IA à haut risque : définition

Ce qu'il faut comprendre

L'IA Act retient deux voies. La première concerne les systèmes qui servent de composant de sécurité à des produits déjà réglementés, comme les dispositifs médicaux ou les machines. La seconde vise des usages listés à l'annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des salariés, accès aux services publics et privés essentiels, police, migrations, justice et processus démocratiques.

Pour le fournisseur, les exigences portent sur la gestion des risques, la qualité des données d'entraînement, la documentation technique, la journalisation, la robustesse et le marquage CE. Le déployeur doit utiliser le système selon la notice, confier le contrôle humain à des personnes compétentes, surveiller son fonctionnement, conserver les journaux et informer les personnes concernées par ses résultats.

Un système de l'annexe III peut échapper à la qualification s'il se limite, par exemple, à une tâche procédurale étroite ou à une tâche préparatoire, sans influence significative sur la décision. Cette exception ne joue jamais lorsque le système réalise un profilage des personnes. Erreur fréquente : raisonner sur l'outil plutôt que sur l'usage. Un logiciel d'analyse de texte est à risque minimal pour classer des courriels, mais à haut risque s'il sert à évaluer des candidats ou à décider de l'attribution d'une aide sociale.

Exemple concret

Une ETI de logistique utilise un logiciel qui note automatiquement les candidatures reçues. Cet usage relève de l'emploi, listé à l'annexe III. Avant la mise en service, l'entreprise doit informer les représentants du personnel, désigner des recruteurs formés pour vérifier les classements, conserver les journaux du système et mener une analyse d'impact au titre du RGPD.

Textes de référence

• Règlement (UE) 2024/1689, art. 6
• Règlement (UE) 2024/1689, art. 26

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.