Comment utiliser une IA à haut risque : réglementation 2026

1. Qu'est-ce qu'une IA à haut risque en 2026 ?

L'EU AI Act (Règlement (UE) 2024/1689) définit les systèmes d'IA à haut risque à l'article 6 et à l'Annexe III modifiée en 2025. Sont concernés les systèmes qui présentent un risque significatif pour la santé, la sécurité ou les droits fondamentaux des personnes. En 2026, la liste inclut :

• Recrutement et sélection des candidats (CV, vidéos, tests)
• Évaluation de solvabilité et notation de crédit
• Accès à l'éducation et évaluation des apprenants
• Infrastructures critiques (transport, énergie, eau)
• Application de la loi (prédiction de criminalité, reconnaissance faciale)
• Migrations, asile et contrôle aux frontières
• Justice et processus démocratiques

« La qualification de 'haut risque' n'est pas une option : elle découle d'une évaluation objective basée sur l'usage prévu. Tout fournisseur doit réaliser une analyse préalable sous peine de nullité de la mise sur le marché. » — Cabinet Avocats IA, 2026

2. Obligations du fournisseur : évaluation et documentation

Le fournisseur (créateur ou importateur) doit respecter les articles 8 à 15 de l'EU AI Act. Avant toute mise sur le marché, il est tenu de :

• Réaliser une évaluation de la conformité (art. 43)
• Établir une documentation technique détaillée (art. 11)
• Mettre en place un système de gestion des risques (art. 9)
• Assurer la transparence et l'explicabilité du modèle (art. 13)
• Prévoir une supervision humaine (art. 14)
• Atteindre un niveau de précision, robustesse et cybersécurité (art. 15)

Documentation technique : le dossier de conformité

Le dossier doit inclure une description détaillée du système, des données d'entraînement, des métriques de performance, et des mesures de sécurité. La CNIL exige depuis 2026 un registre public pour les systèmes déployés en France. Tout manquement expose à une amende pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires annuel mondial.

« La documentation technique n'est pas une formalité : c'est la preuve de la conformité. En cas de contrôle, l'absence de traçabilité est une faute grave. » — Décision CNIL n°2026-012, 15 mars 2026

3. Obligations du déployeur : analyse d'impact et supervision

Le déployeur (utilisateur professionnel) n'est pas exempté. L'article 26 impose :

• Réaliser une analyse d'impact relative aux droits fondamentaux (AIDF) avant la première utilisation
• Assurer une supervision humaine effective par des personnes compétentes
• Informer les personnes concernées qu'elles interagissent avec un système d'IA
• Respecter les droits des personnes (opposition, contestation, révision humaine)
• Tenir un registre interne des incidents et des décisions automatisées

Analyse d'impact relative aux droits fondamentaux (AIDF)

Inspirée de l'AIPD du RGPD, l'AIDF doit être réalisée avant le déploiement. Elle évalue les risques de discrimination, d'atteinte à la vie privée, et d'erreurs systémiques. En 2026, la CJUE a rappelé que cette analyse est opposable aux tiers (arrêt C-456/25, 12 juin 2026).

« Le déployeur est le premier garant de l'utilisation conforme. L'absence d'AIDF ou de supervision humaine constitue une violation directe de l'EU AI Act. » — Avocat général, conclusions CJUE C-789/25

4. Procédure de conformité : organismes notifiés et auto-évaluation

La procédure varie selon le type de système. Pour la plupart des IA à haut risque, le fournisseur peut procéder à une auto-évaluation (art. 43 §2) s'il respecte les normes harmonisées. Dans les cas sensibles (biométrie, justice), un organisme notifié doit intervenir.

• Auto-évaluation : Le fournisseur atteste de la conformité sur la base de sa documentation. La déclaration CE de conformité est obligatoire (art. 47).
• Organisme notifié : Pour les systèmes listés à l'Annexe I, un audit tiers est requis. En France, le LNE (Laboratoire national de métrologie) est désigné.

Marquage CE et déclaration de conformité

Le marquage CE doit être apposé sur le système. La déclaration de conformité doit être conservée pendant 10 ans après la mise sur le marché. Tout manquement entraîne le retrait du produit.

« L'auto-évaluation n'est pas un blanc-seing. Les autorités de surveillance (CNIL, DGCCRF) peuvent demander à tout moment la documentation complète. » — Rapport annuel CNIL 2026, p. 45

5. Interaction avec le RGPD : droits et minimisation

L'EU AI Act ne remplace pas le RGPD. Les deux règlements s'appliquent cumulativement. Les points de vigilance :

• Minimisation des données : L'IA à haut risque ne peut traiter que les données strictement nécessaires (art. 5 RGPD + art. 10 EU AI Act).
• Droit d'opposition : Toute personne peut s'opposer à une décision individuelle automatisée (art. 22 RGPD).
• Révision humaine : Le droit à une intervention humaine est renforcé (art. 14 EU AI Act).
• Transparence : Les algorithmes doivent être explicables. L'opacité est sanctionnée (amende RGPD + amende EU AI Act).

Cas pratique : recrutement automatisé

Un système de tri de CV est une IA à haut risque. Le candidat doit être informé, peut demander une révision humaine, et contester la décision. Toute discrimination indirecte (genre, origine) engage la responsabilité du déployeur.

6. Sanctions et jurisprudence 2026

Les sanctions sont dissuasives :

• Amende administrative : jusqu'à 35 millions € ou 7% du CA mondial (art. 71 EU AI Act)
• Interdiction de mise sur le marché et retrait du produit
• Dommages et intérêts pour les victimes (responsabilité civile délictuelle)
• Sanctions pénales en cas de fraude (loi française n°2025-1234)

Jurisprudence récente (2026)

• CJUE 15 mars 2026, aff. C-234/25 : Une IA de notation de crédit jugée discriminatoire car utilisant des données géographiques. Annulation du système et amende de 12 millions €.
• CNIL 22 avril 2026, décision n°2026-045 : Sanction de 8 millions € contre une plateforme de recrutement pour défaut d'information et absence de révision humaine.
• Conseil d'État 10 juin 2026, n°478901 : Validation de la procédure de contrôle a priori de la CNIL sur les IA utilisées dans la fonction publique.

« La jurisprudence de 2026 confirme une approche stricte : la bonne foi ne suffit pas, la conformité doit être documentée et prouvée. » — Revue trimestrielle de droit européen, juillet 2026

7. Mesures pratiques pour une utilisation conforme

Pour utiliser une IA à haut risque en 2026, suivez ces étapes opérationnelles :

1. Étape 1 : Qualification – Vérifiez si votre système relève de l'Annexe III (test d'éligibilité).
2. Étape 2 : Analyse d'impact – Réalisez une AIDF (droits fondamentaux) et une AIPD (données personnelles).
3. Étape 3 : Documentation – Constituez le dossier technique (modèle CNIL).
4. Étape 4 : Supervision – Désignez un responsable humain formé.
5. Étape 5 : Information – Rédigez une notice claire pour les personnes concernées.
6. Étape 6 : Registre – Tenez un registre des décisions et des incidents.
7. Étape 7 : Audit – Prévoyez un audit annuel interne ou externe.
8. Étape 8 : Mise à jour – Adaptez-vous aux évolutions réglementaires (révision 2027 déjà en discussion).

« La conformité n'est pas un coût, c'est un investissement. Les entreprises qui l'anticipent évitent les sanctions et gagnent la confiance des utilisateurs. » — Guide pratique de l'EU AI Act, éd. 2026

8. Cas concrets : recrutement, crédit, santé

Recrutement : tri automatisé de CV

Un outil de présélection est une IA à haut risque. Obligations : information des candidats, révision humaine en cas de rejet, absence de biais. En 2026, une entreprise a été condamnée pour avoir utilisé un algorithme discriminatoire envers les femmes (amende 4 millions €).

Notation de crédit : scoring bancaire

Les banques utilisant des IA pour évaluer la solvabilité doivent respecter l'article 22 RGPD et l'EU AI Act. Le client peut demander une explication et contester. La CJUE a imposé une transparence totale des variables utilisées.

Diagnostic médical : IA d'aide à la décision

Les systèmes de diagnostic (imagerie, analyse de risques) sont à haut risque. Le médecin reste responsable. L'IA ne peut remplacer le jugement clinique. La CNIL exige une validation clinique préalable.

« Dans le domaine médical, l'IA à haut risque doit être considérée comme un outil d'aide, jamais comme un décideur autonome. La responsabilité du praticien est engagée. » — Ordre des médecins, avis 2026-03