Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Septembre 2026
Tout part d’une question simple : mon système est-il à haut risque ? En effet, la qualification commande toutes les obligations qui suivent. Or, une IA haut risque AI Act mal classée expose à de lourdes sanctions. Ce guide propose une méthode claire en cinq étapes. Ainsi, vous qualifiez votre système avec rigueur et sécurité.
SOMMAIRE
- Pourquoi la qualification est l’étape décisive
- Le cadre : l’article 6 et l’annexe III
- La méthode de qualification en 5 étapes
- Tableau : les 8 domaines de l’annexe III
- Les pièges à éviter
- Pourquoi faire appel à Atias Avocats
- Conclusion
- FAQ — Questions fréquentes
1. Pourquoi la qualification est l’étape décisive
La qualification est la toute première marche de la conformité. En effet, elle détermine le régime applicable à votre système. Une IA haut risque AI Act supporte des obligations très lourdes. À l’inverse, un système à risque limité en est largement dispensé. Bien distinguer les deux évite des mois de travail inutile.
L’enjeu financier est considérable. Une qualification erronée expose à deux dangers opposés. D’une part, la sous-conformité entraîne des sanctions. D’autre part, la sur-conformité coûte cher et ralentit les projets. Une IA haut risque AI Act traitée à la légère se paie donc toujours.
Les montants en jeu justifient cette rigueur. Les manquements aux obligations haut risque atteignent 15 millions d’euros. Ils peuvent aussi représenter 3 % du chiffre d’affaires mondial. C’est pourquoi une analyse documentée s’impose dès la conception.
Cette étape ouvre ensuite tout le parcours de conformité. Elle précède et commande les obligations AI Act des entreprises. De plus, elle conditionne la suite des travaux réglementaires. En pratique, aucune mise en conformité sérieuse ne s’engage sans elle.
2. Le cadre : l’article 6 et l’annexe III
La qualification repose sur l’article 6 du Règlement (UE) 2024/1689. Ce texte organise deux voies distinctes de classement.
La première voie vise les produits réglementés. Elle concerne l’IA composant de sécurité d’un produit de l’annexe I. Par exemple, un dispositif médical ou une machine industrielle. Cette voie relève de l’article 6 §1.
La seconde voie vise les domaines sensibles. Elle concerne les systèmes des huit domaines de l’annexe III. Ainsi, l’emploi, le crédit ou la biométrie sont visés. Cette voie relève de l’article 6 §2. C’est elle qui concerne la plupart des usages d’entreprise.
Le calendrier a récemment évolué. En effet, le Digital Omnibus a reporté ces obligations. Les systèmes de l’annexe III s’appliquent désormais au 2 décembre 2027. Ceux de l’annexe I suivent au 2 août 2028. Ce report offre du temps, mais n’efface aucune obligation de fond.
3. La méthode de qualification en 5 étapes
Une qualification fiable suit une méthode ordonnée. Prenons un exemple concret et anonymisé pour bien l’illustrer. Une plateforme utilise un algorithme de dispatch et de classement de prestataires. Voyons comment le qualifier, étape par étape. Cette méthode reste transposable à toute IA haut risque AI Act.
3.1 Vérifier que c’est bien un système d’IA
Commencez par la définition de l’article 3. Un système d’IA infère des résultats à partir de données. Un simple logiciel déterministe n’entre donc pas dans le champ du règlement. La frontière tient à la capacité du système à inférer des résultats. Notre exemple de dispatch, lui, apprend des données et classe des profils : c’est bien une IA.
3.2 Identifier le domaine de l’annexe III
Comparez ensuite précisément l’usage réel aux huit domaines listés. Un outil RH relève de l’emploi et de la gestion des travailleurs. Un scoring bancaire relève, lui, de l’accès aux services essentiels. Chaque domaine appelle une lecture attentive de son libellé. Notre algorithme de dispatch attribue des tâches : il touche l’emploi. Il relève donc du point 4 de l’annexe III.
3.3 Appliquer la présomption de l’article 6 §2
Tout système d’un domaine de l’annexe III est présumé à haut risque. Cette présomption forte est le véritable point de départ de l’analyse. Dès lors, la charge se déplace vers l’éventuelle dérogation. Le déployeur doit alors justifier tout déclassement. Notre exemple est donc, à ce stade, présumé à haut risque.
3.4 Tester la dérogation de l’article 6 §3
L’article 6 §3 permet d’écarter la qualification. Il faut, en effet, remplir au moins une des quatre conditions strictement prévues. Par exemple, une tâche procédurale étroite ou une tâche préparatoire. De même, un système qui améliore une décision humaine déjà prise peut être exclu. Chaque condition s’apprécie toutefois de façon stricte et documentée.
3.5 Vérifier le carve-out du profilage
Attention, la dérogation connaît une limite absolue. En effet, un système qui réalise un profilage reste toujours à haut risque. Or, classer et noter des prestataires constitue un profilage. Ainsi, notre exemple de dispatch demeure une IA haut risque AI Act, sans échappatoire.
4. Tableau : les 8 domaines de l’annexe III
Le tableau ci-dessous liste les huit domaines à haut risque. Il donne un exemple concret et une vigilance indicative pour chacun d’eux.
| Domaine (annexe III) | Exemple de système | Vigilance |
|---|---|---|
| Biométrie | Reconnaissance faciale, émotions | 🔴 Critique |
| Infrastructures critiques | Gestion énergie, eau, transport | 🟠 Élevée |
| Éducation | Admission, évaluation, anti-fraude | 🟠 Élevée |
| Emploi et travailleurs | Tri de CV, dispatch, évaluation | 🔴 Critique |
| Services essentiels | Scoring crédit, assurance | 🔴 Critique |
| Application de la loi | Profilage, évaluation des risques | 🔴 Critique |
| Migration et frontières | Examen des demandes d’asile | 🟠 Élevée |
| Justice et démocratie | Aide à la décision judiciaire | 🟠 Élevée |
5. Les pièges à éviter
La qualification comporte plusieurs pièges fréquents. Les connaître à l’avance permet, par ailleurs, de sécuriser durablement l’analyse.
5.1 Croire que la dérogation est acquise
Beaucoup d’acteurs invoquent trop vite l’article 6 §3. Pourtant, la dérogation reste d’interprétation stricte. Surtout, le profilage la neutralise presque toujours. Une IA haut risque AI Act ne se déclasse donc pas à la légère. La charge de la preuve pèse entièrement sur celui qui l’invoque.
5.2 Oublier la note de qualification
La qualification ne se limite pas à une conviction interne. En effet, l’article 6 §4 impose une documentation écrite. Cette note doit précéder la mise sur le marché ou la mise en service. Elle doit rester claire, datée et facilement auditable. De plus, elle doit être enregistrée dans la base européenne.
5.3 Négliger les régimes voisins
La qualification AI Act ne vit jamais seule. En effet, un système RH croise le droit du travail et le RGPD. Notre analyse de l’IA dans le recrutement détaille ce cas. De plus, pour les plateformes de travail, la directive (UE) 2024/2831 ajoute une couche à anticiper.
5.4 Confondre qualification et conformité
Qualifier un système n’est que la première étape. Ensuite viennent la gestion des risques et la supervision humaine. Notre checklist de conformité pour le 2 août 2026 replace la qualification dans l’ensemble. Ainsi, la méthode reste un point de départ, pas une fin. Bien qualifier une IA haut risque AI Act ouvre ensuite tout le chantier de conformité.
6. Pourquoi faire appel à Atias Avocats
Qualifier un système d’IA exige une double lecture. Il faut maîtriser l’AI Act et le secteur d’usage concerné. Il faut aussi articuler le règlement avec le RGPD et le droit du travail. Atias Avocats réunit précisément ces compétences. En effet, une qualification hâtive fragilise toute la conformité. De même, une note mal rédigée n’offre aucune protection en contrôle. Cet accompagnement transforme une analyse complexe en décision documentée et défendable. Pour aller plus loin, consultez nos services en conformité et protection des données.
Conclusion
La qualification est la clé de voûte de toute conformité IA. Or, une IA haut risque AI Act mal classée coûte cher, dans les deux sens. C’est pourquoi la méthode en cinq étapes offre une vraie sécurité. De plus, le carve-out du profilage doit rester votre réflexe permanent. Enfin, la note de qualification écrite fait la différence en cas de contrôle. Anticiper cette analyse reste, ainsi, la meilleure stratégie. À défaut, une erreur de qualification se paiera au pire moment.
FAQ — Questions fréquentes
Qu’est-ce qu’un système d’IA à haut risque au sens de l’AI Act ?
Un système d’IA à haut risque est défini par l’article 6 du Règlement (UE) 2024/1689. Il vise deux cas. Le premier concerne l’IA composant de sécurité d’un produit réglementé, listé à l’annexe I. Le second concerne les systèmes relevant des huit domaines de l’annexe III, comme l’emploi ou le crédit. Ces systèmes supportent les obligations les plus lourdes du règlement.
Quels sont les huit domaines de l’annexe III ?
L’annexe III vise huit domaines sensibles. On y trouve la biométrie, les infrastructures critiques et l’éducation. S’y ajoutent l’emploi et la gestion des travailleurs, ainsi que l’accès aux services essentiels comme le crédit et l’assurance. Le champ couvre aussi l’application de la loi, la migration et l’administration de la justice. Tout système utilisé dans l’un de ces domaines est présumé à haut risque.
La dérogation de l’article 6 §3 permet-elle d’échapper au haut risque ?
Oui, mais sous conditions strictes. L’article 6 §3 écarte la qualification si le système ne présente pas de risque important. Une des quatre conditions doit être remplie, comme une tâche procédurale étroite ou préparatoire. Toutefois, la dérogation tombe si le système réalise un profilage de personnes physiques. Dans ce cas, le système reste toujours à haut risque.
Pourquoi le profilage neutralise-t-il la dérogation ?
Le profilage consiste à évaluer des aspects personnels d’une personne physique. L’AI Act le considère comme intrinsèquement sensible pour les droits fondamentaux. C’est pourquoi l’article 6 §3 prévoit un carve-out absolu. Dès qu’un système de l’annexe III profile des personnes, il reste à haut risque. Un algorithme de scoring ou de classement de personnes est donc presque toujours concerné.
Faut-il documenter la qualification de son système d’IA ?
Oui, c’est une obligation. Le fournisseur qui estime son système non à haut risque doit documenter son analyse par écrit. Cette note de qualification doit être établie avant la mise sur le marché. Elle doit aussi être enregistrée dans la base de données européenne. En cas de contrôle, elle constitue la première preuve attendue par l’autorité.
Contact : david@atiasavocats.com | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris
Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris
