Depuis l'entrée en vigueur du règlement européen sur l'intelligence artificielle (EU AI Act), une question revient systématiquement dans les discussions avec les dirigeants de PME : mon système d'IA est-il considéré comme à haut risque ? La réponse conditionne l'ensemble de vos obligations de conformité. Car si les systèmes d'IA à usage général font l'objet de règles relativement légères, les systèmes dits à haut risque sont soumis à un cadre exigeant, avec des exigences techniques, documentaires et organisationnelles précises. Voici ce que vous devez savoir pour évaluer votre situation avant l'échéance du 2 août 2026.
Qu'est-ce qu'un système d'IA à haut risque selon l'EU AI Act ?
Le règlement européen sur l'IA définit les systèmes à haut risque selon deux critères principaux. D'une part, les systèmes d'IA intégrés dans des produits déjà couverts par des législations européennes de sécurité (comme les dispositifs médicaux, les machines industrielles ou les équipements radio). D'autre part, les systèmes d'IA utilisés dans des domaines sensibles listés à l'Annexe III du règlement, qui touchent directement aux droits fondamentaux ou à la sécurité des personnes.
La logique du législateur européen est claire : plus un système d'IA est susceptible d'affecter la vie, la liberté ou les droits d'une personne, plus les garanties exigées sont élevées. Il ne s'agit pas de freiner l'innovation, mais d'imposer un niveau de rigueur proportionnel aux enjeux réels.
Exemples concrets de systèmes d'IA à haut risque
Pour rendre cette classification concrète, voici les principaux domaines couverts par l'Annexe III du règlement, avec des exemples directement applicables au contexte des PME :
- Recrutement et gestion des ressources humaines : un logiciel qui trie automatiquement les CV, classe les candidats ou recommande des décisions d'embauche ou de licenciement est considéré à haut risque. Cela concerne de nombreuses PME qui utilisent des outils RH intégrant des fonctions d'IA.
- Éducation et formation professionnelle : les systèmes qui évaluent les compétences, attribuent des notes ou orientent les apprenants vers des parcours spécifiques entrent dans cette catégorie. Un organisme de formation utilisant une plateforme d'e-learning avec scoring automatisé est potentiellement concerné.
- Accès aux services essentiels : les systèmes d'IA utilisés pour évaluer la solvabilité d'un client, attribuer un crédit ou établir un score de risque financier sont classés à haut risque. Les PME du secteur fintech ou les courtiers utilisant des outils d'analyse automatisée doivent y prêter attention.
- Infrastructures critiques : les systèmes d'IA gérant la distribution d'eau, d'énergie ou de gaz, ou assurant la sécurité de réseaux de transport, relèvent également de cette catégorie.
- Maintien de l'ordre et justice : les outils d'aide à la décision judiciaire ou d'évaluation des risques de récidive sont concernés, bien que ce domaine touche davantage les autorités publiques que les PME.
- Dispositifs médicaux et diagnostics : un logiciel d'aide au diagnostic médical ou de surveillance des patients intégrant des fonctions d'IA est soumis à la fois à la réglementation sur les dispositifs médicaux et aux exigences de l'EU AI Act.
Il est important de noter qu'une PME qui utilise un système à haut risque développé par un tiers n'est pas exemptée : elle endosse le rôle de déployeur et doit respecter les obligations qui y sont attachées.
Quelles obligations concrètes pour les fournisseurs et déployeurs ?
Le règlement distingue deux rôles principaux : le fournisseur (celui qui développe ou met sur le marché le système d'IA) et le déployeur (celui qui l'utilise dans un contexte professionnel). Les obligations diffèrent selon ce rôle, mais les deux sont concernés.
Pour les fournisseurs de systèmes à haut risque, les principales exigences sont :
- Mettre en place un système de gestion des risques tout au long du cycle de vie du système ;
- Assurer la qualité et la gouvernance des données d'entraînement, de validation et de test ;
- Produire une documentation technique complète et à jour ;
- Garantir la transparence et la fourniture d'informations aux déployeurs via une notice d'utilisation ;
- Mettre en œuvre des mécanismes de surveillance humaine permettant à un opérateur d'intervenir ou d'interrompre le système ;
- Atteindre des niveaux appropriés de précision, robustesse et cybersécurité ;
- Enregistrer le système dans la base de données européenne dédiée avant mise sur le marché ;
- Réaliser une évaluation de la conformité, parfois par un organisme notifié tiers.
Pour les déployeurs, les obligations incluent notamment : utiliser le système conformément à la notice du fournisseur, assurer une surveillance humaine effective, informer les personnes concernées lorsque le système prend des décisions les affectant, et réaliser une évaluation d'impact sur les droits fondamentaux dans certains cas (notamment pour les autorités publiques, mais aussi pour certains déployeurs privés selon le contexte).
Les sanctions en cas de non-conformité
Le règlement prévoit des sanctions significatives. En cas de non-respect des obligations applicables aux systèmes à haut risque, les amendes peuvent atteindre 30 millions d'euros ou 6 % du chiffre d'affaires annuel mondial de l'entreprise, selon le montant le plus élevé. Pour une PME, même une fraction de ce plafond représente un risque financier considérable.
Au-delà des sanctions financières, la non-conformité expose à des risques réputationnels, à des injonctions de retrait du marché et à des actions en responsabilité civile de la part des personnes affectées par les décisions automatisées.
Par où commencer pour votre PME ?
Face à la complexité du règlement, beaucoup de dirigeants de PME ressentent une forme de paralysie. Pourtant, la démarche de mise en conformité peut être structurée en étapes claires :
- Cartographier vos systèmes d'IA : identifiez tous les outils intégrant de l'IA que vous utilisez ou développez, même ceux achetés à des éditeurs tiers.
- Qualifier chaque système : déterminez si chaque outil relève d'une catégorie interdite, à haut risque, ou d'usage général. L'Annexe III du règlement est votre référence principale.
- Identifier votre rôle : êtes-vous fournisseur, déployeur, ou les deux ? Vos obligations diffèrent selon ce positionnement.
- Prioriser les actions : concentrez vos efforts sur les systèmes à haut risque, qui requièrent le plus de travail documentaire et organisationnel.
- Documenter et mettre en place la gouvernance : constituez votre dossier technique, rédigez vos politiques internes et formez vos équipes.
L'échéance du 2 août 2026 peut sembler lointaine, mais les exigences documentaires et organisationnelles requièrent du temps. Les PME qui commencent leur diagnostic dès maintenant auront une longueur d'avance significative.
Conclusion
Les systèmes d'IA à haut risque ne concernent pas uniquement les grandes entreprises technologiques. Un logiciel RH, une plateforme de scoring financier ou un outil d'évaluation en formation professionnelle peuvent suffire à placer votre PME dans le champ d'application des obligations les plus strictes de l'EU AI Act. Identifier votre exposition est la première étape, indispensable, avant de construire un plan d'action réaliste et proportionné à votre taille.
Vous souhaitez savoir si vos systèmes d'IA sont concernés par ces obligations ? Réalisez votre diagnostic de conformité gratuit sur audityo.eu et obtenez une première évaluation claire de votre situation en quelques minutes.