Article 6 — Règles de classification des systèmes d'IA à haut risque (AI Act européen)

Article 6 du Règlement (UE) 2024/1689 — Règles de classification des systèmes d'IA à haut risque. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 6 du Règlement (UE) 2024/1689 établit le mécanisme de classification à double voie qui détermine quand un système d'IA est soumis aux obligations strictes applicables aux systèmes à haut risque au titre du Titre III, Chapitre 2.

La première voie, prévue à l'article 6(1), capture les systèmes d'IA qui sont des composants de sécurité de produits déjà réglementés par la législation d'harmonisation de l'Union énumérée à l'Annex I — y compris le Règlement sur les machines, le Règlement sur les dispositifs médicaux, le Règlement sur les dispositifs médicaux de diagnostic in vitro, la Directive sur les équipements radioélectriques, et plusieurs autres. Lorsqu'un tel produit doit lui-même subir une évaluation de conformité par un tiers au titre de la législation sectorielle applicable, le système d'IA fonctionnant comme son composant de sécurité est automatiquement classifié comme à haut risque.

La seconde voie, prévue à l'article 6(2), capture les systèmes d'IA autonomes figurant dans l'Annex III. Cette annexe énumère huit domaines — identification et catégorisation biométriques ; gestion des infrastructures critiques ; éducation et formation professionnelle ; emploi et gestion des travailleurs ; accès aux services privés et publics essentiels ; forces de l'ordre ; migration, asile et contrôle aux frontières ; et administration de la justice et processus démocratiques.

L'article 6(3) introduit une exception d'auto-évaluation : un fournisseur peut déterminer qu'un système relevant de l'Annex III ne présente pas de risque significatif s'il ne profile pas de personnes physiques et satisfait à des conditions spécifiques, la détermination étant documentée et communiquée aux autorités nationales. La Commission conserve le pouvoir délégué de modifier l'Annex III et de publier des orientations clarifiant l'application des critères d'auto-évaluation.

Ce que cela signifie en pratique

L'article 6 est la porte d'entrée de conformité vers l'ensemble du régime à haut risque. Avant qu'une obligation d'évaluation de conformité, de marquage CE ou d'enregistrement ne surgisse, un fournisseur doit d'abord déterminer si son système dépasse le seuil de l'article 6.

Pour les développeurs et les fournisseurs d'IA embarquée : Si votre système d'IA contrôle, surveille ou assiste une fonction de sécurité dans un produit portant le marquage CE au titre de la législation relevant de l'Annex I — un robot chirurgical, un véhicule autonome, une presse industrielle — vous devez le traiter comme à haut risque dès la phase de conception. Cela s'applique que votre organisation soit le fabricant du produit final ou un fournisseur de sous-composants ; l'obligation suit la fonction de sécurité, pas la structure d'entreprise.

Pour les fournisseurs d'applications d'IA autonomes : Vous devez cartographier votre usage prévu par rapport à chaque catégorie de l'Annex III. Un modèle de notation du crédit utilisé par une banque pour décider de l'accès aux services financiers essentiels relève du point 5(b) de l'Annex III. Un outil d'IA utilisé par un employeur pour sélectionner des CV relève du point 4. Le mot clé dans toute l'Annex III est « destination » : la classification suit ce que vous avez conçu et documenté le système pour faire, et non la façon dont un déployeur choisit de l'utiliser après le déploiement.

Auto-évaluation au titre de l'article 6(3) : Si vous pensez que votre système relevant de l'Annex III se qualifie pour l'exception — par exemple, un outil d'IA à portée étroite qui assiste les humains sans aucune fonction de profilage — vous devez produire une évaluation écrite, la conserver et notifier l'autorité de surveillance du marché compétente. Il ne s'agit pas d'un opt-out général ; les régulateurs peuvent contester la détermination.

Première étape pratique : Réalisez un audit de classification cartographiant chaque système d'IA de votre portefeuille par rapport aux catégories de produits de l'Annex I et aux huit domaines de l'Annex III bien avant la première des deux échéances qui en découlent — le 2 décembre 2027 pour les systèmes autonomes de l'Annexe III, le 2 août 2028 pour les produits de l'Annexe I.

Obligations clés

• Déterminer la classification avant la mise sur le marché : Les fournisseurs doivent évaluer si chaque système d'IA répond au critère de composant de sécurité de l'article 6(1) ou relève d'une catégorie de l'Annex III avant de mettre le système sur le marché ou de le mettre en service.
• Appliquer le cadre de conformité complet à haut risque si classifié : Une classification positive au titre de l'article 6(1) ou 6(2) déclenche toutes les obligations du Titre III, Chapitre 2 — y compris la gestion des risques (article 9), la gouvernance des données (article 10), la documentation technique (article 11), la journalisation (article 12), la transparence (article 13), la supervision humaine (article 14), et les exigences de précision et de robustesse (article 15).
• Documenter et notifier les exceptions d'auto-évaluation : Lorsqu'un fournisseur invoque l'exception de l'article 6(3) pour éviter la classification à haut risque d'un système relevant de l'Annex III, la détermination doit être documentée par écrit, incluse dans la documentation technique et communiquée à l'autorité nationale compétente avant la mise sur le marché.
• Surveiller l'Annex III pour les mises à jour de la Commission : La Commission peut modifier l'Annex III par voie d'actes délégués au titre de l'article 97. Les fournisseurs doivent suivre ces modifications et reclassifier les systèmes existants si nécessaire, même après la mise initiale sur le marché.
• Respecter l'interaction avec la législation sectorielle pour les produits relevant de l'Annex I : Pour les systèmes relevant de l'article 6(1), les procédures et les calendriers d'évaluation de conformité sont régis par la législation sectorielle applicable figurant à l'Annex I, et la conformité à cette législation est une condition préalable à la conformité à l'AI Act — les deux régimes sont cumulatifs, pas alternatifs.
• Appliquer correctement les dispositions transitoires : Les fournisseurs doivent identifier si leurs systèmes à haut risque bénéficient du régime transitoire et enregistrer le fondement de cette détermination, car une « modification significative » du système mettra fin à la transition et déclenchera une conformité complète immédiate.

Relation avec les autres articles

L'article 6 est le point d'entrée vers le régime à haut risque et doit être lu comme la condition préalable à l'ensemble du Chapitre 2 du Titre III. Une classification positive au titre de l'article 6 engage immédiatement l'article 9 (système de gestion des risques), l'article 10 (gouvernance des données d'entraînement), l'article 11 (documentation technique selon l'Annex IV), l'article 12 (journalisation automatique), l'article 13 (transparence et instructions d'utilisation), l'article 14 (mesures de supervision humaine), et l'article 15 (précision, robustesse et cybersécurité).

L'article 43 régit quelle procédure d'évaluation de conformité s'applique une fois qu'un système est classifié comme à haut risque : les systèmes relevant de l'article 6(1) suivent généralement la procédure sectorielle, tandis que les systèmes relevant de l'article 6(2) peuvent utiliser la procédure de contrôle interne de l'Annex VI, sauf si une catégorie spécifique de l'Annex III exige l'intervention d'un tiers. L'article 47 exige que les fournisseurs rédigent une déclaration UE de conformité, et l'article 49 exige le marquage CE — tous deux subordonnés à la classification au titre de l'article 6. L'article 5 (pratiques interdites) s'applique indépendamment et en amont de l'article 6 : un système peut simultanément être interdit et à haut risque, auquel cas l'article 5 prévaut absolument.

Calendrier de conformité

2 août 2024 — Le Règlement (UE) 2024/1689 est entré en vigueur (20 jours après sa publication au Journal officiel le 12 juillet 2024).

2 février 2025 — Les pratiques d'IA interdites au titre de l'article 5 sont devenues exécutoires. Les classifications au titre de l'article 6 ne s'appliquent pas encore, mais les fournisseurs sont invités à commencer la cartographie de leur portefeuille à ce stade.

2 août 2025 — Les règles relatives aux modèles d'IA à usage général (Titre VIII) et les obligations de gouvernance sont devenues applicables. L'article 6 n'est pas encore en vigueur, mais la Commission devrait publier des orientations sur les critères d'auto-évaluation de l'article 6(3) autour de cette période.

2 décembre 2027 — L'article 6 et les obligations complètes à haut risque au titre du Titre III, Chapitre 2 deviennent exécutoires pour les systèmes d'IA figurant à l'Annex III. Il s'agit de la principale échéance de conformité pour la plupart des systèmes d'IA autonomes à haut risque.

2 août 2027 — Délai transitoire étendu pour les systèmes d'IA qui sont des composants de sécurité de produits relevant de l'Annex I et qui étaient déjà mis sur le marché ou mis en service avant le 2 août 2028 en vertu de la législation sectorielle existante, à condition qu'aucune modification significative ne soit survenue.

Les fournisseurs doivent planifier à rebours à partir du 2 août 2026, en prévoyant 12 à 18 mois pour l'évaluation de conformité, la documentation technique et l'enregistrement dans la base de données de l'UE au titre de l'article 71.