Systèmes d'IA à haut risque au titre de l'AI Act : classification et obligations

Comment l'AI Act classe l'IA à haut risque : les deux voies de l'annexe I et de l'annexe III, l'exception de l'article 6(3), les obligations du fournisseur et du déployeur, et les échéances applicables.

Deux voies vers la catégorie haut risque

« Haut risque » n'est pas une appréciation subjective sur la puissance d'un système. L'article 6 définit deux voies fermées, et un système est à haut risque s'il emprunte l'une ou l'autre.

Voie 1 — annexe I, embarqué dans un produit réglementé. Le système d'IA est un composant de sécurité d'un produit, ou constitue lui-même un produit, couvert par l'un des actes d'harmonisation de l'Union listés à l'annexe I — machines, dispositifs médicaux, ascenseurs, jouets, équipements radioélectriques, aviation civile, véhicules à moteur et autres — et ce produit doit faire l'objet d'une évaluation de la conformité par un tiers au titre de ces règles. Voir annexe I.

Voie 2 — annexe III, cas d'usage autonomes. Le système relève de l'un des huit domaines listés : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des travailleurs, accès aux services privés et publics essentiels, répression, migration et contrôle aux frontières, administration de la justice et processus démocratiques. Voir annexe III.

Les deux voies convergent vers les mêmes exigences du chapitre III. La différence tient au chemin d'évaluation de la conformité et à l'échéance applicable.

L'exception de l'article 6(3), et son prix

Un système de l'annexe III est présumé à haut risque, mais la présomption est réfragable. Au titre de l'article 6(3), un système n'est pas à haut risque s'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques — en particulier lorsqu'il :

• accomplit une tâche procédurale étroite ;
• améliore le résultat d'une activité humaine déjà achevée ;
• détecte des schémas décisionnels ou des écarts par rapport à des schémas antérieurs sans se substituer à l'appréciation humaine ni l'influencer en l'absence d'un examen approprié ;
• accomplit une tâche préparatoire à une évaluation relevant des cas d'usage listés.

Il existe une exclusion ferme : un système qui effectue un profilage de personnes physiques est toujours à haut risque, quoi qu'il fasse par ailleurs.

L'exception n'est pas gratuite. Le fournisseur qui l'invoque doit documenter son appréciation avant la mise sur le marché, et reste soumis à l'obligation d'enregistrement de l'article 49(2). La documentation doit être produite sur demande. En pratique, invoquer l'article 6(3), c'est s'engager sur une analyse écrite défendable — pas sur un silence.

Ce que doit faire le fournisseur

Le chapitre III, section 2, fixe les exigences de fond. Elles s'appliquent sur l'ensemble du cycle de vie, pas à un instant donné.

À ces exigences s'ajoutent les obligations de l'article 16 : système de gestion de la qualité, évaluation de la conformité, marquage CE, enregistrement dans la base de données de l'UE, mesures correctives et coopération avec les autorités. Voir évaluation de la conformité.

Ce que doit faire le déployeur

Les obligations du déployeur au titre de l'article 26 sont plus légères, mais pas anodines :

• utiliser le système conformément à la notice d'utilisation ;
• confier la supervision humaine à des personnes disposant de la compétence, de la formation et de l'autorité nécessaires pour l'exercer ;
• veiller à ce que les données d'entrée soient pertinentes et suffisamment représentatives au regard de la destination, dans la mesure où le déployeur les maîtrise ;
• surveiller le fonctionnement, suspendre l'utilisation et informer le fournisseur et les autorités lorsqu'un risque apparaît ;
• conserver les journaux générés automatiquement qui sont sous son contrôle ;
• informer les travailleurs et leurs représentants avant de mettre un système en service sur le lieu de travail.

Certains organismes publics et entités privées fournissant des services publics doivent en outre réaliser une analyse d'impact sur les droits fondamentaux au titre de l'article 27 avant la première utilisation.

Quand un déployeur devient fournisseur

L'article 25 est la disposition la plus souvent manquée de tout le règlement. Un déployeur, un distributeur ou un importateur assume l'intégralité des obligations du fournisseur s'il :

• appose son nom ou sa marque sur un système à haut risque déjà sur le marché ;
• apporte une modification substantielle à un système à haut risque ;
• modifie la destination d'un système — y compris d'un système non à haut risque — de sorte qu'il devienne à haut risque.

Acheter un outil généraliste et le réaffecter au tri de CV suffit à déclencher ce basculement. Voir fournisseurs et déployeurs pour l'arbre de décision.

Les échéances qui s'appliquent réellement

Le Digital Omnibus de 2026 a remanié ce calendrier, et les guides plus anciens citent encore les dates périmées.

Les systèmes déjà sur le marché avant la date applicable relèvent des dispositions transitoires de l'article 111 — mais une modification substantielle postérieure les fait entrer dans le champ. Consultez le calendrier complet et le relevé des modifications.

Par où commencer

1. Inventoriez tous les systèmes d'IA en usage, y compris les fonctions embarquées chez vos fournisseurs qui n'ont jamais été achetées comme de l'« IA ».
2. Passez chacun par les deux voies de l'article 6 — pas par l'intuition.
3. Pour les correspondances à l'annexe III, décidez si l'article 6(3) s'applique et rédigez l'appréciation.
4. Pour les systèmes confirmés à haut risque, déterminez qui est fournisseur et qui est déployeur pour chacun.
5. Mesurez l'écart au regard du tableau des exigences du chapitre III ci-dessus.

Le classificateur de risque déroule la logique de classification, et la checklist de conformité couvre le jeu d'obligations une fois la classification établie.

Contenu éditorial, ne constitue pas un conseil juridique.