Comment un système devient-il « à haut risque » ?
L'article 6 prévoit deux voies distinctes vers la classification haut risque. La première (article 6 § 1) vise les systèmes d'IA qui sont des composants de sécurité de produits déjà réglementés par l'Union et soumis à évaluation de conformité par un tiers (annexe I : dispositifs médicaux, machines, jouets, ascenseurs, équipements radio, véhicules…). La seconde (article 6 § 2) vise les systèmes relevant de l'un des huit domaines de l'annexe III. C'est cette seconde voie qui concerne le plus grand nombre d'organisations.
Quels sont les 8 domaines de l'annexe III ?
| N° | Domaine | Exemples d'usages |
|---|---|---|
| 1 | Biométrie | Identification biométrique à distance, catégorisation, reconnaissance des émotions (hors cas interdits) |
| 2 | Infrastructures critiques | Composants de sécurité pour l'énergie, l'eau, le gaz, le trafic routier, le numérique |
| 3 | Éducation et formation | Admission, évaluation des acquis, surveillance des examens, orientation |
| 4 | Emploi et gestion des travailleurs | Tri de CV, évaluation, promotion, résiliation, répartition des tâches |
| 5 | Accès aux services essentiels | Solvabilité et scoring de crédit, tarification vie/santé, prestations sociales, urgences |
| 6 | Répression | Évaluation des risques, analyse de preuves, fiabilité des informations |
| 7 | Migration, asile, contrôles aux frontières | Examen des demandes, évaluation des risques, détection de documents |
| 8 | Justice et processus démocratiques | Aide à la décision judiciaire, influence sur les élections et référendums |
Ces domaines partagent une caractéristique : les décisions prises ou assistées par l'IA y ont un impact direct et significatif sur la vie des personnes — leur emploi, leur accès au crédit, leur parcours éducatif, leur liberté.
Un système de ces domaines est-il toujours à haut risque ?
Pas automatiquement. L'article 6 § 3 introduit une dérogation importante : un système relevant de l'annexe III n'est pas considéré comme à haut risque s'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, notamment parce qu'il :
- accomplit une tâche procédurale étroite ;
- vise à améliorer le résultat d'une activité humaine déjà réalisée ;
- détecte des écarts par rapport à des schémas décisionnels antérieurs, sans remplacer l'appréciation humaine ;
- accomplit une tâche préparatoire à une évaluation pertinente.
Que faut-il faire si un système est à haut risque ?
Il faut satisfaire le socle d'exigences des articles 8 à 15 (gestion des risques, données, documentation, journalisation, transparence, contrôle humain, robustesse), puis, selon le rôle, les obligations des fournisseurs (articles 16 à 22) ou des déployeurs (articles 26 à 27), et enfin l'évaluation de conformité et le marquage CE (articles 43 à 49). Ces obligations sont applicables au 2 décembre 2027 pour les systèmes de l'annexe III, échéance reportée par le règlement (UE) 2026/1744.
Questions fréquentes
Un logiciel de tri de CV est-il forcément à haut risque ?
Il relève du domaine « emploi » de l'annexe III (point 4), donc présumé à haut risque. Il pourrait échapper au régime via la dérogation de l'article 6 § 3 s'il n'accomplit qu'une tâche procédurale étroite sans influence matérielle — mais dès qu'il évalue, classe ou profile des candidats, la dérogation ne s'applique pas.
La liste de l'annexe III peut-elle évoluer ?
Oui. La Commission européenne est habilitée à modifier la liste par actes délégués (article 7), pour ajouter ou préciser des usages à haut risque au regard de l'évolution des technologies et des risques constatés.
Qui décide de la classification d'un système ?
C'est au fournisseur d'évaluer et de documenter la classification avant la mise sur le marché. Le déployeur doit s'assurer d'utiliser un système dont la classification a été correctement établie, et peut devenir fournisseur s'il modifie substantiellement le système (article 25).
Le scoring de crédit est-il concerné ?
Oui. L'évaluation de la solvabilité et l'établissement de la note de crédit des personnes physiques figurent expressément au point 5 de l'annexe III, avec quelques exceptions (détection de fraude financière). L'assurance vie et santé y est également visée.