L'essentiel en bref
- Deux voies mènent au haut risque : l'article 6, paragraphe 1, en tant que produit ou composant de sécurité relevant du droit européen des produits (annexe I), et l'article 6, paragraphe 2, en tant que cas d'usage listé à l'annexe III.
- L'annexe III énumère huit domaines : biométrie, infrastructures critiques, éducation, emploi, accès aux services essentiels, répression, migration et contrôle aux frontières, administration de la justice et processus démocratiques.
- L'annexe III comporte ses propres exclusions expresses, notamment la vérification biométrique, la détection de fraude financière dans l'évaluation de la solvabilité, et la vérification des documents de voyage.
- L'article 6, paragraphe 3, exempte les systèmes ne présentant pas de risque important. Le fournisseur qui s'en prévaut doit néanmoins documenter son évaluation et enregistrer le système. Tout système effectuant un profilage de personnes physiques reste à haut risque.
- Les échéances ont changé. En vertu du règlement (UE) 2026/1744, les obligations relatives au haut risque s'appliquent à partir du 2 décembre 2027 pour les systèmes autonomes de l'annexe III et du 2 août 2028 pour les systèmes intégrés à des produits relevant de l'annexe I.
La qualification de système d'IA à haut risque détermine presque tout le reste sous l'AI Act. C'est ce niveau qui porte les obligations substantielles, de l'évaluation de la conformité jusqu'à l'enregistrement, alors que la plupart des autres systèmes ne sont soumis qu'à des obligations de transparence, voire à aucune obligation. Cet article explique comment fonctionne la classification, ce que dit réellement l'annexe III, quelles exemptions existent, et quelles échéances s'appliquent après la modification de juillet 2026.
Mise à jour : le règlement (UE) 2026/1744, dit « Digital Omnibus on AI », est entré en vigueur le 27 juillet 2026. Il modifie l'AI Act et reporte l'application des obligations relatives au haut risque. Les analyses qui mentionnent encore le 2 août 2026 pour les systèmes à haut risque sont dépassées sur ce point. Les obligations de transparence de l'article 50 restent pour l'essentiel fixées au 2 août 2026.
Les niveaux de risque de l'AI Act
L'AI Act réglemente en fonction du risque et non de la technologie. On décrit couramment quatre niveaux, ce qui correspond bien à la structure du règlement : les pratiques interdites à l'article 5, les systèmes à haut risque au chapitre III, les systèmes soumis à des obligations de transparence à l'article 50, et tout le reste sans obligation particulière. La grande majorité des usages professionnels de l'IA relève des deux niveaux inférieurs. Comme l'essentiel du travail se concentre sur le haut risque, la classification constitue la première étape de tout projet de mise en conformité.
Quand un système d'IA est-il à haut risque ?
L'article 6 prévoit deux voies.
Voie 1 (article 6, paragraphe 1) : le système est destiné à être utilisé comme composant de sécurité d'un produit, ou constitue lui-même un produit, couvert par la législation d'harmonisation de l'Union listée à l'annexe I, et ce produit doit faire l'objet d'une évaluation de la conformité par un tiers. Les deux conditions doivent être réunies. Les dispositifs médicaux et les jouets en sont les exemples types.
Voie 2 (article 6, paragraphe 2) : le système relève de l'un des cas d'usage listés à l'annexe III. Cette voie concerne la plupart des éditeurs de logiciels et des entreprises SaaS, et fait donc l'objet de cet article.
La voie 1 a évolué en juillet 2026. Le règlement (UE) 2026/1744 exclut du champ d'application direct des règles relatives au haut risque l'IA intégrée aux produits relevant du règlement Machines, et resserre la définition du composant de sécurité. Les dispositifs médicaux et les jouets restent concernés. Si votre système est intégré à une machine, la classification mérite un réexamen.
Les huit domaines de l'annexe III
L'annexe III constitue une liste exhaustive de cas d'usage. Ce qui compte est la fonction remplie par le système, non le secteur d'activité. Le tableau ci-dessous résume les huit rubriques et les exclusions qui figurent expressément dans le texte.
L'exemption de l'article 6, paragraphe 3
Un système relevant d'un domaine de l'annexe III n'est pas à haut risque lorsqu'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, notamment parce qu'il n'influence pas de manière substantielle le résultat de la prise de décision. Cela suppose que l'une des quatre conditions suivantes soit remplie :
- Le système est destiné à accomplir une tâche procédurale étroite.
- Il est destiné à améliorer le résultat d'une activité humaine préalablement réalisée.
- Il est destiné à détecter des schémas décisionnels ou des écarts par rapport à des schémas antérieurs, sans viser à se substituer à l'évaluation humaine préalable ni à l'influencer sans examen humain approprié.
- Il est destiné à exécuter une tâche préparatoire à une évaluation pertinente au regard des cas d'usage de l'annexe III.
Deux points sont souvent négligés. D'une part, un système de l'annexe III est toujours considéré comme à haut risque lorsqu'il effectue un profilage de personnes physiques, et l'exemption ne s'applique pas. D'autre part, l'exemption n'est pas un blanc-seing : le fournisseur qui estime que son système n'est pas à haut risque doit documenter cette évaluation avant la mise sur le marché en application de l'article 6, paragraphe 4, est soumis à l'obligation d'enregistrement prévue à l'article 49, paragraphe 2, et doit produire la documentation à la demande des autorités. La suppression de cette obligation d'enregistrement avait été proposée lors des négociations du Digital Omnibus ; elle a finalement été maintenue, avec une procédure allégée.
En vertu de l'article 6, paragraphe 5, la Commission est tenue de fournir des lignes directrices sur la mise en œuvre pratique de l'article 6, accompagnées d'une liste d'exemples pratiques de cas d'usage à haut risque et non à haut risque. Vérifiez l'état d'avancement de ces lignes directrices avant d'arrêter définitivement une classification au titre de l'article 6, paragraphe 3.
Que faire si votre système est à haut risque ?
Vous devez démontrer la conformité avant la mise sur le marché et maintenir cette conformité en exploitation. Les exigences figurent au chapitre III, section 2 : système de gestion des risques (article 9), données et gouvernance des données (article 10), documentation technique (article 11), enregistrement des événements (article 12), transparence à l'égard des déployeurs (article 13), contrôle humain (article 14), exactitude, robustesse et cybersécurité (article 15). S'y ajoutent les obligations des fournisseurs prévues à la section 3, dont un système de gestion de la qualité (article 17), puis l'évaluation de la conformité (article 43), la déclaration UE de conformité (article 47), le marquage CE (article 48) et l'enregistrement (article 49).
Une manière structurée d'inventorier et de classer vos systèmes est l'évaluation des risques liés à l'IA, idéalement intégrée à un système de management de l'IA aligné sur la norme ISO 42001. Pour l'ensemble du parcours de mise en conformité, consultez notre guide sur la conformité à l'AI Act, et pour une vue d'ensemble du règlement, notre présentation de l'AI Act.
À partir de quand les obligations s'appliquent-elles ?
Ce délai supplémentaire est un report, pas un allègement. Les obligations elles-mêmes restent inchangées, et un système de gestion des risques, une gouvernance des données solide et une documentation technique auditable ne se construisent pas en quelques semaines. La classification de vos systèmes demeure la tâche à engager dès maintenant, ne serait-ce que parce qu'elle détermine l'ampleur du chantier.
Questions fréquentes
Comment savoir si mon système d'IA est à haut risque ?
Posez-vous deux questions. Le système est-il un produit ou un composant de sécurité relevant du droit européen listé à l'annexe I et soumis à une évaluation de la conformité par un tiers ? Et remplit-il l'une des fonctions listées à l'annexe III ? Si l'une de ces hypothèses est vérifiée et qu'aucune exclusion ni exemption au titre de l'article 6, paragraphe 3, ne s'applique, le système est à haut risque. S'il effectue un profilage de personnes physiques, il l'est en tout état de cause.
Quels sont les huit domaines de l'annexe III ?
Biométrie ; infrastructures critiques ; éducation et formation professionnelle ; emploi, gestion de la main-d'œuvre et accès à l'emploi indépendant ; accès aux services privés et publics essentiels, dont la solvabilité et l'assurance vie et santé ; répression ; migration, asile et gestion des contrôles aux frontières ; administration de la justice et processus démocratiques.
Tout système relevant d'un domaine de l'annexe III est-il automatiquement à haut risque ?
Non. L'annexe III comporte ses propres exclusions, notamment la vérification biométrique, la détection de fraude financière dans l'évaluation de la solvabilité et la vérification des documents de voyage. L'article 6, paragraphe 3, exempte en outre les systèmes ne présentant pas de risque important. La classification doit être documentée et le système enregistré malgré tout. Les systèmes effectuant un profilage restent à haut risque.
Le 2 août 2026 s'applique-t-il encore à l'IA à haut risque ?
Non. En vertu du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, les obligations relatives au haut risque s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour ceux de l'annexe I. Le 2 août 2026 reste pertinent pour les obligations de transparence de l'article 50.
Quelles conséquences pour l'IA intégrée aux machines ?
L'IA intégrée à des produits relevant du règlement Machines sort du champ d'application direct des règles de l'AI Act relatives au haut risque. La Commission peut toutefois imposer des exigences de santé et de sécurité propres à l'IA par voie d'actes délégués au titre du règlement Machines. Les dispositifs médicaux et les jouets restent couverts par l'AI Act.
Découvrez comment Kertos inventorie vos systèmes d'IA, les classe et vous prépare aux obligations relatives au haut risque : Réserver une démo.
État du droit : 30 juillet 2026. Cet article se fonde sur le règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Il constitue une information générale et ne remplace pas un conseil juridique adapté à chaque situation.
Sources :
- Règlement (UE) 2024/1689 (AI Act), EUR-Lex
- Règlement (UE) 2026/1744 du 8 juillet 2026 (Digital Omnibus on AI), EUR-Lex, en vigueur depuis le 27 juillet 2026
- Article 6 de l'AI Act, texte intégral
- Annexe III de l'AI Act, texte intégral
- Parlement européen, adoption du 16 juin 2026
- Conseil de l'UE, adoption définitive du 29 juin 2026
