Mon système d’IA est-il à haut risque au sens de l’AI Act ?
La plupart des usages en entreprise ne sont pas à haut risque — mais trois d’entre eux le sont et sont déployés sans l’avoir établi. Voici comment trancher, et pourquoi la qualification se documente.
Mis à jour le
Ce que l’annexe III liste
L’annexe III du règlement énumère des usages, pas des technologies : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels et au crédit, application de la loi, migration, administration de la justice.
Un même modèle peut être à haut risque dans un contexte et anodin dans un autre. C’est l’usage qui qualifie, jamais l’outil seul.
Les trois cas le plus souvent mal qualifiés
- Tri automatisé de candidatures : à haut risque (emploi). Largement déployé sans qualification.
- Notation de crédit et de solvabilité : à haut risque (accès aux services essentiels). Idem.
- Surveillance ou évaluation des salariés : à haut risque (gestion des travailleurs).
À l’inverse, un assistant interne de recherche documentaire, un outil de rédaction ou un classificateur de tickets ne sont, en règle générale, pas à haut risque.
Le calendrier applicable
À jour au 10 juillet 2026 : après le « digital omnibus » approuvé par le Parlement le 16 juin 2026 et le Conseil le 29 juin 2026, les obligations des systèmes à haut risque de l’annexe III s’appliquent au 2 décembre 2027, et celles de l’annexe I au 2 août 2028. Les pratiques interdites (2 février 2025) et les obligations des modèles à usage général (2 août 2025) sont, elles, déjà en vigueur.
Pourquoi la qualification se documente
Conclure « nous ne sommes pas à haut risque » n’a de valeur que si vous pouvez le montrer. La qualification est une analyse écrite : le cas d’usage, la catégorie d’annexe examinée, le raisonnement, la conclusion. C’est ce document qu’un contrôle demande — pas une conviction.
Questions fréquentes
Un chatbot de support est-il à haut risque ?
En règle générale, non. Il relève surtout des obligations de transparence — l’utilisateur doit savoir qu’il parle à une IA. Il bascule à haut risque seulement s’il conditionne l’accès à un service essentiel ou prend une décision relevant d’une catégorie de l’annexe III.
Qui décide si mon système est à haut risque ?
C’est à vous de le qualifier et de le documenter, en tant que fournisseur ou déployeur. En cas de doute sur une catégorie de l’annexe III, la qualification s’appuie sur le texte du règlement (article 6 et annexe III) et sur les lignes directrices de la Commission — dont un projet a été publié le 19 mai 2026, l’adoption finale restant attendue — pas sur une appréciation informelle.
Que risque-t-on à se tromper de qualification ?
Les manquements aux obligations des systèmes à haut risque sont sanctionnés jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial annuel (le plus élevé des deux ; pour les PME, le plus faible). Se déclarer à tort hors haut risque, sans analyse, est précisément ce qu’un contrôle sanctionne.
Sources
EU AI Act : calendrier à jour au 10 juillet 2026, haut risque au 2 décembre 2027 sous réserve JOUE. Ce qui s’applique déjà, sanctions, par où commencer.
À lire aussi
- Peut-on envoyer des données clients à ChatGPT ? — Ce que le RGPD autorise vraiment quand vous transmettez des données à un LLM externe, et le montage on-premise qui rend l’usage défendable. À jour 2026.
- EU AI Act, article 50 : que faire avant le 2 août 2026 ? — Les cinq obligations de transparence de l’article 50 de l’EU AI Act, applicables au 2 août 2026 : qui doit quoi, marquage des contenus IA, sanctions.