Si votre système d'IA est à haut risque, utilisé dans des domaines comme le recrutement, le crédit, l'éducation, la santé ou les forces de l'ordre, il porte l'ensemble d'obligations le plus lourd du règlement. Mais ces obligations se répartissent en deux : l'entreprise qui construit le système en porte l'essentiel, et l'entreprise qui se contente de l'utiliser en porte un ensemble plus léger, mais bien réel. La plupart des entreprises sont des utilisateurs, pas des constructeurs, donc savoir de quel côté vous êtes est la chose la plus utile ici. Et grâce à un report récent, la plupart de ces devoirs ne s'appliquent qu'à partir de décembre 2027, ce qui vous laisse le temps de bien vous préparer.
Dans l'épisode 3, nous avons classé l'IA en quatre niveaux de risque, et dans l'épisode 4, nous avons couvert le niveau supérieur, les pratiques interdites. Cette semaine, nous regardons le niveau juste en dessous : le haut risque. Ces systèmes sont autorisés, mais ils s'accompagnent des exigences les plus lourdes de tout le règlement. Si vous avez déterminé dans l'épisode 3 que l'un de vos systèmes est à haut risque, voici votre guide de ce que cela implique réellement, et, surtout, quelle part en est vraiment votre responsabilité.
La distinction la plus importante : constructeur ou utilisateur
Avant de lister la moindre obligation, vous devez savoir quel rôle vous jouez, car le règlement traite deux rôles très différemment. Un fournisseur est l'entreprise qui construit le système à haut risque, ou le fait construire et le met sur le marché sous son nom. Un déployeur est l'entreprise qui utilise ce système dans ses propres opérations. Le fournisseur porte les obligations lourdes, au niveau de la conception. Le déployeur porte un ensemble plus léger, centré sur un usage responsable du système.
Cela compte énormément en pratique, car la plupart des entreprises sont des déployeurs, pas des fournisseurs. Si vous achetez ou vous abonnez à un outil d'IA à haut risque construit par un autre, par exemple un système de présélection de candidats fourni par un prestataire, vous êtes le déployeur, et vous n'avez pas à bâtir des systèmes de gestion des risques ni à apposer le marquage CE. C'est le travail du prestataire. Votre travail est de l'utiliser correctement. Bien saisir cette distinction vous évite soit de faire un travail qui n'est pas le vôtre, soit de manquer celui qui l'est.
Si vous le construisez : les obligations du fournisseur
Si votre entreprise construit réellement un système d'IA à haut risque, les exigences sont substantielles, et elles courent sur toute la vie du système. En clair, ce sont : un processus documenté de gestion des risques qui fonctionne en continu, pas une case cochée une seule fois ; une véritable gouvernance des données, c'est-à-dire des données d'entraînement contrôlées en qualité et évaluées pour les biais ; une documentation technique détaillée qu'un régulateur pourrait auditer ; une journalisation automatique de ce que fait le système, conservée au moins six mois ; une supervision humaine intégrée à la conception, pour qu'une personne puisse comprendre, surveiller et neutraliser le système ; et des garanties d'exactitude, de robustesse et de cybersécurité.
En plus de cela, avant de mettre le système sur le marché, un fournisseur doit passer une évaluation de conformité, établir une déclaration UE de conformité, apposer le marquage CE, et enregistrer le système dans une base de données officielle de l'UE. C'est un effort sérieux d'ingénierie et de documentation, ce qui explique précisément pourquoi il revient à l'entreprise qui a construit le système et le comprend le mieux.
Si vous l'utilisez : les obligations du déployeur
C'est la section dont la plupart d'entre vous ont réellement besoin. Si vous déployez un système à haut risque construit par un autre, vos obligations sont réelles mais bien plus légères. Vous devez suivre les instructions d'utilisation du fournisseur, sans détourner le système vers des usages pour lesquels il n'a pas été conçu. Vous devez confier la supervision humaine à une personne réelle qui a la compétence, la formation et l'autorité pour le surveiller et intervenir. Vous devez conserver les journaux que le système génère. Vous devez surveiller son comportement en pratique et signaler les incidents graves. Et les déployeurs doivent dans bien des cas réaliser une analyse d'impact sur les droits fondamentaux, une vérification de la manière dont le système pourrait affecter les personnes soumises à ses décisions.
Le fil conducteur de tout cela est simple : utilisez l'outil comme prévu, gardez un humain véritablement aux commandes, surveillez-le, et signalez si quelque chose tourne mal. Rien de tout cela n'exige de comprendre l'ingénierie interne du système, seulement de l'exploiter de façon responsable.
Voici le calendrier pratique. Comme nous l'avons noté dans l'épisode 3, le Digital Omnibus a repoussé la plupart des obligations à haut risque : elles s'appliquent désormais à partir de décembre 2027 pour les systèmes listés à l'annexe III, et d'août 2028 pour une catégorie plus étroite, plutôt qu'en 2026. Donc si vous êtes à haut risque, vous avez un vrai délai. Mais n'y voyez pas une raison de ne rien faire. La préparation, documentation, supervision humaine, gouvernance des données, est une bonne pratique qui rend votre IA plus sûre et meilleure, indépendamment de la loi. Le bon réflexe est d'y travailler dès maintenant, calmement, plutôt que de courir en 2027.
Ce qui est en jeu
La non-conformité à haut risque se situe dans la tranche sérieuse des sanctions, jusqu'à 15 millions d'euros ou 3 pour cent du chiffre d'affaires annuel mondial pour la violation des obligations principales, avec des montants proportionnellement plus faibles pour les plus petites entreprises. Mais au-delà des amendes, le vrai risque est opérationnel : un système à haut risque déployé sans la supervision et la documentation requises est un système que vous ne pouvez pas défendre s'il prend une décision nuisible concernant l'emploi, le prêt ou l'éducation de quelqu'un. Les obligations existent parce que ces systèmes affectent la vie des gens, et pouvoir démontrer que vous en avez fait un usage responsable protège votre entreprise autant que la conformité.
Votre action cette semaine
Prenez les systèmes à haut risque que vous avez repérés dans l'épisode 3 et, pour chacun, répondez d'abord à une seule question : sommes-nous le constructeur ou l'utilisateur ? Si vous l'avez construit, vous êtes un fournisseur, et vous devriez commencer le travail de préparation plus lourd, ou vous faire aider pour le cadrer, bien avant l'échéance de 2027. Si vous utilisez un outil construit par un autre, vous êtes un déployeur : confirmez que le prestataire a fait sa part, désignez une personne nommée et compétente pour le superviser, assurez-vous de conserver les journaux, et notez qu'une analyse d'impact sur les droits fondamentaux peut être requise. Écrivez quel rôle vous tenez pour chaque système, cette seule classification vous dit presque tout ce que vous devez. La semaine prochaine, nous poursuivons dans le niveau à haut risque avec un regard plus attentif sur les données et la documentation.
Questions fréquentes
Quelles sont les obligations d'un système d'IA à haut risque ?
Elles se répartissent par rôle. Le fournisseur (qui le construit) doit avoir un système documenté de gestion des risques, une gouvernance des données de qualité, une documentation technique détaillée, une journalisation automatique conservée six mois, une supervision humaine dès la conception, et des garanties d'exactitude et de cybersécurité, plus l'évaluation de conformité, le marquage CE et l'enregistrement dans la base de l'UE. Le déployeur (qui l'utilise) a un ensemble plus léger : suivre les instructions, assigner une supervision humaine, conserver les journaux, surveiller, signaler les incidents, et souvent réaliser une analyse d'impact sur les droits fondamentaux.
Je ne fais qu'utiliser un outil d'IA construit par un autre. Que dois-je faire ?
Vous êtes un déployeur, donc vos obligations sont plus légères que celles du constructeur. Vous devez utiliser le système comme indiqué, désigner une personne compétente pour le superviser avec l'autorité d'intervenir, conserver les journaux qu'il génère, surveiller son comportement, et signaler les incidents graves. Dans bien des cas, il vous faut aussi une analyse d'impact sur les droits fondamentaux. Vous n'avez pas à bâtir des systèmes de gestion des risques ni à apposer le marquage CE, c'est le travail du fournisseur.
Quand les obligations à haut risque prennent-elles effet ?
Plus tard que prévu. Sous le Digital Omnibus, la plupart des obligations à haut risque s'appliquent désormais à partir de décembre 2027 pour les systèmes de l'annexe III et d'août 2028 pour une catégorie plus étroite. Cela vous laisse du délai, mais la préparation vaut la peine d'être commencée maintenant, car la documentation, la supervision humaine et la gouvernance des données améliorent votre IA indépendamment de l'échéance.
Que signifie concrètement la supervision humaine ?
Cela signifie qu'une personne réelle, avec la compétence, la formation et l'autorité, peut comprendre ce que fait le système à haut risque, le surveiller, et intervenir, le neutraliser ou l'arrêter au besoin. Pour les fournisseurs, elle doit être intégrée à la conception du système ; pour les déployeurs, elle signifie assigner une personne capable à ce rôle. Le but est qu'un humain, et non l'IA seule, reste véritablement aux commandes des décisions lourdes de conséquences.
Quelles sont les sanctions en cas de non-conformité à haut risque ?
La violation des obligations principales à haut risque peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 3 pour cent du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, avec des montants proportionnellement plus faibles pour les plus petites entreprises. Au-delà de l'amende, un système à haut risque non documenté et non supervisé est un système que vous ne pouvez pas défendre s'il cause un préjudice, donc les obligations protègent aussi votre entreprise.
Suivez la série, mettez-vous en conformité une règle à la fois
Ceci est la partie 5 de notre guide hebdomadaire de la réglementation de l'IA, qui décortique une règle à la fois pour que la conformité paraisse gérable plutôt qu'écrasante. Explorez d'autres guides clairs et honnêtes sur AISetApp et suivez chaque semaine.
Explorer AISetApp- Règlement européen sur l'IA (règlement (UE) 2024/1689), articles 8 à 15 (obligations des fournisseurs) et article 26 (obligations des déployeurs)
- Digital Omnibus sur l'IA (règlement (UE) 2026/1744) sur les échéances révisées du haut risque
- Guides de conformité à haut risque 2026 d'Openlayer, GDPR Local, Legal Nodes et McKenna Consultants sur les devoirs fournisseur contre déployeur, la supervision humaine et la documentation
- Résumé de haut niveau du règlement sur l'IA concernant les obligations des fournisseurs et déployeurs et l'évaluation de conformité
Révisé en septembre 2026. Ceci est un explicatif, pas un conseil juridique. La loi évolue ; vérifiez les détails auprès d'un professionnel qualifié avant d'agir.
Recherché et rédigé avec l'assistance de l'IA, revu et édité par Yasser El Hardouz, qui assume la responsabilité éditoriale de cet article.