Règlement européen sur l’IA : comment formexposed utilise l’IA

Ce document est publié en plusieurs langues. En cas de divergence entre les versions linguistiques, la version polonaise fait foi.

Version 1.0 · Dernière mise à jour : 16 octobre 2026

Ce que le règlement (UE) 2024/1689 (le « règlement sur l’IA ») signifie pour formexposed : où le service utilise l’intelligence artificielle, où il ne l’utilise expressément pas, quelles données un modèle peut voir et comment nous évaluons les obligations du règlement en ce qui nous concerne. Cette page décrit l’état actuel du service et notre analyse juridique ; il ne s’agit pas d’un document contractuel, et ce que nous devons aux Clients est régi par les Conditions d’utilisation et l’Contrat de sous-traitance. Elle fait partie de nos documents juridiques, aux côtés de la Politique de confidentialité et du Registre des activités de traitement.

1. En bref

Le règlement sur l’IA est entré en vigueur le 1er août 2024. Ses interdictions et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, les obligations relatives aux modèles à usage général depuis le 2 août 2025, et les obligations de transparence de l’Art. 50 depuis le 2 août 2026 (Art. 113).

formexposed utilise un modèle de langage à deux endroits précisément : comme aide pour classer un formulaire que nos règles ne reconnaissent pas, et dans « Fix it for me », où, à votre demande, il intègre notre module de protection dans le code de votre formulaire. Dans les deux cas, le modèle fonctionne sur notre propre serveur en Pologne ; aucune donnée d’entrée n’est transmise à un fournisseur d’IA. Le score, le verdict, les alertes, la prévention des abus et la protection anti-spam du plugin ne relèvent pas de l’IA, mais de règles que nous avons écrites et qui peuvent être recalculées à la main. Aucun résultat produit par l’IA ne décide quoi que ce soit au sujet d’une personne.

2. Où formexposed utilise l’IA

2.1 Classification des formulaires dans le service de vérification

Lors de chaque vérification, le robot d’exploration doit savoir de quel type de formulaire il s’agit : formulaire de contact, connexion, commande, recherche, newsletter, etc. C’est ce qui détermine si un formulaire est évalué ou non. La classification se déroule en deux étapes :

D’abord les règles. Les types de champs, les noms de champs, les libellés, les textes des boutons et le texte entourant le formulaire sont comparés à des listes de mots fixes en allemand, en anglais et en polonais. Cela couvre la grande majorité des formulaires.
Le modèle de langage uniquement si les règles indiquent « inconnu ». Il reçoit alors une description du formulaire et répond par un type et un indice de confiance compris entre 0 et 1. S’il ne répond pas, répond par une valeur vide ou inconnue, le formulaire reste « inconnu ». Si le modèle est défaillant, la vérification se poursuit sans cette étape.

Ce que le modèle est autorisé à faire est strictement limité, et ce dans le code, pas seulement en intention :

Un formulaire classé par le modèle n’est jamais soumis. Les soumissions de test n’existent que pour les formulaires de contact que les règles ont reconnus avec un indice de confiance élevé et, pour les clients, uniquement sur les domaines dont le contrôle a été prouvé.
Un formulaire classé par le modèle n’entre pas dans le score ni dans le verdict. Il reste visible dans la liste des formulaires trouvés, mais n’est jamais traité comme le formulaire de contact déterminant du domaine, auquel se rattachent la surveillance, la comparaison visuelle, le portail client et « Fix it for me ». Si le modèle considère qu’il s’agit d’un formulaire de contact, le code réduit son indice de confiance à 0.6 au maximum, car lors de nos tests, il a pris des champs de recherche et des calculateurs d’assurance pour des formulaires de contact.
À côté de chaque formulaire, le rapport indique l’origine de sa classification : « règles » ou « IA », avec l’indice de confiance en pourcentage.

2.2 « Fix it for me » : intégration du module de protection dans votre code

Avec les formules payantes, les propriétaires et administrateurs d’un espace de travail reçoivent un module de protection prêt à l’emploi pour PHP, Node.js ou Python. Le module lui-même est un modèle fixe, sans IA ; seuls votre nom d’hôte et les noms de champs issus de la dernière vérification y sont insérés. Vous pouvez, en option, coller le code de votre formulaire, et le modèle de langage y intègre le module. Vous recevez le fichier modifié et, sauf pour les fichiers très volumineux, un correctif (patch). Avant que vous ne voyiez le résultat, notre code vérifie deux points sans IA :

si l’appel au module a effectivement été intégré – s’il est absent, l’interface l’indique expressément : ne pas déployer en l’état ;
si la syntaxe est correcte (php -l, node --check ou py_compile) ; votre code est vérifié, pas exécuté.

Avec chaque résultat, l’interface indique qu’il provient d’une IA, qu’une IA peut se tromper et que la vérification syntaxique ne teste pas votre logique. Nous ne déployons rien : nous n’avons pas accès à votre serveur et ne le demandons pas. La vérification suivante montre si la modification fonctionne.

2.3 Assistants d’IA tiers via notre interface MCP

Avec la formule Business, vous pouvez connecter votre propre assistant d’IA (comme Claude, ChatGPT ou Cursor) à votre compte via le Model Context Protocol afin d’interroger vos domaines, vérifications et incidents. Il ne s’agit pas d’une IA qui nous appartient : nous fournissons des données à l’assistant, tout comme le fait l’API REST. Ce que le fournisseur fait des données dépend de votre choix et de votre contrat avec ce fournisseur. Via l’interface, l’assistant peut uniquement lire des données et lancer une vérification.

2.4 Google reCAPTCHA sur nos propres formulaires

Nos propres formulaires (vérification gratuite, outil d’en-têtes, opposition (opt-out), connexion, inscription, mot de passe, support et contact) sont protégés par Google reCAPTCHA v3. Google calcule à cet effet, selon ses propres méthodes, une valeur comprise entre 0 et 1 ; nous ne voyons que cette valeur et rejetons une soumission en dessous d’un seuil fixe. La méthode est celle de Google, pas la nôtre. Toute personne rejetée peut réessayer ou nous joindre par e-mail. Les détails figurent dans la Politique de confidentialité.

3. Où formexposed n’utilise pas l’IA

Les éléments suivants reposent exclusivement sur des règles fixées par des humains. Ils ne déduisent rien des données, n’apprennent rien et ne sont donc pas des systèmes d’IA au sens de l’Art. 3(1), comme l’explique le considérant 12 :

Score et verdict : une somme pondérée des mesures de protection manquantes (CAPTCHA, champ piège, jeton, horodatage, etc.) de 0 à 100 ; au-delà de seuils fixes, « Exposé », « Partiellement protégé » ou « Protégé ». Nous fixons les pondérations ; elles ne varient pas en fonction des données vérifiées.
Détection des mesures de protection, des scripts tiers, des bannières de cookies, de l’accessibilité : comparaison avec des caractéristiques connues dans le code source de la page et dans le comportement de la page.
Surveillance et alertes : comparaison avec la vérification précédente ; temps de réponse par rapport à une référence calculée à partir de la médiane des premières mesures, avec des seuils fixes.
Prévention des abus pour la vérification gratuite : comptages par adresse IP, session et période, avec des limites fixes. Toute personne qui dépasse une limite est rejetée pour la période en cours, pendant 24 heures au maximum. Les anomalies sont signalées et traitées par un humain.
Comparaison visuelle des formulaires : les captures d’écran de vérifications successives sont comparées à l’aide des profils de luminosité de leurs lignes et colonnes, avec des seuils fixes, afin de signaler un formulaire déplacé ou masqué.
Protection collective (essaim) : un domaine issu de liens figurant dans des messages bloqués est ajouté à la liste commune s’il apparaît sur un nombre minimal de sites web différents au cours d’une période fixe ; les grands services en sont exclus, et chaque blocage aboutit en quarantaine, pas dans l’oubli.
Protection anti-spam dans le plugin WordPress et l’extension TYPO3 : champ piège, jeton signé, durée minimale de remplissage, preuve d’interaction, énigme arithmétique, contrôles des sauts de ligne et d’un domaine de messagerie capable de recevoir des e-mails, limitation du débit, listes d’adresses jetables, systèmes d’écriture par classes Unicode, listes de mots et pays personnalisés. Le contrôle lui-même s’exécute sur le site web du Client. Tant que le site web est connecté à un compte, nous ne recevons que des comptages, les noms et versions des extensions et, tant qu’il participe à la protection collective (activée par défaut dans le plugin WordPress), les domaines des liens figurant dans les messages bloqués – aucun message et aucune adresse.

4. Quelles données le modèle reçoit et où il fonctionne

Fonction	Données d’entrée du modèle	Résultat	Ce qui est conservé
Classification des formulaires	Titre et adresse de la page, texte des boutons d’envoi, pour chaque champ son type, son nom, son libellé, son texte indicatif (placeholder) et s’il est obligatoire ou masqué, 400 caractères au maximum de texte visible du formulaire. Aucune valeur saisie.	Type de formulaire et indice de confiance	Type, indice de confiance, origine « IA » et nom du modèle avec le résultat de la vérification, selon sa durée de conservation ; pas la requête elle-même
« Fix it for me »	le code que vous collez (30,000 caractères au maximum) et notre module de protection avec votre nom d’hôte et vos noms de champs	le fichier modifié	rien du code (pour la vérification syntaxique, le fichier modifié est conservé sur notre serveur web sous forme de fichier temporaire uniquement pendant la durée de cette vérification) ; dans le journal d’activité, uniquement le langage, la longueur, la réussite ou non, si l’appel a été intégré et le résultat de la vérification syntaxique

Aucune sortie de données. Le modèle fonctionne sur notre propre serveur de vérification en Pologne. Le robot d’exploration y accède depuis son environnement isolé, notre serveur web via notre réseau interne. Aucune donnée d’entrée n’est transmise à un fournisseur d’IA ni à aucun autre tiers. Le service du modèle ne journalise que des informations techniques telles que l’heure, la durée et le code d’état d’une requête, pas son contenu.
Aucun entraînement. Nous n’entraînons ni ne modifions le modèle et n’utilisons ni les résultats de vérification ni votre code pour l’améliorer. Chaque requête est traitée isolément.
Données à caractère personnel : aucune des deux fonctions n’en a besoin. Exceptionnellement, un nom peut se retrouver dans le texte du formulaire d’une page tierce, par exemple celui d’un interlocuteur à côté du formulaire. Dans « Fix it for me », nous vous demandons de supprimer les mots de passe, clés API et données à caractère personnel avant de coller le code ; l’interface vous rappelle, lors de la saisie, de retirer les mots de passe et clés API.
Limites d’utilisation : « Fix it for me » avec IA est limité à un certain nombre de requêtes par espace de travail et par jour, afin que le serveur reste disponible pour les vérifications.

5. Notre rôle au titre du règlement sur l’IA

Le modèle : nous utilisons un modèle de langage à usage général librement disponible, à poids ouverts, d’un fournisseur tiers. Les obligations relatives au modèle lui-même (Art. 53 et suivants) incombent à son fournisseur. Comme nous ne l’entraînons ni ne le modifions, nous ne devenons pas nous-mêmes fournisseur d’un tel modèle.

Les systèmes : nous avons conçu la classification des formulaires et « Fix it for me » et les exploitons sous le nom formexposed. Selon notre analyse, nous sommes le fournisseur d’un système d’IA (Art. 3(3)) pour les deux, car nous les avons développés nous-mêmes et mis en service sous notre propre nom. Nous utilisons également nous-mêmes la classification des formulaires et sommes donc, dans cette mesure, aussi déployeur (Art. 3(4)). « Fix it for me » est utilisé par nos clients dans le cadre de leur activité professionnelle ; ce faisant, ils sont, selon notre analyse, des déployeurs.

Classification des risques : aucune des deux fonctions ne relève des domaines à haut risque de l’annexe III (tels que la biométrie, les infrastructures critiques, l’éducation, l’emploi, les services essentiels, l’application de la loi, la migration, l’administration de la justice) ni ne constitue un composant de sécurité d’un produit au sens de l’annexe I. Elles classent des formulaires et modifient du code de programme ; elles n’évaluent pas des personnes. Ce ne sont donc pas des systèmes d’IA à haut risque au sens de l’Art. 6 ; les exigences applicables à ces systèmes et les obligations de leurs fournisseurs et déployeurs (chapitre III) ne s’appliquent pas à elles. Elles sont soumises à l’obligation de maîtrise de l’IA (Art. 4) et, lorsque leurs conditions sont remplies, aux obligations de transparence de l’Art. 50.

Pratiques interdites (Art. 5) : formexposed ne pratique ni reconnaissance des émotions, ni catégorisation ou identification biométrique, ni notation sociale, ni prédiction d’infractions pénales, ni techniques manipulatrices ou subliminales.

6. Transparence (Art. 50)

Aucun chatbot. Personne ne converse avec une IA chez formexposed. L’Art. 50(1) concerne les systèmes d’IA destinés à interagir directement avec des personnes physiques. La classification des formulaires n’entre en contact avec personne ; « Fix it for me » reçoit du code et renvoie du code, et l’interface indique expressément que le résultat provient d’une IA. Toute personne qui utilise la fonction sait donc dans tous les cas qu’elle a affaire à une IA.
Texte généré. « Fix it for me » génère du code de programme. L’interface le signale comme résultat d’une IA, et il ne parvient qu’à vous, pas au public. La question de savoir si du code de programme constitue du « texte » au sens de l’Art. 50(2) n’est pas tranchée. Selon notre analyse, l’exception prévue par cette disposition pour les systèmes d’IA qui ne modifient pas de manière substantielle les données d’entrée fournies par le déployeur ou leur sémantique s’applique en tout état de cause : la fonction est destinée à insérer un appel à notre module de protection dans votre code et à le laisser inchangé pour le reste ; le correctif, qui affiche chaque ligne modifiée, montre si cela a réussi. Pour les fichiers très volumineux, il n’y a pas de correctif ; dans ce cas, comparez le fichier vous-même.
Les classifications figurant dans le rapport sont signalées par la mention « IA » chaque fois qu’elles proviennent du modèle.
Nous ne générons ni images, ni contenus audio ou vidéo, ni hypertrucages (deepfakes).

7. Contrôle humain et absence de décisions automatisées

Les résultats du modèle sont des aides, pas des décisions. La classification des formulaires ne peut rien déclencher par elle-même : ni soumission, ni verdict, ni alerte. « Fix it for me » ne modifie rien sur votre serveur ; vous lisez le résultat, décidez et le déployez vous-même. Selon notre analyse, aucune fonction de formexposed ne prend de décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative de façon similaire (Art. 22 RGPD). Si reCAPTCHA ou l’une de nos limites fixes rejette automatiquement une saisie, vous pouvez réessayer ou nous écrire ; un humain examinera alors le cas. Nos évaluations portent sur des sites web et des formulaires, pas sur des personnes.

Si vous estimez qu’une classification est erronée, écrivez-nous en joignant le lien du rapport. Nous l’examinerons et améliorerons les règles.

8. Maîtrise de l’IA (Art. 4) et qualité

Le propriétaire a lui-même conçu les fonctions d’IA de formexposed et les exploite lui-même ; aucune autre personne ne travaille actuellement avec elles. Avant tout changement de modèle, il se familiarise avec son fonctionnement et ses limites, ainsi qu’avec l’état actuel du règlement. Si des salariés ou des prestataires amenés à travailler avec ces fonctions venaient s’ajouter, ils seraient formés à leur fonctionnement, à leurs limites et à leurs risques avant leur première utilisation ; nous consignons cette formation par écrit.
Avant de déployer ou de changer un modèle, nous le testons sur une collection de formulaires de test en ce qui concerne le temps de réponse, la validité des réponses et les erreurs de classification. Il s’agit d’une étape de travail réalisée par le propriétaire, et non d’un processus imposé par le code. Les limites décrites à la section 2.1 reposent sur de telles mesures.
L’Art. 4 s’applique également à vous en tant que Client si vous utilisez « Fix it for me » à titre professionnel. Cette page et les indications de l’interface sont destinées à vous y aider.

9. Modifications et contact

Nous mettrons cette page à jour dès qu’une fonction d’IA est ajoutée, modifiée de manière significative ou supprimée ; les modifications importantes sont répertoriées sous Modifications des documents contractuels. Veuillez adresser vos questions et préoccupations concernant notre utilisation de l’IA à contact@lukaswojcik.com, via la page de contact ou la fenêtre de support. Les réclamations suivent la procédure décrite sous Réclamations. Cela n’affecte pas le droit d’introduire une réclamation auprès de l’autorité de surveillance du marché compétente (Art. 85).

Fournisseur : LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Pologne.

Comment pouvons-nous vous aider ?