Mon système IA est-il à haut risque ? La méthode pour qualifier

Pourquoi la qualification est la première étape

L'IA Act ne s'applique pas à une organisation dans son ensemble mais à chaque système d'IA selon son usage. Le même modèle sous-jacent peut être à risque minimal dans un cas d'usage et à haut risque dans un autre. Avant toute démarche de conformité, il faut donc inventorier les systèmes utilisés puis les qualifier un par un. C'est exactement la logique du registre des traitements en matière de RGPD.

Étape 1 : votre rôle, fournisseur ou déployeur

Le règlement distingue principalement deux rôles. Le fournisseur développe un système d'IA ou le fait développer et le met sur le marché sous son propre nom. Le déployeur utilise un système d'IA sous sa propre autorité dans le cadre de son activité professionnelle. La grande majorité des PME et des collectivités sont déployeurs : elles utilisent des solutions du marché (SIRH avec tri de candidatures, outil de scoring, solution de vidéosurveillance augmentée) sans les développer.

La distinction compte parce que les obligations diffèrent fortement : l'essentiel de la charge documentaire pèse sur le fournisseur, tandis que le déployeur porte des obligations d'usage.

Étape 2 : votre usage figure-t-il à l'annexe III ?

L'annexe III liste les domaines dans lesquels un système d'IA est présumé à haut risque. Huit familles la structurent :

• Biométrie : identification biométrique à distance, catégorisation biométrique, reconnaissance des émotions.
• Infrastructures critiques : composants de sécurité dans la gestion du trafic, de l'eau, du gaz, de l'électricité.
• Éducation et formation : admission, évaluation des acquis, surveillance d'examens.
• Emploi et gestion des ressources humaines : tri de candidatures, aide à la décision de recrutement, d'évaluation, de promotion ou de rupture.
• Services essentiels privés et publics : évaluation de la solvabilité (crédit), tarification en assurance vie et santé, accès aux prestations sociales, tri des appels d'urgence.
• Répression : évaluation des risques de récidive, polygraphes, analyse de preuves.
• Migration, asile et contrôle aux frontières.
• Justice et processus démocratiques : aide à la recherche et à l'interprétation des faits pour une autorité judiciaire, systèmes visant à influencer le résultat d'élections.

Pour les organisations privées, les cas les plus fréquents en pratique sont les ressources humaines (tout outil de tri ou de classement de candidatures) et le crédit et l'assurance. Pour les collectivités, l'accès aux prestations et services publics essentiels est le point de vigilance principal.

Étape 3 : vérifier l'exemption de l'article 6

Figurer dans un domaine de l'annexe III ne suffit pas toujours. Le règlement prévoit une dérogation lorsque le système ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux, notamment quand il :

• accomplit une tâche procédurale étroite (classer des documents, détecter des doublons) ;
• améliore le résultat d'une activité humaine déjà accomplie, sans la remplacer ;
• détecte des schémas de décision sans se substituer à l'évaluation humaine.

Le recours à cette dérogation doit être documenté : l'organisation qui l'invoque doit être en mesure de justifier son analyse. Un outil RH qui se contente de convertir des CV en données structurées peut relever de l'exemption ; un outil qui classe ou note les candidats n'en relève pas.

Ce qui découle de la qualification haut risque

Si vous êtes fournisseur	Si vous êtes déployeur
Documentation technique complète (article 11 et annexe IV), système de gestion des risques (article 9), gouvernance des données d'entraînement, marquage CE, enregistrement dans la base de données européenne.	Utilisation conforme à la notice du fournisseur, supervision humaine effective, conservation des journaux, information des personnes concernées, analyse d'impact sur les droits fondamentaux pour les organismes publics (article 27).

Côté calendrier : ces obligations devaient s'appliquer le 2 août 2026 pour l'annexe III. Un accord politique de mai 2026 (Digital Omnibus) prévoit leur report au 2 décembre 2027, sous réserve d'adoption formelle. Notre article dédié fait le point complet : IA Act, ce qui s'applique vraiment le 2 août 2026.

Comment nous pouvons vous aider

Nous réalisons la cartographie et la qualification de vos systèmes d'IA : inventaire des outils (y compris le shadow AI), analyse au regard de l'annexe III et des exemptions, revue des contrats fournisseurs, plan d'action priorisé. Cette prestation s'articule avec notre formation pour sécuriser vos projets IA et l'élaboration d'une charte IA pour encadrer les usages internes.