L'essentiel en bref
La qualification de système d'IA à haut risque détermine presque tout le reste sous l'AI Act. C'est ce niveau qui porte les obligations substantielles, de l'évaluation de la conformité jusqu'à l'enregistrement, alors que la plupart des autres systèmes ne sont soumis qu'à des obligations de transparence, voire à aucune. Cet article explique comment fonctionne la classification, ce que dit réellement l'annexe III, quelles exemptions existent, et quelles échéances s'appliquent depuis que le règlement (UE) 2026/1744 a modifié l'AI Act le 27 juillet 2026.
Les quatre niveaux de risque de l'AI Act
L'AI Act réglemente en fonction du risque et non de la technologie. On décrit couramment quatre niveaux, ce qui correspond bien à la structure du règlement : les pratiques interdites à l'article 5, les systèmes à haut risque au chapitre III, les systèmes soumis à des obligations de transparence à l'article 50, et tout le reste sans obligation particulière. La grande majorité des usages professionnels de l'IA relève des deux niveaux inférieurs. Comme l'essentiel du travail se concentre sur le haut risque, la classification constitue la première étape de tout projet de mise en conformité.
Quand un système d'IA est-il à haut risque ?
L'article 6 prévoit deux voies.
Voie 1 (article 6, paragraphe 1) : le système est destiné à être utilisé comme composant de sécurité d'un produit, ou constitue lui-même un produit, couvert par la législation d'harmonisation de l'Union listée à l'annexe I, et ce produit doit faire l'objet d'une évaluation de la conformité par un tiers. Les deux conditions doivent être réunies. Les exemples types sont les dispositifs médicaux et les jouets.
Voie 2 (article 6, paragraphe 2) : le système relève de l'un des cas d'usage listés à l'annexe III. Cette voie concerne la plupart des éditeurs de logiciels et des entreprises SaaS, et fait donc l'objet de cet article.
La voie 1 a évolué en juillet 2026, et le changement passe facilement inaperçu. Le règlement (UE) 2026/1744 exclut du champ d'application direct des règles relatives au haut risque l'IA intégrée aux produits relevant du règlement Machines, et resserre la définition du composant de sécurité, de sorte qu'une IA servant uniquement à l'optimisation des performances, au confort d'usage ou au contrôle qualité ne devient pas à haut risque du seul fait de son intégration. Les dispositifs médicaux et les jouets restent pleinement concernés. Si vous avez vu les machines citées à côté des dispositifs médicaux comme exemple de haut risque, cette présentation est antérieure à la modification.
Les huit domaines de l'annexe III
L'annexe III constitue une liste exhaustive de cas d'usage. Ce qui compte est la fonction remplie par le système, non le secteur d'activité. Le tableau résume les huit rubriques et les exclusions qui figurent expressément dans le texte.
L'exemption de l'article 6, paragraphe 3
Un système relevant d'un domaine de l'annexe III n'est pas à haut risque lorsqu'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, notamment parce qu'il n'influence pas de manière substantielle le résultat de la prise de décision. Cela suppose que l'une des quatre conditions suivantes soit remplie :
Deux points sont souvent négligés. D'une part, un système de l'annexe III est toujours considéré comme à haut risque lorsqu'il effectue un profilage de personnes physiques, et l'exemption ne s'applique pas. D'autre part, l'exemption n'est pas un blanc-seing : le fournisseur qui estime que son système n'est pas à haut risque doit documenter cette évaluation avant la mise sur le marché en application de l'article 6, paragraphe 4, est soumis à l'obligation d'enregistrement prévue à l'article 49, paragraphe 2, et doit produire la documentation à la demande des autorités. La suppression de cette obligation avait été proposée lors des négociations du Digital Omnibus ; elle a finalement été maintenue, avec une procédure allégée.
Que faire si votre système est à haut risque ?
Vous devez démontrer la conformité avant la mise sur le marché et maintenir cette conformité en exploitation. Les exigences figurent au chapitre III, section 2 : système de gestion des risques (article 9), données et gouvernance des données (article 10), documentation technique (article 11), enregistrement des événements (article 12), transparence à l'égard des déployeurs (article 13), contrôle humain (article 14), exactitude, robustesse et cybersécurité (article 15). S'y ajoutent les obligations des fournisseurs prévues à la section 3, dont un système de gestion de la qualité (article 17), puis l'évaluation de la conformité (article 43), la déclaration UE de conformité (article 47), le marquage CE (article 48) et l'enregistrement (article 49).
Pour l'ensemble du parcours de mise en conformité, consultez notre guide sur la conformité à l'AI Act, et pour une vue d'ensemble du règlement, notre présentation de l'AI Act.
À partir de quand les obligations s'appliquent-elles ?
Deux échéances ont été reportées, et elles ne l'ont pas été de la même durée.
La raison avancée pour ce report est que les normes harmonisées dont les fournisseurs ont besoin pour démontrer la conformité n'auraient pas été prêtes à temps.
Ce délai supplémentaire est un report, pas un allègement. Les obligations elles-mêmes restent inchangées, et un système de gestion des risques, une gouvernance des données solide et une documentation technique auditable ne se construisent pas en quelques semaines. La classification de vos systèmes demeure la tâche à engager dès maintenant, ne serait-ce que parce qu'elle détermine l'ampleur du chantier.
Questions fréquentes
Comment savoir si mon système d'IA est à haut risque ?
Posez-vous deux questions. Le système est-il un produit ou un composant de sécurité relevant du droit européen listé à l'annexe I et soumis à une évaluation de la conformité par un tiers ? Et remplit-il l'une des fonctions listées à l'annexe III ? Si l'une de ces hypothèses est vérifiée et qu'aucune exclusion ni exemption au titre de l'article 6, paragraphe 3, ne s'applique, le système est à haut risque. S'il effectue un profilage de personnes physiques, il l'est en tout état de cause.
Quels sont les huit domaines de l'annexe III ?
Biométrie ; infrastructures critiques ; éducation et formation professionnelle ; emploi, gestion de la main-d'œuvre et accès à l'emploi indépendant ; accès aux services privés et publics essentiels, dont la solvabilité et l'assurance vie et santé ; répression ; migration, asile et gestion des contrôles aux frontières ; administration de la justice et processus démocratiques.
Tout système relevant d'un domaine de l'annexe III est-il automatiquement à haut risque ?
Non. L'annexe III comporte ses propres exclusions, notamment la vérification biométrique, la détection de fraude financière dans l'évaluation de la solvabilité et la vérification des documents de voyage. L'article 6, paragraphe 3, exempte en outre les systèmes ne présentant pas de risque important. La classification doit être documentée et le système enregistré malgré tout. Les systèmes effectuant un profilage restent à haut risque.
Le 2 août 2026 s'applique-t-il encore à l'IA à haut risque ?
Non. En vertu du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, les obligations relatives au haut risque s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour ceux de l'annexe I. Le 2 août 2026 reste pertinent pour les obligations de transparence de l'article 50, qui n'ont pas été reportées.
L'ensemble de l'AI Act a-t-il été reporté ?
Non, et c'est le contresens le plus fréquent sur cette modification. Seules les obligations relatives au haut risque ont été reportées. Les interdictions de l'article 5 s'appliquent depuis février 2025, les obligations relatives aux modèles d'IA à usage général depuis août 2025, et les obligations de transparence de l'article 50 à partir d'août 2026. L'architecture du règlement, son approche fondée sur le risque et sa structure de gouvernance restent inchangées.
Quelles conséquences pour l'IA intégrée aux machines ?
L'IA intégrée à des produits relevant du règlement Machines sort du champ d'application direct des règles de l'AI Act relatives au haut risque. La Commission peut toutefois imposer des exigences de santé et de sécurité propres à l'IA par voie d'actes délégués au titre du règlement Machines. Les dispositifs médicaux et les jouets restent couverts par l'AI Act.
Découvrez comment Kertos inventorie vos systèmes d'IA, les classe et vous prépare aux obligations relatives au haut risque : Réserver une démo.
État du droit : 2 août 2026. Cet article se fonde sur le règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Il constitue une information générale et ne remplace pas un conseil juridique adapté à chaque situation.
