Pourquoi cet article
Si vous utilisez l'IA dans votre PME, la première question stratégique est : est-ce que mes systèmes tombent en haut risque ? Si oui, le coût de mise en conformité change drastiquement (de quelques milliers d'euros à plusieurs dizaines de milliers). Si non, vous restez sur le régime art. 50 (transparence) qui est beaucoup plus léger.
Le problème : la réponse n'est pas évidente. L'Annex III de l'AI Act liste 8 domaines où l'IA est par défaut haut risque, mais avec des nuances et des exceptions qui demandent une analyse au cas par cas. Voici la grille pratique.
Les 8 domaines de l'Annex III
Voici la liste officielle, avec exemples concrets pour PME françaises :
1. Biométrie
Identification ou catégorisation biométrique : reconnaissance faciale, vocale, empreinte, iris, scan veineux. Exemples PME concernés : contrôle d'accès aux locaux par reconnaissance faciale (PME industrielle), authentification biométrique sur smartphone pro (consultant), vérification d'identité automatisée (banque en ligne, fintech).
Note importante : la simple authentification biométrique pour déverrouiller un téléphone n'est pas couverte. Mais dès qu'il y a identification (qui est cette personne parmi N) ou catégorisation (cette personne appartient à tel groupe), c'est haut risque.
2. Infrastructure critique
Composants de sécurité dans la gestion d'infrastructure critique : énergie, eau, transport, télécoms, infrastructures numériques, marchés financiers. Exemples PME concernés : peu pour la majorité des PME (concerne plutôt grandes entreprises et services publics). Mais peut concerner une PME B2B fournissant un composant IA à un opérateur d'infra critique.
3. Éducation et formation professionnelle
Sélection à un programme éducatif, évaluation des résultats d'apprentissage, détection de fraude académique. Exemples PME concernés : organisme de formation utilisant IA pour sélectionner des candidats, EdTech avec scoring automatisé, université privée avec correction d'examens IA, plateforme e-learning avec évaluation IA.
4. Emploi, gestion des travailleurs, accès au travail
C'est le domaine le plus impactant pour les PME. Sont couverts : recrutement (tri CV, présélection, entretiens automatisés), promotion ou licenciement (évaluation performance par IA), allocation de tâches selon profil, supervision automatique des employés. Exemples PME concernés : cabinet de recrutement avec scoring automatique, SIRH avec module évaluation IA, plateforme freelance avec matching IA, ATS avec présélection automatique.
5. Accès aux services essentiels privés et publics
Évaluation d'éligibilité à : prestations sociales, services publics essentiels, soins de santé d'urgence, services d'urgence (police, pompiers), assurance maladie/vie/accident, score de crédit. Exemples PME concernés : courtage assurance avec scoring auto (calcul éligibilité), fintech credit scoring, SaaS RH calcul prestations, mutuelle avec acceptation automatisée.
6. Forces de l'ordre
Évaluation du risque de récidive, prédiction de criminalité, identification d'individus suspects. Pas pertinent pour PME sauf prestataires de services aux forces de l'ordre.
7. Migration, asile, contrôle aux frontières
Évaluation des demandes d'asile, vérification authenticité documents migration. Pas pertinent pour PME standard.
8. Administration de la justice et processus démocratiques
IA d'aide à la décision judiciaire, IA influençant le résultat d'élections. Pas pertinent pour PME standard sauf LegalTech ou prestataires institutionnels.
Les exceptions importantes
L'AI Act prévoit des exceptions pour certains systèmes qui pourraient sembler tomber en haut risque mais ne le sont pas, si :
- Le système n'est qu'une aide à la décision sans influence significative sur le résultat (ex : un outil de pré-tri qui ne fait que suggérer un classement, mais l'humain refait tout). Difficile à démontrer en pratique.
- Le système traite des tâches strictement préparatoires (ex : OCR pour numériser des CV, sans aucune analyse).
- Le système est utilisé pour améliorer le résultat d'une activité humaine antérieure (ex : assistant IA qui aide un recruteur à rédiger un retour candidat, sans intervenir dans la décision).
- Le système détecte des schémas de décision ou anomalies sans prendre la décision lui-même.
Ces exceptions sont étroites et le providers/déployeurs doivent documenter formellement pourquoi leur système n'est pas haut risque. Ce n'est pas un "opt-out" automatique.
Les 7 obligations renforcées si haut risque
Si votre système est classé haut risque, voici ce que l'AI Act impose au déployeur (vous) :
- Système de gestion des risques documenté (art. 9). Identification, analyse, mesures de mitigation, révision périodique.
- Gouvernance des données (art. 10). Qualité, représentativité, gestion des biais, traçabilité.
- Documentation technique détaillée (art. 11). Plus lourd que la fiche RGPD : architecture, modèle, métriques, limitations.
- Journalisation automatique (art. 12). Tous les événements significatifs des systèmes haut risque doivent être loggés.
- Transparence et information utilisateurs (art. 13). Notice d'utilisation détaillée fournie aux utilisateurs.
- Supervision humaine effective (art. 14). Pas un humain qui clique "OK" en série, une vraie capacité d'intervention.
- Précision, robustesse, cybersécurité (art. 15). Tests, métriques, mesures contre les attaques adversariales.
S'ajoutent les obligations RGPD croisées : DPIA obligatoire (art. 35 RGPD), information personnes concernées renforcée (art. 13-14 RGPD), droit de revue 100% humaine si décision automatisée (art. 22 RGPD).
Cas pratique : tri CV par IA dans un cabinet recrutement
Système type : un cabinet de recrutement reçoit 200 CV par poste, utilise un outil IA pour pré-classer en top 20%. Question : est-ce haut risque ?
Analyse : oui, sans ambiguïté. Annex III point 4 (emploi, accès au travail) couvre explicitement "systèmes destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, notamment pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures, évaluer les candidats". Le tri par IA tombe directement dedans.
Obligations concrètes :
- DPIA documentée avant déploiement (RGPD art. 35).
- Information explicite aux candidats sur l'usage IA dans le tri (RGPD art. 13).
- Possibilité pour le candidat de demander une revue 100% humaine (RGPD art. 22).
- Supervision humaine effective : un recruteur valide chaque classement, peut le modifier, justifie sa décision finale (AI Act art. 14).
- Journalisation des classements et décisions (AI Act art. 12).
- Documentation technique du système IA fournie par le fournisseur (AI Act art. 13).
- Information CSE en amont du déploiement (Code du travail).
- Critères de tri explicités et non-discriminatoires (pas d'âge, genre, origine, handicap, religion, orientation).
Coût typique de mise en conformité pour un cabinet 5-15 personnes : 8 000 à 15 000 € HT (audit + DPIA + ajustements processus + formation + documentation).
Comment classifier vos systèmes en pratique
Méthode pragmatique en 4 étapes :
- Inventaire : lister tous vos systèmes IA (chatbots, n8n, agents, SaaS avec IA intégrée).
- Test rapide : pour chacun, est-il listé directement à l'Annex III ? Test simple : tri CV, scoring assurance, biométrie, infra critique → haut risque clair. Chatbot, contenu généré, automatisation simple → pas haut risque.
- Cas limites : si vous avez un doute (analyse de profil client par exemple), documenter les raisons pour ou contre. En cas de doute persistant, traiter comme haut risque (plus prudent).
- Validation externe : passez l'inventaire à un expert (juriste IA ou consultant technique). C'est l'étape qu'on couvre dans nos audits.
Notre calculateur de risque AI Act vous donne un premier filtre en 5 minutes. Si vous tombez en haut risque, l'Audit Standard ou Complet est nécessaire pour structurer la mise en conformité.