IA à haut risque : votre entreprise est-elle concernée ?

Votre entreprise est concernée par le « haut risque » dès qu'une IA participe à une décision qui touche une personne (recruter, accorder un crédit, tarifer un contrat, orienter un patient). Le terme fait peur, mais il ne veut pas dire que votre IA est dangereuse. Il désigne une catégorie juridique précise, avec des obligations précises. Dans cet article, je vous donne une méthode simple, en quatre étapes, pour savoir où vous vous situez et ce que cela implique.

Le problème : un mot mal compris

Beaucoup de dirigeants entendent « IA à haut risque » et pensent à un robot qui dérape ou à une technologie instable. C'est une fausse piste. Dans l'EU AI Act, le « haut risque » ne juge pas la qualité technique de votre outil. Il juge le contexte d'utilisationet l'impact possible sur les droits des personnes.

Résultat, deux erreurs reviennent sans cesse. Soit l'entreprise se croit hors champ alors que son usage est clairement listé par la loi, soit elle panique et applique des obligations lourdes à des outils qui ne le méritent pas. Les deux coûtent cher. La bonne nouvelle, c'est qu'une méthode claire évite ces deux pièges. Si vous voulez d'abord une vue d'ensemble du règlement, commencez par notre article sur ce que l'EU AI Act exige de votre entreprise.

Ce que veut dire « haut risque »

La loi range chaque système d'IA dans un niveau de risque. Le « haut risque » est le niveau juste en dessous de l'interdiction. Il concerne les usages capables d'affecter sérieusement la vie des gens, leur accès à un emploi, à un crédit, à des soins ou à un service public. Pour savoir si vous y êtes, inutile de lire le texte de loi en entier. Suivez le pipeline ci-dessous.

La méthode en 4 étapes pour vous situer

Voici la démarche que j'utilise avec mes clients. Elle se fait en une demi-journée pour la plupart des PME, et elle ne demande aucune compétence juridique pour démarrer.

1. Inventoriez vos systèmes d'IA.Listez tous les outils en place, y compris ceux que vos équipes utilisent sans validation. Notez pour chacun à quoi il sert et qui s'en sert. On ne classe bien que ce qu'on a d'abord rendu visible.
2. Vérifiez le domaine.Demandez-vous si l'usage tombe dans l'une des grandes familles listées par la loi (emploi, crédit et services financiers, assurance, santé, services publics essentiels, biométrie, infrastructures critiques). Si la réponse est non, vous n'êtes probablement pas en haut risque. Si la réponse est oui, passez à l'étape suivante.
3. Vérifiez l'impact sur une personne.Posez la vraie question, l'IA influence-t-elle une décision concernant un individu ? Si elle se contente d'une tâche accessoire (mettre en forme un document, par exemple), l'usage peut sortir du haut risque. Si elle filtre, note, classe ou oriente une personne, vous y êtes.
4. Concluez et qualifiez. Pour chaque usage, écrivez noir sur blanc le verdict (haut risque ou non) et la raison. Ce document, même court, devient la base de votre dossier de conformité et la preuve que vous avez analysé la question.

Les domaines qui font basculer en haut risque

Ce tableau vous aide à répondre à l'étape 2. Repérez votre activité.

Le résultat attendu

À la fin de cette méthode, vous tenez une liste claire de vos usages d'IA, chacun marqué « haut risque » ou « hors haut risque », avec la justification. Vous savez exactement où concentrer vos efforts, et vous évitez de gaspiller du temps sur des outils sans enjeu.

Pour les usages confirmés en haut risque, la loi attend ensuite quelques piliers, que voici en clair :

• Une supervision humaine réelle.Une personne doit pouvoir comprendre, contrôler et, si besoin, corriger la décision de l'IA.
• Une documentation technique.À quoi sert l'outil, comment il décide, sur quelles données il s'appuie, quels risques il présente.
• Une gestion des risques et de la qualité des données. Pour limiter les erreurs et les biais qui pourraient pénaliser certaines personnes.

Le haut risque n'est pas une condamnation. C'est un cadre. Bien posé, il devient un argument de confiance vis à vis de vos clients et de vos partenaires.

Questions fréquentes

« Haut risque » veut-il dire que mon IA est mauvaise ou dangereuse ?

Non. C'est une catégorie liée à l'usage, pas à la qualité de l'outil. Une IA très fiable peut être en haut risque simplement parce qu'elle sert à recruter ou à accorder un crédit.

Je n'ai pas développé l'IA, je l'achète. Suis-je concerné ?

Oui, mais autrement. Le fournisseur porte une partie des obligations, et vous, en tant qu'utilisateur, portez les vôtres (supervision humaine, bon usage, information des personnes). Le statut de chacun se clarifie justement pendant l'inventaire de l'étape 1.

Et si un usage est limite, entre haut risque et risque simple ?

C'est fréquent, et c'est tout l'intérêt de l'étape 3. La question décisive est de savoir si l'IA influence vraiment une décision sur une personne. En cas de doute, documentez votre raisonnement, il vous protège.

Combien de temps prend cette méthode ?

Pour une PME, comptez une demi-journée à une journée pour l'inventaire et la classification. C'est l'investissement le plus rentable, car il oriente tout le reste de votre mise en conformité.

Situer vos usages sans y passer des jours, c'est l'objet de mon audit Sécurité & Conformité IA : inventaire, classification et feuille de route priorisée, puis un déploiement conforme si vous le souhaitez.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.