L'AI Act européen (Règlement UE 2024/1689) classe les systèmes d'IA en 4 niveaux de risque. Les systèmes 'à haut risque' sont soumis aux obligations les plus lourdes : évaluation de conformité, documentation technique, enregistrement dans une base de données européenne, surveillance humaine et transparence. Ces obligations s'appliquent, selon le règlement (UE) 2026/1744 du 8 juillet 2026, à partir du 2 décembre 2027 pour les systèmes de l'Annexe III et à partir du 2 août 2028 pour ceux de l'Annexe I.
Quels systèmes d'IA sont classés 'haut risque' par l'AI Act ?
L'annexe III du règlement AI Act liste les 8 catégories de systèmes d'IA à haut risque. Cette liste peut être mise à jour par la Commission européenne par voie d'acte délégué.
Les 8 catégories de l'Annexe III
1. Infrastructures critiques : systèmes d'IA utilisés dans la gestion des réseaux d'énergie, eau, transport, finance 2. Éducation et formation professionnelle : systèmes déterminant l'accès aux établissements, évaluation des élèves/étudiants 3. Emploi et gestion des travailleurs : recrutement, sélection, promotion, résiliation de contrat, micro-management par IA 4. Accès aux services essentiels : scoring de crédit, évaluation du risque pour l'assurance, systèmes d'aide aux décisions sur prestations sociales 5. Application de la loi : évaluation du risque de récidive, profilage de suspects, détection d'émotions dans le cadre d'enquêtes 6. Migration, asile, contrôle aux frontières : évaluation des risques, examen des demandes d'asile, contrôle des documents 7. Administration de la justice : aide à la décision judiciaire, systèmes de recherche de jurisprudence 8. Processus démocratiques : influence sur le vote, systèmes utilisés dans les élections
Le cas particulier des modèles d'IA à usage général (GPAI)
Les modèles d'IA à usage général (comme les LLM de grande taille) font l'objet d'un traitement distinct dans l'AI Act (articles 51 à 56). Un modèle GPAI n'est pas intrinsèquement 'haut risque' — mais lorsqu'il est intégré dans un système d'IA à haut risque, les obligations s'appliquent à l'intégrateur. Les fournisseurs de modèles GPAI avec impact systémique (seuil de 10^25 FLOPS d'entraînement) ont des obligations renforcées supplémentaires.
Les 7 obligations clés pour les fournisseurs de systèmes d'IA à haut risque
Un fournisseur (article 3, point 3, AI Act) est l'entité qui développe un système d'IA à haut risque et le met sur le marché. Les obligations s'appliquent indépendamment du pays d'établissement si le système est commercialisé dans l'UE.
1. Système de management de la qualité
Les fournisseurs doivent établir un système de management de la qualité (SMQ) documenté couvrant : la stratégie de conformité réglementaire, les processus de conception et développement, les procédures de surveillance post-commercialisation, et les processus de gestion des incidents. Ce SMQ est évalué lors de l'audit de conformité.
2. Documentation technique
Avant la mise sur le marché, la documentation technique doit inclure : description générale du système, données d'entraînement utilisées (provenance, traitement), architecture du modèle, performances sur jeux de test, mesures de robustesse et de sécurité, et résultats de l'évaluation des biais. Cette documentation doit être tenue à jour tout au long du cycle de vie du système.
3. Transparence et journalisation automatique
Les systèmes d'IA à haut risque doivent générer automatiquement des journaux de bord des événements ('logs') permettant une traçabilité complète des décisions. Ces journaux doivent être conservés pendant une durée définie (variable selon le secteur) et mis à disposition des autorités compétentes sur demande.
4. Transparence et information des déployeurs
Les fournisseurs doivent fournir aux déployeurs (utilisateurs professionnels du système) une documentation compréhensible et accessible sur les capacités et limites du système, les conditions d'utilisation appropriées, et les exigences de surveillance humaine.
5. Surveillance humaine
Les systèmes d'IA à haut risque doivent être conçus pour permettre une surveillance humaine effective. Concrètement : possibilité d'intervention ou d'interruption par un opérateur humain, indication des cas où le système n'est pas sûr (signalement des incertitudes), et préservation de la possibilité pour l'opérateur de ne pas tenir compte de la recommandation de l'IA.
6. Exactitude, robustesse et cybersécurité
Les niveaux d'exactitude minimaux requis doivent être atteints et documentés. Le système doit être robuste aux perturbations (données adversariales, dérives de distribution). Les mesures de cybersécurité doivent être proportionnées aux risques — notamment pour les systèmes reliés à des réseaux ou à des infrastructures critiques.
7. Évaluation de conformité et marquage CE
Avant la mise sur le marché, le fournisseur doit effectuer une évaluation de conformité. Pour la plupart des systèmes à haut risque, cette évaluation peut être réalisée en auto-évaluation (procédure interne). Pour les systèmes biométriques et certains systèmes d'infrastructure critique, l'intervention d'un organisme notifié est obligatoire. Un marquage CE doit être apposé après réussite de l'évaluation.
La base de données européenne : enregistrement obligatoire
L'article 71 de l'AI Act crée une base de données européenne publique des systèmes d'IA à haut risque gérée par la Commission. Les fournisseurs doivent y enregistrer leurs systèmes avant la mise sur le marché en fournissant : nom et coordonnées du fournisseur, description du système, objectif prévu, état de conformité, et référence à la déclaration de conformité.
Cette base de données est publique et consultable par les citoyens, les acheteurs publics et les autorités. Elle vise à permettre une meilleure traçabilité des systèmes d'IA à haut risque en circulation dans l'UE.
Calendrier d'application : quand faut-il être conforme ?
L'AI Act est entré en vigueur le 1er août 2024. Les obligations relatives aux systèmes à haut risque s'appliquent à des dates différentes selon les catégories.
Calendrier synthétique 2024-2028
| Date | Obligations applicables | |---|---| | 1er août 2024 | Entrée en vigueur du règlement | | 2 février 2025 | Interdictions IA inacceptable (article 5) | | 2 août 2025 | Règles applicables aux GPAI + gouvernance nationale | | 2 décembre 2027 | Majorité des obligations systèmes haut risque (Annexe III), report par le règlement (UE) 2026/1744 | | 2 août 2028 | Systèmes haut risque intégrés dans des produits couverts par une législation sectorielle de l'Union, Annexe I (dispositifs médicaux, véhicules, machines...) |
D'ici le 2 décembre 2027, la plupart des fournisseurs de systèmes d'IA à haut risque de l'Annexe III doivent être conformes ou en cours de mise en conformité avancée.
Sanctions en cas de non-conformité
Les amendes AI Act sont parmi les plus élevées du droit européen numérique : - Violation des articles 5 (IA interdite) : jusqu'à 35 millions € ou 7 % du CA mondial annuel - Non-respect des obligations fournisseurs (systèmes haut risque) : jusqu'à 15 millions € ou 3 % du CA mondial - Informations incorrectes fournies aux autorités : jusqu'à 7,5 millions € ou 1 % du CA mondial
Les PME et startups bénéficient d'amendes plafonnées au montant le plus bas entre les pourcentages et les montants absolus. La mise en conformité proactive reste donc fortement recommandée.
Conclusion
Les fournisseurs de systèmes d'IA à haut risque doivent se préparer dès maintenant : documentation technique, SMQ, évaluation de conformité et enregistrement européen. L'AI Act ne s'applique pas seulement aux développeurs européens — tout système vendu ou déployé dans l'UE est concerné, quelle que soit la localisation du fournisseur. Le Bureau européen de l'IA (European AI Office) est l'interlocuteur central pour les questions d'interprétation et de mise en conformité.
Questions fréquentes
Vérifiez si votre système entre dans l'une des 8 catégories de l'Annexe III (infrastructures critiques, emploi, éducation, services essentiels, application de la loi, migration, justice, processus démocratiques). Si oui, l'article 6 précise les conditions de classification et les cas d'exemption (tâche procédurale étroite, amélioration d'une activité humaine déjà réalisée, etc.). En cas de doute, il est recommandé de documenter son évaluation et de consulter un juriste spécialisé.
Oui pour la plupart des catégories de l'Annexe III — l'auto-évaluation de conformité est possible. Les organismes notifiés sont obligatoires pour les systèmes biométriques (reconnaissance faciale en temps réel) et certains systèmes d'infrastructures critiques. La liste exacte est précisée à l'article 43 de l'AI Act.
Oui. L'AI Act a une portée extraterritoriale : il s'applique à tout fournisseur qui met sur le marché de l'UE ou met en service dans l'UE un système d'IA à haut risque, quelle que soit sa localisation. Les fournisseurs hors UE doivent désigner un représentant autorisé établi dans l'Union européenne.
Le fournisseur est l'entité qui développe le système d'IA et le met sur le marché. Le déployeur est celui qui utilise le système dans son activité professionnelle. Les obligations les plus lourdes pèsent sur le fournisseur, mais les déployeurs ont aussi des obligations spécifiques : surveillance humaine, information des personnes concernées, gestion des incidents.