IA dans l'Entreprise : Pratiques Totalement Interdites & Systèmes à Haut Risque (AI Act Article 5)

Depuis le 2 février 2025, 8 pratiques d'IA sont totalement bannies en Europe. Les amendes peuvent atteindre 35 M€ ou 7 % du chiffre d'affaires mondial. Et depuis août 2026, les systèmes à haut risque sont soumis à des obligations de conformité strictes. Voici ce que votre entreprise doit impérativement savoir — et éviter.

Partie 1 — Les 8 Pratiques Totalement Interdites (Article 5 AI Act)

Ces pratiques violent les droits fondamentaux et les valeurs de l'Union européenne. Elles sont bannies sans exception possible depuis le 2 février 2025. Les entreprises qui les utilisaient devaient les arrêter immédiatement.

1. La notation sociale (Social Scoring)

Définition : Évaluer ou classer les individus sur la durée en fonction de leur comportement social ou de leurs caractéristiques personnelles, conduisant à un traitement défavorable dans des contextes sans rapport avec la donnée initiale.

Exemples concrets interdits :

• Utiliser le score d'absentéisme d'un employé pour automatiquement refuser son prêt bancaire
• Un système gouvernemental qui réduit les allocations sociales sur la base du "comportement en ligne" des bénéficiaires
• L'accès à des services conditionnés au "score de citoyen" — sur le modèle du système chinois

2. La manipulation comportementale subliminale

Définition : Utiliser des techniques sublimales au-delà de la conscience de l'individu pour distordre son comportement d'une manière qui lui cause un préjudice.

Exemples interdits :

• Algorithmes de réseaux sociaux conçus pour créer de l'addiction en exploitant les biais cognitifs
• Publicité ciblée utilisant des patterns visuels subliminaux pour induire des achats compulsifs
• Interfaces "dark pattern" pilotées par IA pour piéger les utilisateurs

3. L'exploitation des vulnérabilités

Définition : Cibler spécifiquement des groupes vulnérables (âge, handicap, situation socio-économique) pour distordre leur comportement et leur causer un préjudice.

Exemples interdits :

• Jouets connectés utilisant l'IA pour inciter des enfants à faire des choix dangereux
• Arnaques pilotées par IA ciblant des personnes âgées pour leur soutirer des données personnelles ou de l'argent
• Applications manipulant des personnes en situation de précarité pour des contrats défavorables

4. La prédiction individuelle de crimes par profilage

Définition : Évaluer le risque qu'un individu commette une infraction pénale basée uniquement sur son profilage ou ses traits de personnalité.

Exemple interdit : Attribuer un "score de dangerosité criminelle" basé sur la race, le code postal ou les données démographiques d'un individu sans commission d'infraction réelle.

5. Le scraping facial non ciblé

Définition : Constituer ou enrichir des bases de données de reconnaissance faciale par scraping indiscriminé d'images depuis internet ou des caméras CCTV.

Exemples interdits :

• Scraper des photos LinkedIn, Facebook ou Instagram sans le consentement des utilisateurs pour entraîner un modèle de reconnaissance faciale
• Utiliser des caméras de surveillance pour constituer automatiquement une base de données biométrique

6. La reconnaissance des émotions au travail et dans l'éducation

Définition : Analyser et déduire les émotions des personnes dans des contextes professionnels ou éducatifs pour évaluer leurs performances.

Exemples interdits :

• Un outil d'entretien d'embauche qui analyse les micro-expressions faciales du candidat et rejette automatiquement ceux qui "semblent nerveux"
• Un logiciel de surveillance des élèves qui détecte leur "niveau d'attention" via la webcam et sanctionne les "désengagés"
• Un système évaluant la "motivation" des télétravailleurs via leur caméra

7. La catégorisation biométrique sensible

Définition : Classer des individus pour déduire des caractéristiques protégées : origine raciale ou ethnique, opinions politiques, convictions religieuses, orientation sexuelle.

8. L'identification biométrique en temps réel dans les espaces publics

Définition : Déployer la reconnaissance faciale "live" dans les espaces publics par les forces de l'ordre.

Exceptions limitées : Recherche de personnes disparues, prévention de menaces terroristes imminentes documentées — uniquement avec autorisation judiciaire préalable.

Partie 2 — Les Systèmes d'IA à Haut Risque (Annexe III)

Ces systèmes sont autorisés mais soumis à des obligations strictes : documentation technique (200–300h par système), système de gestion de la qualité, supervision humaine obligatoire, logs conservés 6 mois minimum.

Les 8 domaines à haut risque et leurs cas d'usage

Exemple concret : votre outil de recrutement est-il haut risque ?

Le scoring de crédit : entre haut risque et discrimination

Une banque utilisant une IA pour évaluer la solvabilité de ses clients doit :

• Documenter les variables utilisées et justifier leur pertinence
• Exclure tout proxy discriminatoire (code postal pouvant servir de proxy racial)
• Permettre à l'humain de contester et overrider la décision automatique
• Expliquer la décision au client en langage clair (droit à l'explication, RGPD Article 22)

Ce que votre entreprise doit faire maintenant

1. Auditez immédiatement vos systèmes IA : utilisez-vous l'une des 8 pratiques interdites ?
2. Classifiez chaque système selon les 4 niveaux de risque de l'AI Act
3. Pour les systèmes haut risque : commencez la documentation technique (200–300h), mettez en place la supervision humaine, activez les logs
4. Formez votre personnel à la littératie IA — obligation légale depuis février 2025 (Article 4)
5. Consultez la CNIL en cas de doute sur la classification d'un système biométrique ou RH