La qualification de système d’intelligence artificielle à haut risque. Les deux voies de l’article 6, le composant de sécurité et le filtre d’exemption

1La qualification de haut risque est le pivot du règlement. Elle ne décrit pas un état du monde : elle déclenche un régime. En amont d’elle, un système d’intelligence artificielle n’est soumis, le plus souvent, qu’à des obligations de transparence, voire à rien du tout. En aval, il supporte l’intégralité du chapitre III — exigences techniques, obligations des opérateurs, démonstration de la conformité, enregistrement, surveillance. C’est dire que l’article 6 concentre, à lui seul, l’essentiel des enjeux économiques du texte, et qu’il est le lieu naturel de tous les efforts d’évitement.

2Le législateur de l’Union en avait conscience. L’article 6 est, avec l’article 5, la disposition qui a le plus varié entre la proposition de 2021 et le texte adopté ; c’est aussi l’une des rares que la révision de 2026 a rouverte moins de deux ans après l’entrée en vigueur du règlement. Ces variations ne sont pas des retouches de rédaction : elles déplacent la frontière, et il est possible de dire dans quel sens.

1. Deux voies, une seule qualification

La raison d’être d’une qualification dédoublée

3Le livre blanc de la Commission européenne de février 2020 proposait un critère unique et cumulatif : serait à haut risque l’application d’intelligence artificielle employée dans un secteur sensible et utilisée, dans ce secteur, d’une manière génératrice de risques significatifs^[3]. La proposition de règlement d’avril 2021 a abandonné ce critère au profit d’une construction en deux voies, qui est celle du texte en vigueur^[4].

4Ce dédoublement n’est pas une commodité de rédaction : il traduit deux logiques de protection distinctes. La première voie greffe le règlement sur le droit de la sécurité des produits ; elle vise les systèmes d’intelligence artificielle qui interviennent dans des objets déjà soumis à un contrôle avant mise sur le marché — machines, jouets, ascenseurs, équipements sous pression, dispositifs médicaux, véhicules, aéronefs. Le risque y est un risque physique, et l’intérêt protégé est la santé et la sécurité. La seconde voie ne se greffe sur rien : elle saisit des logiciels autonomes, qui ne blessent personne mais qui décident, ou contribuent à décider, de l’accès d’une personne à un emploi, à un crédit, à une prestation sociale, à un établissement scolaire, à un territoire, à un procès. Le risque y est un risque pour les droits fondamentaux.

5Les considérants du règlement énoncent chacune de ces logiques séparément. Le considérant 47 rattache la première à l’objectif traditionnel de la législation d’harmonisation : garantir que « seuls des produits sûrs et conformes à d’autres égards soient mis sur le marché », en prévenant les risques que peut créer un produit « dans son ensemble en raison de ses composants numériques »^[5]. Le considérant 52 rattache la seconde à la destination du système et à la gravité conjuguée à la probabilité du préjudice^[6]. Le considérant 48 énumère les droits de la Charte des droits fondamentaux de l’Union européenne dont l’atteinte constitue un critère de classement — dignité, vie privée, protection des données, expression, réunion, non-discrimination, éducation, protection des consommateurs, droits des travailleurs, droits des personnes handicapées, égalité de genre, propriété intellectuelle, recours effectif, droits de la défense et présomption d’innocence, bonne administration^[7].

Ce que les deux voies ont en commun, et ce qui les sépare

6Les deux voies partagent un préalable et un pivot. Le préalable est la qualification de système d’intelligence artificielle au sens de l’article 3, point 1) : un logiciel qui ne satisfait pas à cette définition ne peut être à haut risque, quel que soit son domaine d’emploi^[8]. Le pivot est la destination, c’est-à-dire l’usage auquel le fournisseur destine le système, telle qu’elle ressort de la notice d’utilisation, de la documentation technique et des indications publicitaires ou de vente^[9]. Ces deux notions relèvent de l’article consacré au champ d’application, auquel il est renvoyé.

7Les deux voies diffèrent en revanche sur trois points qui commandent toute la suite. D’abord, le filtre de l’article 6, paragraphe 3, qui permet au fournisseur d’écarter la qualification, ne joue que pour la seconde voie ; le projet de lignes directrices de la Commission le rappelle expressément^[10]. Ensuite, la première voie renvoie à des textes extérieurs — la législation d’harmonisation de l’Union — dont le règlement ne maîtrise ni le champ ni les procédures, tandis que la seconde repose sur une liste que le règlement porte lui-même. Enfin, la première voie est indifférente aux droits fondamentaux : elle ne mesure que la sécurité.

8Une précision s’impose d’emblée, que le projet de lignes directrices formule en termes catégoriques : la classification comme système à haut risque n’emporte aucune interdiction^[11]. Elle n’emporte pas davantage licéité. Le considérant 63 le dit dans l’autre sens : qu’un système soit classé à haut risque ne signifie pas que son utilisation soit licite au regard des autres actes du droit de l’Union ou du droit national, notamment en matière de protection des données à caractère personnel^[12]. La qualification ouvre un régime de conformité ; elle ne délivre pas de permis.

2. Le système d’IA dans un produit réglementé

La condition de rattachement : l’annexe I

9L’annexe I ne dresse pas la liste des produits à haut risque : elle dresse celle des législations d’harmonisation de l’Union qui régissent la sécurité de certains produits. La différence est capitale. Pour savoir si un système relève de la première voie, il ne faut pas consulter une nomenclature de produits, mais vérifier si le système lui-même, ou le produit dont il est le composant de sécurité, entre dans le champ matériel de l’un des actes énumérés^[13].

10L’annexe se divise en deux sections. La section A regroupe les actes fondés sur le nouveau cadre législatif — sécurité des jouets, bateaux de plaisance, ascenseurs, atmosphères explosibles, équipements radioélectriques, équipements sous pression, installations à câbles, équipements de protection individuelle, appareils à combustibles gazeux, dispositifs médicaux et dispositifs médicaux de diagnostic in vitro. La section B regroupe les législations sectorielles : sûreté de l’aviation civile, véhicules à deux ou trois roues, véhicules agricoles et forestiers, équipements marins, interopérabilité ferroviaire, réception des véhicules à moteur, sécurité générale des véhicules, aviation civile pour les aéronefs sans équipage à bord^[14].

11Cette division n’est pas d’archivage : elle décide de l’étendue du régime. Pour les produits de la section A, le système classé à haut risque supporte l’ensemble des exigences du chapitre III. Pour ceux de la section B, l’article 2, paragraphe 2, réduit l’application du règlement à quelques dispositions seulement, à charge pour la législation sectorielle d’intégrer, en temps utile, des exigences équivalentes^[15]. Passer un texte de la section A à la section B revient donc à soustraire tout un secteur au régime horizontal.

12C’est exactement ce que la révision de 2026 a fait pour les machines. Le règlement (UE) 2023/1230 sur les machines, qui figurait à la section A, a été transféré à la section B^[16]. Le considérant 42 du règlement modificatif justifie ce transfert par la nécessité de « passer à une approche sectorielle » compte tenu de la spécificité du secteur, et impose en contrepartie à la Commission européenne d’adopter des actes délégués modifiant l’annexe III du règlement sur les machines afin d’y intégrer les exigences correspondantes du chapitre III, section 2, ainsi que des articles 17, 19, 72 et 73 du règlement sur l’intelligence artificielle^[17]. La compensation est réelle : elle est aussi différée et confiée à un acte qui n’existe pas encore. Une prise de position conjointe de plusieurs organisations de défense des droits fondamentaux, publiée en juin 2026, a qualifié ce transfert de mise à l’écart sectorielle et souligné l’incohérence qu’il introduit entre secteurs comparables^[18].

Le composant de sécurité : une définition réécrite

13La notion de composant de sécurité est le verrou de la première voie. Le règlement en donne une définition autonome, valable pour lui seul : le projet de lignes directrices insiste sur ce point, en précisant que les définitions du composant de sécurité contenues dans les législations énumérées à l’annexe I sont indifférentes à la qualification opérée au titre de l’article 6, paragraphe 1^[19]. Un même dispositif peut ainsi être un composant de sécurité au sens du règlement sur l’intelligence artificielle sans l’être au sens du règlement sectoriel, et réciproquement.

14La définition articule deux branches alternatives. La première est intentionnelle : le composant remplit une fonction de sécurité, c’est-à-dire que le fournisseur le destine à prévenir ou atténuer un risque. La seconde est conséquentialiste : indépendamment de toute intention, la défaillance ou le dysfonctionnement du composant met en danger la santé et la sécurité. Le projet de lignes directrices restitue cette dualité avec précision, en observant que la première branche laisse au fournisseur une maîtrise élevée de la qualification, puisqu’elle dépend de la destination qu’il déclare, tandis que la seconde lui en laisse beaucoup moins, puisqu’elle dépend de l’architecture du système et de ses modes de défaillance^[22].

15Le considérant 7 du règlement modificatif expose l’objectif poursuivi par la réécriture : la définition de 2024 « n’apporte pas la clarté nécessaire » et « risque d’étendre la classification des systèmes d’IA à haut risque au-delà de ce qui est justifié par l’approche fondée sur les risques » ; il fallait donc « cibler » la notion^[23]. Trois paragraphes nouveaux ont été insérés à l’article 6 à cette fin. Le paragraphe 1 bis exclut les systèmes « uniquement utilisés pour des aspects non liés à la sécurité en ce qui concerne l’assistance aux utilisateurs, l’optimisation des performances, l’efficacité des services, l’automatisation, la commodité ou le contrôle de la qualité ». Le paragraphe 1 ter dispose que, « nonobstant le paragraphe 1 bis », les systèmes dont la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité sont considérés comme des composants de sécurité. Le paragraphe 1 quater écarte la condition du point b) lorsque l’évaluation de la conformité par un tiers n’est exigée qu’en raison de risques étrangers à la santé et à la sécurité, notamment les risques liés à la distribution du spectre radioélectrique ou aux interférences électromagnétiques^[24].

16La portée réelle de ce dispositif mérite d’être mesurée. Lus ensemble, les paragraphes 1 bis et 1 ter reconstituent exactement la structure alternative de la définition : le premier écarte la branche intentionnelle pour les fonctions de confort, d’optimisation et de qualité ; le second rétablit intégralement la branche conséquentialiste. Il n’est donc soustrait à la qualification que les systèmes qui, n’ayant pas de fonction de sécurité, ne mettent pas non plus en danger la santé et la sécurité en cas de défaillance — c’est-à-dire précisément ceux que la définition de 2024 laissait déjà hors de son champ, faute de satisfaire à l’une ou l’autre de ses branches. Le resserrement annoncé est, sur ce point, largement déclaratif : il codifie une interprétation plutôt qu’il ne restreint une règle. Le projet de lignes directrices, qui a été soumis à consultation avant l’adoption du règlement modificatif et qui cite encore la définition dans sa rédaction de 2024, retenait déjà cette lecture, illustrations à l’appui^[25].

17Le paragraphe 1 quater, en revanche, produit un effet propre et substantiel. Nombre d’objets connectés ne sont soumis à une évaluation par un organisme notifié qu’au titre de la directive relative aux équipements radioélectriques, et pour des motifs qui n’ont rien à voir avec la sécurité des personnes : l’usage efficace du spectre, la compatibilité électromagnétique. Sans le paragraphe 1 quater, la condition du point b) aurait été satisfaite par ces produits, et la qualification aurait pu se propager à des systèmes sans enjeu de sécurité. Le projet de lignes directrices avait, ici encore, proposé la même lecture avant que le texte ne la consacre, en indiquant que la notion de composant de sécurité pouvait s’entendre comme excluant les intérêts publics protégés par la législation d’harmonisation qui excèdent la santé, la sécurité et les droits fondamentaux^[28].

La condition d’évaluation par un tiers, et le paradoxe qu’elle recèle

18La seconde condition de l’article 6, paragraphe 1, est que le produit — ou le système lorsqu’il est lui-même le produit — soit soumis à une évaluation de la conformité par un tiers. L’idée est simple : le législateur de l’Union a déjà, secteur par secteur, réservé l’intervention d’un organisme notifié aux produits dont la conception est complexe ou qui présentent les risques les plus élevés ; le règlement se contente d’emprunter ce tri. Le considérant 51 précise d’ailleurs que le règlement ne détermine ni ne modifie le profil de risque d’un produit : il s’appuie sur la classification sectorielle existante^[29].

19L’emprunt se heurte pourtant à une difficulté que le texte a mis deux ans à affronter. La décision n° 768/2008/CE organise huit modules d’évaluation de la conformité, du module A — contrôle interne de la production, sans organisme notifié — au module H1^[30]. Or plusieurs législations sectorielles laissent au fabricant le choix entre le module A et un module faisant intervenir un tiers, en subordonnant le premier à l’application intégrale des normes harmonisées publiées au Journal officiel de l’Union européenne. Faut-il alors considérer que le produit « est soumis » à une évaluation par un tiers ? Si l’on répond par la négative, il suffit au fabricant d’appliquer les normes harmonisées pour faire échapper son produit — et le système d’intelligence artificielle qu’il incorpore — à toute la troisième partie du règlement.

20Le projet de lignes directrices répond par l’affirmative, et le fait en des termes qui excèdent la lettre. Il énonce que le facteur décisif est que le produit soit soumis, avant sa mise sur le marché, à un contrôle réglementaire renforcé, « assuré par l’exigence d’une évaluation de la conformité par un tiers ou par des mécanismes équivalents, y compris le contrôle interne subordonné à l’application obligatoire de normes harmonisées publiées au Journal officiel »^[31]. L’article 6, paragraphe 1, point b), exige une évaluation par un tiers ; les lignes directrices y assimilent un contrôle interne conditionné. L’assimilation est fonctionnellement justifiable — l’application obligatoire d’une norme harmonisée est bien un contrôle plus exigeant qu’une simple auto-déclaration — ; elle n’en est pas moins une extension, et elle procède d’un instrument dont le projet reconnaît lui-même qu’il ne lie pas et que seule la Cour de justice de l’Union européenne peut donner du règlement une interprétation faisant autorité^[32].

21Le projet cherche un appui dans le droit positif et le trouve dans le règlement (UE) 2025/2509 sur la sécurité des jouets, dont le considérant 15 énonce que le choix par le fabricant de la procédure d’évaluation de la conformité, s’il lui est possible de renoncer à l’intervention d’un tiers en appliquant les normes harmonisées, « ne devrait pas avoir d’incidence sur la classification en tant que système d’IA à haut risque »^[33]. L’appui est solide sur le fond ; il l’est moins dans le temps. Ce règlement n’est applicable qu’à partir du 1^er août 2030, date à laquelle il abroge la directive 2009/48/CE qui figure encore à l’annexe I^[34]. Or le régime du haut risque de l’annexe I deviendra applicable plus de deux ans auparavant (voir l’article consacré au calendrier). Pendant cet intervalle, la confirmation invoquée ne sera pas en vigueur : la qualification des jouets dotés d’intelligence artificielle reposera sur la seule interprétation de la directive de 2009.

22Le règlement modificatif a, de son côté, tranché la question voisine — et l’a tranchée en sens inverse. Il a ajouté à l’article 43, paragraphe 3, deux phrases nouvelles : la classification d’un produit comme système d’IA à haut risque au titre de l’article 6, paragraphe 1, « n’affecte pas le choix de la procédure d’évaluation de la conformité offert aux fabricants », lesquels « ne sont pas tenus de choisir une procédure d’évaluation de la conformité impliquant une évaluation par un tiers uniquement parce que le produit intègre un système d’IA à haut risque en tant que composant de sécurité »^[35]. Le considérant 20 confirme que l’article 6, paragraphe 1, « ne devrait pas être interprété comme exigeant que les produits dans lesquels un système d’IA à haut risque est intégré soient automatiquement soumis à une évaluation de la conformité par un tiers faisant intervenir un organisme notifié »^[36].

23Le résultat est une circularité assumée. Un produit est à haut risque parce qu’il est soumis à une évaluation par un tiers ; mais l’être ne l’oblige pas à s’y soumettre. La contradiction n’est qu’apparente : la condition du point b) sélectionne une catégorie de produits par le niveau de contrôle que le législateur sectoriel a jugé nécessaire, elle ne prescrit pas la procédure à suivre. Elle n’en produit pas moins un effet pratique inattendu : le fabricant qui applique intégralement les normes harmonisées échappe à l’organisme notifié tout en demeurant tenu de l’ensemble des exigences du chapitre III, dont il devra démontrer le respect par la voie du contrôle interne — ce que l’article 43, paragraphe 3, subordonne à l’application des normes harmonisées ou des spécifications communes couvrant ces exigences^[37]. Autrement dit, la qualification ne déclenche pas le tiers ; elle déclenche la norme.

Deux précisions de champ

24La première voie s’applique indifféremment aux produits professionnels et aux produits de consommation. Le projet de lignes directrices le souligne, tout en observant que la plupart des équipements domestiques intelligents — thermostats, lave-linge, purificateurs d’air, réfrigérateurs, téléviseurs — échapperont à la qualification, non par exclusion de principe mais parce qu’ils ne satisfont à aucune des deux branches de la définition du composant de sécurité. Il réserve toutefois les cas où la conception du produit et les conditions d’usage raisonnablement prévisibles en décident autrement, en citant les serrures connectées et les dispositifs de sécurité enfant^[38].

25La seconde précision touche au mode de fourniture. L’article 6, paragraphe 1, s’applique « qu’il soit ou non indépendant des produits visés aux points a) et b) » : un système livré sous forme de mise à jour logicielle, de module additionnel ou de service distant peut être qualifié à haut risque au même titre qu’un composant intégré à la fabrication, dès lors que les deux conditions sont réunies^[39]. La qualification suit la fonction, non le mode de livraison.

3. Les systèmes autonomes de l’annexe III

Huit domaines, une liste exhaustive de cas d’usage

26La seconde voie repose sur une liste. L’annexe III énumère huit domaines — biométrie ; infrastructures critiques ; éducation et formation professionnelle ; emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant ; accès aux services privés essentiels et aux services publics et prestations sociales essentiels ; répression ; migration, asile et gestion des contrôles aux frontières ; administration de la justice et processus démocratiques — et, à l’intérieur de chacun, des cas d’usage précisément décrits^[40].

27L’articulation entre les domaines et les cas d’usage est décisive, et régulièrement mal comprise. Relever d’un domaine ne suffit pas : un système d’intelligence artificielle employé dans un hôpital, une école ou une banque n’est pas à haut risque de ce seul fait. Seuls le sont les systèmes dont la destination correspond à l’un des cas d’usage énumérés. Le projet de lignes directrices insiste sur le caractère exhaustif de cette liste, qui ne peut être modifiée que par acte délégué et sous les conditions de l’article 7^[41].

28La technique de rédaction varie sensiblement d’un domaine à l’autre, et ces variations sont porteuses de sens. Certains cas d’usage sont définis par la fonction du système : évaluer la solvabilité d’une personne physique, évaluer les acquis d’apprentissage, filtrer des candidatures. D’autres le sont par la qualité de l’utilisateur : les cas d’usage des domaines de la répression, de la migration et de l’administration de la justice ne sont constitués que si le système est destiné à être utilisé par une autorité déterminée ou pour son compte. D’autres enfin sont assortis d’exclusions expresses : la vérification biométrique dont la seule finalité est de confirmer qu’une personne est bien celle qu’elle prétend être est écartée du point 1, a) ; la détection des fraudes financières est écartée du point 5, b) ; les outils d’organisation logistique des campagnes politiques sont écartés du point 8, b)^[42].

Quatre notions transversales

29La destination, et son objectivation. Le déclencheur de la qualification est la destination du système, c’est-à-dire une donnée que le fournisseur maîtrise. Le projet de lignes directrices en tire une conséquence que le texte ne formule pas et qui pourrait être la plus lourde de tout le document : lorsque la notice, les conditions contractuelles, les conditions d’utilisation, la politique d’usage ou les matériaux promotionnels présentent le système comme largement applicable à une généralité de contextes sans en exclure de manière constante les usages à haut risque, la destination du système est réputée englober ces usages, et le système est qualifié en conséquence. Le projet ajoute que la seule affirmation, dans les conditions d’utilisation, que les usages à haut risque sont exclus ne suffit pas si la présentation générale du produit, les exemples fournis ou le positionnement commercial permettent ou promeuvent de tels usages ; les limitations doivent être décrites de façon claire, concrète et cohérente dans l’ensemble des matériaux^[43].

30Il y a là un renversement de méthode. La destination est, dans le droit de la sécurité des produits, une notion déclarative : elle est ce que le fabricant dit qu’elle est. Les lignes directrices en font une notion objective, reconstruite à partir du faisceau des documents commerciaux et de la faisabilité technique des usages. La clause de style perd son effet ; c’est le positionnement réel du produit qui décide. Cette lecture est indispensable si l’on veut que la qualification résiste aux systèmes à usage général, dont la polyvalence est le principal argument de vente ; elle transfère en contrepartie à l’autorité de surveillance du marché une appréciation que la lettre du texte confiait au fournisseur.

31Les personnes physiques. Plusieurs cas d’usage ne sont constitués que si le système est destiné à évaluer des personnes physiques. Le projet de lignes directrices précise que la notion englobe les entrepreneurs individuels, les professions indépendantes et les travailleurs non salariés agissant dans le cadre de leur activité commerciale, et qu’un système destiné à évaluer aussi des personnes morales demeure dans le champ dès lors qu’il est également destiné à évaluer des personnes physiques. À l’inverse, un système d’évaluation de la solvabilité des entreprises, qui n’exploite que des données d’entreprise, en sort — y compris lorsqu’il apprécie le dirigeant qui garantit un prêt consenti à la société, le bénéficiaire principal du crédit étant alors la personne morale^[44].

32Le compte d’autrui. Les cas d’usage relatifs aux autorités publiques visent systématiquement les systèmes destinés à être utilisés par elles « ou en leur nom ». L’objectif est d’empêcher qu’une externalisation ne fasse échapper le système à la qualification alors que le risque pour les droits fondamentaux demeure identique. Le projet de lignes directrices en donne un critère : agit pour le compte d’une autorité publique le tiers auquel celle-ci délègue l’exécution d’une activité, ou qu’elle sollicite en soutien dans des cas déterminés ; n’agit pas pour son compte l’entité privée qui agit pour elle-même, volontairement ou pour satisfaire à une obligation légale qui lui est propre. L’exemple retenu est celui du cabinet comptable qui déploie un système de détection du blanchiment de capitaux pour se conformer à ses propres obligations : il n’agit pas pour le compte des autorités répressives^[45].

33La réserve de licéité. Les points 1, 6 et 7 de l’annexe III ne visent les systèmes concernés que « dans la mesure où leur utilisation est autorisée par le droit de l’Union ou le droit national applicable ». Cette formule ne restreint pas la qualification : elle rappelle qu’un système peut être à la fois qualifié à haut risque et illicite. Le projet de lignes directrices renvoie sur ce point au considérant 63 et à l’article 2, paragraphe 9, aux termes duquel le règlement s’applique sans préjudice des règles relatives à la protection des consommateurs, à la sécurité des produits et à la protection des données^[46].

Le contrôle humain ne déclasse pas

34Une idée circule, selon laquelle il suffirait de placer un opérateur humain en bout de chaîne pour que le système cesse d’être à haut risque. Le projet de lignes directrices la réfute frontalement : le seul critère pertinent au titre de l’article 6, paragraphe 2, est que la destination du système corresponde à l’un des cas d’usage de l’annexe III ; l’intervention humaine ne modifiant ni cette destination ni ce domaine, elle est sans effet sur la qualification. Le contrôle humain n’est pas une condition de la qualification : il est une exigence à laquelle les systèmes qualifiés doivent satisfaire, au titre de l’article 14. Le fournisseur ne peut donc pas déclasser un système en lui adjoignant une supervision humaine^[47].

35Le degré d’intervention humaine n’est pas pour autant indifférent : il peut jouer, mais ailleurs, et par un autre chemin. Il sert à établir que les tâches auxquelles le système est destiné sont procédurales, préparatoires ou seulement améliorantes — c’est-à-dire à faire jouer le filtre de l’article 6, paragraphe 3, qui fait l’objet de la partie suivante^[48].

Les architectures composées et les systèmes agentiques

36Reste une difficulté que le texte n’aborde pas et que la pratique impose : celle des systèmes composés. Rien n’est plus simple, en apparence, que de fractionner une fonction qualifiée en une chaîne de modules dont aucun, isolément, ne correspond à un cas d’usage de l’annexe III. Le projet de lignes directrices oppose à ce fractionnement une construction interprétative dépourvue d’appui textuel exprès, mais commandée par l’effet utile : lorsque plusieurs systèmes d’intelligence artificielle composent un ensemble dont la destination combinée ou les sorties conjointes influencent matériellement une décision individuelle, la configuration est traitée comme un système unique aux fins de la qualification, et les architectures fractionnées sont appréciées globalement^[49].

37Le projet étend expressément ce raisonnement aux systèmes agentiques, définis comme des ensembles interconnectés qui se coordonnent et interagissent par des actions chaînées, dès lors que ces actions concourent ensemble à une destination relevant du haut risque. Il réserve, en sens inverse, les fonctions véritablement séparables, mises en service indépendamment et ne concourant pas à une destination qualifiée^[50]. La distinction est juste dans son principe ; elle sera difficile à administrer, car la séparabilité d’un module est une question technique dont la réponse dépend de la manière dont le fournisseur a choisi de découper son architecture — c’est-à-dire, précisément, de la variable que le raisonnement entend neutraliser.

4. Le filtre de l’article 6, paragraphe 3

Une exception née du trilogue

38L’article 6 de la proposition de 2021 comptait deux paragraphes : la voie des produits, la voie de l’annexe III. Il n’y avait ni filtre, ni auto-évaluation, ni obligation documentaire à la charge du fournisseur qui estimerait son système hors du haut risque^[51]. Le paragraphe 3, ses quatre conditions, l’exception de profilage et le paragraphe 4 sont le produit des négociations qui ont conduit au texte adopté. Cette généalogie éclaire la fonction du dispositif : il n’a pas été conçu comme un tempérament technique, mais comme la contrepartie d’une liste dont les États membres et le Parlement européen redoutaient qu’elle ne saisisse, par sa généralité, des applications sans enjeu.

La structure du filtre

39La rédaction est trompeuse. Le premier alinéa paraît poser un critère matériel — l’absence de risque important —, dont le deuxième alinéa ne fournirait que des illustrations. Le projet de lignes directrices dissipe l’ambiguïté : les quatre conditions sont exhaustives mais alternatives, et il n’existe aucune appréciation autonome ou indépendante du caractère important du risque en dehors d’elles^[52]. Le fournisseur ne peut donc pas soutenir que son système, bien que ne remplissant aucune des quatre conditions, ne présente pas de risque important ; symétriquement, l’autorité ne peut pas lui opposer un risque résiduel dès lors que l’une des conditions est remplie. Le premier alinéa n’est pas un critère : il est l’énoncé de la présomption que les quatre conditions traduisent.

40Le même document ajoute deux directives d’interprétation qui en réduisent sensiblement la portée. La première est classique : l’article 6, paragraphe 3, constituant une exception à des règles destinées notamment à protéger les droits fondamentaux, ses conditions sont d’interprétation stricte. La seconde est plus originale : elles doivent être lues à la lumière du premier alinéa, en ce sens que le système ne doit pas influencer matériellement le résultat de la décision^[53]. Le premier alinéa, écarté comme critère autonome, revient ainsi comme instrument d’interprétation des conditions. La construction est habile et probablement nécessaire ; elle n’est pas dans le texte.

Les quatre conditions

41La tâche procédurale étroite. Le considérant 53 en donne pour exemples la transformation de données non structurées en données structurées, le classement de documents entrants par catégories et la détection de doublons^[54]. Le projet de lignes directrices trace la limite au point où la catégorisation cesse d’être neutre : un système qui porte un jugement de valeur sur les données pertinentes pour la décision — en qualifiant une pièce d’utile ou de moins utile, en attribuant un score ou un rang — sort de la condition. Trier des dossiers de visa en dossiers d’identité, d’itinéraire, de pièces justificatives et de traductions, détecter les doublons exacts et signaler les formulaires incomplets demeure une tâche procédurale étroite ; classer, filtrer, masquer ou suggérer une suite à donner ne l’est plus^[55].

42L’amélioration d’une activité humaine achevée. Trois éléments cumulatifs sont exigés : une activité humaine achevée, un résultat produit par cet achèvement, et une amélioration de ce résultat. Le projet de lignes directrices retient une lecture littérale du verbe employé : le législateur a choisi « améliorer » plutôt que « réviser », de sorte que l’intervention du système ne doit pas conduire à un résultat matériellement différent de celui de l’activité humaine, mais seulement le vérifier ou l’affiner ; l’amélioration ne doit modifier ni les droits, ni la protection, ni la position juridique ou économique des personnes affectées. Un système qui contrôle une décision humaine et propose une solution substantiellement différente n’améliore pas : il révise, et la condition lui est fermée^[56].

43La détection de constantes ou d’écarts. C’est la condition la plus permissive, et le projet de lignes directrices le reconnaît : à la différence des trois autres, elle admet un rôle plus substantiel du système dans le processus d’évaluation, puisqu’elle lui permet de comparer une appréciation humaine achevée aux décisions antérieures et d’alimenter un réexamen qui pourra, lui, influencer ou remplacer cette appréciation. Trois bornes l’encadrent : l’appréciation humaine doit avoir été menée à son terme ; la comparaison doit être strictement rétrospective, le système ne pouvant inférer des critères des décisions passées pour proposer une évaluation nouvelle ; l’examen humain qui suit doit être approprié, c’est-à-dire véritable et complet, ce qui suppose que le système ne se borne pas à signaler un écart mais renseigne sur sa teneur^[57].

44La tâche préparatoire. Elle se distingue de la tâche procédurale étroite par sa position dans le temps : elle se situe avant le processus d’évaluation, là où la tâche procédurale peut se dérouler pendant. Le critère décisif est la proximité de la tâche avec la décision finale. Un système qui fournit à l’agent des références aux dispositions applicables, des informations de compétence et les instructions internes pertinentes accomplit une tâche préparatoire : il n’analyse ni n’évalue le cas d’espèce. Un système qui produit une recommandation ou une évaluation propre au cas ne le fait plus : il joue un rôle décisif dans l’appréciation^[58].

Le verrou du profilage

45Le troisième alinéa de l’article 6, paragraphe 3, ferme le filtre à tout système qui effectue un profilage de personnes physiques. Le règlement définit cette notion par renvoi à l’article 4, point 4), du règlement général sur la protection des données, ainsi qu’à l’article 3, point 4), de la directive (UE) 2016/680 et à l’article 3, point 5), du règlement (UE) 2018/1725^[59]. Le projet de lignes directrices en dégage trois éléments cumulatifs : un traitement automatisé, portant sur des données à caractère personnel, ayant pour objet d’évaluer des aspects personnels relatifs à une personne physique^[60].

46Le premier élément étant toujours satisfait par un système d’intelligence artificielle, l’exception se joue sur les deux autres. Le projet précise, à la suite des travaux du groupe de travail « article 29 » repris par le Comité européen de la protection des données, qu’une simple classification d’individus selon des caractéristiques telles que l’âge, le sexe ou la taille ne constitue pas nécessairement un profilage : encore faut-il que l’évaluation comporte une prédiction, une appréciation ou un jugement^[61]. L’illustration retenue est instructive : un système de recrutement qui détecte des écarts par rapport aux constantes de décision antérieures pourrait relever de la troisième condition du filtre, mais s’en trouve exclu s’il évalue au passage les caractéristiques personnelles des recruteurs eux-mêmes — le profilage n’a pas à porter sur la personne dont le sort se joue^[62].

Une exemption que le fournisseur se délivre à lui-même

47C’est ici que se situe le point le plus délicat du dispositif. Le bénéfice du filtre ne dépend d’aucune autorisation : il repose sur une auto-évaluation du fournisseur, ainsi que le projet de lignes directrices l’énonce à deux reprises^[63]. Aucun tiers n’intervient, aucune autorité ne vise. Le contrôle est intégralement déplacé en aval, sur la surveillance du marché.

48Deux obligations en constituent la contrepartie. L’article 6, paragraphe 4, impose au fournisseur de documenter son évaluation avant la mise sur le marché ou la mise en service, et de la fournir aux autorités nationales compétentes sur demande ; il le soumet en outre à l’obligation d’enregistrement de l’article 49, paragraphe 2^[64]. Le projet de lignes directrices précise le contenu attendu de la documentation, que le texte laissait indéterminé : une description de la destination du système ; l’exposé des raisons pour lesquelles il relève de l’article 6, paragraphe 2 ; l’indication de la ou des conditions du paragraphe 3 jugées applicables et les motifs de cette appréciation ; enfin les raisons pour lesquelles le système n’effectue pas de profilage^[65]. Il ajoute que l’évaluation doit être conservée de manière à pouvoir être communiquée à tout moment à l’autorité de surveillance du marché, et que les déployeurs sont encouragés à vérifier dans la base de données de l’Union l’usage qui a été fait de l’exception^[66].

49Cette dernière recommandation est d’un intérêt inégal depuis la révision de 2026, et c’est là que le déplacement le plus significatif s’est opéré. L’annexe VIII, section B, énumère les informations que le fournisseur doit inscrire dans la base de données de l’Union lorsqu’il fait jouer le filtre. Dans sa rédaction de 2024, elle comportait neuf points, dont le septième exigeait « un résumé succinct des motifs pour lesquels le système d’IA est considéré comme n’étant pas à haut risque en application de la procédure prévue à l’article 6, paragraphe 3 », et le neuvième la liste des États membres dans lesquels le système avait été mis sur le marché ou mis en service. Le règlement (UE) 2026/1744 a supprimé ces deux points^[67].

50La conséquence est nette. Le fournisseur doit toujours motiver son exemption, mais il n’a plus à publier sa motivation. Ce qui demeure accessible au public, à la lecture de la section B telle que modifiée, est l’identité du fournisseur, la dénomination du système, la description de sa destination, la condition du paragraphe 3 invoquée et le statut du système. Autrement dit : la conclusion sans le raisonnement, et l’invocation d’un motif sans l’exposé de ce motif. Le considérant 22 du règlement modificatif présente cette suppression comme une rationalisation du contenu requis, tout en affirmant que l’enregistrement demeure « indispensable à une surveillance efficace du marché et à une responsabilité publique effective »^[68]. Les deux propositions sont difficilement conciliables : une responsabilité publique effective suppose que le public puisse apprécier la raison de l’exemption, ce qui n’est plus possible.

51La perte est d’autant plus sensible que la publicité était, dans l’économie du dispositif, le seul contrepoids à l’absence de contrôle préalable. La prise de position conjointe de juin 2026 déjà citée relève ce point parmi ses principales critiques^[69]. La suppression du point 9 mérite en outre d’être signalée pour un motif plus technique : la base de données ne permet plus de savoir dans quels États membres un système auto-exempté est diffusé, alors que la surveillance du marché est organisée sur une base nationale.

Les garde-fous

52Le contrôle subsiste, mais il est postérieur et il suppose que l’autorité s’en saisisse. L’article 80 organise la procédure applicable aux systèmes que le fournisseur a classés comme n’étant pas à haut risque en application de l’article 6, paragraphe 3 : l’autorité de surveillance du marché peut évaluer la classification, exiger la mise en conformité et imposer des mesures correctives. Lorsqu’elle constate que la classification erronée visait à contourner les exigences du règlement, elle peut prononcer les sanctions de l’article 99^[70]. S’y ajoute la règle déjà exposée sur les architectures composées : un module qui remplirait isolément l’une des quatre conditions ne bénéficie pas du filtre lorsque l’ensemble auquel il appartient influence matériellement une décision individuelle relevant d’un cas d’usage qualifié^[71].

5. Une frontière mobile : les pouvoirs de la Commission

Modifier l’annexe III

53L’article 7 habilite la Commission européenne à modifier l’annexe III par acte délégué. Deux conditions cumulatives commandent l’ajout ou la modification d’un cas d’usage : le système doit être destiné à être utilisé dans l’un des domaines déjà énumérés, et présenter un risque de préjudice pour la santé et la sécurité, ou d’incidence négative sur les droits fondamentaux, équivalent ou supérieur à celui des systèmes déjà visés^[72].

54La première condition mérite d’être soulignée : elle interdit à la Commission européenne de créer un domaine nouveau. Les huit domaines sont figés au niveau législatif ; seuls les cas d’usage sont mobiles à l’intérieur de chacun d’eux. Un système présentant les risques les plus élevés mais employé dans un domaine qui n’est pas énuméré — la santé hors dispositifs médicaux, l’environnement, la fiscalité — ne peut être ajouté à l’annexe III par acte délégué ; il faudrait une révision du règlement. Le texte le confirme d’ailleurs indirectement : l’article 112, paragraphe 2, charge la Commission européenne d’évaluer périodiquement « la nécessité de modifications pour étendre des rubriques de domaine existantes ou ajouter de nouvelles rubriques de domaine dans l’annexe III » et d’en faire rapport au Parlement européen et au Conseil — c’est-à-dire de saisir le législateur, faute de pouvoir agir seule^[73]. C’est une limite substantielle à la souplesse revendiquée du dispositif.

55L’appréciation du risque est encadrée par onze critères : la destination du système ; l’ampleur de son utilisation effective ou probable ; la nature et la quantité des données traitées, en particulier le traitement ou non de catégories particulières de données à caractère personnel ; le degré d’autonomie du système et la possibilité pour l’homme d’annuler une décision ; les préjudices déjà causés ; l’ampleur potentielle du préjudice, notamment sa capacité à affecter un groupe de manière disproportionnée ; la dépendance des personnes à l’égard des résultats ; le déséquilibre de pouvoir ou la vulnérabilité des personnes affectées ; la réversibilité des résultats ; les bénéfices attendus ; enfin l’existence, en droit de l’Union, de voies de réparation ou de mesures préventives efficaces^[74].

56La proposition de 2021 n’en comptait que huit. Les trois critères ajoutés au cours de la procédure sont significatifs : la nature et la quantité des données traitées, le degré d’autonomie du système et la possibilité d’annuler une décision, et les bénéfices attendus du déploiement. Les deux premiers introduisent dans l’appréciation du risque des considérations techniques que le texte initial ignorait ; le troisième y introduit une mise en balance, qui autorise la Commission européenne à opposer aux risques les avantages du système^[75].

57L’article 7, paragraphe 3, habilite symétriquement la Commission européenne à supprimer des cas d’usage, à deux conditions cumulatives : que le système ne présente plus de risque substantiel au regard des mêmes critères, et que la suppression ne diminue pas le niveau global de protection assuré par le droit de l’Union^[76]. Ce pouvoir de retrait est absent de la proposition de 2021, dont l’article 7 ne permettait que la mise à jour par ajout^[77]. La liste, initialement conçue comme un cliquet, est devenue réversible.

Modifier le filtre

58Les paragraphes 6 et 7 de l’article 6 permettent à la Commission européenne d’agir sur les conditions du filtre lui-même. Leur rédaction n’est pas symétrique, et l’asymétrie est délibérée. Le paragraphe 6 dispose que la Commission « est habilitée à adopter » des actes délégués pour ajouter de nouvelles conditions ou modifier celles qui existent, lorsqu’il existe des preuves concrètes et fiables de l’existence de systèmes relevant de l’annexe III mais ne présentant pas de risque important : c’est une faculté d’élargir. Le paragraphe 7 dispose que la Commission « adopte » des actes délégués pour supprimer l’une des conditions, lorsqu’il existe des preuves concrètes et fiables attestant que cela est nécessaire au maintien du niveau de protection : c’est une obligation de restreindre^[78].

59Le paragraphe 8 borne les deux : toute modification des conditions ne peut diminuer le niveau global de protection de la santé, de la sécurité et des droits fondamentaux, doit demeurer cohérente avec les actes délégués adoptés au titre de l’article 7, paragraphe 1, et tenir compte des évolutions du marché et des technologies^[79]. La clause de non-régression est le véritable verrou du dispositif : elle rend contentieuse toute extension du filtre qui abaisserait la protection, et fournit le fondement d’un recours en annulation contre l’acte délégué qui l’opérerait.

Le réexamen annuel et les lignes directrices qui n’ont pas été adoptées

60L’article 112, paragraphe 1, impose à la Commission européenne d’évaluer une fois par an la nécessité de modifier la liste de l’annexe III ainsi que celle des pratiques interdites de l’article 5, et d’en transmettre les conclusions au Parlement européen et au Conseil ; le projet de lignes directrices y voit l’instrument destiné à maintenir la liste des cas d’usage à jour face aux risques nouveaux et aux évolutions du marché^[80]. Ce mécanisme n’est pas resté théorique : le règlement modificatif de 2026 rattache expressément à ce réexamen périodique les deux interdictions qu’il a ajoutées à l’article 5, examinées dans l’article consacré aux pratiques interdites^[81].

61Reste une difficulté d’une autre nature, et qui commande l’ensemble. L’article 6, paragraphe 5, impose à la Commission européenne de fournir, « au plus tard le 2 février 2026 », des lignes directrices précisant la mise en œuvre pratique de l’article 6, assorties d’une liste exhaustive d’exemples pratiques de cas d’utilisation à haut risque et de cas qui ne le sont pas^[82]. Cette échéance n’a pas été tenue, et le règlement modificatif ne l’a pas déplacée : elle figure toujours dans le texte consolidé, dans la rédaction de 2024.

62Ce qui existe à ce jour est un projet, publié le 19 mai 2026 aux fins d’une consultation ciblée close le 23 juillet 2026, et dont l’adoption est annoncée pour la fin de l’année 2026^[83]. Il se compose de trois documents : un exposé des principes généraux de six pages, un développement de treize pages sur la première voie de qualification, et un ensemble de cent quarante-huit pages consacré à l’annexe III, cas d’usage par cas d’usage. C’est, de très loin, le document le plus substantiel dont dispose le praticien ; c’est aussi un document dont le statut interdit de s’y fier entièrement.

63Trois réserves s’imposent en effet. La première tient à la nature de l’instrument : le projet énonce lui-même que les lignes directrices ne lient pas, et que seule la Cour de justice de l’Union européenne peut donner du règlement une interprétation faisant autorité^[84]. La deuxième tient à son inachèvement : il s’agit d’un texte soumis à consultation, dont la Commission européenne indique qu’il sera encore discuté avec le Comité européen de l’intelligence artificielle et soumis à un nouveau retour des parties prenantes avant adoption^[85].

64La troisième réserve est la plus concrète, et elle est vérifiable ligne à ligne : le projet est, sur certains points, déjà périmé. Il cite la définition du composant de sécurité dans sa rédaction de 2024, sans la seconde phrase ajoutée par le règlement modificatif^[86]. Il énonce que, pour les produits relevant de la section B de l’annexe I, seuls s’appliquent l’article 6, paragraphe 1, les articles 102 à 109 et l’article 112, alors que l’article 2, paragraphe 2, dans sa rédaction issue du règlement modificatif, y ajoute l’article 60 bis et étend le renvoi aux articles 102 à 112^[87]. En sens inverse, il tient compte du report des dates d’application et mentionne expressément le train de mesures omnibus dans la partie consacrée à l’entrée en application^[88]. Le document est donc hybride : rédigé pendant la négociation du règlement modificatif, il en anticipe certaines conséquences et en ignore d’autres.

65Cette situation n’est pas anecdotique : elle décrit l’état réel du droit applicable à la qualification. Le régime du haut risque est l’objet de l’essentiel du règlement ; sa frontière est tracée par une disposition dont le législateur lui-même a jugé qu’elle appelait des lignes directrices sous dix-huit mois ; ces lignes directrices n’existent qu’à l’état de projet, dont une partie est déjà à reprendre. Le praticien qui doit qualifier un système aujourd’hui dispose du texte, des considérants, des travaux préparatoires — et d’un document de travail dont il lui faut vérifier, disposition par disposition, s’il est encore à jour.

Un cas d’usage qui mérite d’être signalé

66Le point 8, a), de l’annexe III classe à haut risque les systèmes destinés à être utilisés par les autorités judiciaires, ou en leur nom, pour les aider à rechercher et interpréter les faits et la loi, et à appliquer la loi à un ensemble concret de faits, ainsi que les systèmes utilisés de manière similaire dans le règlement extrajudiciaire des litiges^[89]. Le règlement ne définissant pas l’autorité judiciaire, le projet de lignes directrices consacre à cette notion un développement nourri, appuyé sur la jurisprudence de la Cour de justice de l’Union européenne.

67Le projet en déduit plusieurs exclusions. L’administration judiciaire — les institutions chargées de la gestion et du soutien de la justice plutôt que du jugement — n’est pas une autorité judiciaire ; les organismes quasi juridictionnels ne le sont pas davantage, non plus que les autorités administratives indépendantes telles que les autorités de protection des données ou de concurrence, dont les décisions demeurent toutefois soumises au contrôle du juge, hypothèse dans laquelle le cas d’usage retrouve son application. La qualification suit la fonction, non l’institution : un organe peut être une autorité judiciaire lorsqu’il juge, et ne pas l’être lorsqu’il administre^[91].

68La situation du ministère public est traitée à part : il relève en principe du domaine de la répression, au point 6 de l’annexe III, mais peut relever également du point 8, a), selon son indépendance institutionnelle telle qu’organisée par le droit applicable et selon la finalité poursuivie par le système. Le projet invite sur ce point à s’inspirer de la jurisprudence rendue à propos du mandat d’arrêt européen, aux termes de laquelle un ministère public exposé au risque d’être influencé par le pouvoir exécutif ne satisfait pas à l’exigence d’indépendance^[92].

69Ce cas d’usage retient l’attention pour une raison qui dépasse sa technicité : il est le seul de l’annexe III dont l’objet soit l’acte de juger. Le considérant 61 en fixe la limite : l’utilisation d’outils d’intelligence artificielle « peut soutenir le pouvoir de décision des juges ou l’indépendance judiciaire, mais ne devrait pas les remplacer, car la décision finale doit rester une activité humaine »^[93]. La qualification à haut risque n’y est donc pas un soupçon porté sur l’outil ; elle est la condition à laquelle son usage demeure compatible avec l’article 47 de la Charte des droits fondamentaux de l’Union européenne.

Ce qu’il faut retenir

70La qualification de haut risque emprunte deux voies indépendantes. La première passe par le droit de la sécurité des produits : elle suppose que le système soit un produit réglementé ou le composant de sécurité d’un tel produit, et que ce produit soit soumis à une évaluation de la conformité par un tiers. La révision de 2026 y a resserré la notion de composant de sécurité — de manière largement déclarative en ce qui concerne l’articulation des deux branches de la définition, de manière substantielle en ce qui concerne les évaluations exigées pour des motifs étrangers à la santé et à la sécurité — et a soustrait le secteur des machines au régime horizontal.

71La seconde voie passe par une liste. Elle suppose que la destination du système corresponde à l’un des cas d’usage énumérés à l’annexe III, à l’intérieur de huit domaines que la Commission européenne ne peut pas élargir. Cette destination, que le texte présente comme une donnée déclarative, est objectivée par le projet de lignes directrices : une clause d’exclusion insérée dans les conditions d’utilisation ne suffit pas à écarter la qualification si la présentation générale du produit rend l’usage qualifié possible et prévisible. L’intervention d’un opérateur humain, quant à elle, ne déclasse jamais un système.

72Le filtre de l’article 6, paragraphe 3, tempère la seconde voie par quatre conditions exhaustives mais alternatives, dont l’appréciation appartient au seul fournisseur. Ce dernier doit motiver son exemption et l’enregistrer ; il n’a plus, depuis 2026, à publier ses motifs. C’est le déplacement le plus important qu’ait connu l’article 6 depuis son adoption, et il porte moins sur la règle que sur la possibilité de vérifier son application.