Identifier l'IA à haut risque : annexe III et article 6

Quand un système d’IA est-il à haut risque ?

L’art. 6 du règlement sur l’IA prévoit deux voies :

1. Produits (art. 6, par. 1, annexe I) : L’IA est un produit ou un composant de sécurité d’un produit qui doit être évalué par un organisme indépendant en vertu du droit de l’UE, par exemple selon le règlement relatif aux dispositifs médicaux (MDR). Ces obligations s’appliquent à partir du 2 août 2028.
2. Finalités d’utilisation (art. 6, par. 2, annexe III) : L’IA est utilisée pour l’une des finalités qui y sont énumérées. Depuis la modification par le règlement (UE) 2026/1744, ces obligations s’appliquent à partir du 2 décembre 2027.

Ce qui compte, c’est la destination prévue : ce à quoi le système est destiné et ce pour quoi il est utilisé. La même technique peut être sans enjeu dans un usage et à haut risque dans un autre.

Quels domaines l’annexe III énumère-t-elle ?

N°	Domaine	Exemples tirés de l’annexe
1	Biométrie	identification à distance, reconnaissance des émotions, catégorisation selon des caractéristiques sensibles
2	Infrastructures critiques	composants de sécurité dans le trafic routier, l’approvisionnement en électricité, gaz, eau et chauffage, les infrastructures numériques
3	Éducation	admission, évaluation des acquis d’apprentissage, surveillance des examens
4	Emploi	diffusion ciblée d’offres d’emploi, tri et évaluation des candidatures, promotion, licenciement, répartition des tâches, suivi des performances
5	Services essentiels	évaluer, accorder, réduire ou révoquer le droit à des prestations d’aide publique, y compris les services de santé ; solvabilité ; tarification des assurances vie et maladie ; classer les appels d’urgence, dépêcher les services de secours, tri aux urgences
6	Répression	évaluation des risques, évaluation des preuves, profilage
7	Migration, asile, contrôle aux frontières	examen des demandes, évaluation des risques
8	Justice et processus démocratiques	aide à l’interprétation du droit, influence sur les élections

Quand l’exception de l’art. 6, par. 3, s’applique-t-elle ?

Un système de l’annexe III n’est pas considéré comme à haut risque s’il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux et n’influence pas de manière substantielle le résultat d’une décision. C’est le cas s’il

• accomplit une tâche procédurale étroite, par exemple trier le courrier entrant par thème,
• améliore le résultat d’une activité humaine déjà achevée, par exemple lisser la langue d’un texte terminé,
• détecte des schémas décisionnels ou des écarts, sans remplacer l’évaluation humaine ni l’influencer sans vérification, ou
• accomplit une tâche préparatoire à une évaluation, par exemple résumer des documents.

Le profilage de personnes physiques est toujours à haut risque, même si l’une de ces conditions est remplie. Celui qui invoque l’exception documente l’évaluation avant la mise sur le marché et enregistre le système (art. 6, par. 4, art. 49, par. 2). L’omnibus numérique a réduit les informations exigées pour cet enregistrement.

Comment vérifier votre usage ?

1. Décrire la finalité : Que fait exactement l’IA, et qui utilise le résultat, à quelle fin ?
2. Vérifier l’annexe I : L’IA fait-elle partie d’un dispositif médical ou d’un autre produit réglementé ? Pour les hôpitaux : L’IA est-elle un dispositif médical ?
3. Vérifier l’annexe III : La finalité relève-t-elle de l’un des huit domaines ?
4. Vérifier l’exception : Une condition de l’art. 6, par. 3, est-elle remplie, et n’y a-t-il pas de profilage ?
5. Documenter le résultat : Même un « pas de haut risque » devrait figurer, motivé, dans votre registre des systèmes d’IA.

En mai 2026, la Commission a publié un projet de lignes directrices avec des exemples. Elles constituent une aide précieuse, mais ne sont pas encore définitives.

Quelles conséquences la qualification entraîne-t-elle ?

Les fournisseurs d’IA à haut risque doivent notamment mettre en place une gestion des risques, une documentation technique, une journalisation et une évaluation de la conformité. Les déployeurs doivent utiliser le système conformément à la notice d’utilisation, confier le contrôle humain à des personnes compétentes, conserver les journaux au moins six mois et informer les collaborateurs et les personnes concernées (art. 26). Les organismes publics et les entités privées fournissant des services publics réalisent en outre une analyse d’impact sur les droits fondamentaux.

Comment cela fonctionne-t-il avec basebox ?

basebox est une plateforme, pas un système à haut risque. Vos obligations dépendent de l’usage. basebox n’est pas conçue pour évaluer des personnes, faire du profilage ou apprécier des preuves ; selon l’AI Act européen, cela relève du haut risque. basebox ne prend aucune décision automatisée : elle fait des propositions, les décisions sont prises par des personnes. Chaque réponse indique ses sources avec le passage cité, et le professionnel vérifie à la source. Votre administrateur détermine quelles apps existent dans l’établissement et qui peut les utiliser. Pour en savoir plus : Sécurité.

Pas un conseil juridique : La qualification dépend de la finalité concrète et doit être examinée au cas par cas. État au 11 octobre 2026 ; les lignes directrices de la Commission peuvent encore faire évoluer l’interprétation.