Les systèmes d'IA à haut risque sont au cœur du règlement européen sur l'IA ( règlement (UE) 2024/1689 ), communément appelé « loi sur l'IA », qui instaure un cadre fondé sur les risques pour le développement, la fourniture et l'utilisation des systèmes d'intelligence artificielle (IA). Plus le risque pour la santé, la sécurité et les droits fondamentaux est élevé, plus les obligations sont contraignantes.
Pour les organisations, la conformité ne commence donc pas par la rédaction de la documentation technique, mais par une classification correcte. Il convient d'abord d'identifier les systèmes d'IA développés, acquis ou utilisés au sein de l'organisation. Ensuite, il faut déterminer si un système est interdit , à haut risque, soumis à des obligations de transparence ou non concerné par des obligations spécifiques.
Cet article explique dans quels cas un système d'IA peut être considéré comme à haut risque, quelles obligations incombent aux fournisseurs et aux déployeurs, et quelles mesures les organisations peuvent prendre dès maintenant. Il présente également le calendrier actuel, y compris les changements induits par le processus Digital Omnibus. La date de référence de cet article est le 25 juillet 2026.
Quand un système d'IA est-il considéré comme à haut risque ?
L’évaluation des systèmes d’IA à haut risque s’effectue principalement en vertu de l’article 6 et des annexes I et III de la loi sur l’IA. Deux voies sont possibles.
La première voie concerne les systèmes d'IA intégrés à des produits relevant de la législation européenne sur les produits, énumérés à l'annexe I et nécessitant une évaluation de conformité par un organisme tiers. Citons par exemple certains dispositifs médicaux, machines, ascenseurs et jouets. Pour ces systèmes, la loi relative à l'IA s'appuie sur la procédure d'évaluation de la conformité existante.
La seconde voie concerne les systèmes d’IA utilisés dans les domaines énumérés à l’annexe III : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des effectifs, accès aux services publics et privés essentiels, application de la loi, migration, asile et contrôle des frontières, administration de la justice et des processus démocratiques. Toute utilisation au sein d’un tel domaine n’entraîne pas automatiquement un classement parmi les systèmes d’IA à haut risque : la fonction spécifique du système et les conditions de l’article 6 doivent également être évaluées.
L'exception prévue à l'article 6(3)
Un système relevant d'un domaine de l'Annexe III n'est pas automatiquement classé parmi les systèmes d'IA à haut risque : cette classification est exclue lorsqu'il ne présente aucun risque significatif pour la santé, la sécurité ou les droits fondamentaux des personnes et n'influence pas de manière significative le résultat de la prise de décision. Tel peut être le cas lorsque le système effectue une tâche procédurale limitée, améliore simplement une activité déjà réalisée par un humain, se contente de signaler les écarts par rapport à une décision humaine antérieure sans remplacer cette évaluation, ou réalise une tâche exclusivement préparatoire.
Le recours à cette exception doit être soigneusement motivé et documenté. L’organisme consigne non seulement la conclusion, mais aussi les faits et l’évaluation sur lesquels elle repose. Un fournisseur qui estime qu’un système de l’annexe III ne fait pas partie des systèmes d’IA à haut risque doit documenter cette évaluation avant la mise sur le marché ou la mise en service du système et est, de surcroît, soumis à l’obligation d’enregistrement prévue à l’article 49, paragraphe 2.
Sur un point, le règlement est absolu. L’article 6, paragraphe 3, prévoit qu’un système d’IA visé à l’annexe III est toujours considéré comme un système d’IA à haut risque lorsqu’il effectue un profilage de personnes physiques. L’exception ne peut être invoquée dans ce cas.
Quel rôle joue votre organisation ?
La loi sur l'IA distingue plusieurs rôles au sein de la chaîne. Deux d'entre eux sont essentiels pour la plupart des organisations. Une entité qui développe un système d'IA ou le commercialise sous son propre nom ou sa propre marque est qualifiée de fournisseur. Une entité qui utilise un système d'IA dans le cadre de ses activités sans l'avoir développé est généralement qualifiée de déployeur.
Cette répartition des rôles n'est pas figée. Une organisation qui modifie substantiellement un système acquis, le revend sous son propre nom ou sa propre marque, ou en change la finalité, peut toujours être considérée comme un fournisseur et, de ce fait, être soumise à des obligations plus strictes. Déterminez pour chaque système le rôle que vous jouez et consignez cette évaluation.
Les principales obligations
Les fournisseurs de systèmes d'IA à haut risque sont soumis à des obligations, notamment celles prévues aux articles 8 à 17, 43 et 47 à 49 :
- un système de gestion des risques couvrant l'ensemble du cycle de vie
- La gouvernance des données, notamment la détection et la correction des biais dans les données utilisées, y compris les données d'entraînement, de validation et de test
- documentation technique conformément à l'annexe IV et enregistrement des événements
- Instructions d'utilisation claires pour les déployeurs
- une conception permettant une surveillance humaine efficace
- exigences en matière d'exactitude, de robustesse et de cybersécurité
- un système de gestion de la qualité, une évaluation de la conformité, une déclaration de conformité UE, le marquage CE et l'enregistrement dans la base de données de l'UE
Pour les systèmes d’IA à haut risque utilisés pour l’identification biométrique à distance, tels que visés à l’annexe III, point 1 a), l’article 14, paragraphe 5, impose une exigence supplémentaire de contrôle humain : aucune action ni décision ne peut être prise sur la base de l’identification sans qu’elle ait été vérifiée et confirmée séparément par au moins deux personnes physiques possédant les compétences, la formation et l’autorité requises. C’est ce qu’on appelle le principe des quatre yeux.
Les utilisateurs sont soumis aux obligations allégées, mais non moins importantes, des articles 26 et 27 : utilisation conforme au mode d’emploi, supervision humaine compétente, surveillance du fonctionnement du système, signalement des risques et des incidents graves, et conservation des journaux pendant au moins six mois. Les employés qui utiliseront le système, ainsi que les personnes auxquelles il est destiné, doivent en être informés au préalable.
Certains déployeurs doivent également effectuer une évaluation d'impact sur les droits fondamentaux, l'évaluation d'impact sur les droits fondamentaux au titre de l'article 27. Cela s'applique en tout état de cause aux organismes de droit public, aux prestataires privés de services publics et aux déployeurs utilisant des systèmes de notation de crédit ou d'évaluation des risques d'assurance vie et santé.
Chronologie et état actuel
La loi sur l'IA est entrée en vigueur le 1er août 2024 et son application se fera progressivement. En pratique, il est important de distinguer les obligations déjà applicables, celles dont l'application est prévue ultérieurement et les modifications annoncées dont l'entrée en vigueur formelle n'est pas encore effective.
Pratiques interdites (Article 5) : Applicables à compter du 2 février 2025
Culture de l'IA (Article 4) : Applicable à compter du 2 février 2025
Modèles d'IA à usage général : applicables à compter du 2 août 2025
Obligations de transparence (article 50) : applicables à compter du 2 août 2026 ; non reportées
Risque élevé (Annexe III) : Date formellement fixée au 2 août 2026 ; une fois la loi omnibus entrée en vigueur, au plus tard le 2 décembre 2027.
Risque élevé (Annexe I) : Date formellement fixée au 2 août 2027 ; une fois la loi omnibus entrée en vigueur, au plus tard le 2 août 2028.
Le 19 novembre 2025, la Commission européenne a publié le paquet « Numeric Omnibus », proposant de reporter l’application des obligations relatives aux systèmes d’IA à haut risque. Un accord politique provisoire a été conclu le 7 mai 2026. Le Parlement européen a donné son approbation le 16 juin 2026 et le Conseil son approbation définitive le 29 juin 2026.
À la date de référence du présent article, la publication au Journal officiel de l’Union européenne n’est pas encore achevée. La modification entrera en vigueur trois jours après cette publication. D’ici là, le calendrier initial de la loi sur l’IA reste applicable, la date d’application des obligations relatives aux risques élevés prévues à l’annexe III étant fixée au 2 août 2026. Une publication avant cette date est largement anticipée, mais n’est pas encore confirmée.
Ce report est par ailleurs assorti de conditions. L’application des obligations relatives aux systèmes d’IA à haut risque est subordonnée à une décision de la Commission établissant la disponibilité des normes harmonisées et des instruments d’appui nécessaires, suivie d’une période transitoire. Les dates du 2 décembre 2027 et du 2 août 2028 constituent des échéances de repli et non un simple report.
Deux points méritent une attention particulière. Premièrement, les obligations de transparence prévues à l'article 50 et l'obligation de sensibilisation à l'IA prévue à l'article 4 ne sont pas reportées : elles restent conformes au calendrier initial. Deuxièmement, le paquet législatif ajoute une nouvelle interdiction à l'article 5, visant les applications d'IA générant des images intimes non consensuelles et les contenus pédopornographiques produits par l'IA.
Pour les organisations, cela signifie qu'il est judicieux de planifier en fonction de décembre 2027, mais que la tenue des registres doit pour l'instant être organisée comme si août 2026 était toujours en vigueur, jusqu'à ce que le Journal officiel en dise autrement.
Supervision et sanctions
Aux Pays-Bas, à la date de référence du présent article, la législation de mise en œuvre de la loi sur l'intelligence artificielle n'est toujours pas adoptée. L'Autorité néerlandaise pour l'infrastructure numérique et l'Autorité néerlandaise de protection des données devraient jouer un rôle central de coordination, les autorités de contrôle sectorielles conservant leurs responsabilités respectives. La répartition précise des pouvoirs et le fondement juridique de cette répartition devront toutefois être définis dans la version définitive de la législation néerlandaise de mise en œuvre.
L’article 99 de la loi relative à l’IA prévoit plusieurs catégories de sanctions maximales. Le montant de ces sanctions dépend de la nature de l’infraction et, le cas échéant, du chiffre d’affaires annuel mondial de l’entreprise. La sanction maximale la plus élevée s’applique aux infractions aux pratiques interdites visées à l’article 5 ; une sanction maximale inférieure s’applique aux infractions aux autres obligations, notamment celles des fournisseurs et des déployeurs de systèmes d’IA à haut risque ; et la sanction minimale s’applique à la communication d’informations inexactes, incomplètes ou trompeuses aux autorités. Un régime plus favorable est appliqué aux petites et moyennes entreprises (PME), y compris les jeunes entreprises. La sanction effective est déterminée au regard des règles applicables en matière de sanctions et des circonstances de l’espèce.
Feuille de route pratique
- Dressez l'inventaire de tous les systèmes d'IA que votre organisation développe, achète ou utilise.
- Déterminez pour chaque système le rôle que vous jouez : fournisseur ou déployeur.
- Déterminez la catégorie de risque de chaque système et documentez cette évaluation, y compris toute utilisation de l’exception prévue à l’article 6(3).
- Mettre en place une gouvernance de l'IA et nommer un responsable.
- Assurez-vous que le personnel travaillant avec ces systèmes possède des connaissances en intelligence artificielle ; cette obligation s'applique déjà.
- Préparer les mesures de transparence prévues à l’article 50 en vue du 2 août 2026.
- Commencez en temps utile la documentation technique et, le cas échéant, l'évaluation d'impact sur les droits fondamentaux.
- Examiner les contrats des fournisseurs concernant la répartition des rôles, la fourniture d'informations et les droits d'audit.
- Surveillez la publication du paquet Omnibus dans le Journal officiel et adaptez votre planification en conséquence.
Conclusion
La loi européenne sur l'IA a un impact fondamental sur la manière dont les organisations développent, acquièrent et utilisent l'IA. Le report annoncé des obligations à haut risque offre un délai supplémentaire, mais n'est pas encore applicable. Les obligations déjà en vigueur ou entrant en vigueur le 2 août 2026 restent inchangées. Il est donc prudent d'anticiper les nouvelles échéances tout en restant préparé aux échéances initiales. Pour une présentation plus complète de la réglementation, consultez notre Guide complet de la loi européenne sur l'IA , qui complète l'analyse de cet article sur les systèmes d'IA à haut risque.
Law & More Nous aidons les organisations à recenser et classer leurs systèmes d'IA, à déterminer leur rôle de fournisseur ou de déployeur, à examiner et rédiger leurs contrats avec les fournisseurs d'IA et à mettre en place une gouvernance de l'IA. Souhaitez-vous connaître les obligations qui incombent actuellement à votre organisation et les actions prioritaires à entreprendre ? N'hésitez pas à nous contacter pour un échange sans engagement.
Foire aux questions
Vous trouverez ci-dessous les réponses aux questions qui nous sont le plus souvent posées à ce sujet.
Qu’est-ce que la loi sur l’IA ?
Le règlement européen sur l'IA (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024 et s'appliquera progressivement, les obligations se renforçant à mesure que le risque posé par un système d'IA augmente.
Quand un système d'IA est-il considéré comme à haut risque ?
Deux voies sont possibles : soit en tant que composant d’un produit relevant de la législation sur les produits énumérée à l’annexe I, soit par le biais d’une utilisation dans l’un des domaines énumérés à l’annexe III. Dans ce dernier cas, le domaine seul n’est pas déterminant ; la fonction spécifique et les conditions de l’article 6 sont également prises en compte.
Un système relevant de l'annexe III peut-il néanmoins être considéré comme n'entrant pas dans la catégorie à haut risque ?
Oui, lorsqu'elle ne présente aucun risque significatif et n'influence pas de manière significative la prise de décision, par exemple lorsqu'elle effectue une tâche procédurale ou purement préparatoire. Cette évaluation doit être documentée. Lorsque le système effectue le profilage de personnes physiques, cette exception ne s'applique jamais.
Suis-je un fournisseur ou un déployeur ?
Vous êtes un fournisseur si vous développez le système ou le commercialisez sous votre propre nom ou marque, et généralement un déployeur si vous utilisez un système acheté. Si vous modifiez substantiellement un système acheté ou le redistribuez sous votre propre nom, vous pouvez également devenir un fournisseur.
Quelles sont les obligations des prestataires ?
Entre autres, la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, les instructions d'utilisation, la supervision humaine, les exigences en matière d'exactitude et de cybersécurité, un système de gestion de la qualité, une évaluation de la conformité, le marquage CE et l'enregistrement dans la base de données de l'UE.
Quelles sont les obligations des déployeurs ?
L’utilisation doit être conforme aux instructions, sous la supervision d’un personnel compétent, avec surveillance, signalement des risques et incidents graves, et conservation des journaux pendant au moins six mois. Les employés concernés et les personnes auxquelles le système est appliqué doivent en être informés au préalable.
Quand une évaluation d'impact sur les droits fondamentaux doit-elle être réalisée ?
L’article 27 l’exige notamment des organismes de droit public, des prestataires privés de services publics et des opérateurs utilisant des systèmes de notation de crédit ou d’évaluation des risques d’assurance vie et santé.
Les obligations à haut risque ont-elles été reportées ?
Un amendement adopté reporte l'application au plus tard au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I. À la date de référence du présent article, cet amendement n'ayant pas encore été publié au Journal officiel, la date initiale du 2 août 2026 reste formellement applicable.
Qu'est-ce qui est déjà valable aujourd'hui ?
Les pratiques interdites de l'article 5 et l'obligation de formation en IA entreront en vigueur le 2 février 2025, ainsi que les règles relatives aux modèles d'IA à usage général à compter du 2 août 2025. Les obligations de transparence de l'article 50 entreront en vigueur le 2 août 2026 et n'ont pas été reportées.
Qui supervise la loi sur l'IA aux Pays-Bas ?
La législation de mise en œuvre fait encore défaut. L'Autorité néerlandaise pour l'infrastructure numérique et l'Autorité néerlandaise de protection des données devraient jouer un rôle central de coordination, aux côtés des autorités de contrôle sectorielles. La répartition définitive des compétences sera définie par la législation néerlandaise de mise en œuvre.
Que devrait faire mon organisation maintenant ?
Commencez par dresser un inventaire de tous les systèmes d'IA que vous développez, achetez ou utilisez. Pour chaque système, indiquez votre rôle, la catégorie de risque applicable et les obligations qui en découlent. Mettez également en place une gouvernance de l'IA, assurez-vous de la formation des utilisateurs en IA et examinez les contrats fournisseurs concernant la répartition des rôles, la fourniture d'informations et les droits d'audit.
