Système à haut risque

Qu'est-ce qu'un système à haut risque, concrètement ?

Un système à haut risque est une IA que l'AI Act juge capable de nuire sérieusement aux personnes si elle se trompe : accès à un emploi, à un crédit, à un soin, à un service essentiel. Ce n'est pas une IA plus « puissante », c'est une IA dont les décisions ont un impact lourd sur la vie de quelqu'un. C'est cet impact, pas la technologie, qui déclenche le classement.

Prenez deux outils qui utilisent la même technologie. Le premier génère des visuels pour un post LinkedIn. Le second décide quels candidats passent l'entretien. Techniquement, ils se ressemblent. Juridiquement, tout les sépare.

L'AI Act ne regarde pas la sophistication du modèle, mais les conséquences de ses décisions sur les personnes. Un outil qui filtre des CV touche à l'accès à l'emploi : il pèse lourd dans une vie.

C'est pour cela qu'on parle de « haut risque » et non de « haute performance ». Le risque, ici, c'est celui pesant sur les droits et la sécurité des individus, pas sur la fiabilité technique de l'outil.

Comment l'AI Act classe-t-il les IA par niveau de risque ?

L'AI Act range les usages d'IA en quatre niveaux : risque inacceptable (interdit), haut risque (autorisé mais très encadré), risque limité (simple obligation de transparence) et risque minimal (libre). Le niveau ne dépend pas du modèle utilisé, mais de ce que l'IA fait et de qui elle affecte. Un même outil peut changer de niveau selon son usage.

L'AI Act fonctionne comme une pyramide. Plus une IA peut nuire aux personnes, plus elle grimpe dans les niveaux et plus les obligations se durcissent.

Tout en haut, l'interdit : notation sociale généralisée, manipulation abusive. Juste en dessous, le haut risque, autorisé mais très surveillé. En bas, la grande majorité des usages courants, quasi libres.

Ce qui compte, c'est l'usage réel. Le même modèle de langage peut relever du risque minimal pour rédiger un mail et du haut risque s'il sert à évaluer des salariés.

• Risque inacceptable : usages interdits (notation sociale, manipulation).
• Haut risque : autorisé, mais soumis à obligations strictes.
• Risque limité : autorisé, avec obligation d'informer l'utilisateur (ex. chatbot).
• Risque minimal : la plupart des usages, sans contrainte particulière.

Quels sont les exemples de systèmes à haut risque ?

Les systèmes à haut risque couvrent des domaines où une erreur pèse lourd sur les personnes : recrutement et gestion des salariés, accès au crédit et à l'assurance, éducation et examens, santé, justice, forces de l'ordre, infrastructures critiques. Dans le B2B, ce sont surtout les RH, la finance et l'assurance qui sont concernées au quotidien.

Le fil rouge est simple : dès qu'une IA participe à une décision qui ouvre ou ferme une porte importante dans la vie de quelqu'un, elle bascule en haut risque.

Voici les cas que rencontrent le plus souvent les PME et ETI en B2B :

• RH : tri de CV, présélection de candidats, évaluation ou promotion des salariés.
• Finance : scoring de crédit, décision d'octroi de prêt, évaluation de solvabilité.
• Assurance : tarification et acceptation en assurance vie et santé.
• Éducation : correction automatisée d'examens, orientation, admission.
• Santé et infrastructures : diagnostic d'appui, gestion d'équipements critiques.

Comment savoir si mon IA est un système à haut risque ?

Posez-vous trois questions : mon IA décide-t-elle ou influence-t-elle une décision sur des personnes ? Le domaine figure-t-il dans la liste de l'AI Act (RH, crédit, santé, éducation…) ? Une erreur pourrait-elle nuire aux droits ou à la sécurité de quelqu'un ? Si vous répondez oui aux trois, votre outil est très probablement à haut risque.

Pas besoin d'être juriste pour un premier tri. La logique de l'AI Act est accessible : elle vise les IA qui pèsent sur la vie des gens dans des domaines listés.

Attention au cas fréquent où une IA « aide » sans « décider ». Un outil qui recommande fortement un classement de candidats reste à haut risque, même si un humain valide à la fin.

En cas de doute, mieux vaut traiter l'usage comme sensible et poser la question au fournisseur ou à un conseil. Se tromper de niveau coûte bien plus cher que de vérifier.

• L'IA décide-t-elle, ou pèse-t-elle fortement, sur des personnes ?
• Le domaine est-il listé par l'AI Act (emploi, crédit, santé, éducation…) ?
• Une erreur pourrait-elle léser les droits ou la sécurité de quelqu'un ?
• Trois « oui » : traitez l'outil comme un système à haut risque.

Quelles obligations pèsent sur un système à haut risque ?

Un système à haut risque doit reposer sur des données de qualité, tenir une documentation technique à jour, tracer son fonctionnement, garantir une supervision humaine réelle et démontrer sa robustesse et sa sécurité. L'entreprise doit pouvoir prouver, sur pièces, qu'elle a évalué et maîtrisé les risques avant et pendant l'usage de l'outil.

L'esprit du texte tient en un mot : la preuve. Il ne suffit plus d'utiliser une IA de bonne foi, il faut pouvoir démontrer qu'on l'a encadrée.

La supervision humaine est centrale. Sur un usage à haut risque, une personne doit pouvoir comprendre, contester et corriger la décision de la machine.

Ces obligations concernent le fournisseur du système, mais aussi l'entreprise qui l'utilise. Déployer un outil sans vérifier sa conformité vous expose directement.

• Données d'entraînement de qualité, représentatives et documentées.
• Documentation technique et enregistrement automatique des événements (logs).
• Supervision humaine capable de comprendre, contester et corriger.
• Robustesse, exactitude et sécurité démontrées et surveillées dans le temps.
• Transparence sur les capacités et les limites du système.

Que risque une entreprise qui ignore ces règles ?

Une entreprise qui déploie un système à haut risque non conforme s'expose à des sanctions financières lourdes prévues par l'AI Act, pouvant atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires mondial. S'y ajoutent le risque de contentieux pour discrimination, l'atteinte à la réputation et l'obligation de retirer l'outil du jour au lendemain.

Le volet financier est dissuasif. Les amendes de l'AI Act se calculent en millions d'euros ou en pourcentage du chiffre d'affaires mondial, selon le montant le plus élevé.

Mais le coût ne s'arrête pas à l'amende. Un outil de recrutement jugé discriminatoire, c'est un contentieux prud'homal, une image écornée et un projet à refaire.

Le pire scénario reste l'arrêt brutal : devoir suspendre un outil intégré à vos processus, sans solution de repli, parce qu'il n'était pas conforme.

• Amendes de l'AI Act atteignant plusieurs millions d'euros.
• Contentieux pour discrimination liés au droit de la non-discrimination.
• Atteinte à la réputation auprès des clients, candidats et partenaires.
• Obligation de retirer ou de suspendre l'outil, avec un projet à reprendre.

Quels pièges éviter avec les systèmes à haut risque ?

Le premier piège est de croire que seuls les grands groupes sont concernés : une PME qui utilise un outil RH ou un scoring l'est tout autant. Le deuxième est de penser que la responsabilité repose sur le seul fournisseur. Le troisième est de croire qu'un humain qui « valide » suffit, alors que le contrôle doit être réel, pas symbolique.

« On est trop petits pour être concernés » : faux. Ce n'est pas la taille de l'entreprise qui compte, mais l'usage de l'IA. Une TPE qui trie des CV avec une IA entre dans le champ.

« C'est l'éditeur qui gère la conformité » : en partie seulement. L'entreprise qui utilise l'outil garde des obligations propres, dont la supervision humaine.

Enfin, un humain qui clique « valider » sans jamais rien contester n'est pas une vraie supervision. Le contrôle doit être effectif et outillé, pas un simple tampon.

• Croire que seules les grandes entreprises sont concernées.
• Reporter toute la responsabilité sur le fournisseur du système.
• Confondre validation de façade et supervision humaine réelle.
• Oublier de réévaluer le système une fois en production.

Quels termes sont proches ou liés au système à haut risque ?

Le système à haut risque s'inscrit dans un ensemble de notions de l'AI Act : les niveaux de risque, le biais algorithmique qui menace ces systèmes, la supervision humaine exigée, l'explicabilité qui la rend possible et l'IA de confiance comme objectif global. Les comprendre ensemble aide à situer chaque obligation.

Le système à haut risque n'existe pas seul. C'est le niveau le plus exigeant d'une échelle définie par l'AI Act, juste sous les usages purement interdits.

Beaucoup d'obligations visent un même ennemi : le biais algorithmique. Un système à haut risque doit prouver qu'il ne discrimine pas, d'où l'importance des tests par groupe.

Enfin, la supervision humaine et l'explicabilité vont de pair : on ne peut contrôler une décision qu'à condition de comprendre pourquoi l'IA l'a proposée.

• AI Act : le règlement qui définit et encadre ces systèmes.
• Biais algorithmique : le principal risque de discrimination à maîtriser.
• Explicabilité (XAI) : condition d'une supervision humaine réelle.
• IA de confiance et IA responsable : l'objectif visé par ces obligations.

Comment se mettre en conformité sans être expert technique ?

On commence par cartographier ses usages d'IA et repérer ceux qui touchent des personnes dans les domaines listés. On interroge ensuite les fournisseurs sur leur conformité, on met en place une supervision humaine sur les cas sensibles et on documente ses choix. Ce travail est d'abord organisationnel et juridique, pas informatique.

La première étape ne demande aucune compétence de code : faire la liste de toutes les IA utilisées et cocher celles qui décident sur des personnes.

La deuxième est faite de bonnes questions au fournisseur : votre système est-il classé à haut risque, quelle documentation fournissez-vous, comment testez-vous les biais ?

La troisième est interne : désigner qui supervise, garder une trace des décisions sensibles et prévoir un réexamen régulier. C'est de la gouvernance, à la portée de toute équipe formée.

• Cartographier ses usages d'IA et isoler ceux qui touchent des personnes.
• Questionner les fournisseurs sur le classement et la documentation.
• Mettre en place une supervision humaine sur les usages sensibles.
• Documenter les choix et planifier des réexamens réguliers.

Pourquoi ce sujet est-il stratégique pour votre entreprise ?

Parce qu'un outil à haut risque mal encadré peut coûter très cher : amende, contentieux, projet à jeter. Former vos équipes à reconnaître ces systèmes leur permet de choisir les bons outils, de questionner les prestataires et de sécuriser chaque déploiement. C'est le moyen le plus rapide de profiter de l'IA sans exposer l'entreprise.

Vos équipes n'ont pas besoin de devenir juristes. Elles ont besoin de savoir repérer un usage sensible avant de signer avec un éditeur ou de lancer un projet.

Un collaborateur formé pose les bonnes questions dès le départ, réclame la documentation utile et met un contrôle humain là où il faut. C'est de la prévention concrète, à faible coût.

C'est l'objet de nos formations : donner à vos équipes les repères de l'AI Act, avec des exemples tirés de votre métier et sans jargon, pour avancer vite et conforme.