La classification des risques est la décision la plus lourde de conséquences dans la mise en conformité avec le règlement européen sur l'IA (AI Act). Une classification correcte vous engage sur un parcours de conformité défini, aux exigences claires. Une classification erronée déclenche une cascade de défaillances : soit un gaspillage de ressources sur des obligations inutiles, soit, bien plus grave, la découverte d'une exposition aux sanctions seulement après le déploiement. Les exigences applicables aux systèmes à haut risque entrant progressivement en application selon le calendrier échelonné du règlement européen sur l'IA, les organisations doivent maîtriser ce cadre de classification dès maintenant.
L'architecture fondamentale : deux voies vers la classification à haut risque
L'article 6 du règlement européen sur l'IA établit deux voies indépendantes par lesquelles un système d'IA est classé à haut risque. Comprendre ces voies est essentiel, car elles déclenchent des calendriers de conformité et des procédures d'évaluation de la conformité différents.
- Voie 1 (article 6, paragraphe 1) : les systèmes d'IA destinés à servir de composants de sécurité de produits couverts par la législation d'harmonisation de l'annexe I et soumis à une évaluation de la conformité par un tiers
- Voie 2 (article 6, paragraphe 2) : les systèmes d'IA déployés dans l'une des huit catégories de cas d'usage spécifiques de l'annexe III, où le potentiel de préjudice est intrinsèquement élevé
Voie 1 : composants de sécurité dans les produits réglementés
Un système d'IA est automatiquement classé à haut risque lorsque deux conditions cumulatives sont réunies. Premièrement, le système d'IA doit être destiné à être utilisé comme composant de sécurité d'un produit, ou constituer lui-même un produit, couvert par la législation d'harmonisation de l'Union figurant à l'annexe I. Deuxièmement, ce produit doit être soumis à une évaluation de la conformité par un tiers en vertu de cette législation.
L'annexe I recense plus de trente directives et règlements couvrant les machines, les jouets, le règlement relatif aux dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro, l'aviation civile, les véhicules à moteur, les équipements marins, les systèmes ferroviaires et bien d'autres domaines.
- Les robots chirurgicaux dotés d'IA couverts par le règlement relatif aux dispositifs médicaux
- L'IA de maintien dans la voie et de freinage d'urgence des véhicules autonomes, au titre de la réglementation sur la sécurité des véhicules
- Les systèmes de vol pilotés par IA soumis aux règles européennes de sécurité aérienne
- Les systèmes d'IA qui surveillent la pression dans les installations industrielles, au titre de la législation sur la sécurité des machines
Voie 2 : les huit catégories de l'annexe III
La seconde voie vise les systèmes d'IA déployés dans huit catégories de cas d'usage spécifiques, où le potentiel de préjudice pour la santé, la sécurité ou les droits fondamentaux est considéré comme intrinsèquement élevé. Ces catégories s'appliquent indépendamment du fait que le système d'IA soit ou non intégré dans un produit réglementé.
- Catégorie 1 - Biométrie : identification biométrique à distance, catégorisation biométrique déduisant des attributs sensibles, reconnaissance des émotions
- Catégorie 2 - Infrastructures critiques : composants de sécurité dans les infrastructures numériques, le trafic routier et la fourniture d'eau, de gaz, de chauffage et d'électricité
- Catégorie 3 - Éducation : décisions d'accès et d'admission, évaluation des acquis d'apprentissage, surveillance des examens
- Catégorie 4 - Emploi : recrutement, sélection, promotion, licenciement, attribution des tâches, suivi des performances
- Catégorie 5 - Services essentiels : éligibilité aux prestations publiques, évaluation de la solvabilité, tarification du risque en assurance, tri des appels d'urgence
- Catégorie 6 - Répression : évaluation du risque de victimisation, appréciation de la fiabilité des preuves, évaluation du risque de récidive, profilage criminel
- Catégorie 7 - Migration : évaluation des risques à l'entrée aux frontières, examen des demandes d'asile et de visa, détection et identification des personnes
- Catégorie 8 - Justice et démocratie : assistance aux autorités judiciaires dans la recherche et l'interprétation du droit, outils d'influence sur les élections et référendums
Le cadre d'exception : quand les systèmes de l'annexe III échappent au statut à haut risque
L'article 6, paragraphe 3 ouvre une étroite porte de sortie pour les systèmes qui relèvent nominalement des catégories de l'annexe III mais qui, de manière démontrable, ne présentent aucun risque important de préjudice. Cette dérogation ne s'applique que lorsque le système d'IA ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, y compris en n'ayant pas d'incidence significative sur le résultat de la prise de décision.
- Condition 1 : le système d'IA accomplit une tâche procédurale étroite - des fonctions administratives limitées et bien définies, sans jugement discrétionnaire
- Condition 2 : le système d'IA améliore le résultat d'une activité humaine préalablement réalisée - des analyses qui aident des humains à revoir leur propre travail antérieur
- Condition 3 : le système d'IA détecte des constantes dans la prise de décision, sans se substituer à l'évaluation humaine ni l'influencer en l'absence d'un examen approprié
- Condition 4 : le système d'IA exécute une tâche préparatoire en vue d'une évaluation pertinente - une collecte préliminaire de données qui alimente un jugement humain ultérieur
La clause de profilage : l'exception qui neutralise toutes les exceptions
C'est ici que de nombreuses organisations commettent des erreurs de classification catastrophiques. L'article 6, paragraphe 3 contient une règle absolue : qu'une condition d'exception soit remplie ou non, un système d'IA visé à l'annexe III est toujours considéré comme étant à haut risque lorsqu'il effectue un profilage de personnes physiques.
Le profilage désigne tout traitement automatisé de données à caractère personnel visant à évaluer certains aspects personnels relatifs à une personne physique - notamment pour analyser ou prédire le rendement au travail, la situation économique, la santé, les préférences, les centres d'intérêt, la fiabilité, le comportement, la localisation ou les déplacements.
Cette règle a une portée considérable. Un outil de recrutement peut n'accomplir qu'une tâche procédurale étroite d'analyse de CV - mais s'il évalue les candidats pour prédire leurs performances professionnelles, il effectue un profilage de personnes physiques et est automatiquement à haut risque. Un outil de préqualification de crédit peut se limiter à des évaluations préparatoires - mais s'il analyse des données personnelles pour prédire la solvabilité, il effectue un profilage et est automatiquement à haut risque.
Méthodologie de classification étape par étape
Compte tenu de la complexité du cadre de classification, les organisations ont besoin d'une approche systématique qui documente chaque étape d'analyse pour produire une classification prête pour l'audit.
- Étape 1 - Détermination du périmètre : confirmer que le système répond à la définition du système d'IA de l'article 3, point 1
- Étape 2 - Contrôle des pratiques interdites : vérifier que le système n'est pas interdit au titre de l'article 5
- Étape 3 - Analyse de la voie 1 : évaluer le statut de composant de sécurité au regard de la législation de l'annexe I
- Étape 4 - Analyse de la voie 2 : confronter la destination du système aux huit catégories de l'annexe III
- Étape 5 - Analyse des exceptions : si l'annexe III s'applique, évaluer les conditions de l'article 6, paragraphe 3
- Étape 6 - Vérification de la clause de profilage : déterminer si le système effectue un profilage de personnes physiques (ce qui neutralise toutes les exceptions)
- Étape 7 - Documentation : consigner l'analyse complète de classification avec le raisonnement qui l'étaye
Erreurs de classification courantes à éviter
La recherche et la pratique du conseil révèlent des schémas récurrents d'erreurs de classification contre lesquels les organisations doivent activement se prémunir.
- Analyse centrée sur la technologie : la classification dépend de la destination du système et non des capacités techniques sous-jacentes
- Sous-estimation du périmètre du profilage : tout système qui traite des données personnelles pour produire des prédictions sur des personnes déclenche probablement la clause
- Croire que l'humain dans la boucle supprime le haut risque : si les sorties de l'IA influencent fortement les décisions humaines, le système reste à haut risque
- Ignorer l'évolution des cas d'usage : l'ajout de fonctionnalités et l'élargissement du déploiement peuvent franchir les seuils de classification
- Mal appliquer les exclusions sectorielles : les exceptions étroites (par exemple la détection de fraude) peuvent ne pas s'appliquer lorsque la clause de profilage est déclenchée
- Supposer que le B2B réduit le risque : un déploiement en contexte professionnel ne change rien à la classification - les personnes concernées restent protégées
Ce que déclenche la classification à haut risque
La classification à haut risque active l'intégralité du cadre de conformité du chapitre III : système continu de gestion des risques, exigences de gouvernance des données pour les jeux de données d'entraînement, documentation technique de l'annexe IV, système de gestion de la qualité, obligations de contrôle humain, procédures d'évaluation de la conformité, enregistrement dans la base de données de l'UE, surveillance après commercialisation et signalement des incidents graves.
La charge de conformité est lourde mais circonscrite. Les organisations qui classent correctement leurs systèmes peuvent bâtir des programmes de conformité ciblés. Celles qui se trompent de classification subissent soit un gaspillage de ressources sur une conformité inutile, soit une exposition aux sanctions pour conformité insuffisante.
Foire aux questions
Que faire si mon système ne correspond que partiellement à une catégorie à haut risque ?
Pour les cas limites où la classification reste incertaine, l'approche prudente consiste à traiter le système comme étant à haut risque. Les conséquences d'une surclassification - des coûts de conformité inutiles mais maîtrisables - sont bien moins graves que celles d'une sous-classification : des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
L'ajout d'un examen humain supprime-t-il la classification à haut risque ?
Non. Le contrôle humain ne réduit pas automatiquement la classification. Si les sorties de l'IA influencent fortement les décisions humaines - si les humains suivent généralement les recommandations de l'IA sans analyse indépendante - le système a une incidence significative sur les résultats et reste à haut risque.
Un système qui n'est pas à haut risque peut-il le devenir ?
Oui. Des systèmes déployés au départ pour des applications à risque limité peuvent évoluer vers des cas d'usage à haut risque. L'ajout de fonctionnalités, l'élargissement des contextes de déploiement et l'intégration avec d'autres systèmes peuvent franchir les seuils de classification. Les organisations ont besoin d'un suivi continu de la classification, et non d'évaluations ponctuelles.
Quand la Commission publiera-t-elle des lignes directrices sur la classification ?
La Commission européenne s'est engagée à fournir, d'ici février 2026, des lignes directrices assorties d'exemples pratiques de systèmes d'IA à haut risque et non à haut risque. Les organisations ne peuvent toutefois pas attendre : l'analyse de classification doit commencer dès maintenant pour satisfaire aux obligations relatives aux systèmes à haut risque à mesure qu'elles entrent en application.
Points clés à retenir
La classification n'est pas un exercice ponctuel. À mesure que les systèmes d'IA évoluent, que les contextes de déploiement changent et que les orientations réglementaires se précisent, les organisations doivent maintenir un suivi continu de la classification. Construire cette capacité dès maintenant, avant l'entrée en application des obligations relatives aux systèmes à haut risque, permet aux organisations d'aborder les exigences du règlement européen sur l'IA avec confiance. En cas de doute, privilégiez la prudence : les contrôles requis pour les systèmes à haut risque sont aussi de bonnes pratiques de gouvernance.