{"id":23198,"date":"2026-07-20T22:00:00","date_gmt":"2026-07-20T22:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23198"},"modified":"2026-07-12T17:20:32","modified_gmt":"2026-07-12T17:20:32","slug":"ia-haut-risque-obligations","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/ia-haut-risque-obligations\/","title":{"rendered":"IA \u00e0 haut risque : vos obligations"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Juillet 2026<\/em><\/em><\/p>\n\n\n\n

\n

Votre outil de recrutement, de scoring ou de biom\u00e9trie est peut-\u00eatre une IA haut risque. Or, cette qualification d\u00e9clenche les obligations les plus lourdes de l’AI Act : gestion des risques, documentation, supervision humaine. Ce guide vous aide donc \u00e0 identifier votre syst\u00e8me et \u00e0 cartographier vos obligations, \u00e9tape par \u00e9tape.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi la qualification \u00ab IA haut risque \u00bb est strat\u00e9gique en 2026<\/a><\/li>\n\n\n\n
  2. Le cadre juridique : comment un syst\u00e8me devient \u00ab haut risque \u00bb<\/a><\/li>\n\n\n\n
  3. Vos obligations si votre IA est \u00e0 haut risque<\/a><\/li>\n\n\n\n
  4. Tableau de synth\u00e8se des obligations<\/a><\/li>\n\n\n\n
  5. Auto-\u00e9valuation : votre IA est-elle \u00e0 haut risque ?<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. Conclusion<\/a><\/li>\n\n\n\n
  8. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi la qualification \u00ab IA haut risque \u00bb est strat\u00e9gique en 2026<\/h2>\n\n\n\n

    La qualification d’un syst\u00e8me d’IA haut risque conditionne tout le reste. En effet, elle d\u00e9clenche les obligations les plus exigeantes du R\u00e8glement (UE) 2024\/1689, dit AI Act. \u00c0 l’inverse, une IA \u00e0 risque limit\u00e9 ne supporte que des devoirs de transparence. Cette bascule change donc radicalement la charge de conformit\u00e9.<\/p>\n\n\n\n

    Beaucoup d’entreprises croient le sujet lointain. Pourtant, l’IA \u00e0 haut risque se cache dans des usages tr\u00e8s courants. Un logiciel de recrutement, un outil de scoring de cr\u00e9dit ou un dispositif biom\u00e9trique en rel\u00e8vent. Or, plus de 70 % des collaborateurs de bureau utilisent d\u00e9j\u00e0 l’IA au quotidien. Le risque de non-conformit\u00e9 est donc bien r\u00e9el.<\/p>\n\n\n\n

    Le calendrier m\u00e9rite une lecture attentive. Les obligations des syst\u00e8mes de l’annexe III devaient s’appliquer au 2 ao\u00fbt 2026. Cependant, le Digital Omnibus, vot\u00e9 par le Parlement le 16 juin 2026, les reporte au 2 d\u00e9cembre 2027. Ce report reste provisoire jusqu’\u00e0 la publication au Journal officiel. En revanche, il ne dispense pas de qualifier ses syst\u00e8mes d\u00e8s maintenant.<\/p>\n\n\n\n

    Ce guide s’inscrit dans les obligations AI Act des entreprises<\/strong><\/a> et compl\u00e8te notre d\u00e9cryptage de la transparence de l’article 50<\/strong><\/a>.<\/p>\n\n\n\n

    2. Le cadre juridique : comment un syst\u00e8me devient \u00ab haut risque \u00bb<\/h2>\n\n\n\n

    L’AI Act d\u00e9finit deux voies vers la qualification d’IA haut risque. Les articles 6 et 7 en fixent la logique. Comprendre ces deux voies est donc indispensable avant toute conformit\u00e9.<\/p>\n\n\n\n

    La premi\u00e8re voie concerne les produits r\u00e9glement\u00e9s. Un syst\u00e8me est \u00e0 haut risque s’il est un produit, ou un composant de s\u00e9curit\u00e9, couvert par l’annexe I. Par exemple : dispositifs m\u00e9dicaux, machines, jouets. De plus, il doit \u00eatre soumis \u00e0 une \u00e9valuation de conformit\u00e9 par un tiers.<\/p>\n\n\n\n

    La seconde voie repose sur l’annexe III. Celle-ci liste huit domaines sensibles. On y trouve notamment : la biom\u00e9trie, les infrastructures critiques, l’\u00e9ducation, l’emploi et la gestion RH, l’acc\u00e8s aux services essentiels (cr\u00e9dit, assurance), la police, la migration et la justice. Ainsi, un syst\u00e8me \u00e0 haut risque rel\u00e8ve tr\u00e8s souvent de cette annexe III.<\/p>\n\n\n\n

    Un filtre important existe toutefois. L’article 6, paragraphe 3, \u00e9carte certains syst\u00e8mes de l’annexe III. Cette d\u00e9rogation vise les t\u00e2ches purement proc\u00e9durales ou accessoires, sans influence r\u00e9elle sur une d\u00e9cision. En revanche, un syst\u00e8me qui r\u00e9alise du profilage de personnes reste toujours \u00e0 haut risque. Par ailleurs, le fournisseur doit documenter cette analyse au titre de l’article 6, paragraphe 4.<\/p>\n\n\n\n

    3. Vos obligations si votre IA est \u00e0 haut risque<\/h2>\n\n\n\n

    Un syst\u00e8me d’IA haut risque supporte un socle d’obligations pr\u00e9cis. Le fournisseur en porte la majorit\u00e9. Cependant, le d\u00e9ployeur \u2014 l’entreprise utilisatrice \u2014 a aussi ses propres devoirs.<\/p>\n\n\n\n

    3.1 Syst\u00e8me de gestion des risques (art. 9)<\/h3>\n\n\n\n

    Le fournisseur doit \u00e9tablir un syst\u00e8me de gestion des risques continu. Il identifie, \u00e9value et att\u00e9nue les risques sur tout le cycle de vie. Ce processus est it\u00e9ratif. Par cons\u00e9quent, il se met \u00e0 jour \u00e0 chaque \u00e9volution du syst\u00e8me.<\/p>\n\n\n\n

    3.2 Donn\u00e9es et gouvernance des donn\u00e9es (art. 10)<\/h3>\n\n\n\n

    Les jeux de donn\u00e9es d’entra\u00eenement doivent \u00eatre pertinents et repr\u00e9sentatifs. L’article 10 impose une gouvernance rigoureuse. En effet, une donn\u00e9e biais\u00e9e produit une d\u00e9cision discriminatoire. Ce point est central pour une IA \u00e0 haut risque en RH ou en cr\u00e9dit.<\/p>\n\n\n\n

    3.3 Documentation technique et journalisation (art. 11 et 12)<\/h3>\n\n\n\n

    La documentation technique doit suivre le contenu de l’annexe IV. Elle prouve la conformit\u00e9 du syst\u00e8me. De plus, l’article 12 impose une journalisation automatique des \u00e9v\u00e9nements. Ces journaux assurent la tra\u00e7abilit\u00e9 en cas de contr\u00f4le ou d’incident.<\/p>\n\n\n\n

    3.4 Transparence et information des d\u00e9ployeurs (art. 13 et 50)<\/h3>\n\n\n\n

    Le fournisseur remet une notice d’utilisation claire au d\u00e9ployeur. L’article 13 en fixe le contenu. \u00c0 cette information s’ajoutent, par ailleurs, les obligations de transparence de l’article 50. Notre d\u00e9cryptage de l’article 50<\/strong><\/a> d\u00e9taille ce volet.<\/p>\n\n\n\n

    3.5 Supervision humaine (art. 14)<\/h3>\n\n\n\n

    C’est le c\u0153ur du dispositif. Un syst\u00e8me d’IA haut risque doit permettre une supervision humaine effective. Une personne comp\u00e9tente doit pouvoir comprendre, contr\u00f4ler et interrompre le syst\u00e8me. Ainsi, l’humain garde la main sur les d\u00e9cisions sensibles. Cette exigence compl\u00e8te l’article 22 du RGPD sur les d\u00e9cisions automatis\u00e9es.<\/p>\n\n\n\n

    3.6 Exactitude, robustesse et cybers\u00e9curit\u00e9 (art. 15)<\/h3>\n\n\n\n

    Le syst\u00e8me doit rester fiable et r\u00e9silient. L’article 15 impose un niveau ad\u00e9quat d’exactitude et de robustesse. De plus, il exige une cybers\u00e9curit\u00e9 proportionn\u00e9e aux risques. Un syst\u00e8me vuln\u00e9rable expose donc \u00e0 des attaques et \u00e0 des erreurs graves.<\/p>\n\n\n\n

    3.7 Obligations propres au d\u00e9ployeur (art. 26 et 27)<\/h3>\n\n\n\n

    Le d\u00e9ployeur applique la notice et assure une supervision humaine r\u00e9elle. Il surveille le syst\u00e8me et conserve les journaux. En outre, il informe les travailleurs concern\u00e9s et le comit\u00e9 social et \u00e9conomique (CSE), au titre de l’article L.2312-8 du Code du travail. Certains d\u00e9ployeurs doivent aussi conduire une FRIA (Fundamental Rights Impact Assessment), soit une analyse d’impact sur les droits fondamentaux (article 27). Cette analyse s’articule utilement avec l’AIPD (analyse d’impact relative \u00e0 la protection des donn\u00e9es) de l’article 35 du RGPD ; notre guide RGPD entreprise<\/strong><\/a> l’explique.<\/p>\n\n\n\n

    4. Tableau de synth\u00e8se des obligations<\/h2>\n\n\n\n

    Le tableau ci-dessous r\u00e9capitule les obligations d’une IA \u00e0 haut risque. Il pr\u00e9cise l’acteur responsable, le fondement et la criticit\u00e9 en cas de manquement.<\/p>\n\n\n\n

    Obligation<\/th>Acteur<\/th>Fondement<\/th>Criticit\u00e9<\/th><\/tr><\/thead>
    Gestion des risques<\/td>Fournisseur<\/td>Art. 9<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Gouvernance des donn\u00e9es (biais)<\/td>Fournisseur<\/td>Art. 10<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Documentation technique & journaux<\/td>Fournisseur<\/td>Art. 11 & 12<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Supervision humaine<\/td>Fournisseur & d\u00e9ployeur<\/td>Art. 14<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Exactitude, robustesse, cybers\u00e9curit\u00e9<\/td>Fournisseur<\/td>Art. 15<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Usage conforme & information CSE<\/td>D\u00e9ployeur<\/td>Art. 26 \/ L.2312-8 C. trav.<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Analyse d’impact droits fondamentaux (FRIA)<\/td>D\u00e9ployeur (certains)<\/td>Art. 27<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    \u00c9valuation de conformit\u00e9 & marquage CE<\/td>Fournisseur<\/td>Art. 43 & 48<\/td>\ud83d\udfe1 Moyenne<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. Auto-\u00e9valuation : votre IA est-elle \u00e0 haut risque ?<\/h2>\n\n\n\n

    La qualification suit une m\u00e9thode simple. Quatre \u00e9tapes permettent de trancher. Les appliquer dans l’ordre s\u00e9curise, donc, votre analyse de qualification.<\/p>\n\n\n\n

    5.1 \u00c9tape 1 \u2014 Un produit relevant de l’annexe I ?<\/h3>\n\n\n\n

    V\u00e9rifiez d’abord la nature du syst\u00e8me. Est-il un produit ou un composant de s\u00e9curit\u00e9 r\u00e9glement\u00e9 ? Par exemple, un dispositif m\u00e9dical int\u00e9grant de l’IA. Si oui, la premi\u00e8re voie s’applique. Sinon, passez \u00e0 l’\u00e9tape suivante.<\/p>\n\n\n\n

    5.2 \u00c9tape 2 \u2014 Un des huit domaines de l’annexe III ?<\/h3>\n\n\n\n

    Confrontez ensuite votre usage \u00e0 l’annexe III. Le recrutement et la gestion RH figurent au point 4. Ainsi, un outil qui trie des candidatures y entre directement. Le scoring de cr\u00e9dit et l’assurance rel\u00e8vent, eux, du point 5.<\/p>\n\n\n\n

    5.3 \u00c9tape 3 \u2014 Le filtre de l’article 6, \u00a7 3, s’applique-t-il ?<\/h3>\n\n\n\n

    Examinez enfin la port\u00e9e r\u00e9elle du syst\u00e8me. R\u00e9alise-t-il une simple t\u00e2che proc\u00e9durale, sans influence sur la d\u00e9cision ? Dans ce cas, la d\u00e9rogation peut jouer. Cependant, tout profilage exclut cette d\u00e9rogation. Une telle IA reste alors qualifi\u00e9e \u00e0 haut risque.<\/p>\n\n\n\n

    5.4 \u00c9tape 4 \u2014 Documenter et enregistrer la qualification<\/h3>\n\n\n\n

    Formalisez toujours votre conclusion par \u00e9crit. Cette note de qualification est une preuve pr\u00e9cieuse. De plus, elle pr\u00e9pare l’enregistrement du syst\u00e8me dans la base de donn\u00e9es de l’Union. Enfin, elle s\u00e9curise la r\u00e9partition contractuelle des r\u00f4les avec vos fournisseurs.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    Traiter une IA haut risque exige des comp\u00e9tences convergentes. Il faut lire l’AI Act, mais aussi le droit social et le RGPD. Atias Avocats r\u00e9unit ces expertises : AI Act, contrats IT, protection des donn\u00e9es et droit du travail. En effet, une IA RH m\u00eale qualification technique, information du CSE et conformit\u00e9 RGPD. Cette approche int\u00e9gr\u00e9e fait donc la diff\u00e9rence sur le terrain. Pour la r\u00e9partition des responsabilit\u00e9s avec vos \u00e9diteurs, consultez aussi nos clauses IA dans les contrats fournisseurs<\/strong><\/a> et nos services en contrats informatiques<\/strong><\/a>.<\/p>\n\n\n\n

    Conclusion<\/h2>\n\n\n\n

    La qualification d’une IA haut risque n’est jamais une formalit\u00e9. Elle commande le niveau d’obligations et l’exposition aux sanctions. Le report des \u00e9ch\u00e9ances au 2 d\u00e9cembre 2027 offre du temps, mais pas un r\u00e9pit. Au contraire, ce d\u00e9lai doit servir \u00e0 qualifier, documenter et structurer. Les entreprises qui anticipent transforment donc une contrainte en avantage de march\u00e9. Enfin, une gouvernance IA ma\u00eetris\u00e9e rassure clients, salari\u00e9s et autorit\u00e9s. Cartographier vos syst\u00e8mes d\u00e8s aujourd’hui reste, ainsi, la d\u00e9cision la plus rentable. Pour renforcer cette gouvernance, une charte IA en entreprise<\/strong><\/a> constitue un excellent point d’appui.<\/p>\n\n\n\n

    FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n

    Comment savoir si mon IA est \u00e0 haut risque ?<\/h3>\n\n\n\n

    La qualification suit trois \u00e9tapes. D’abord, v\u00e9rifier si le syst\u00e8me est un produit ou un composant de s\u00e9curit\u00e9 relevant de l’annexe I. Ensuite, v\u00e9rifier s’il figure dans l’un des huit domaines de l’annexe III (RH, cr\u00e9dit, \u00e9ducation, biom\u00e9trie\u2026). Enfin, appliquer le filtre de l’article 6, \u00a7 3, qui \u00e9carte certains syst\u00e8mes \u00e0 t\u00e2che mineure. Un syst\u00e8me qui r\u00e9alise du profilage reste toujours \u00e0 haut risque.<\/p>\n\n\n\n

    Un logiciel de recrutement par IA est-il \u00e0 haut risque ?<\/h3>\n\n\n\n

    Oui, en principe. L’annexe III, point 4, vise les syst\u00e8mes d’IA utilis\u00e9s pour le recrutement, la s\u00e9lection, l’\u00e9valuation ou les d\u00e9cisions affectant la relation de travail. Un outil qui trie des candidatures ou \u00e9value des candidats est donc \u00e0 haut risque. S’y ajoutent, par ailleurs, l’information du CSE (article L.2312-8 du Code du travail) et la conformit\u00e9 RGPD.<\/p>\n\n\n\n

    Les obligations des IA \u00e0 haut risque sont-elles report\u00e9es ?<\/h3>\n\n\n\n

    En partie. Le Digital Omnibus (vote du Parlement du 16 juin 2026) reporte l’application des obligations des syst\u00e8mes de l’annexe III du 2 ao\u00fbt 2026 au 2 d\u00e9cembre 2027. Les syst\u00e8mes int\u00e9gr\u00e9s \u00e0 des produits (annexe I) sont, eux, d\u00e9cal\u00e9s au 2 ao\u00fbt 2028. Ce report reste provisoire jusqu’\u00e0 la publication au Journal officiel. La qualification doit toutefois \u00eatre men\u00e9e sans attendre.<\/p>\n\n\n\n

    Qu’est-ce qu’une analyse d’impact sur les droits fondamentaux (FRIA) ?<\/h3>\n\n\n\n

    La FRIA (Fundamental Rights Impact Assessment) est une analyse d’impact sur les droits fondamentaux pr\u00e9vue \u00e0 l’article 27 de l’AI Act. Elle s’impose \u00e0 certains d\u00e9ployeurs de syst\u00e8mes \u00e0 haut risque, notamment les organismes publics et les acteurs du cr\u00e9dit et de l’assurance. De plus, elle peut s’articuler avec l’AIPD (article 35 du RGPD) pour \u00e9viter les doublons.<\/p>\n\n\n\n


    Contact :     david@atiasavocats.com<\/a> | LinkedIn: David Joseph Atias<\/em><\/a> | https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n

    Atias Avocats \u2014 AI Act & IA, contrats IT & SaaS, RGPD, conformit\u00e9 num\u00e9rique<\/em><\/p>","protected":false},"excerpt":{"rendered":"

    Par\u00a0David Joseph Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Juillet 2026 Votre outil de recrutement, de scoring ou de biom\u00e9trie est peut-\u00eatre une IA haut risque. Or, cette qualification d\u00e9clenche…<\/p>","protected":false},"author":1,"featured_media":23199,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[1],"tags":[],"class_list":["post-23198","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23198","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=23198"}],"version-history":[{"count":2,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23198\/revisions"}],"predecessor-version":[{"id":23252,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/23198\/revisions\/23252"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/23199"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=23198"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=23198"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=23198"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}