Systèmes d'IA « à haut risque » : comment savoir si votre entreprise est concernée ?

Le règlement européen sur l'IA classe « à haut risque » les systèmes utilisés dans des domaines où une erreur peut affecter gravement les droits des personnes. Ce n'est pas l'outil qui compte, mais l'usage : le même logiciel peut être sans enjeu pour rédiger des courriers et à haut risque pour trier des candidatures. Pour les systèmes de l'annexe III, les obligations s'appliqueront à partir du 2 décembre 2027, date fixée par le règlement (UE) 2026/1744 qui a reporté l'échéance initiale du 2 août 2026.

Les domaines concernés (annexe III)

Pour une PME, le domaine le plus fréquemment concerné est le premier : les outils RH qui interviennent dans le recrutement ou l'évaluation des salariés.

S'y ajoutent les systèmes d'IA intégrés à des produits déjà soumis à une réglementation de sécurité européenne (machines, dispositifs médicaux, jouets, etc., annexe I), dont les obligations s'appliqueront à partir du 2 août 2028.

Le test en trois questions

1. L'outil intervient-il dans l'un des domaines de l'annexe III ? Si non, il n'est pas à haut risque à ce titre.
2. Influence-t-il réellement une décision ? Le règlement prévoit qu'un système de l'annexe III n'est pas considéré comme à haut risque s'il ne présente pas de risque important, par exemple lorsqu'il accomplit une tâche procédurale étroite, améliore le résultat d'une activité humaine déjà réalisée ou effectue une tâche préparatoire (article 6, paragraphe 3). Le fournisseur qui s'en prévaut doit documenter son évaluation.
3. Établit-il un profil des personnes ? Un système de l'annexe III qui procède au profilage de personnes physiques est toujours considéré comme à haut risque.

En cas de doute, interrogez l'éditeur de l'outil : c'est d'abord à lui, en tant que fournisseur, d'établir la classification.

Vos obligations si vous utilisez un tel système

La plupart des PME sont déployeurs : elles utilisent un système fourni par un éditeur. L'article 26 du règlement leur impose notamment de :

• utiliser le système conformément à sa notice d'utilisation ;
• confier la supervision humaine à des personnes disposant des compétences, de la formation et de l'autorité nécessaires ;
• veiller à la pertinence des données d'entrée qu'elles contrôlent ;
• surveiller le fonctionnement et signaler les risques ou incidents au fournisseur ;
• conserver les journaux générés automatiquement, lorsqu'elles les contrôlent, pendant au moins six mois ;
• en tant qu'employeur, informer les représentants du personnel et les salariés concernés avant de mettre en service ou d'utiliser le système sur le lieu de travail ;
• informer les personnes qui font l'objet de décisions prises ou assistées par le système.

Certains déployeurs (organismes publics, entités privées fournissant des services publics, et usages liés au crédit ou à l'assurance) doivent en outre réaliser une analyse d'impact sur les droits fondamentaux (article 27).

Ce que vous pouvez faire dès maintenant

• Recensez vos outils RH et demandez à chaque éditeur comment il classe son produit au regard du règlement.
• Vérifiez la place de la décision humaine : qui valide, sur quels critères, avec quelle possibilité de s'écarter de la recommandation de l'outil.
• Préparez l'information du CSE et des salariés : dans les entreprises d'au moins 50 salariés, le CSE est déjà consulté sur l'introduction de nouvelles technologies (article L2312-8 du Code du travail).
• Formez les personnes chargées de la supervision : le règlement exige qu'elles en aient les compétences.

Le calendrier et certaines modalités peuvent encore être précisés par des lignes directrices de la Commission européenne : suivez les publications officielles avant de finaliser votre mise en conformité.

La supervision humaine d'un système d'IA s'apprend. Notre formation « L'IA appliquée à votre métier » donne aux équipes RH et aux managers les bases pour comprendre et contrôler les outils qu'ils utilisent. Pour un besoin spécifique, contactez-nous.