# Comment classifier un système d’IA à haut risque selon l’AI Act européen

> Pour savoir si votre IA est à haut risque selon l’AI Act, vérifiez si elle est intégrée dans un produit réglementé ou si son usage relève d’un des 8 domaines de l’Annexe III. Une clause d’exception existe, mais le profilage exclut toute dérogation. Obligations dès août 2026.

- Tags: classification système ia haut risque, ai act haut risque, annexe iii ai act, conformité ai act, obligations réglementaires ia, article 6 ai act, exception article 6 ai act, sanctions ai act
- Mot-cle principal: classification système IA haut risque

## Points cles

- Le règlement AI Act impose une classification des systèmes d’IA par niveau de risque, avec deux voies principales, 8 domaines critiques et une clause d’exception à maîtriser avant août 2026. Le statut de votre IA détermine vos obligations, de la transparence à la documentation technique complète.

## Introduction

Le règlement européen AI Act impose une classification des systèmes d’intelligence artificielle selon leur niveau de risque. Pour déterminer si votre IA est à haut risque, il faut comprendre deux mécanismes de classement, examiner les 8 secteurs critiques de l’Annexe III et maîtriser la clause d’exception avant août 2026.

Cette distinction n’est pas anodine : un outil de tri de CV peut être soumis à des obligations réglementaires lourdes, tandis qu’un simple chatbot de support client n’en relève généralement pas. L’**Article 6 du Règlement (UE) 2024/1689** structure cette classification, essentielle pour anticiper vos démarches de conformité.

## Contenu

## Les quatre niveaux de risque définis par l’AI Act

Le cadre du règlement AI Act repose sur une échelle de risques : plus un système d’IA est susceptible d’avoir un impact sur la santé, la sécurité ou les droits fondamentaux, plus les exigences sont strictes. Quatre catégories structurent le dispositif :

### Risque inacceptable : pratiques interdites dès 2025

Certains usages de l’IA sont totalement proscrits à compter du **2 février 2025** (voir Article 5). Cela inclut la manipulation subliminale, la notation sociale par les autorités, la police prédictive basée uniquement sur le profilage, ou l’analyse des émotions sur le lieu de travail et dans les établissements scolaires.

### Haut risque : exigences maximales

Les systèmes d’IA classés à haut risque sont autorisés, mais soumis à des obligations renforcées : documentation technique conforme à l’[Annexe IV](https://compaia.eu/obligations), gestion des risques, gouvernance des données, supervision humaine, marquage CE. C’est la catégorie la plus exigeante du règlement.

### Risque limité : transparence obligatoire

Les IA qui interagissent avec le public (chatbots, générateurs de contenus, deepfakes) doivent respecter des **règles de transparence** prévues à l’Article 50 : informer l’utilisateur de l’interaction avec une IA, signaler clairement les contenus générés, et garantir leur détection technique.

### Risque minimal : aucune exigence spécifique

La majorité des systèmes d’IA, comme les filtres anti-spam, outils de recommandation ou jeux vidéo, sont considérés à risque minimal et n’ont pas d’obligations particulières.

## Les deux mécanismes de classement « haut risque »

L’Article 6 du règlement distingue **deux modalités principales** pour qu’un système d’IA soit considéré comme à haut risque. Cette distinction influe directement sur le calendrier d’application des obligations.

### 1. Composant de sécurité d’un produit réglementé (Article 6§1)

Un système d’IA est classé à haut risque s’il répond à deux critères cumulatifs :

- Il est intégré comme composant de sécurité dans un produit couvert par une législation européenne d’harmonisation listée à l’Annexe I, ou constitue lui-même ce produit.
- Ce produit est soumis à une évaluation de conformité par un organisme tiers avant sa mise sur le marché.

L’Annexe I regroupe plus de 20 textes sectoriels européens, couvrant entre autres dispositifs médicaux, jouets, ascenseurs, équipements radio, véhicules agricoles, aviation civile et sécurité maritime. Par exemple, un logiciel d’IA embarqué dans un dispositif médical de classe IIa relèvera automatiquement de cette catégorie.

Les obligations associées à ce classement s’appliqueront à partir du **2 août 2027**, soit un an après celles de la voie 2.

### 2. Systèmes relevant de l’Annexe III (Article 6§2)

Indépendamment de tout produit physique, un système d’IA est classé à haut risque si son usage correspond à l’un des **8 domaines de l’Annexe III**. Ce mécanisme concerne la majorité des entreprises et entre en vigueur dès le **2 août 2026**.

## Les 8 secteurs critiques de l’Annexe III

L’Annexe III énumère huit types d’utilisation pour lesquels un système d’IA est **présumé à haut risque**, en raison de leur impact sur les droits, la santé ou la sécurité :

### 1. Biométrie

Inclut l’**identification biométrique à distance** (en temps réel ou a posteriori), la catégorisation selon des attributs sensibles (origine ethnique, orientation sexuelle), et la **reconnaissance des émotions**. La simple vérification d’identité est exclue du périmètre.

### 2. Infrastructures critiques

Couvre les systèmes utilisés comme **composants de sécurité** dans la gestion du trafic routier, de l’approvisionnement en eau, gaz, chauffage, électricité, ou dans l’exploitation d’infrastructures numériques essentielles.

### 3. Éducation et formation professionnelle

S’applique aux systèmes qui déterminent l’accès ou l’affectation à des établissements, évaluent les résultats d’apprentissage, le niveau d’éducation, ou surveillent les comportements lors d’examens.

### 4. Emploi et gestion RH

Concerne les outils de **recrutement** (publication d’offres, tri de CV, évaluation de candidats), la gestion des conditions de travail, des promotions, des licenciements, ou le suivi des performances des salariés.

### 5. Services essentiels publics et privés

Inclut les systèmes qui évaluent l’éligibilité aux prestations sociales ou de santé, établissent un **score de crédit** (hors détection de fraude), tarification d’assurance vie et santé, gestion des appels d’urgence ou tri des patients.

### 6. Répression

Cible les systèmes évaluant les risques d’infraction, servant de **polygraphes**, analysant la fiabilité des preuves, profilant les personnes lors d’enquêtes, ou traitant des infractions pénales.

### 7. Migration, asile et contrôle aux frontières

Regroupe les systèmes évaluant les risques en matière de sécurité ou de migration irrégulière, assistant à l’examen des demandes d’asile ou de visas, ou détectant des personnes dans le cadre de la **surveillance des frontières**.

### 8. Justice et processus démocratiques

Intègre les systèmes aidant les autorités judiciaires à rechercher et interpréter les faits et le droit, ou utilisés pour **influencer le résultat d’élections** ou de référendums (hors outils d’organisation de campagnes sans interaction directe avec les électeurs).

## Exception à la présomption de haut risque : Article 6§3

L’inscription dans l’Annexe III **n’entraîne pas automatiquement le classement haut risque**. L’Article 6§3 prévoit une dérogation : un système peut être exclu s’il ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux.

Cette exception est applicable si l’une des situations suivantes est vérifiée :

1. **Tâche procédurale étroite** : le système accomplit une mission bien délimitée et peu critique (conversion de formats, tri documentaire, détection de doublons).
2. **Soutien à une activité humaine existante** : l’IA complète une action humaine sans autonomie décisionnelle (reformulation de texte, amélioration linguistique).
3. **Détection de schémas sans impact sur la décision** : le système repère des écarts par rapport à des décisions antérieures sans influencer l’évaluation humaine.
4. **Action préparatoire** : l’IA réalise une tâche préalable à une évaluation humaine dans un des domaines de l’Annexe III.

> « Un système d’IA visé à l’annexe III n’est pas considéré comme étant à haut risque lorsqu’il ne présente pas de risque significatif d’atteinte à la santé, à la sécurité ou aux droits fondamentaux des personnes physiques. » — Article 6§3, Règlement (UE) 2024/1689

### Limite stricte : le profilage

Une restriction majeure s’applique : tout système d’IA réalisant du **profilage de personnes physiques** (analyse automatisée de données pour évaluer performances, santé, préférences, comportement) reste **obligatoirement à haut risque**, sans possibilité d’exception.

### Documentation obligatoire

Le fournisseur qui invoque l’exception doit **documenter son analyse avant la mise sur le marché** (Article 6§4) et la tenir à disposition des autorités compétentes. Il doit également s’enregistrer conformément à l’Article 49. L’[Article 80](https://compaia.eu/diagnostic) prévoit une procédure permettant aux autorités de contester la classification retenue par le fournisseur.

## Décider du niveau de risque : un arbre de décision en 5 étapes

Pour classifier votre système d’IA, suivez ce cheminement :

1. **Votre solution relève-t-elle de la définition de l’IA à l’Article 3 ?** Si elle ne repose pas sur l’apprentissage automatique ou l’inférence, elle pourrait être hors champ. Les lignes directrices de février 2025 excluent l’optimisation mathématique simple et les traitements déterministes.
2. **Relève-t-elle d’une pratique interdite (Article 5) ?** Si oui, elle est interdite dès le 2 février 2025.
3. **Est-elle intégrée comme composant de sécurité dans un produit Annexe I ?** Si oui, et si une évaluation par un tiers est requise, elle est à haut risque (voie 1, échéance août 2027).
4. **Entre-t-elle dans l’un des 8 domaines de l’Annexe III ?** Si oui, elle est présumée à haut risque (voie 2, échéance août 2026), sauf exception documentée selon l’Article 6§3.
5. **Interagit-elle avec des personnes ou génère-t-elle du contenu synthétique ?** Si oui, obligations de transparence de l’Article 50, même sans classement haut risque.

Des outils comme le [diagnostic gratuit compaia](https://compaia.eu/diagnostic) facilitent ce parcours et identifient rapidement le niveau de risque et les obligations associées.

## Exemples de classification : cas typiques

### Systèmes à haut risque

- **Scoring de crédit bancaire** : évaluation de la solvabilité → Annexe III, domaine 5, haut risque sans exception (profilage).
- **Logiciel de tri de CV** : analyse de candidatures → Annexe III, domaine 4, haut risque, pas d’exclusion possible (profilage).
- **Reconnaissance faciale en aéroport** : identification biométrique → Annexe III, domaine 1, haut risque.
- **IA médicale embarquée** : composant de sécurité d’un dispositif médical → Annexe I, voie 1, haut risque.

### Systèmes potentiellement exclus grâce à l’exception Article 6§3

- **Correcteur grammatical RH** : améliore la rédaction sans influencer la sélection → tâche d’amélioration humaine, exclusion envisageable.
- **Détection de doublons dans des dossiers** : tâche procédurale, pas de profilage → exclusion possible si documentée.

### Systèmes non concernés par le haut risque

- **Chatbot de support client** : hors Annexe III, mais soumis à la transparence Article 50.
- **Filtre anti-spam** : risque minimal, aucune obligation spécifique.
- **Recommandation e-commerce** : risque minimal, sauf si le profilage manipule les comportements (dans ce cas, Article 5 peut s’appliquer).

## Cadre réglementaire : calendrier, reports et incertitudes

L’Article 6§5 prévoyait que la Commission européenne publie, **au plus tard le 2 février 2026**, des lignes directrices pour préciser la classification, avec des exemples concrets. Ce délai n’a pas été tenu.

Après la consultation publique de juin 2025, la Commission a annoncé préparer un projet pour commentaires début 2026, avec une adoption finale attendue au printemps 2026.

### Digital Omnibus : vers un report ?

En novembre 2025, la Commission a proposé le **Digital Omnibus**, prévoyant de reporter l’application des obligations haut risque pour les systèmes Annexe III à **6 mois après la publication des normes harmonisées**, avec une date limite au 2 décembre 2027. Cela décale l’échéance initiale d’août 2026 de 16 mois ([voir échéancier](https://compaia.eu/echeancier-ai-act)).

Ce projet reste débattu au Parlement et au Conseil. Il n’est pas garanti qu’il soit adopté avant août 2026. Les entreprises doivent donc se préparer sur la base du calendrier initial tout en surveillant l’évolution législative.

### Retard des normes techniques

Les organismes européens de normalisation (CEN/CENELEC) chargés de rédiger les normes harmonisées pour l’IA ont eux aussi pris du retard. Les textes définitifs ne devraient pas être disponibles avant fin 2026, ce qui renforce l’argument pour un report. En attendant, il faut s’appuyer sur le règlement et les futures spécifications communes de la Commission.

## Préparer la conformité : étapes recommandées

En dépit des incertitudes sur le calendrier, les exigences substantielles du règlement demeurent. Voici les actions à anticiper :

1. **Cartographier vos systèmes d’IA** : recensez tous les systèmes IA développés, déployés ou utilisés, y compris les outils tiers et modèles intégrés.
2. **Classifier chaque système** : appliquez l’arbre de décision (Annexe I, Annexe III, exception Article 6§3, transparence Article 50, risque minimal).
3. **Documenter les exclusions** : si vous invoquez l’exception Article 6§3, rédigez une évaluation détaillée justifiant l’absence de risque significatif, à conserver avant toute mise sur le marché.
4. **Identifier votre rôle** : fournisseur, déployeur, importateur ou distributeur ? Les [obligations varient selon votre fonction](https://compaia.eu/obligations) dans la chaîne de valeur.
5. **Lancer la documentation technique** : pour le haut risque, préparez un dossier conforme à l’Annexe IV (description, gestion des risques, gouvernance des données, tests, surveillance post-commercialisation).
6. **Anticiper l’évaluation de conformité** : selon le secteur, une évaluation interne ou par un organisme notifié sera requise avant le marquage CE.

> Vous doutez du niveau de risque de votre IA ? Le [diagnostic gratuit compaia](https://compaia.eu/diagnostic) analyse votre cas d’usage et vous indique précisément vos obligations selon le règlement AI Act.

## Source officielle
- [Source](https://www.aiacto.eu/fr/blog/classifier-systeme-ia-haut-risque-ai-act)