L'EU AI Act class'e les systèmes d'IA en niveaux de risque. Les systèmes à haut risque, listés en Annexe III, sont soumis aux obligations les plus lourdes du règlement. Découvrez si vos systèmes sont concernés et ce que cela implique pour votre entreprise.
Ces informations ont une vocation indicative et pédagogique. Elles ne constituent pas un conseil juridique personnalisé. Pour toute situation spécifique, consultez un professionnel qualifié en droit numérique.
L'EU AI Act (Règlement UE 2024/1689) adopte une approche par niveaux de risque. Un système d'IA est qualifié à haut risquelorsqu'il est susceptible d'affecter significativement la sécurité ou les droits fondamentaux des personnes. Le règlement détermine cette qualification de deux façons :
Point important : la qualification haut risque n'est pas automatique dans l'Annexe III
Appartenir à un secteur listé en Annexe III ne suffit pas. Le système doit réellement prendre ou influencer des décisions affectant des personnes. Un chatbot de service client dans un établissement financier n'est pas automatiquement haut risque, contrairement à un outil de scoring de crédit qui détermine l'accès à un prêt.
Avant de parcourir la liste des domaines, voici la méthode de qualification à appliquer pour chaque système IA que votre entreprise développe ou utilise.
La première vérification est sectorielle : l'usage du système correspond-il à un des domaines listés en Annexe III ? Si non, le système n'est pas automatiquement haut risque (sauf s'il est composant de sécurité dans un produit réglementé).
La présence dans un secteur haut risque ne suffit pas. Le système doit réellement affecter des décisions concernant des personnes physiques (accès à un service, emploi, évaluation). Un outil de gestion de stocks dans un hôpital n'est pas automatiquement haut risque.
Même hors Annexe III, un système IA est haut risque s'il est intégré comme composant de sécurité dans un produit soumis à une réglementation sectorielle (dispositifs médicaux, machines industrielles, véhicules, ascenseurs, etc.) listée en Annexe I.
Certains systèmes dans des domaines Annexe III peuvent échapper à la qualification haut risque s'ils ne font que préparer une évaluation humaine sans influence déterminante, ou s'ils ne sont utilisés qu'à des fins purement de recherche et de développement sans mise en service réelle.
Détail complet de chaque domaine, avec des exemples concrets de systèmes concernés et les points de vigilance pour les entreprises françaises.
Systèmes d'identification biométrique à distance, de catégorisation par caractéristiques sensibles, ou de reconnaissance des émotions.
Exemples de systèmes concernés
Systèmes IA utilisés comme composants de sécurité dans la gestion et l'exploitation d'infrastructures critiques.
Exemples de systèmes concernés
Systèmes IA qui influencent l'accès à l'éducation, l'évaluation des apprenants ou les décisions d'orientation.
Exemples de systèmes concernés
Systèmes IA influençant les décisions de recrutement, d'évaluation, de promotion ou de gestion des ressources humaines.
Exemples de systèmes concernés
Systèmes IA influençant l'accès au crédit, aux assurances, aux aides sociales, ou à d'autres services essentiels.
Exemples de systèmes concernés
Systèmes IA utilisés par les forces de l'ordre pour détecter des infractions, évaluer des risques ou analyser des preuves.
Exemples de systèmes concernés
Systèmes IA aidant les autorités à évaluer des demandes d'asile, à contrôler les frontières ou à identifier des personnes.
Exemples de systèmes concernés
Systèmes IA assistants les décisions judiciaires ou influençant les processus électoraux et démocratiques.
Exemples de systèmes concernés
Si votre système est classé à haut risque, les obligations suivantes s'appliquent — avec des responsabilités différentes selon que vous êtes fournisseur ou déployeur.
Système documenté et continu d'identification, d'analyse et de réduction des risques liés au système IA.
Pratiques de gestion des données d'entraînement, de validation et de test : représentativité, absence de biais.
Dossier technique complet (Annexe IV) : architecture, données, performances, risques, supervision.
Enregistrement automatique des événements permettant la traçabilité du fonctionnement du système.
Instructions d'utilisation suffisantes pour que le déployeur comprenne les capacités et limites du système.
Mesures techniques et organisationnelles permettant à des humains de surveiller, corriger et arrêter le système.
Exactitude, résilience aux erreurs et aux tentatives de manipulation malveillante ou aux données adversariales.
Marquage CE attestant la conformité + enregistrement dans la base de données UE avant mise sur le marché.
La documentation technique (Article 11) est le livrable central
Pour les fournisseurs, la documentation technique constitue la preuve centrale de conformité. Elle doit être rédigée avant la mise sur le marché et maintenue à jour. ActScan génère cette documentation automatiquement à partir de votre audit.
En savoir plus sur la documentation Article 11 →Pas nécessairement. ChatGPT ou un LLM intégré n'est à haut risque que si son usage spécifique dans votre contexte tombe dans un domaine Annexe III et influence des décisions sur des personnes. Un chatbot de service client généraliste n'est généralement pas haut risque. En revanche, un LLM utilisé pour évaluer des candidatures ou décider d'un crédit l'est très probablement.
Si votre outil IA intervient dans les décisions de recrutement, d'évaluation ou de gestion des salariés, vous êtes très probablement fournisseur d'un système à haut risque. Vous avez alors toutes les obligations des articles 9-15 : documentation technique Annexe IV, gestion des risques, marquage CE, enregistrement dans la base de données UE. Commencez par une classification formelle et documentée.
Les systèmes à risque limité (chatbots, outils de synthèse, deepfakes non réglementés) ont des obligations légères principalement axées sur la transparence : indiquer que l'utilisateur interagit avec une IA. Les systèmes à haut risque ont des obligations structurelles bien plus lourdes : gestion des risques, documentation, supervision humaine, robustesse. La différence est fondamentale pour évaluer votre charge de conformité.
Oui, si vous êtes fournisseur. Les fournisseurs de systèmes IA à haut risque doivent enregistrer leurs systèmes dans la base de données européenne gérée par la Commission (EU AI Act Database), avant la mise sur le marché. Cette obligation ne concerne pas directement les déployeurs, sauf pour certains systèmes utilisés dans le secteur public.
ActScan classe automatiquement vos systèmes selon l'Annexe III, identifie vos obligations exactes et génère votre documentation technique Article 11 en 30 minutes.
Classification gratuite • Documentation complète à 399€ HT • Résultat en 30 minutes