Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Juillet 2026
Votre outil de recrutement, de scoring ou de biométrie est peut-être une IA haut risque. Or, cette qualification déclenche les obligations les plus lourdes de l’AI Act : gestion des risques, documentation, supervision humaine. Ce guide vous aide donc à identifier votre système et à cartographier vos obligations, étape par étape.
SOMMAIRE
- Pourquoi la qualification « IA haut risque » est stratégique en 2026
- Le cadre juridique : comment un système devient « haut risque »
- Vos obligations si votre IA est à haut risque
- Tableau de synthèse des obligations
- Auto-évaluation : votre IA est-elle à haut risque ?
- Pourquoi faire appel à Atias Avocats
- Conclusion
- FAQ — Questions fréquentes
1. Pourquoi la qualification « IA haut risque » est stratégique en 2026
La qualification d’un système d’IA haut risque conditionne tout le reste. En effet, elle déclenche les obligations les plus exigeantes du Règlement (UE) 2024/1689, dit AI Act. À l’inverse, une IA à risque limité ne supporte que des devoirs de transparence. Cette bascule change donc radicalement la charge de conformité.
Beaucoup d’entreprises croient le sujet lointain. Pourtant, l’IA à haut risque se cache dans des usages très courants. Un logiciel de recrutement, un outil de scoring de crédit ou un dispositif biométrique en relèvent. Or, plus de 70 % des collaborateurs de bureau utilisent déjà l’IA au quotidien. Le risque de non-conformité est donc bien réel.
Le calendrier mérite une lecture attentive. Les obligations des systèmes de l’annexe III devaient s’appliquer au 2 août 2026. Cependant, le Digital Omnibus, voté par le Parlement le 16 juin 2026, les reporte au 2 décembre 2027. Ce report reste provisoire jusqu’à la publication au Journal officiel. En revanche, il ne dispense pas de qualifier ses systèmes dès maintenant.
Ce guide s’inscrit dans les obligations AI Act des entreprises et complète notre décryptage de la transparence de l’article 50.
2. Le cadre juridique : comment un système devient « haut risque »
L’AI Act définit deux voies vers la qualification d’IA haut risque. Les articles 6 et 7 en fixent la logique. Comprendre ces deux voies est donc indispensable avant toute conformité.
La première voie concerne les produits réglementés. Un système est à haut risque s’il est un produit, ou un composant de sécurité, couvert par l’annexe I. Par exemple : dispositifs médicaux, machines, jouets. De plus, il doit être soumis à une évaluation de conformité par un tiers.
La seconde voie repose sur l’annexe III. Celle-ci liste huit domaines sensibles. On y trouve notamment : la biométrie, les infrastructures critiques, l’éducation, l’emploi et la gestion RH, l’accès aux services essentiels (crédit, assurance), la police, la migration et la justice. Ainsi, un système à haut risque relève très souvent de cette annexe III.
Un filtre important existe toutefois. L’article 6, paragraphe 3, écarte certains systèmes de l’annexe III. Cette dérogation vise les tâches purement procédurales ou accessoires, sans influence réelle sur une décision. En revanche, un système qui réalise du profilage de personnes reste toujours à haut risque. Par ailleurs, le fournisseur doit documenter cette analyse au titre de l’article 6, paragraphe 4.
3. Vos obligations si votre IA est à haut risque
Un système d’IA haut risque supporte un socle d’obligations précis. Le fournisseur en porte la majorité. Cependant, le déployeur — l’entreprise utilisatrice — a aussi ses propres devoirs.
3.1 Système de gestion des risques (art. 9)
Le fournisseur doit établir un système de gestion des risques continu. Il identifie, évalue et atténue les risques sur tout le cycle de vie. Ce processus est itératif. Par conséquent, il se met à jour à chaque évolution du système.
3.2 Données et gouvernance des données (art. 10)
Les jeux de données d’entraînement doivent être pertinents et représentatifs. L’article 10 impose une gouvernance rigoureuse. En effet, une donnée biaisée produit une décision discriminatoire. Ce point est central pour une IA à haut risque en RH ou en crédit.
3.3 Documentation technique et journalisation (art. 11 et 12)
La documentation technique doit suivre le contenu de l’annexe IV. Elle prouve la conformité du système. De plus, l’article 12 impose une journalisation automatique des événements. Ces journaux assurent la traçabilité en cas de contrôle ou d’incident.
3.4 Transparence et information des déployeurs (art. 13 et 50)
Le fournisseur remet une notice d’utilisation claire au déployeur. L’article 13 en fixe le contenu. À cette information s’ajoutent, par ailleurs, les obligations de transparence de l’article 50. Notre décryptage de l’article 50 détaille ce volet.
3.5 Supervision humaine (art. 14)
C’est le cœur du dispositif. Un système d’IA haut risque doit permettre une supervision humaine effective. Une personne compétente doit pouvoir comprendre, contrôler et interrompre le système. Ainsi, l’humain garde la main sur les décisions sensibles. Cette exigence complète l’article 22 du RGPD sur les décisions automatisées.
3.6 Exactitude, robustesse et cybersécurité (art. 15)
Le système doit rester fiable et résilient. L’article 15 impose un niveau adéquat d’exactitude et de robustesse. De plus, il exige une cybersécurité proportionnée aux risques. Un système vulnérable expose donc à des attaques et à des erreurs graves.
3.7 Obligations propres au déployeur (art. 26 et 27)
Le déployeur applique la notice et assure une supervision humaine réelle. Il surveille le système et conserve les journaux. En outre, il informe les travailleurs concernés et le comité social et économique (CSE), au titre de l’article L.2312-8 du Code du travail. Certains déployeurs doivent aussi conduire une FRIA (Fundamental Rights Impact Assessment), soit une analyse d’impact sur les droits fondamentaux (article 27). Cette analyse s’articule utilement avec l’AIPD (analyse d’impact relative à la protection des données) de l’article 35 du RGPD ; notre guide RGPD entreprise l’explique.
4. Tableau de synthèse des obligations
Le tableau ci-dessous récapitule les obligations d’une IA à haut risque. Il précise l’acteur responsable, le fondement et la criticité en cas de manquement.
| Obligation | Acteur | Fondement | Criticité |
|---|---|---|---|
| Gestion des risques | Fournisseur | Art. 9 | 🔴 Critique |
| Gouvernance des données (biais) | Fournisseur | Art. 10 | 🔴 Critique |
| Documentation technique & journaux | Fournisseur | Art. 11 & 12 | 🟠 Élevée |
| Supervision humaine | Fournisseur & déployeur | Art. 14 | 🔴 Critique |
| Exactitude, robustesse, cybersécurité | Fournisseur | Art. 15 | 🔴 Critique |
| Usage conforme & information CSE | Déployeur | Art. 26 / L.2312-8 C. trav. | 🟠 Élevée |
| Analyse d’impact droits fondamentaux (FRIA) | Déployeur (certains) | Art. 27 | 🟠 Élevée |
| Évaluation de conformité & marquage CE | Fournisseur | Art. 43 & 48 | 🟡 Moyenne |
5. Auto-évaluation : votre IA est-elle à haut risque ?
La qualification suit une méthode simple. Quatre étapes permettent de trancher. Les appliquer dans l’ordre sécurise, donc, votre analyse de qualification.
5.1 Étape 1 — Un produit relevant de l’annexe I ?
Vérifiez d’abord la nature du système. Est-il un produit ou un composant de sécurité réglementé ? Par exemple, un dispositif médical intégrant de l’IA. Si oui, la première voie s’applique. Sinon, passez à l’étape suivante.
5.2 Étape 2 — Un des huit domaines de l’annexe III ?
Confrontez ensuite votre usage à l’annexe III. Le recrutement et la gestion RH figurent au point 4. Ainsi, un outil qui trie des candidatures y entre directement. Le scoring de crédit et l’assurance relèvent, eux, du point 5.
5.3 Étape 3 — Le filtre de l’article 6, § 3, s’applique-t-il ?
Examinez enfin la portée réelle du système. Réalise-t-il une simple tâche procédurale, sans influence sur la décision ? Dans ce cas, la dérogation peut jouer. Cependant, tout profilage exclut cette dérogation. Une telle IA reste alors qualifiée à haut risque.
5.4 Étape 4 — Documenter et enregistrer la qualification
Formalisez toujours votre conclusion par écrit. Cette note de qualification est une preuve précieuse. De plus, elle prépare l’enregistrement du système dans la base de données de l’Union. Enfin, elle sécurise la répartition contractuelle des rôles avec vos fournisseurs.
6. Pourquoi faire appel à Atias Avocats
Traiter une IA haut risque exige des compétences convergentes. Il faut lire l’AI Act, mais aussi le droit social et le RGPD. Atias Avocats réunit ces expertises : AI Act, contrats IT, protection des données et droit du travail. En effet, une IA RH mêle qualification technique, information du CSE et conformité RGPD. Cette approche intégrée fait donc la différence sur le terrain. Pour la répartition des responsabilités avec vos éditeurs, consultez aussi nos clauses IA dans les contrats fournisseurs et nos services en contrats informatiques.
Conclusion
La qualification d’une IA haut risque n’est jamais une formalité. Elle commande le niveau d’obligations et l’exposition aux sanctions. Le report des échéances au 2 décembre 2027 offre du temps, mais pas un répit. Au contraire, ce délai doit servir à qualifier, documenter et structurer. Les entreprises qui anticipent transforment donc une contrainte en avantage de marché. Enfin, une gouvernance IA maîtrisée rassure clients, salariés et autorités. Cartographier vos systèmes dès aujourd’hui reste, ainsi, la décision la plus rentable. Pour renforcer cette gouvernance, une charte IA en entreprise constitue un excellent point d’appui.
FAQ — Questions fréquentes
Comment savoir si mon IA est à haut risque ?
La qualification suit trois étapes. D’abord, vérifier si le système est un produit ou un composant de sécurité relevant de l’annexe I. Ensuite, vérifier s’il figure dans l’un des huit domaines de l’annexe III (RH, crédit, éducation, biométrie…). Enfin, appliquer le filtre de l’article 6, § 3, qui écarte certains systèmes à tâche mineure. Un système qui réalise du profilage reste toujours à haut risque.
Un logiciel de recrutement par IA est-il à haut risque ?
Oui, en principe. L’annexe III, point 4, vise les systèmes d’IA utilisés pour le recrutement, la sélection, l’évaluation ou les décisions affectant la relation de travail. Un outil qui trie des candidatures ou évalue des candidats est donc à haut risque. S’y ajoutent, par ailleurs, l’information du CSE (article L.2312-8 du Code du travail) et la conformité RGPD.
Les obligations des IA à haut risque sont-elles reportées ?
En partie. Le Digital Omnibus (vote du Parlement du 16 juin 2026) reporte l’application des obligations des systèmes de l’annexe III du 2 août 2026 au 2 décembre 2027. Les systèmes intégrés à des produits (annexe I) sont, eux, décalés au 2 août 2028. Ce report reste provisoire jusqu’à la publication au Journal officiel. La qualification doit toutefois être menée sans attendre.
Qu’est-ce qu’une analyse d’impact sur les droits fondamentaux (FRIA) ?
La FRIA (Fundamental Rights Impact Assessment) est une analyse d’impact sur les droits fondamentaux prévue à l’article 27 de l’AI Act. Elle s’impose à certains déployeurs de systèmes à haut risque, notamment les organismes publics et les acteurs du crédit et de l’assurance. De plus, elle peut s’articuler avec l’AIPD (article 35 du RGPD) pour éviter les doublons.
Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris
Atias Avocats — AI Act & IA, contrats IT & SaaS, RGPD, conformité numérique
