AI Act : comment savoir si un système est « à haut risque » ? Le projet de lignes directrices de la Commission

Le règlement européen sur l'IA réserve ses obligations les plus lourdes aux systèmes dits « à haut risque ». Encore faut-il savoir si un outil en fait partie. La Commission européenne a publié le 19 mai 2026 un projet de lignes directrices sur cette classification, en trois documents : principes généraux, annexe I, annexe III. Sa page de référence, mise à jour le 19 octobre 2026, indique que la consultation était ouverte jusqu'au 23 juillet 2026 et que les retours seront intégrés à la version finale.

Deux voies vers le haut risque

• L'IA intégrée à un produit réglementé (annexe I) : le système est un composant de sécurité d'un produit soumis à une évaluation de conformité par un tiers, ou constitue lui-même ce produit.
• Les cas d'usage de l'annexe III : huit domaines, parmi lesquels la biométrie, l'éducation et l'emploi.

Le projet rappelle les dates d'application après l'omnibus : 2 décembre 2027 pour l'annexe III, 2 août 2028 pour l'annexe I.

La finalité annoncée fait foi

Le classement dépend de la « destination » du système, c'est-à-dire de l'usage prévu par le fournisseur dans sa notice, sa documentation technique et ses supports commerciaux. Le projet en tire une conséquence pratique : si un outil est présenté comme utilisable partout, sans exclure de façon cohérente les usages à haut risque, il sera réputé les couvrir. Une simple clause d'exclusion dans les conditions d'utilisation ne suffit pas si le positionnement du produit promeut ces usages.

Autre rappel : un distributeur ou un utilisateur professionnel qui change la destination d'un système peut hériter des obligations du fournisseur.

Le « filtre » : quatre cas d'exemption

Un système relevant de l'annexe III peut échapper au haut risque s'il remplit l'une de ces conditions :

• il accomplit une tâche procédurale étroite ;
• il améliore le résultat d'une activité humaine déjà achevée ;
• il détecte des écarts par rapport à des décisions antérieures, sans remplacer ni influencer l'évaluation humaine ;
• il réalise une tâche préparatoire à une évaluation.

Ces conditions s'interprètent strictement. Elles ne jouent jamais si le système effectue un profilage de personnes. Le fournisseur qui s'en prévaut doit documenter son analyse avant la mise sur le marché et enregistrer le système dans la base de données européenne. Une autorité de surveillance peut contester ce classement et sanctionner un contournement.

Un exemple : le recrutement

Le projet illustre la frontière. Un outil qui rédige une offre d'emploi à partir de tâches et de compétences définies par un recruteur humain accomplit une tâche procédurale étroite : il devrait être exempté. Le même outil, s'il définit lui-même les compétences requises ou compare les CV à l'offre pour recommander des candidats, relève du haut risque. La diffusion ciblée d'offres fondée sur un profilage en relève aussi.

Les limites

Le texte est un projet, sans date d'adoption annoncée. Il n'est pas contraignant : seule la Cour de justice de l'Union européenne peut donner une interprétation qui fait autorité. Il ne traite que du classement ; d'autres lignes directrices sont annoncées sur les obligations elles-mêmes. Les documents sont longs et en anglais : nous n'en restituons que les principes généraux et un exemple.

Notre lecture

Une PME française est le plus souvent utilisatrice, pas fournisseur. C'est donc à l'éditeur de classer son produit, mais c'est à l'acheteur de poser la question. Pour tout outil qui touche au recrutement, à l'évaluation de salariés ou à la formation :

1. Demander par écrit à l'éditeur comment il classe son système, et sur quelle base.
2. S'il invoque une exemption, demander laquelle des quatre conditions s'applique. Le projet encourage d'ailleurs les acheteurs à vérifier l'inscription dans la base européenne.
3. Relire sa propre utilisation : employer un assistant généraliste pour classer des candidatures revient à sortir de l'usage prévu, avec le risque d'endosser les obligations du fournisseur.

L'échéance est fin 2027, mais les contrats signés aujourd'hui seront encore en cours à cette date.