Un outil qui aide à sélectionner des candidats, à évaluer des élèves ou à examiner une demande de crédit peut être soumis à des règles renforcées de l’AI Act.
Il en va de même de certains systèmes intégrés à des produits réglementés, comme des dispositifs médicaux ou des équipements industriels.
Mais l’utilisation de l’IA dans un secteur sensible ne suffit pas, à elle seule, à rendre un système « à haut risque ».
Il faut examiner son usage prévu, ses fonctions et son influence sur les personnes ou sur la sécurité du produit.
Quels systèmes peuvent être à haut risque ?
L’AI Act vise deux grandes catégories :
La première concerne certains produits réglementés. Le système d’IA doit être un composant de sécurité, ou le produit lui-même, couvert par une législation européenne énumérée à l’annexe I du règlement sur l'IA et soumis à une évaluation de conformité par un tiers.
La seconde concerne les usages énumérés à l’annexe III du règlement. On y trouve, par exemple, certains systèmes utilisés pour le recrutement ou la gestion des travailleurs, l’admission et l’évaluation des élèves, l’accès à des services essentiels, l’évaluation de la solvabilité des personnes physiques, la biométrie, les infrastructures critiques, la police, la migration ou la justice.
Le rôle concret du système est déterminant.
Par exemple, un outil qui classe des dossiers d’admission selon le niveau d’études demandé n’a pas nécessairement la même fonction qu’un système qui évalue les candidats ou contribue à décider de leur admission.
Ce que les lignes directrices de la Commission expliquent
La Commission européenne a publié un projet de lignes directrices pour aider les fournisseurs, les déployeurs et les autorités à appliquer les critères de classification.
Le document suit les deux catégories du règlement : les systèmes liés aux produits de l’annexe I et les usages de l’annexe III.
Pour les systèmes de l’annexe III, le projet explique le mécanisme qui permet, dans certains cas, de ne pas classer un système à haut risque.
Il faut notamment que le système ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux et qu’il n’influence pas de manière significative une décision.
Le projet examine plusieurs fonctions possibles : une tâche administrative limitée, l’amélioration d’un travail humain déjà terminé, la détection de certaines tendances sans remplacer l’évaluation humaine, ou la préparation d’une évaluation.
Les exemples montrent pourquoi le contexte compte.
Un outil qui signale une erreur dans une décision déjà prise par une personne peut avoir une fonction auxiliaire.
Un système qui recommande une autre décision et influence le résultat joue un rôle plus important. Le projet précise aussi que le profilage de personnes dans un domaine de l’annexe III reste toujours considéré comme à haut risque.
Les lignes directrices proposent également une méthode de vérification : déterminer si l’outil est bien un système d’IA au sens du règlement, préciser sa finalité, vérifier s’il relève de l’annexe I ou de l’annexe III et, pour l’annexe III, examiner si le mécanisme d’exclusion peut s’appliquer.
Les exemples ne couvrent pas toutes les situations et ne remplacent pas l’analyse de chaque système. Ils ne déterminent pas non plus, à eux seuls, si son utilisation respecte le RGPD ou les autres règles applicables.
Au 30 octobre 2026, ces lignes directrices sont encore à l’état de projet. La consultation s’est terminée en juillet et la Commission prévoit d’adopter la version définitive avant la fin de l’année. Elles ne sont pas juridiquement contraignantes.
Fournisseur et déployeur : deux rôles différents
Le fournisseur développe le système, le fait développer ou le met sur le marché sous son nom. Il doit notamment gérer les risques, préparer la documentation technique, prévoir une supervision humaine et veiller à l’exactitude, à la robustesse et à la cybersécurité du système. Il doit aussi, selon le cas, organiser une évaluation de conformité, établir les documents requis et assurer un suivi après la mise sur le marché.
Le déployeur utilise le système dans le cadre de son activité. Une entreprise qui achète un outil auprès d’un prestataire est généralement déployeur. Elle doit respecter les instructions du fournisseur, organiser une supervision humaine adaptée et surveiller le fonctionnement du système. Selon le contexte, elle peut aussi devoir conserver certains journaux, informer les travailleurs ou les personnes concernées, ou réaliser une analyse d’impact sur les droits fondamentaux.
Pour rappel, le déployeur doit etre vigilant lors de son usage pour éviter la requalification. Une organisation qui modifie substantiellement un système ou lui donne une nouvelle finalité peut, dans certaines circonstances, devoir assumer les obligations d’un fournisseur.
Application des règles pour les systèmes à haut risque : qu’est-ce qui change dans le calendrier ?
Le règlement européen 2026/1744 a reporté l’application des sections 1 à 3 du chapitre III de l’AI Act. Ces sections portent sur la classification des systèmes à haut risque, leurs exigences et les obligations des fournisseurs et des déployeurs.
Les nouvelles échéances sont le 2 décembre 2027 pour les systèmes relevant de l’annexe III et le 2 août 2028 pour ceux relevant de l’annexe I.
Le report concerne pas toutes les obligations de l’AI Act. Par exemple, l’enregistrement prévu à l’article 49 pour certains systèmes que leur fournisseur estime ne pas être à haut risque relève d’une disposition distincte.
Le règlement précise aussi que certaines fonctions d’assistance, d’optimisation, d’efficacité, d’automatisation ou de contrôle de qualité ne constituent pas, à elles seules, des composants de sécurité. La qualification peut toutefois s’appliquer si une défaillance du système risque de mettre en danger la santé ou la sécurité.
Pour les systèmes déjà mis sur le marché ou en service avant l’échéance applicable, les règles transitoires prévoient en principe que les nouvelles exigences s’appliquent s’ils font ensuite l’objet d’une modification substantielle de leur conception.
Pour les systèmes à haut risque destinés aux autorités publiques, les fournisseurs et les déployeurs doivent prendre les mesures nécessaires pour se conformer au règlement au plus tard le 2 août 2030.
Que faire en pratique ?
Les organisations peuvent commencer par recenser les systèmes d’IA qu’elles développent ou utilisent, préciser leur finalité et identifier leur rôle : fournisseur ou déployeur.
Elles peuvent ensuite vérifier si l’annexe I ou l’annexe III est susceptible de s’appliquer et demander aux fournisseurs les informations nécessaires pour mener cette analyse.
Cela permet d’anticiper les mesures à préparer, comme la supervision humaine, la documentation, le suivi du système et l’information des personnes concernées.
Besoin d’un accompagnement ?
Si vous souhaitez vérifier si votre entreprise entre dans le cadre de ces obligations ou si vous avez des questions, MD-LEX reste à votre disposition.
Pour toute information complémentaire ou pour un premier échange : info@md-lex.be