Fiche – Systèmes d’IA à haut risque (AI Act)

12 juin 2026

Fiche – Systèmes d’IA à haut risque (AI Act)

Présentation générale

Les systèmes d’intelligence artificielle à haut risque constituent l’une des catégories centrales du Règlement (UE) 2024/1689 du 13 juin 2024 sur l’intelligence artificielle, dit AI Act.

Ils désignent les systèmes d’IA susceptibles d’avoir une incidence significative sur la santé, la sécurité ou les droits fondamentaux des personnes. Ils ne sont pas interdits, contrairement aux pratiques présentant un risque inacceptable, mais leur mise sur le marché, leur mise en service et leur utilisation sont soumises à un régime renforcé de conformité.

La logique du règlement repose sur une approche graduée du risque :

  • risque inacceptable : interdiction ;
  • haut risque : conformité renforcée ;
  • risque limité : obligations de transparence ;
  • risque minimal : absence d’obligations spécifiques au titre de l’AI Act.

Les systèmes à haut risque occupent une place particulière : ils sont licites, mais seulement à condition de respecter des exigences précises relatives à la gestion des risques, à la qualité des données, à la documentation technique, à la traçabilité, à la supervision humaine, à l’exactitude, à la robustesse et à la cybersécurité.

Cette catégorie concerne notamment certains systèmes utilisés dans les secteurs de la santé, de l’emploi, de l’éducation, des services essentiels, de la biométrie, de la justice, du maintien de l’ordre, de la migration ou encore de l’accès à certaines prestations publiques.

Points essentiels

  • La qualification de système d’IA à haut risque repose principalement sur l’article 6 de l’AI Act.
  • Deux mécanismes principaux existent : l’intégration à un produit réglementé ou l’inscription dans les domaines de l’annexe III.
  • Les systèmes à haut risque sont autorisés mais soumis à un régime complet de conformité.
  • Les fournisseurs supportent les obligations les plus lourdes.
  • Les déployeurs disposent également d’obligations propres.
  • La documentation technique constitue un élément central de la conformité.
  • La supervision humaine doit être effective et organisée.
  • La conformité peut donner lieu à une évaluation préalable, à un marquage CE et à un enregistrement.
  • Les enjeux principaux concernent les droits fondamentaux, la sécurité juridique, la gouvernance des données et le coût de mise en conformité.

Cadre juridique

Texte principal

Le cadre applicable repose sur le Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle.

Les dispositions les plus importantes sont notamment :

  • article 6 : qualification des systèmes d’IA à haut risque ;
  • annexe I : législations sectorielles relatives aux produits réglementés ;
  • annexe III : domaines sensibles d’utilisation des systèmes d’IA ;
  • articles 8 à 15 : exigences applicables aux systèmes à haut risque ;
  • article 9 : système de gestion des risques ;
  • article 10 : gouvernance des données ;
  • article 11 : documentation technique ;
  • article 12 : journalisation ;
  • article 13 : transparence et information des déployeurs ;
  • article 14 : supervision humaine ;
  • article 15 : exactitude, robustesse et cybersécurité ;
  • articles 16 et suivants : obligations des fournisseurs ;
  • articles 26 et suivants : obligations des déployeurs.

Qualification d’un système d’IA à haut risque

Premier cas : système intégré à un produit réglementé

Un système d’IA est à haut risque lorsqu’il est destiné à être utilisé comme composant de sécurité d’un produit, ou lorsqu’il constitue lui-même un produit relevant d’une réglementation européenne listée par l’AI Act.

Sont notamment concernés certains systèmes intégrés à :

  • des dispositifs médicaux ;
  • des machines ;
  • des véhicules ;
  • des ascenseurs ;
  • des équipements ferroviaires ;
  • des équipements soumis à des procédures sectorielles de conformité.

Dans cette hypothèse, le régime de l’AI Act s’articule avec les réglementations sectorielles existantes.

Second cas : système relevant de l’annexe III

L’annexe III identifie plusieurs domaines dans lesquels certains systèmes d’IA sont présumés à haut risque en raison de leur impact potentiel sur les droits et libertés.

Les principaux domaines sont :

  • biométrie ;
  • infrastructures critiques ;
  • éducation et formation professionnelle ;
  • emploi et gestion des travailleurs ;
  • accès aux services privés essentiels et aux services publics essentiels ;
  • maintien de l’ordre ;
  • migration, asile et contrôle aux frontières ;
  • administration de la justice et processus démocratiques.

Cette approche traduit l’idée que le risque ne dépend pas seulement de la technologie employée, mais aussi du contexte d’utilisation.

Catégories principales de l’annexe III

Biométrie

Certains systèmes biométriques peuvent relever du haut risque, notamment lorsqu’ils sont utilisés à des fins d’identification, de catégorisation ou d’analyse dans des contextes sensibles.

Éducation et formation professionnelle

Sont notamment concernés les systèmes utilisés pour :

  • l’admission dans un établissement ;
  • l’orientation ;
  • l’évaluation des résultats ;
  • la notation automatisée ;
  • la détection de comportements pendant les examens.

Emploi et gestion des travailleurs

Les systèmes utilisés dans les ressources humaines constituent l’un des exemples les plus sensibles.

Peuvent notamment être concernés :

  • les outils de tri de CV ;
  • les systèmes de présélection de candidats ;
  • les outils d’évaluation des salariés ;
  • les systèmes d’aide à la promotion ;
  • les dispositifs de surveillance ou d’allocation des tâches.

Services essentiels

Sont visés certains systèmes utilisés pour déterminer l’accès à des services importants, par exemple :

  • crédit ;
  • assurance ;
  • prestations sociales ;
  • aides publiques ;
  • services privés essentiels.

Maintien de l’ordre

Certains systèmes utilisés par les autorités répressives peuvent relever du haut risque lorsqu’ils assistent l’évaluation, la prédiction, l’enquête ou la décision dans des contextes susceptibles d’affecter les droits fondamentaux.

Migration, asile et frontières

Sont concernés certains systèmes d’aide à la décision utilisés dans les procédures d’immigration, d’asile, de contrôle aux frontières ou d’évaluation des risques.

Justice et processus démocratiques

Les systèmes utilisés pour assister l’interprétation des faits ou du droit, ou pour soutenir certaines décisions judiciaires, peuvent relever du haut risque.

Cette catégorie est particulièrement sensible car elle touche à l’accès au juge, au procès équitable, à l’indépendance de la justice et à la confiance dans les institutions.

Obligations principales applicables aux fournisseurs

Système de gestion des risques

Le fournisseur doit mettre en place un système de gestion des risques couvrant tout le cycle de vie du système.

Ce processus doit permettre :

  • d’identifier les risques prévisibles ;
  • d’évaluer leur gravité ;
  • de réduire les risques identifiés ;
  • de vérifier l’efficacité des mesures correctrices ;
  • d’assurer un suivi continu après la mise sur le marché.

Gouvernance des données

Lorsque le système repose sur des données d’entraînement, de validation ou de test, celles-ci doivent être adaptées à la finalité poursuivie.

Elles doivent notamment être :

  • pertinentes ;
  • suffisamment représentatives ;
  • aussi exemptes que possible d’erreurs ;
  • aussi exemptes que possible de biais ;
  • conformes aux exigences applicables en matière de protection des données.

Documentation technique

La documentation technique constitue l’un des piliers de la conformité.

Elle doit permettre aux autorités de comprendre :

  • la finalité du système ;
  • son architecture ;
  • ses performances ;
  • ses limites ;
  • les risques identifiés ;
  • les mesures de mitigation ;
  • les choix de conception ;
  • les modalités de supervision humaine.

La base documentaire Dabo Tibi Ius recense une analyse spécifique consacrée aux exigences de l’article 11 et de l’annexe IV, qui souligne les difficultés pratiques liées au niveau de détail attendu, aux éventuelles redondances et à l’articulation avec les systèmes intégrant des modèles d’IA développés par des tiers.

Journalisation

Les systèmes à haut risque doivent permettre une traçabilité suffisante de leur fonctionnement.

La journalisation facilite :

  • les audits ;
  • la détection d’anomalies ;
  • l’analyse des incidents ;
  • l’établissement des responsabilités ;
  • le contrôle par les autorités compétentes.

Transparence et instructions d’utilisation

Le fournisseur doit fournir aux déployeurs des informations compréhensibles, complètes et utiles.

Ces informations doivent notamment porter sur :

  • les caractéristiques du système ;
  • ses performances attendues ;
  • ses limites connues ;
  • les conditions normales d’utilisation ;
  • les mesures de supervision humaine ;
  • les risques résiduels.

Supervision humaine

Le système doit être conçu de manière à permettre une supervision humaine effective.

Les personnes chargées de cette supervision doivent pouvoir :

  • comprendre les résultats produits ;
  • détecter les anomalies ;
  • décider de ne pas suivre une recommandation ;
  • interrompre l’utilisation du système lorsque cela est nécessaire.

La supervision humaine ne doit pas être purement formelle. Elle doit être organisée, documentée et adaptée au contexte d’usage.

Exactitude, robustesse et cybersécurité

Les systèmes à haut risque doivent présenter un niveau approprié :

  • d’exactitude ;
  • de stabilité ;
  • de résilience ;
  • de protection contre les attaques ;
  • de sécurité informatique.

Ces exigences sont essentielles lorsque le système intervient dans des secteurs sensibles.

Obligations des déployeurs

Le déployeur est la personne ou l’organisation qui utilise un système d’IA sous son autorité, sauf usage strictement personnel.

Il doit notamment :

  • utiliser le système conformément aux instructions ;
  • assurer une supervision humaine appropriée ;
  • surveiller le fonctionnement du système ;
  • conserver certains journaux lorsque cela est prévu ;
  • informer les personnes concernées dans certains cas ;
  • coopérer avec les autorités compétentes ;
  • suspendre l’utilisation du système en cas de risque grave ou d’incident.

Dans les organisations, ces obligations concernent notamment les directions juridiques, directions des ressources humaines, directions conformité, DPO, RSSI, acheteurs publics et responsables métiers.

Obligations des importateurs et distributeurs

Importateurs

L’importateur doit s’assurer que le fournisseur a respecté ses obligations avant la mise à disposition du système sur le marché de l’Union européenne.

Il doit notamment vérifier :

  • l’existence de la documentation technique ;
  • la conformité du système ;
  • le marquage CE lorsque requis ;
  • les instructions d’utilisation ;
  • l’identification du fournisseur.

Distributeurs

Le distributeur doit agir avec diligence et vérifier que le système mis à disposition respecte les exigences apparentes de conformité.

Il doit notamment s’abstenir de distribuer un système lorsqu’il a des raisons de penser qu’il n’est pas conforme.

Évaluation de conformité

Avant la mise sur le marché ou la mise en service, le fournisseur doit démontrer la conformité du système.

Selon les cas, cette évaluation peut prendre la forme :

  • d’une auto-évaluation ;
  • d’une procédure faisant intervenir un organisme notifié ;
  • d’une procédure intégrée à un régime sectoriel déjà applicable.

La conformité peut conduire :

  • à l’établissement d’une déclaration UE de conformité ;
  • au marquage CE ;
  • à l’enregistrement dans une base de données européenne lorsque celui-ci est requis.

Surveillance post-commercialisation et incidents

Le fournisseur doit assurer un suivi après la mise sur le marché.

Cette surveillance permet :

  • d’identifier les dysfonctionnements ;
  • de détecter les risques non anticipés ;
  • de corriger les défauts ;
  • de notifier certains incidents graves ;
  • d’améliorer le système.

L’AI Act ne se limite donc pas à une conformité initiale : il impose une logique de conformité continue.

Droits fondamentaux

Les systèmes à haut risque sont directement liés à la protection des droits fondamentaux.

Les risques peuvent concerner :

  • la non-discrimination ;
  • la protection des données personnelles ;
  • le droit à un recours effectif ;
  • l’accès à l’emploi ;
  • l’accès à l’éducation ;
  • l’accès aux prestations sociales ;
  • la liberté d’expression ;
  • la dignité humaine ;
  • le droit à un procès équitable.

La base documentaire Dabo Tibi Ius recense notamment l’article « La place des droits fondamentaux dans l’AI Act », qui met en évidence la fonction structurante des droits fondamentaux dans l’économie générale du règlement.

Articulation avec le RGPD

Le RGPD continue de s’appliquer lorsque le système traite des données personnelles.

L’AI Act ne remplace pas le droit de la protection des données. Il s’y ajoute.

Les organisations doivent donc vérifier :

  • la base légale du traitement ;
  • l’information des personnes ;
  • le respect des droits individuels ;
  • la minimisation des données ;
  • la sécurité ;
  • la nécessité éventuelle d’une analyse d’impact relative à la protection des données.

Dans certains cas, un système d’IA à haut risque pourra également nécessiter une analyse d’impact sur les droits fondamentaux.

Articulation avec la normalisation technique

La conformité des systèmes à haut risque dépendra largement des normes harmonisées, standards techniques et pratiques de certification.

La base documentaire recense notamment l’article « La normalisation technique dans le cadre de l’EU AI Act : logique et enjeux d’une normativité déléguée », qui souligne que la mise en œuvre concrète du règlement dépendra en partie de normes techniques élaborées en dehors du texte législatif lui-même.

Cette évolution soulève une difficulté classique : une partie de la normativité se déplace du législateur vers les organismes de normalisation.

Jurisprudence et pratique administrative

État du contentieux

À ce stade, la jurisprudence directement fondée sur l’AI Act demeure limitée, en raison de l’entrée en application progressive du règlement.

La pratique administrative devrait donc jouer un rôle important dans l’interprétation des obligations.

Autorités européennes et nationales

Les principaux acteurs institutionnels seront notamment :

  • Commission européenne ;
  • Bureau européen de l’IA ;
  • autorités nationales de surveillance du marché ;
  • autorités sectorielles ;
  • autorités de protection des données, dont la CNIL en France ;
  • organismes notifiés ;
  • juridictions nationales ;
  • Cour de justice de l’Union européenne.

Débats actuels

Le périmètre de l’annexe III

Le premier débat porte sur l’étendue de la catégorie des systèmes à haut risque.

Certains acteurs économiques estiment que le périmètre est large et peut créer des coûts de conformité importants.

À l’inverse, les défenseurs d’un encadrement strict considèrent que les usages concernés touchent précisément aux domaines où les risques pour les droits fondamentaux sont les plus élevés.

La documentation technique

La documentation exigée par l’article 11 et l’annexe IV est l’un des points les plus discutés.

Les difficultés portent sur :

  • le niveau de détail attendu ;
  • la preuve de conformité ;
  • les mises à jour successives ;
  • la documentation des modèles intégrés ;
  • le partage des responsabilités entre fournisseurs de systèmes et fournisseurs de modèles.

La simplification de l’AI Act

La base documentaire recense l’article « AI Act : diminuer les standards de conformité, une fausse bonne idée selon Alan Walter », qui met en garde contre un affaiblissement excessif des exigences de conformité.

Le débat oppose ici deux impératifs :

  • faciliter l’innovation et la mise en conformité ;
  • préserver la sécurité juridique, la confiance et la protection des droits fondamentaux.

Le calendrier d’application

La base documentaire recense également l’article « AI Act : l’accord du 7 mai reporte l’annexe III à décembre 2027 sans suspendre le calendrier en vigueur ».

Ce point illustre les tensions entre ambition réglementaire et capacité concrète des acteurs à se conformer au dispositif.

Actualité récente

Les publications récentes recensées dans la base Dabo Tibi Ius mettent en avant :

  • la montée en puissance des obligations de conformité ;
  • les interrogations des entreprises avant les échéances de 2026 ;
  • les débats sur la simplification du règlement ;
  • le rôle de l’annexe III ;
  • la documentation technique ;
  • les droits fondamentaux ;
  • la normalisation technique.

Articles Dabo Tibi Ius mobilisés

Systèmes d’IA à haut risque : identification, obligations des différents acteurs

Une analyse critique des exigences en matière de documentation technique de l’article 11 et de l’annexe IV du règlement européen sur l’intelligence artificielle (IA Act)

La place des droits fondamentaux dans l’AI Act

AI Act : comprendre enfin la logique du règlement européen sur l’intelligence artificielle

AI Act : l’accord du 7 mai reporte l’annexe III à décembre 2027 sans suspendre le calendrier en vigueur

AI Act : diminuer les standards de conformité, une fausse bonne idée selon Alan Walter

La normalisation technique dans le cadre de l’EU AI Act : logique et enjeux d’une normativité déléguée

Ressources essentielles

Textes

  • Règlement (UE) 2024/1689 du 13 juin 2024 sur l’intelligence artificielle.
  • RGPD, règlement (UE) 2016/679.
  • Charte des droits fondamentaux de l’Union européenne.
  • Réglementations sectorielles visées par l’annexe I de l’AI Act.

Ressources institutionnelles

  • Commission européenne – AI Act.
  • Bureau européen de l’IA.
  • CNIL.
  • Comité européen de la protection des données.

FAQ

Qu’est-ce qu’un système d’IA à haut risque ?

C’est un système d’IA autorisé mais soumis à des obligations renforcées parce qu’il peut affecter la santé, la sécurité ou les droits fondamentaux.

Tous les systèmes d’IA utilisés en entreprise sont-ils à haut risque ?

Non. La qualification dépend de la finalité, du contexte d’utilisation et des catégories prévues par l’article 6 et l’annexe III.

Un outil de recrutement fondé sur l’IA est-il à haut risque ?

Très souvent oui, lorsqu’il intervient dans la sélection, l’évaluation ou le classement de candidats ou de salariés.

Un système d’IA médicale est-il à haut risque ?

Il peut l’être, notamment lorsqu’il constitue un dispositif médical ou un composant de sécurité soumis à une réglementation sectorielle.

Le fournisseur est-il le seul responsable ?

Non. Le fournisseur supporte les obligations principales, mais les déployeurs, importateurs et distributeurs ont également des obligations propres.

Une documentation technique est-elle obligatoire ?

Oui. Elle constitue une exigence centrale du régime des systèmes à haut risque.

Le marquage CE est-il toujours requis ?

Il est requis lorsque le système relève des procédures de conformité prévues par l’AI Act ou les réglementations sectorielles applicables.

Le RGPD s’applique-t-il aussi ?

Oui, dès lors que le système traite des données personnelles.

Pour aller plus loin

  • Fiche – Règlement IA (AI Act)
  • Fiche – Systèmes d’IA à risque limité
  • Fiche – Modèles d’IA à usage général (GPAI)
  • Fiche – Droits et libertés fondamentaux
  • Fiche – Données personnelles et intelligence artificielle
  • Fiche – Audit des systèmes d’IA
  • Fiche – Conformité
  • Fiche – Principe d’explicabilité de l’intelligence artificielle

Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.

Résumé pédagogique

Définition

Un système d’IA à haut risque est un système autorisé par l’AI Act mais soumis à des obligations renforcées en raison de ses effets potentiels sur la santé, la sécurité ou les droits fondamentaux.

Exemple

Un logiciel d’IA utilisé pour trier automatiquement des candidatures à un emploi peut être qualifié de système à haut risque, car il influence l’accès au travail.

Problématique juridique

Comment permettre l’usage de l’intelligence artificielle dans des secteurs sensibles tout en garantissant la sécurité, la transparence, la supervision humaine et la protection des droits fondamentaux ?

Cadre légal

Le cadre repose principalement sur le règlement (UE) 2024/1689, notamment l’article 6, l’annexe III et les articles 8 à 15. Il s’articule avec le RGPD, la Charte des droits fondamentaux de l’Union européenne et les réglementations sectorielles applicables.

Articles connexes

Fiches connexes