Industries We Serve

Ce qui entre dans le champ d'application, et comment cela est classé

• L'évaluation de la solvabilité et le scoring de crédit des personnes physiques sont cités à l'annexe III, point 5 b). L'évaluation des risques et la tarification en assurance vie et santé y figurent à côté.
• La détection de la fraude, la surveillance des transactions LCB-FT et le risque de modèle interne se situent, dans la plupart des conceptions, hors de l'annexe III, et sont atteints par MaRisk et DORA.
• L'article 6, paragraphe 3, permet à un système figurant à l'annexe III de sortir de la catégorie haut risque lorsqu'il n'influence pas de manière substantielle le résultat d'une décision. Savoir si cela s'applique est un constat propre à chaque système, à documenter plutôt qu'à présumer.

Les échéances applicables

• 18 Déc 2025 DORA — Orientations de la BaFin sur les risques TIC liés à l'utilisation de l'IA dans les entités financières (déjà applicable)
• 29 Juil 2026 KI-MIG — Début d'application, après publication au Bundesgesetzblatt le 28 juillet 2026 (déjà applicable)
• 2 Déc 2027 EU AI Act — Obligations haut risque pour les systèmes autonomes relevant de l'annexe III

Ce qu'une autorité de surveillance demande à voir

• Un dossier de conformité par système à haut risque : gestion des risques, gouvernance des données, documentation technique, journalisation et le contrôle humain effectivement en place.
• Pour la BaFin au titre de DORA, chaque système d'IA inscrit à l'inventaire des actifs TIC avec un suivi du cycle de vie — de l'acquisition des données jusqu'au retrait — et repris dans le registre d'informations.
• La preuve que les documents RGPD, DORA et EU AI Act existent séparément. Une AIPD au titre de l'article 35 n'est pas un dossier de conformité, et aucun des deux ne dispense de l'autre.

Ce qu'Alleina fournit pour cela

Deux pièges que ce secteur rencontre le plus souvent. Une modification substantielle relance le délai de conformité : un système qui s'appuie sur le régime transitoire applicable aux modèles déjà mis sur le marché peut donc le perdre à l'occasion d'un simple réentraînement. Et lorsque la documentation de conformité d'un fournisseur tiers est incomplète, les obligations de l'établissement déployeur ne disparaissent pas — transmettre la documentation ne transmet pas la responsabilité avec elle.

Ce qui entre dans le champ d'application, et comment cela est classé

• L'annexe III, point 2, cite l'IA utilisée comme composant de sécurité dans la gestion et l'exploitation des infrastructures numériques critiques et de l'approvisionnement en eau, gaz, chauffage et électricité.
• La prévision de charge et de demande, la maintenance prédictive et l'optimisation du négoce n'en sont pas automatiquement exclues. Savoir si un modèle est un composant de sécurité dépend de ce qui échoue s'il se trompe : c'est une question de périmètre, non une exemption acquise.
• Les fournisseurs d'énergie allemands sont en outre soumis à des obligations issues de l'EnWG qui s'attachent au processus plutôt qu'au modèle — parmi lesquelles la transparence des changements de prix et la responsabilité d'équilibre.

Les échéances applicables

• 6 Déc 2025 NIS2 / BSIG — Début d'application de la loi allemande de mise en œuvre, sans période transitoire (déjà applicable)
• 29 Juil 2026 KI-MIG — Début d'application, après publication au Bundesgesetzblatt le 28 juillet 2026 (déjà applicable)
• 2 Déc 2027 EU AI Act — Obligations haut risque pour les systèmes autonomes relevant de l'annexe III

Ce qu'une autorité de surveillance demande à voir

• Un relevé défendable indiquant quels modèles ont été évalués comme composants de sécurité et lesquels ne l'ont pas été, avec le raisonnement, daté.
• Pour les exploitants entrant dans le champ de NIS 2, les mesures de gestion des risques de cybersécurité et le calendrier échelonné de déclaration des incidents, avec un enregistrement auprès du BSI effectué.
• La continuité entre les deux : un incident d'IA dans un système de conduite est fréquemment déclarable au titre de NIS 2 avant même qu'une obligation de l'EU AI Act ne soit déclenchée.

Ce qu'Alleina fournit pour cela

Ce qui entre dans le champ d'application, et comment cela est classé

• Une IA intégrée à un dispositif réglementé par le MDR ou l'IVDR relève de l'annexe I, et sa conformité passe par la voie existante de sécurité des produits et par son organisme notifié, plutôt qu'à côté d'elle.
• Une IA de santé autonome qui n'est pas un dispositif médical — triage, éligibilité et accès aux services de santé essentiels — relève en revanche de l'annexe III, à l'échéance la plus proche.
• La même idée clinique peut basculer d'un côté ou de l'autre selon sa destination prévue, ce qui en fait une question de classification et non une formalité.

Les échéances applicables

• 25 Mai 2018 GDPR — Début d'application dans toute l'UE (déjà applicable)
• 29 Juil 2026 KI-MIG — Début d'application, après publication au Bundesgesetzblatt le 28 juillet 2026 (déjà applicable)
• 2 Août 2028 EU AI Act — Obligations haut risque pour les systèmes relevant de l'annexe I intégrés à des produits réglementés

Ce qu'une autorité de surveillance demande à voir

• Pour les dispositifs relevant de l'annexe I, les preuves au titre de l'EU AI Act intégrées à la documentation technique et au système de management de la qualité existants, plutôt que classées comme un jeu parallèle.
• Pour les systèmes relevant de l'annexe III, un dossier de conformité à part entière, et une analyse d'impact sur les droits fondamentaux lorsque le déployeur est un organisme public ou un fournisseur de services essentiels.
• Le traitement de catégories particulières de données au titre de l'article 9 du RGPD, documenté indépendamment des deux.

Ce qu'Alleina fournit pour cela

Les deux échéances sont le 2 décembre 2027 pour les systèmes autonomes relevant de l'annexe III et le 2 août 2028 pour l'IA intégrée à un produit relevant de l'annexe I. Un portefeuille qui contient les deux porte les deux.

Ce qui entre dans le champ d'application, et comment cela est classé

• Une entreprise de logiciels qui livre une fonctionnalité bâtie sur un modèle est fréquemment un fournisseur, et pas seulement un déployeur ; or les obligations du fournisseur constituent le jeu le plus lourd.
• L'article 50 sur la transparence s'applique dès maintenant : information de la personne qu'elle interagit avec un système d'IA, et marquage des contenus générés par l'IA. Les obligations relatives aux modèles d'IA à usage général s'appliquent depuis août 2025.
• Les fonctionnalités de recrutement et de RH sont citées à l'annexe III, point 4, ce qui les place dans la catégorie haut risque à l'échéance de 2027 et non à celle déjà en vigueur.

Les échéances applicables

• 29 Juil 2026 KI-MIG — Début d'application, après publication au Bundesgesetzblatt le 28 juillet 2026 (déjà applicable)
• 2 Août 2026 EU AI Act — Application générale, y compris les obligations de transparence de l'article 50 (déjà applicable)
• 2 Déc 2026 Digital Omnibus on AI — Nouvelles interdictions à l'article 5 visant l'IA qui génère des images intimes non consenties ou du matériel relatif à des abus sexuels sur enfants

Ce qu'une autorité de surveillance demande à voir

• L'information et le marquage des contenus mis en œuvre dans le produit et documentés, non décrits dans une politique.
• Pour les modèles à usage général, une documentation technique, un résumé des données d'entraînement et une politique en matière de droit d'auteur.
• Un inventaire qui distingue, pour chaque système, le rôle de fournisseur de celui de déployeur, car les obligations diffèrent et une même organisation est couramment les deux.

Ce qu'Alleina fournit pour cela

C'est le secteur où le report change le moins. La transparence, les interdictions et les obligations relatives aux modèles à usage général n'ont pas été touchées par l'Omnibus et sont exécutoires aujourd'hui.

Ce qui entre dans le champ d'application, et comment cela est classé

• L'annexe III, point 5, cite l'IA utilisée pour évaluer la solvabilité ou déterminer l'éligibilité à des services privés essentiels. La sélection des locataires, le scoring de solvabilité locative et les pré-vérifications de prêt ou de financement en sont les formes prises dans l'immobilier.
• Les modèles d'évaluation automatisée utilisés pour fixer un prix, et non pour décider au sujet d'une personne nommément désignée, posent une question différente : ils font l'objet d'un périmétrage, et ne sont ni inclus ni exclus par présomption.
• En Allemagne, l'AGG interdit déjà aujourd'hui la sélection discriminatoire en matière de location, indépendamment de ce qu'ajoute l'EU AI Act.

Les échéances applicables

• 25 Mai 2018 GDPR — Début d'application dans toute l'UE (déjà applicable)
• 29 Juil 2026 KI-MIG — Début d'application, après publication au Bundesgesetzblatt le 28 juillet 2026 (déjà applicable)
• 2 Déc 2027 EU AI Act — Obligations haut risque pour les systèmes autonomes relevant de l'annexe III

Ce qu'une autorité de surveillance demande à voir

• Lorsqu'une décision de sélection est automatisée, la position au regard de l'article 22 du RGPD doit être documentée — base légale, information utile sur la logique sous-jacente, et voie d'intervention humaine. Cela s'applique dès maintenant, et non à partir de 2027.
• Des tests d'équité portant sur les caractéristiques protégées, conservés et datés, ce qui est aussi ce que réclame une contestation fondée sur l'AGG.
• Une trace de revue humaine montrant qu'une personne pouvait modifier un résultat et l'a fait, plutôt qu'une validation de pure forme.

Ce qu'Alleina fournit pour cela

Le travail lié à l'EU AI Act prolonge ici des contrôles qu'une activité de location ou de financement est déjà censée exercer au titre du RGPD et de l'AGG. Il s'agit rarement d'un programme nouveau.