Article 6 IA Act : Règles relatives à la classification de systèmes d’IA comme systèmes à haut risque
Table des matières
Explication de l’article
L’article 6 du Règlement européen sur l’intelligence artificielle (IA Act) définit les critères permettant de déterminer si un système d’intelligence artificielle (SIA) doit être classé comme système à haut risque. Cette classification est importante, car elle entraîne l’application d’exigences spécifiques destinées à protéger la santé, la sécurité et les droits fondamentaux des personnes.
L’article distingue deux grandes catégories de systèmes à haut risque.
1. Les systèmes d’IA intégrés à des produits réglementés
Selon le paragraphe 1, un système d’IA est considéré comme étant à haut risque lorsque deux conditions sont réunies :
- Il est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation européenne d’harmonisation mentionnée à l’annexe I, ou il constitue lui-même un tel produit.
- Le produit concerné doit faire l’objet d’une évaluation de conformité par un organisme tiers avant sa mise sur le marché ou sa mise en service.
Cette catégorie concerne notamment certains produits médicaux, équipements industriels ou véhicules soumis à des règles européennes de sécurité.
Les nouveaux paragraphes 1 bis, 1 ter et 1 quater, introduits par le règlement (UE) 2026/1744, précisent les conditions de cette classification. Un système utilisé uniquement pour améliorer le confort, automatiser un service, optimiser les performances ou contrôler la qualité n’est pas considéré comme un composant de sécurité. En revanche, si sa défaillance ou son dysfonctionnement peut mettre en danger la santé ou la sécurité, il est considéré comme tel.
Le texte précise également qu’une évaluation de conformité imposée uniquement pour des risques autres que ceux concernant la santé et la sécurité ne suffit pas à remplir la seconde condition.
2. Les systèmes d’IA relevant de l’annexe III
Le paragraphe 2 classe également à haut risque les systèmes d’IA utilisés dans certains domaines sensibles énumérés à l’annexe III.
Il s’agit notamment de systèmes destinés à être utilisés dans les domaines suivants :
- Biométrie, dans les conditions prévues par le règlement.
- Éducation et formation professionnelle, par exemple pour évaluer des résultats ou orienter des apprenants.
- Emploi et gestion des travailleurs, notamment pour le recrutement ou l’évaluation des candidats et des salariés.
- Accès à des services essentiels, par exemple l’évaluation de la solvabilité ou certains dispositifs d’assurance.
- Application de la loi, dans les cas prévus par le règlement.
- Migration, asile et contrôle aux frontières.
- Justice et processus démocratiques, pour certains usages déterminés.
- Infrastructures critiques, notamment certains systèmes intervenant dans la gestion de services essentiels.
L’appartenance à l’un de ces domaines ne suffit toutefois pas toujours à conclure qu’un système est à haut risque. Il faut examiner sa finalité prévue, son cas d’utilisation exact et les critères de l’annexe III.
3. Les exceptions à la classification prévue par l’annexe III
Le paragraphe 3 prévoit qu’un système relevant de l’annexe III peut ne pas être considéré comme étant à haut risque s’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes, notamment lorsque son influence sur une décision est insignifiante.
Cette exception peut notamment concerner un système destiné à accomplir une tâche procédurale limitée, à améliorer le résultat d’une activité humaine déjà réalisée, à détecter des tendances sans remplacer l’évaluation humaine appropriée ou à préparer une évaluation.
Attention : cette exception n’est pas automatique. Le système doit remplir les conditions prévues par le règlement et son niveau de risque doit être réellement limité. En particulier, un système relevant de l’annexe III qui effectue le profilage de personnes physiques reste toujours considéré comme étant à haut risque.
Le paragraphe 4 impose au fournisseur qui estime qu’un système relevant de l’annexe III n’est pas à haut risque de documenter son évaluation avant sa mise sur le marché ou sa mise en service. Le fournisseur doit également respecter l’obligation d’enregistrement prévue à l’article 49, paragraphe 2, et fournir cette documentation aux autorités nationales compétentes lorsqu’elles la demandent.
4. Le rôle de la Commission européenne
Les paragraphes 5 à 8 encadrent les précisions et les évolutions possibles des critères de classification. La Commission européenne peut notamment adopter des actes délégués pour modifier certaines conditions permettant d’exclure un système de la catégorie à haut risque, lorsque des éléments concrets et fiables le justifient.
Ces modifications ne doivent pas réduire le niveau global de protection de la santé, de la sécurité et des droits fondamentaux.
L’article 6 constitue ainsi une étape déterminante : il permet d’identifier les systèmes auxquels les exigences renforcées de l’IA Act doivent s’appliquer, avant d’examiner les obligations prévues notamment aux articles 8 à 27.
Notions clés à comprendre
Système d’IA à haut risque : Système qui répond aux critères de l’article 6, soit parce qu’il est lié à certains produits réglementés, soit parce qu’il relève d’un cas d’utilisation de l’annexe III.
Composant de sécurité : Élément d’un produit qui remplit une fonction de sécurité ou dont la défaillance ou le dysfonctionnement peut mettre en danger la santé ou la sécurité. La qualification dépend de la fonction réelle du système et des critères prévus par le règlement.
Annexe I : Liste de textes européens d’harmonisation concernant certains produits réglementés. L’article 6, paragraphe 1, renvoie à cette annexe pour déterminer quels produits peuvent entrer dans la première catégorie de systèmes à haut risque.
Annexe III : Liste des domaines et des cas d’utilisation dans lesquels les systèmes d’IA sont en principe considérés comme étant à haut risque, sous réserve des exceptions prévues à l’article 6.
Profilage : Au sens du RGPD, traitement automatisé de données à caractère personnel visant à évaluer certains aspects personnels d’une personne physique, notamment ses performances professionnelles, sa situation économique, sa santé, ses préférences ou son comportement. Pour les systèmes relevant de l’annexe III, le profilage empêche de bénéficier de l’exception prévue au paragraphe 3.
Évaluation documentée du risque : Analyse par laquelle le fournisseur justifie, preuves à l’appui, qu’un système relevant de l’annexe III remplit les conditions permettant de ne pas le classer à haut risque. Cette analyse doit être réalisée avant sa mise sur le marché ou sa mise en service.
Exemple pratique
Une entreprise développe un outil d’intelligence artificielle destiné à aider les services de ressources humaines à présélectionner des candidatures.
Le système analyse les CV et classe les candidats selon leur adéquation avec le poste. Il relève du domaine de l’emploi visé à l’annexe III, car il intervient dans le processus de recrutement et peut influencer l’accès à une opportunité professionnelle.
L’entreprise ne peut donc pas considérer que l’outil échappe automatiquement à la catégorie à haut risque au seul motif qu’un recruteur prend la décision finale. Elle doit examiner la finalité du système, son influence réelle sur la sélection et les critères précis de l’annexe III.
Si le système réalise un profilage des candidats, il reste classé à haut risque en application de l’article 6, paragraphe 3, même si l’entreprise estime que son utilisation présente peu de risques.
En conséquence, le fournisseur doit notamment examiner les exigences applicables en matière de gestion des risques, de gouvernance des données, de documentation technique, de transparence, de contrôle humain et de cybersécurité.
À l’inverse, un outil qui se limite à mettre en forme des CV ou à corriger leur orthographe, sans évaluer ni classer les candidats, ne relève pas nécessairement de cette catégorie. Sa qualification dépend de sa finalité prévue et de ses fonctionnalités réelles.
Cet exemple montre qu’il ne suffit pas de regarder si une décision est prise par une IA ou par un humain : il faut aussi comprendre le rôle exact du système dans le processus concerné.
Texte original de l’IA Act
Article 6 – Règles de classification des systèmes d’IA à haut risque
1. Un système d’IA mis sur le marché ou mis en service, qu’il soit ou non indépendant des produits visés aux points a) et b), est considéré comme étant à haut risque lorsque les deux conditions suivantes sont remplies:
a) le système d’IA est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, ou le système d’IA constitue lui-même un tel produit;
b) le produit dont le composant de sécurité visé au point a) est le système d’IA, ou le système d’IA lui-même en tant que produit, est soumis à une évaluation de conformité par un tiers en vue de la mise sur le marché ou de la mise en service de ce produit conformément à la législation d’harmonisation de l’Union dont la liste figure à l’annexe I.
2. Outre les systèmes d’IA à haut risque visés au paragraphe 1, les systèmes d’IA visés à l’annexe III sont considérés comme étant à haut risque.
3. Par dérogation au paragraphe 2, un système d’IA visé à l’annexe III n’est pas considéré comme étant à haut risque lorsqu’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’ayant pas d’incidence significative sur le résultat de la prise de décision.
Le premier alinéa s’applique lorsqu’une des conditions suivantes est remplie:
a) le système d’IA est destiné à accomplir un tâche procédurale étroite;
b) le système d’IA est destiné à améliorer le résultat d’une activité humaine préalablement réalisée;
c) le système d’IA est destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures et n’est pas destiné à se substituer à l’évaluation humaine préalablement réalisée, ni à influencer celle-ci, sans examen humain approprié; ou
d) le système d’IA est destiné à exécuter une tâche préparatoire en vue d’une évaluation pertinente aux fins des cas d’utilisation visés à l’annexe III.
Nonobstant le premier alinéa, un système d’IA visé à l’annexe III est toujours considéré comme étant à haut risque lorsqu’il effectue un profilage de personnes physiques.
4. Un fournisseur qui considère qu’un système d’IA visé à l’annexe III n’est pas à haut risque documente son évaluation avant que ce système ne soit mis sur le marché ou mis en service. Ce fournisseur est soumis à l’obligation d’enregistrement visée à l’article 49, paragraphe 2. À la demande des autorités nationales compétentes, le fournisseur fournit la documentation de l’évaluation.
5. Après consultation du Comité européen de l’intelligence artificielle (ci-après dénommé «Comité IA»), et au plus tard le 2 février 2026, la Commission fournit des lignes directrices précisant la mise en œuvre pratique du présent article, conformément à l’article 96, assorties d’une liste exhaustive d’exemples pratiques de cas d’utilisation de systèmes d’IA qui sont à haut risque et de cas d’utilisation qui ne le sont pas.
6. La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier le paragraphe 3, deuxième alinéa, du présent article en ajoutant de nouvelles conditions à celles qui y sont énoncées, ou en les modifiant, lorsqu’il existe des preuves concrètes et fiables de l’existence de systèmes d’IA qui relèvent du champ d’application de l’annexe III, mais qui ne présentent pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques.
7. La Commission adopte des actes délégués conformément à l’article 97 afin de modifier le paragraphe 3, deuxième alinéa, du présent article en supprimant l’une des conditions qui y est établie, lorsqu’il existe des preuves concrètes et fiables attestant que cela est nécessaire pour maintenir le niveau de protection de la santé, de la sécurité et des droits fondamentaux prévu par le présent règlement.
8. Toute modification des conditions établies au paragraphe 3, deuxième alinéa, adoptée conformément aux paragraphe 6 et 7 du présent article ne diminue pas le niveau global de protection de la santé, de la sécurité et des droits fondamentaux prévu par le présent règlement et veille à la cohérence avec les actes délégués adoptés conformément à l’article 7, paragraphe 1, et tient compte des évolutions du marché et des technologies.
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
Perspectives avec d’autres textes
Perspectives européennes
Le RGPD
Le règlement général sur la protection des données (RGPD) complète l’IA Act lorsque le système traite des données à caractère personnel.
Ses articles 5 et 6 encadrent notamment les principes de traitement et la base juridique. L’article 22 concerne, sous certaines conditions, les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement une personne.
La qualification d’un système comme étant à haut risque au titre de l’IA Act ne signifie donc pas automatiquement qu’il est soumis à l’article 22 du RGPD. Les conditions d’application de chaque texte doivent être vérifiées séparément.
La Charte des droits fondamentaux de l’Union européenne
Les articles 7 et 8 de la Charte protègent respectivement la vie privée et les données à caractère personnel. L’article 21 interdit certaines discriminations, tandis que l’article 47 garantit le droit à un recours effectif et à un tribunal impartial.
Ces droits sont particulièrement pertinents lorsque l’IA intervient dans le recrutement, l’éducation, l’accès à des services essentiels ou la justice. La classification à haut risque permet alors de déclencher des garanties supplémentaires, sans remplacer l’examen des droits fondamentaux dans chaque situation.
La législation européenne sur les produits
Pour les systèmes visés à l’article 6, paragraphe 1, l’IA Act s’articule avec la législation européenne applicable au produit concerné, notamment les règles relatives aux dispositifs médicaux ou à la sécurité des produits, comme :
• Directive Machines (2006/42/CE)
• Directive Appareil Médical (93/42/CEE)
L’objectif est de tenir compte à la fois des risques liés au produit et de ceux que peut introduire son composant d’intelligence artificielle. Les obligations exactes dépendent du texte sectoriel applicable et de la fonction du système.
Lignes directrices, recommandations
Guidelines de la Commission européenne – Classification des IA à haut risque
Draft Guidelines on High-Risk AI Classification (2025) :
- Comment appliquer les critères de « risque significatif »
- Exemples d’exemptions selon l’article 6(3)
- Procédures de documentation et révision des évaluations
Service d’aide à la conformité – AI Act Service Desk
Outil interactif pour déterminer si un système d’IA est à haut risque et le niveau de conformité applicable.
Perspectives françaises
La loi Informatique et Libertés
En France, la loi Informatique et Libertés du 6 janvier 1978 complète le RGPD. Lorsqu’un système d’IA utilise des données personnelles, l’organisme doit vérifier la licéité du traitement, respecter les droits des personnes et mettre en place des mesures adaptées aux risques.
La CNIL peut notamment accompagner les organismes sur les questions de protection des données et contrôler le respect des règles relevant de sa compétence. La conformité à l’IA Act ne dispense donc pas de respecter les obligations applicables en matière de données personnelles.
Le Code du travail
Lorsqu’un système d’IA est utilisé pour recruter ou évaluer des salariés, le Code du travail peut également s’appliquer. Les dispositions relatives à la non-discrimination, à l’information des candidats et des salariés ainsi qu’aux méthodes d’évaluation doivent être prises en compte.
Une entreprise doit donc examiner non seulement la classification du système au titre de l’IA Act, mais aussi les conditions dans lesquelles l’outil est utilisé et les conséquences de ses résultats sur les personnes.
La protection des droits fondamentaux dans les décisions administratives
Lorsqu’une administration utilise un système d’IA pour instruire des dossiers ou contribuer à une décision individuelle, d’autres règles peuvent intervenir, notamment celles du Code des relations entre le public et l’administration concernant les décisions administratives prises sur le fondement d’un traitement algorithmique.
Il convient d’examiner les règles applicables à la décision concernée, notamment les obligations d’information ou d’explication et les garanties offertes à l’usager. La qualification du système au titre de l’IA Act ne remplace pas cette analyse.
Code de la consommation
L’article 6 s’aligne avec les obligations françaises d’information et de conformité des produits.
CNIL – Orientations et outils pratiques
- Lignes directrices sur la classification des systèmes d’IA selon l’article 6
- Matrice de classification française pour aider les entreprises à déterminer rapidement le niveau de risque
- Exemples pratiques pour le secteur public, le secteur financier et les ressources humaines
L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement