IA Act haut risque : qualifier et appliquer les obligations

Quand les obligations haut risque s'appliquent-elles ?

Au 2 novembre 2026, ces obligations ne sont pas encore applicables. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026, a reporté leurs dates. La Commission européenne indique qu'il est entré en vigueur le 27 juillet 2026.

Ces dates figurent à l'article 113 consolidé. Pour un système déjà sur le marché, l'article 111 §2 n'applique le règlement qu'en cas de modification importante de sa conception, sauf usage par une autorité publique.

La qualification d'un système d'IA dépend de sa destination, pas de sa technologie. L'article 6 prévoit deux voies d'entrée, puis une porte de sortie pour certains usages de l'annexe III.

1. 1Vérifier la définition — Confirmez que l'outil est un système d'IA au sens de l'article 3 : il déduit de ses entrées des prédictions, contenus, recommandations ou décisions.
2. 2Tester la voie annexe I — Le système est un composant de sécurité d'un produit visé à l'annexe I (ou ce produit lui-même) et ce produit doit passer une évaluation de conformité par un tiers.
3. 3Tester la voie annexe III — Comparez la destination prévue du système aux cas d'usage des huit domaines de l'annexe III.
4. 4Examiner la dérogation — Pour un usage annexe III, vérifiez si l'une des conditions de l'article 6 §3 s'applique et documentez la conclusion.

Les huit domaines de l'annexe III sont :

• biométrie ;
• infrastructures critiques ;
• éducation et formation professionnelle ;
• emploi et gestion de la main d'œuvre (recrutement, filtrage des candidatures, promotion, licenciement, suivi des performances) ;
• accès aux services essentiels et publics (prestations sociales, solvabilité sauf détection de fraude, assurance vie et maladie, appels d'urgence) ;
• répression ;
• migration, asile et contrôle aux frontières ;
• administration de la justice et processus démocratiques.

Un outil RH qui planifie des congés n'entre pas dans le point 4, un outil qui classe des candidatures y entre : c'est la destination qui fonde l'analyse IA Act haut risque.

Un système de l'annexe III peut-il échapper au haut risque ?

Oui, s'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux et qu'il remplit au moins une des conditions de l'article 6 §3. Cette sortie est fermée dès que le système effectue un profilage de personnes physiques.

• a) il exécute une tâche procédurale étroite ;
• b) il améliore le résultat d'une activité humaine déjà réalisée ;
• c) il détecte des schémas de décision ou des écarts, sans remplacer ni influencer l'évaluation humaine faite au préalable sans examen humain approprié ;
• d) il exécute une tâche préparatoire à une évaluation pertinente pour un cas d'usage de l'annexe III.

Le fournisseur qui retient la dérogation documente son évaluation avant la mise sur le marché (article 6 §4). L'article 49 §2, tel qu'affiché par le Service desk de la Commission, maintient l'obligation d'enregistrer ce système dans la base de données de l'UE avant sa mise sur le marché ; selon la Commission, l'omnibus en allège le contenu. Conservez ce dossier : sur demande des autorités, il justifie l'écart avec le régime IA Act haut risque.

Quelles obligations selon votre rôle ?

Le fournisseur d'IA porte la conformité du produit, le déployeur celle de l'usage.

S'y ajoutent, pour le fournisseur, la transparence (article 13) et la robustesse (article 15), rappelées à l'article 16. L'article 26 impose au déployeur de signaler un risque ou un incident grave.

Qui doit réaliser une FRIA ?

Avant le premier déploiement, l'analyse d'impact sur les droits fondamentaux incombe aux organismes publics, aux entités privées fournissant des services publics et aux déployeurs de systèmes de crédit ou d'assurance vie et maladie (annexe III, point 5 b et c). Les infrastructures critiques (point 2) sont exclues.

Selon l'article 27, la FRIA décrit :

1. les processus dans lesquels le système sera utilisé ;
2. la durée et la fréquence d'utilisation prévues ;
3. les catégories de personnes et de groupes susceptibles d'être concernés ;
4. les risques spécifiques de préjudice pour ces personnes ;
5. les mesures de contrôle humain ;
6. les mesures si les risques se matérialisent, dont les mécanismes de plainte.

Les résultats sont notifiés à l'autorité de surveillance du marché via le questionnaire du Bureau de l'IA. Depuis l'omnibus, le paragraphe 4 permet de renvoyer aux sections pertinentes de votre AIPD lorsqu'elle couvre déjà certains points : le volet IA Act haut risque et le volet RGPD peuvent donc être instruits ensemble.

Le report à décembre 2027 laisse le temps de construire la conformité IA Act haut risque, pas de l'ignorer.

À retenir

• Haut risque applicable au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), selon le règlement (UE) 2026/1744.
• La qualification repose sur la destination du système, selon deux voies : annexe I ou annexe III.
• La dérogation de l'article 6 §3 se documente et ne joue jamais en cas de profilage.
• Le fournisseur répond du système, le déployeur de son usage.
• La FRIA vise surtout les acteurs publics, le crédit et l'assurance, et peut renvoyer à l'AIPD.