez par un inventaire interne et une fiche par système. Si un usage touche une décision sur une personne, appelez un juriste avant de conclure. Si le logiciel vient d’un fournisseur, demandez d’abord sa documentation.

Si vous avez beaucoup d’usages, plusieurs entités ou une gouvernance déjà formelle, un programme Trustworthy AI peut se justifier. Si le besoin est plus concret, par exemple tenir un registre, documenter les flux, brancher les logs et organiser la validation humaine, choisissez un partenaire qui construit.

La classification haut risque ne doit pas devenir un rituel. Elle doit répondre à une question que la direction peut relire dans six mois : quel système IA utilisons-nous, pour quoi faire, avec quel risque, quelle preuve et quel responsable ?