Première voie : les produits réglementés de l’annexe I
Selon l’article 6, paragraphe 1, un système est à haut risque lorsqu’il est un composant de sécurité d’un produit couvert par la législation d’harmonisation de l’annexe I — jouets, ascenseurs, dispositifs médicaux, entre autres — ou qu’il constitue lui-même ce produit, et que ce produit doit en outre faire l’objet d’une évaluation de la conformité par un tiers.
L’omnibus précise que ne sont pas des composants de sécurité les systèmes utilisés uniquement pour l’assistance à l’utilisateur, l’optimisation des performances, l’efficacité du service, l’automatisation, le confort ou le contrôle qualité, sauf si leur défaillance peut mettre en danger la santé et la sécurité (art. 6, par. 1 bis et 1 ter).
Il déplace aussi les machines : il retire la directive 2006/42/CE de la section A de l’annexe I et ajoute le règlement (UE) 2023/1230 à la section B, dont les produits ne sont soumis qu’à quelques articles (art. 2, par. 2), car les exigences relatives à l’IA sont intégrées à leur législation sectorielle.
Seconde voie : les huit domaines de l’annexe III
L’annexe III énumère les usages à haut risque par nature : biométrie ; infrastructures critiques ; éducation et formation professionnelle ; emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant ; accès aux services privés essentiels et aux services et prestations publics essentiels ; répression ; migration, asile et gestion des contrôles aux frontières ; administration de la justice et processus démocratiques.
Dans l’entreprise privée, les plus fréquents relèvent du point 4 — recrutement, décisions de promotion ou de licenciement, attribution des tâches selon des traits personnels, évaluation des performances — et du point 5 : évaluation de la solvabilité des personnes physiques et tarification en assurance vie et santé.
La dérogation de l’article 6, paragraphe 3
Un système de l’annexe III n’est pas à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, parce qu’il n’accomplit qu’une tâche procédurale étroite, améliore le résultat d’une activité humaine déjà réalisée, détecte des écarts sans remplacer l’appréciation humaine ou exécute une tâche préparatoire.
La dérogation ne joue pas si le système effectue un profilage de personnes physiques : il est alors toujours à haut risque. Et celui qui l’invoque doit documenter son évaluation avant la mise sur le marché et enregistrer malgré tout le système (art. 6, par. 4, et art. 49, par. 2).
Ce que demande habituellement l’auditeur
- Chaque système de l’inventaire confronté à l’annexe I et aux huit domaines de l’annexe III
- Usages en recrutement, évaluation ou gestion du personnel identifiés
- Dérogations de l’article 6, paragraphe 3, justifiées par écrit, en particulier au regard du profilage
- Date d’application notée pour chaque système à haut risque
Comment s’y prendre en pratique
- 1Classez chaque système dans l’une des quatre colonnes : interdit, haut risque, obligation de transparence ou risque minimal.
- 2Pour chaque usage RH, vérifiez s’il relève du point 4 de l’annexe III et s’il effectue un profilage.
- 3Si vous concluez qu’un système de l’annexe III n’est pas à haut risque, conservez la motivation avec la date et le responsable.
Que l’IA propose et qu’une personne décide ne fait pas sortir un système de l’annexe III, mais c’est la base d’un contrôle humain crédible.
Voir comment séparer la proposition de l’IA et la décision humaine
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- Règlement (UE) 2024/1689 sur l’intelligence artificielle EUR-Lex · JO L 2024/1689 · 12 juillet 2024
- Règlement (UE) 2026/1744 (omnibus numérique sur l’IA) modifiant le règlement (UE) 2024/1689 EUR-Lex · JO L 2026/1744 · 24 juillet 2026
- Règlement (UE) 2024/1689, texte consolidé EUR-Lex · CELEX 02024R1689-20260727 · Version du 27 juillet 2026