Systèmes d'IA à haut risque : le parcours de conformité complet du RIA

Le régime des systèmes d'IA à haut risque concentre l'essentiel de la charge normative du règlement européen sur l'intelligence artificielle. Pour un fournisseur, la qualification de son produit en haut risque déclenche un parcours complet : exigences de conception, système de gestion de la qualité, évaluation de conformité, enregistrement, marquage CE, puis surveillance continue. Ce parcours emprunte à la logique bien connue de la réglementation produit européenne, mais l'applique à des objets logiciels évolutifs. Cinquième volet de notre série « Comprendre le RIA », cet article de fond déroule chaque étape pour vous permettre de dimensionner le chantier.

L'essentiel en 30 secondes. Un système est à haut risque s'il est un composant de sécurité d'un produit réglementé de l'annexe I ou s'il relève d'un cas d'usage de l'annexe III. Son fournisseur doit satisfaire aux exigences des articles 8 à 15 : gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, supervision humaine, exactitude, robustesse et cybersécurité. Il met en place un système de gestion de la qualité, conduit l'évaluation de conformité, enregistre le système dans la base de données de l'UE, appose le marquage CE, puis assure la surveillance après commercialisation et la notification des incidents graves. Depuis l'omnibus IA de juillet 2026, les règles de l'annexe III s'appliquent au 2 décembre 2027, celles des produits réglementés au 2 août 2028.

Étape préalable : confirmer la qualification

L'article 6 ouvre deux voies vers le haut risque. La première vise les systèmes intégrés comme composants de sécurité dans des produits soumis à la législation d'harmonisation listée à l'annexe I et à une évaluation de conformité par un tiers : dispositifs médicaux, machines, véhicules, aviation, jouets notamment. La seconde vise les cas d'usage énumérés à l'annexe III, indépendamment de tout produit physique : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels dont le scoring de crédit et la tarification en assurance vie et santé, répression, migration, justice.

L'article 6, paragraphe 3, permet d'écarter la qualification lorsque le système ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux : tâche procédurale étroite, amélioration du résultat d'une activité humaine préalable, détection de constantes décisionnelles sans se substituer à l'évaluation humaine, ou tâche préparatoire. Le fournisseur qui invoque cette dérogation documente son évaluation avant la mise sur le marché ; l'omnibus IA a supprimé l'obligation d'enregistrer ces systèmes exemptés dans la base de données de l'UE. Un système qui profile des personnes physiques reste toujours à haut risque, et l'omnibus précise que les systèmes traitant d'aspects non liés à la sécurité (assistance, optimisation, commodité, contrôle qualité) ne sont pas des composants de sécurité. Cette analyse initiale mérite un soin particulier : elle conditionne tout le reste et sera la première pièce examinée en cas de contrôle.

Les exigences de fond : concevoir un système conforme

Les articles 8 à 15 énoncent les exigences que le système lui-même doit satisfaire. Le système de gestion des risques de l'article 9 constitue la colonne vertébrale : processus itératif et continu, il identifie les risques raisonnablement prévisibles, les évalue, y compris en cas de mauvaise utilisation prévisible, et adopte des mesures de maîtrise, en accordant une attention particulière aux personnes de moins de dix-huit ans et aux groupes vulnérables.

La gouvernance des données de l'article 10 impose que les jeux d'entraînement, de validation et de test répondent à des critères de qualité : pertinence, représentativité, examen des biais possibles et mesures de correction, prise en compte du contexte géographique et fonctionnel d'utilisation. La documentation technique de l'article 11, dont le contenu est détaillé à l'annexe IV, doit être établie avant la mise sur le marché et tenue à jour ; les PME peuvent la fournir sous une forme simplifiée prévue par la Commission. S'y ajoutent la journalisation automatique des événements pendant le fonctionnement (article 12), la transparence envers les déployeurs avec une notice d'utilisation complète (article 13), le contrôle humain effectif par des mesures intégrées au système (article 14), et un niveau approprié d'exactitude, de robustesse et de cybersécurité maintenu tout au long du cycle de vie (article 15).

Pour une startup, ces exigences se traduisent en chantiers d'ingénierie et de documentation qui gagnent à être intégrés au développement plutôt que plaqués a posteriori : pipeline de données documenté, métriques de performance suivies, architecture de logs, mécanismes d'interruption et de supervision. La conformité dès la conception coûte une fraction du rattrapage.

Les obligations organisationnelles du fournisseur

L'article 16 récapitule les obligations du fournisseur, dont la mise en place d'un système de gestion de la qualité documenté (article 17) couvrant la stratégie de conformité réglementaire, les procédures de conception, de développement, de test et de validation, la gestion des données, la surveillance après commercialisation et le traitement des incidents. Ce système s'apparente à une démarche qualité classique, proportionnée à la taille de l'organisation : le texte le précise expressément, ce qui permet aux petites structures de calibrer l'effort.

Le fournisseur conserve la documentation pendant dix ans, tient les logs à disposition, coopère avec les autorités et désigne, s'il est établi hors de l'Union, un mandataire. Il appose ses coordonnées sur le système, garantit l'accessibilité de la notice et prend les mesures correctives nécessaires lorsqu'il considère qu'un système mis sur le marché n'est pas conforme : rappel, retrait, désactivation, avec information des déployeurs et des autorités.

L'évaluation de conformité, l'enregistrement et le marquage CE

Avant la mise sur le marché, le système subit une évaluation de conformité selon les modalités de l'article 43. Pour la plupart des cas d'usage de l'annexe III, le fournisseur conduit un contrôle interne sur la base de l'annexe VI, sans organisme tiers, en s'appuyant sur les normes harmonisées disponibles ; leur application confère une présomption de conformité. La biométrie fait exception et peut requérir un organisme notifié, de même que les systèmes intégrés à des produits réglementés, où l'évaluation RIA s'insère dans la procédure sectorielle existante. Toute modification substantielle du système déclenche une nouvelle évaluation : point d'attention majeur pour des produits logiciels en itération continue, même si les évolutions d'un système qui continue d'apprendre dans les limites prédéterminées par le fournisseur n'en constituent pas une.

Le fournisseur établit ensuite une déclaration UE de conformité, appose le marquage CE et enregistre le système dans la base de données de l'UE avant la mise sur le marché. Cette base est publique pour l'essentiel : votre positionnement réglementaire sera visible de vos concurrents, clients et investisseurs.

Après la mise sur le marché : une conformité continue

Le parcours ne s'arrête pas à la commercialisation. Le fournisseur met en œuvre un système de surveillance après commercialisation fondé sur un plan documenté, collectant et analysant les données de performance pertinentes. L'omnibus IA a supprimé le modèle harmonisé obligatoire de ce plan : chaque fournisseur le conçoit librement, adapté à son organisation, la Commission devant publier des orientations et un modèle volontaire au plus tard le 2 septembre 2027. Il notifie aux autorités les incidents graves dès qu'il en a connaissance, dans des délais courts. Les autorités de surveillance du marché peuvent demander la documentation, tester les systèmes et imposer des mesures correctives.

Ce continuum transforme la conformité en processus permanent, ce qui est aussi une opportunité commerciale : un dossier de conformité vivant, adossé à des métriques réelles, devient un actif présentable en due diligence et un facteur différenciant face aux acheteurs grands comptes, dont les questionnaires reprennent désormais la structure des articles 8 à 15. Le calendrier joue enfin un rôle : depuis le report opéré par l'omnibus IA, les systèmes de l'annexe III seront soumis au 2 décembre 2027, ceux des produits réglementés au 2 août 2028, et les systèmes mis sur le marché avant ces dates n'entreront dans le champ qu'en cas de modification importante de leur conception. Notre série sur le calendrier du RIA et notre article sur l'omnibus détaillent ces échéances.

Votre produit relève du haut risque ou pourrait y basculer : un plan de conformité priorisé, calé sur votre feuille de route produit, évite les rattrapages coûteux. Le cabinet construit ce plan avec vous. Prendre rendez-vous pour une consultation

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 (règlement sur l'intelligence artificielle)
• Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l'IA)