Ça y est, vous avez développé un système d’IA de pointe qui répond exactement aux besoins du marché et de vos clients: un outil de tri de CV qui ne retient que les meilleurs candidats, un système d’IA qui détecte la fatigue dans un environnement de travail dangereux, ou encore un outil de premier ordre qui évalue la performance de vos étudiants pendant un examen (et vérifie, bien sûr, qu’ils ne trichent pas).
Seulement voilà : vous avez lu quelque part que les systèmes d’IA à haut risque imposaient certaines étapes avant de pouvoir lancer votre beau système sur le marché. Et dans votre souvenir, tout cela paraissait assez complexe, voire déroutant.
C’est précisément l’objet de cet article : passer en revue l’ensemble des étapes nécessaire pour mettre votre produit sur le marché.
Le calendrier ? À compter du 2 août 2026, tous les nouveaux systèmes d’IA à haut risque doivent respecter les exigences applicables. Votre système d’IA à haut risque était déjà sur le marché avant cette date ? Il bénéficie alors d’un délai de grâce de deux ans.
Vue d’ensemble
Retrouver les étapes applicables à travers l’AI act relève un peu du jeu de piste. Nous commencerons donc par en donner une vue d’ensemble, avant d’examiner plus en détail ce qu’elles impliquent et la manière de les aborder :
- Confirmer le statut à haut risque de votre système d’IA
- Veiller à ce que votre système d’IA à haut risque soit conforme au chapitre III, sections 2 et 3, de l’AI Act
- Documenter cette conformité au moyen de la documentation technique prévue à l’annexe IV
- Procéder à une évaluation de la conformité, interne ou externe
- Établir la déclaration UE de conformité
- Apposer le marquage CE
- Enregistrer votre système d’IA à haut risque
Cette liste peut sembler un peu longue. Pourtant, grâce à une gouvernance et une gestion efficaces tout au long du développement de votre système d’IA à haut risque, la majeure partie de la documentation devrait déjà être disponible.
Le statut à haut risque de votre système d’IA
L’AI Act adopte une approche en deux temps à l’égard des systèmes d’IA à haut risque. Soit votre système d’IA relève d’une législation spécifique sur les produits visée à l’annexe I, soit, à défaut, il peut tout de même être à haut risque au titre de l’annexe III.
Annexe I : les systèmes « liés par la législation »
Certains systèmes d’IA sont déjà encadrés par des législations sectorielles de l’Union relatives à la sécurité des produits (ce qu’on appelle le Nouveau Cadre Législatif). Si votre IA fait partie de l’un de ces produits réglementés, elle est automatiquement considérée comme à haut risque au sens de l’AI Act. C’est notamment le cas des dispositifs médicaux, du ferroviaire, des jouets ou des ascenseurs.
Si votre composant d’IA est intégré dans l’un de ces produits, il suit la procédure d’évaluation de la conformité prévue par la législation sectorielle concernée, tout en devant respecter les exigences générales de l’AI Act (articles 8 à 15).
Si vous ne relevez pas de l’annexe I, parce que vous développez par exemple un logiciel autonome, un algorithme de recrutement ou une plateforme d’évaluation pédagogique, passez à l’annexe III.
Annexe III : les systèmes à haut risque autonomes
L’annexe III énumère des cas d’utilisation dans lesquels l’IA peut affecter de manière significative les droits ou la sécurité des personnes. Ces systèmes sont considérés par défaut comme à haut risque. En voici un aperçu général :
- Identification biométrique et catégorisation des personnes
- Gestion et exploitation des infrastructures critiques
- Éducation et formation professionnelle
- Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant
- Accès aux services privés et publics essentiels, y compris l’évaluation de la solvabilité
- Répression
- Migration, asile et gestion des contrôles aux frontières
- Administration de la justice et processus démocratiques
Pour la liste complète et ses nuances, nous vous renvoyons à l’annexe III de l’AI Act. Si votre système d’IA relève de l’un de ces cas d’usage, il pourrait être considéré comme à haut risque.
La conformité avec l’AI Act
Pour que votre système d’IA à haut risque puisse être mis sur le marché, il doit satisfaire à l’ensemble des exigences énoncées au chapitre III, sections 2 et 3. Nous n’examinerons pas ces exigences plus en détail dans cet article.
Technical documentation
Avant de pouvoir procéder à une évaluation de la conformité, et pour étayer votre déclaration UE de conformité, vous devez établir la documentation technique de votre système d’IA à haut risque conformément à l’annexe IV, en fournissant une vue d’ensemble des éléments suivants:
- la description du système,
- sa destination,
- les détails de conception et de développement,
- la documentation relative à la gestion des risques,
- la documentation relative à la gouvernance des données,
- le plan de surveillance après commercialisation,
- la notice d’utilisation et les mécanismes de contrôle humain.
Conservez-la de manière à ce qu’un organisme notifié (ou une autorité) puisse l’auditer à tout moment. Pour la liste complète, nous vous renvoyons à l’annexe IV.
L’évaluation de la conformité
Maintenant que les documents requis sont en place, vous pouvez vous en servir pour procéder à une évaluation de la conformité et démontrer que votre système d’IA à haut risque satisfait aux exigences de l’AI Act. Cette évaluation peut être menée de deux façons : en interne ou en externe. Dans le premier cas, vous la réalisez vous-même au moyen du contrôle interne prévu à l’annexe VI. Dans le second, elle repose sur l’intervention d’un organisme notifié, qui vérifie la conformité selon l’annexe VII.
L’évaluation interne de la conformité
Dans quels cas pouvez-vous recourir à l’évaluation interne ?
- Votre système relève des points 2 à 8 de l’annexe III (recrutement, crédit, éducation, services essentiels, etc.). Le point 1, relatif à la biométrie, est donc exclu !
- Des normes harmonisées ou des spécifications communes existent et vous les avez correctement appliquées.
- Vous ne relevez pas des régimes applicables aux produits visés à l’annexe I.
Le contenu complet de l’évaluation de la conformité interne figure à l’annexe VI.
External conformity assessment
Dans quels cas votre système d’IA à haut risque doit-il être vérifié par un organisme notifié ?
- Il n’existe pas encore de normes harmonisées, OU vous ne les avez pas appliquées intégralement.
- Votre système relève du point 1 de l’annexe III : identification et catégorisation biométriques.
- Votre IA est un composant d’un produit visé à l’annexe I déjà soumis à une certification par un tiers (par exemple un dispositif médical, une machine, un véhicule).
- Une autorité de régulation ou de surveillance du marché exige une évaluation externe en raison du risque.
The content of an external CA can be summarised as follows:
- Overview of the provider and AI system(s) under the same quality management system
- Technical documentation
- How access is provided to the notified body
Le contenu complet d’une évaluation de la conformité externe figure à l’annexe VII.
Déclaration UE de conformité.
Bonne nouvelle : votre système d’IA à haut risque a réussi les tests européens. Place maintenant à la partie facile. Il s’agit de rassembler les informations et les évaluations dans une documentation destinée à vos clients et aux utilisateurs finaux, afin qu’ils aient la certitude que votre système d’IA à haut risque répond aux normes les plus exigeantes.
Vous pouvez établir la déclaration UE de conformité, par laquelle vous déclarez que votre système d’IA à haut risque est entièrement conforme à la législation applicable. Tenez cette déclaration à la disposition des autorités de surveillance du marché.
La déclaration UE de conformité doit contenir l’ensemble des informations suivantes :
- L’identification du fournisseur et du système d’IA.
- Une mention indiquant que la déclaration UE de conformité visée à l’article 47 est établie sous la seule responsabilité du fournisseur.
- Une mention indiquant que le système d’IA est conforme à l’AI Act et à toute autre législation pertinente applicable (législation spécifique aux produits, RGPD, etc.).
- Le recours à des normes harmonisées ou à des spécifications communes.
- L’évaluation de la conformité et les organismes notifiés concernés.
- Une signature valable.
Le contenu complet de la déclaration UE de conformité figure à l’annexe V.
Le marquage CE
Maintenant que tout est en ordre, vous devez montrer aux utilisateurs finaux de votre système d’IA à haut risque que celui-ci a été conçu conformément à la législation applicable. Pour ce faire, vous apposez un marquage CE (numérique) conformément à l’article 30 du règlement (CE) n° 765/2008.
Le marquage CE peut figurer sur l’emballage lorsque votre système d’IA à haut risque est un produit ou en fait partie, ou être affiché de manière numérique dans une interface, par exemple sur un écran de chargement ou de démarrage. Il doit être facilement accessible.
L’enregistrement de votre système d’IA à haut risque
Enfin, dernière étape avant que votre système d’IA à haut risque puisse être mis sur le marché ou mis en service : l’enregistrement.
La procédure d’enregistrement varie selon la classification du risque :
Qui | Quoi | Où | Remarques/ Exceptions |
Fournisseurs de systèmes d’IA à haut risque visés à l’annexe III (sauf annexe III, point 2) | Le fournisseur et le système d’IA à haut risque | Base de données de l’UE (partie publique, sauf dans les cas visés à l’article 49, paragraphe 4, de l’AI Act) | Les systèmes visés à l’annexe III, point 2, sont enregistrés uniquement au niveau national |
Fournisseurs qui concluent que leur système n’est pas à haut risque au titre de l’article 6, paragraphe 3 | Le fournisseur et le système qui n’est pas à haut risque | Base de données de l’UE | Empêche qu’un « autodéclassement » permette d’échapper à la transparence |
Déployeurs qui sont des autorités publiques (ou agissent en leur nom) et utilisent des systèmes visés à l’annexe III, sauf le point 2 | Le déployeur, le système choisi et l’utilisation prévue | Base de données de l’UE | S’applique aux institutions, organes et organismes de l’Union, etc. |
Fournisseurs et déployeurs de systèmes visés à l’annexe III, points 1, 6 et 7 (identification biométrique, répression, migration, asile et contrôle aux frontières) | Métadonnées limitées uniquement (dans la mesure permise par les annexes VIII et IX) | Partie sécurisée et non publique de la base de données de l’UE | Seules la Commission et les autorités nationales désignées ont accès à cette partie |
Fournisseurs de systèmes visés à l’annexe III, point 2 (par exemple certains composants de sécurité déjà couverts par une législation sectorielle) | Système enregistré au niveau national | Bases de données des autorités nationales, et non la base de données de l’UE | Ces systèmes sont exclus du registre européen |
Conclusion
Félicitations, vous êtes arrivé au bout ! Les étapes sont nombreuses, mais documenter le processus de développement de tout système d’IA (à haut risque) permet de réduire considérablement la charge administrative liée à son lancement. Avec une gouvernance appropriée et des procédures structurées, ce processus peut devenir partie intégrante de votre organisation.
Chez Cranium, nous pouvons vous accompagner dans cette démarche et vous aider à développer votre activité de manière pérenne en matière de systèmes d’IA.
