AI Act : classer le haut risque avant de bâtir la conformité

La Commission européenne a publié le 19 mai 2026 un projet de lignes directrices sur la classification des systèmes d’IA à haut risque au titre de l’article 6 de l’AI Act. La consultation ciblée est alors ouverte jusqu’au 23 juin 2026. Le document ne remplace pas la décision du fournisseur : il l’encadre par des interprétations et des exemples pratiques. Or cette qualification initiale détermine les obligations, la documentation et, le cas échéant, l’évaluation de conformité à organiser.

Mise à jour du 10 septembre 2026. Le règlement (UE) 2026/1744 modifiant l’AI Act a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet. Les nouvelles échéances des systèmes à haut risque sont désormais fixées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Point complet dans notre article de référence.

L'essentiel en 30 secondes

• Le projet de lignes directrices a été publié le 19 mai 2026 par la Commission européenne.
• La consultation ciblée est ouverte le 19 mai et sa date de clôture annoncée est le 23 juin 2026.
• L’article 6(1) vise certains produits et composants de sécurité de l’annexe I soumis à une évaluation par un tiers.
• L’article 6(2) vise les cas d’usage inscrits à l’annexe III.
• Un fournisseur qui écarte le haut risque pour un système de l’annexe III doit documenter son analyse avant la mise sur le marché ou la mise en service.

Ce qui s'est passé

La Commission présente ces lignes directrices comme un outil destiné aux fournisseurs, aux déployeurs et aux autorités compétentes de surveillance du marché. Leur objet est d’aider à apprécier si un système doit être classé à haut risque, afin de favoriser une application uniforme et effective de l’article 6. Le projet suit la structure même de cet article et propose des exemples pratiques de systèmes qui devraient, ou ne devraient pas, être considérés comme à haut risque.

La consultation ciblée ouverte le 19 mai 2026 demande en particulier un retour sur la clarté des lignes directrices et l’utilité de leurs exemples. La page de la Commission s’adresse aux fournisseurs et développeurs, aux organisations utilisatrices, aux autorités publiques, aux chercheurs, à la société civile, aux organismes de supervision et au public. À la date de ce briefing, la clôture annoncée est le 23 juin 2026. La consultation est donc aussi une occasion de signaler une ambiguïté de qualification avant la version finale.

Il faut lire le projet pour ce qu’il est. Il expose l’interprétation de la Commission sur des notions utiles à la classification et annonce des exemples non exhaustifs, susceptibles d’évoluer. Il ne déplace pas la responsabilité première de l’opération : la qualification d’un système commercialisé commence chez celui qui le fournit, avec la connaissance de sa destination, de ses fonctions et de son contexte d’usage prévu.

Les deux portes de l’article 6

La première porte est l’article 6(1). Un système est à haut risque lorsque deux conditions sont réunies : il est destiné à être utilisé comme composant de sécurité d’un produit, ou constitue lui-même un produit, couvert par la législation d’harmonisation de l’Union énumérée à l’annexe I ; et ce produit, ou le système lui-même, doit faire l’objet d’une évaluation de conformité par un tiers avant sa mise sur le marché ou sa mise en service. Cette branche ne se résume donc pas à l’étiquette « produit réglementé » : les deux conditions doivent être vérifiées.

La seconde porte est l’article 6(2). Les systèmes mentionnés à l’annexe III sont, en plus de ceux du paragraphe 1, considérés à haut risque. Les lignes directrices organisent leurs sections en suivant cette distinction et cherchent à illustrer les zones et cas d’usage pertinents. Pour une entreprise, il est utile d’établir une fiche de qualification distincte pour chaque système plutôt que de s’en remettre à la catégorie générale de l’outil ou à une affirmation commerciale du fournisseur amont.

La destination prévue est décisive. Un même composant technique peut être intégré dans des produits ou déployé dans des contextes qui ne soulèvent pas le même test juridique. Une bonne classification décrit donc le système, son rôle dans la décision ou le produit, l’utilisateur envisagé, les personnes affectées et les interfaces de supervision humaine. Cette description doit précéder le choix des contrôles ; sinon, l’organisation risque de bâtir un dispositif solide mais applicable à la mauvaise catégorie.

L’exception et la trace du fournisseur

L’article 6(3) prévoit une exception limitée pour les systèmes de l’annexe III qui ne présentent pas de risque significatif d’atteinte à la santé, à la sécurité ou aux droits fondamentaux, notamment parce qu’ils n’influencent pas matériellement le résultat d’une prise de décision. Le règlement donne quatre situations possibles : tâche procédurale étroite ; amélioration du résultat d’une activité humaine déjà réalisée ; détection de schémas ou d’écarts sans remplacer ni influencer l’évaluation humaine préalable sans examen humain approprié ; tâche préparatoire à une évaluation liée aux cas d’usage de l’annexe III.

Cette exception n’est pas une case à cocher. Les systèmes de l’annexe III qui effectuent du profilage de personnes physiques restent toujours considérés comme à haut risque. Surtout, lorsqu’un fournisseur estime qu’un système de l’annexe III n’est pas à haut risque, l’article 6(4) lui impose de documenter son évaluation avant la mise sur le marché ou la mise en service. Il reste soumis à l’obligation d’enregistrement de l’article 49, paragraphe 2, et doit fournir cette documentation à l’autorité nationale compétente sur demande.

La classification est ainsi une décision de gouvernance documentée, non une simple analyse de produit. Elle fixe le périmètre du système de management de la qualité, de la gestion des risques, des données, de la documentation technique et de la surveillance après commercialisation. Elle détermine également s’il faut anticiper une évaluation de conformité relevant de la branche annexe I ou organiser le régime applicable à l’annexe III.

Ce qu'il faut faire maintenant

• Établir un registre de qualification — consigner, système par système, la destination prévue, le test de l’article 6 et la conclusion.
• Tester les deux branches — examiner séparément l’annexe I avec l’évaluation par un tiers, puis l’annexe III et ses cas d’usage.
• Documenter toute exception — pour l’article 6(3), relier les faits du système à la condition invoquée et conserver les éléments de preuve.
• Vérifier le profilage — ne pas écarter le haut risque lorsque le système de l’annexe III effectue du profilage de personnes physiques.
• Répondre à la consultation — faire remonter avant le 23 juin les exemples imprécis ou les cas d’usage insuffisamment traités.

Sources

• Commission européenne, consultation ciblée ouverte le 19 mai 2026, objet, public visé et échéance annoncée : digital-strategy.ec.europa.eu
• Commission européenne, projet de lignes directrices, structure des scénarios des paragraphes 1 et 2 de l’article 6 et rôle des exemples : digital-strategy.ec.europa.eu
• EUR-Lex, article 6 du règlement (UE) 2024/1689, critères, exception, profilage et obligation de documentation du fournisseur : eur-lex.europa.eu

← Digital Omnibus : l’échéance juridique devance le compromis (2026-04-29)Omnibus IA : ce que le Parlement obtient contre le report (2026-06-16) →