AI Act · Protocole de qualification

Qualifier un système d’IA et le rôle de chaque entité

Une qualification défendable relie un système identifié, un usage précis, une entité juridique, une date et une base réglementaire. Si l’un manque, la conclusion n’est pas auditable.

Dans cette page

Conclusion attendue

Produire une qualification qu’un tiers peut refaire

La méthode publiée expose l’ordre des tests. Le dossier client conserve les faits, les pièces, la disposition appliquée et le raisonnement qui conduit à la conclusion. Un autre examinateur doit pouvoir comprendre ce qui a été décidé, sur quelle version et à quelles limites.

Objet: Un système, une version et un usage délimités
Conclusion: Dans le champ, hors champ ou point à arbitrer
Référence: Disposition, source et date de consultation
Réexamen: Déclencheur, responsable et échéance nommés

Objet technique

Délimiter le système avant de qualifier le régime

Le nom du produit, la présence d’un modèle ou le mot « IA » dans un contrat ne constituent pas un périmètre. Nous isolons la chaîne qui reçoit des entrées, infère comment produire une sortie et influence un environnement physique ou virtuel, puis nous testons le champ matériel et territorial de l’article 2.

Architecture: Composants, règles, modèles, données et interfaces
Autonomie: Part d’action indépendante de l’intervention humaine
Inférence: Mécanisme qui détermine comment la sortie est produite
Effet: Prédiction, contenu, recommandation ou décision influente

Finalité prévue

Écrire un usage que l’on peut confronter aux annexes

La finalité prévue vient du fournisseur ; l’usage réel vient de l’exploitation. Nous les écrivons séparément avant toute conclusion de risque. Le secteur seul ne suffit pas : l’annexe III vise des cas d’usage précis et leurs conditions.

Système: identifier la fonction et la version examinées.
Action: décrire ce que la sortie recommande, déclenche ou exécute.
Population: nommer les personnes ou groupes concernés.
Contexte: préciser le processus, le territoire et les conditions d’emploi.
Humain: établir qui interprète, confirme, conteste ou arrête la sortie.

Ordre de décision

Passer six portes sans sauter à la conclusion

Chaque porte produit une réponse, une base réglementaire et une pièce. Un « non » n’interrompt pas toujours l’analyse : un système non classé à haut risque peut encore relever d’une pratique interdite, d’une obligation de transparence ou d’un autre droit.

Champ
Article 2 : opérateur, territoire, mise sur le marché, mise en service et exclusions.
Définition
Article 3, paragraphe 1 : les sept éléments du système d’IA.
Interdictions
Article 5 : finalité, capacités, usage effectif et exceptions.
Annexe I
Article 6, paragraphe 1 : composant de sécurité ou produit et évaluation par un tiers.
Annexe III
Article 6, paragraphes 2 à 4 : cas listé, filtre, profilage et justification.
Régimes complémentaires
Article 50, modèles à usage général, RGPD et droit sectoriel.

Article 6, paragraphe 3

Documenter l’exception au haut risque, ne jamais la supposer

Pour un cas de l’annexe III, l’exception exige d’abord l’absence de risque significatif pour la santé, la sécurité ou les droits fondamentaux, notamment l’absence d’influence matérielle sur une décision. L’une des quatre conditions suivantes doit ensuite être démontrée.

Test	Question décisive	Trace attendue
Tâche procédurale étroite	La sortie reste-t-elle bornée à une opération précise ?	Fonction, entrées, sorties, limites
Résultat humain achevé	Le système améliore-t-il un résultat déjà produit par une personne ?	Chronologie et version avant IA
Détection de motifs	Observe-t-il des écarts sans remplacer ni influencer l’évaluation humaine achevée ?	Règles de revue et journal de décision
Tâche préparatoire	Prépare-t-il seulement une évaluation visée à l’annexe III ?	Point d’arrêt et autorité humaine
Profilage	Le système profile-t-il des personnes physiques ?	Si oui : le haut risque demeure

Chaîne de valeur

Attribuer le rôle à partir de l’acte accompli

Le rôle n’est pas attribué au groupe en bloc. Il est qualifié pour une personne morale, un système et une opération de marché ou d’exploitation. Une même organisation peut donc cumuler plusieurs rôles sur des objets différents.

Rôle	Fait déclencheur à établir	Preuve utile
Fournisseur	Développe ou fait développer puis commercialise ou met en service sous son nom ou sa marque	Contrat de développement, marque, date de mise en service
Déployeur	Utilise le système sous sa propre autorité dans une activité professionnelle	Procédure, habilitations, décision d’usage
Importateur	Établi dans l’Union, met sur le marché un système portant le nom ou la marque d’un opérateur hors Union	Chaîne contractuelle et dossier d’importation
Distributeur	Met un système à disposition dans la chaîne d’approvisionnement sans être fournisseur ni importateur	Flux de mise à disposition et responsabilités
Fabricant de produit	Met sur le marché ou en service un système avec son produit sous son nom ou sa marque	Dossier produit, intégration et évaluation applicable

Article 25

Identifier les faits qui peuvent transférer le rôle de fournisseur

Le simple achat ou paramétrage d’un outil ne transfère pas automatiquement les obligations du fournisseur. Pour les systèmes à haut risque, l’article 25 vise des bascules précises qu’il faut instruire sur pièces.

Fait observé	Effet à examiner	Contrôle
Nom ou marque apposé sur un système à haut risque	L’acteur devient fournisseur du système concerné	Marque affichée, contrats et référence du système
Modification substantielle d’un système à haut risque	Nouveau fournisseur si le système reste à haut risque	Modification non prévue et effet sur les exigences ou la finalité
Changement de finalité rendant le système haut risque	Le tiers devient fournisseur du système requalifié	Finalités avant/après et test de l’article 6
Système de sécurité intégré à un produit de l’annexe I	Le fabricant du produit peut devenir fournisseur	Nom ou marque, intégration et mise en service

Date de référence

Appliquer le calendrier à la qualification retenue

La qualification identifie le régime ; la date détermine les dispositions déjà applicables, les mesures transitoires et la prochaine échéance. Le règlement (UE) 2026/1744 a notamment différencié les deux voies du haut risque.

Date	Effet sur le dossier
2 août 2026	Application générale du règlement et obligations de transparence de l’article 50
2 décembre 2026	Application des interdictions ajoutées à l’article 5 par le règlement (UE) 2026/1744
2 décembre 2027	Application des sections 1 à 3 du chapitre III aux systèmes à haut risque de l’annexe III
2 août 2028	Application des mêmes sections aux systèmes à haut risque de l’annexe I
Après un changement	Réexaminer le champ, la finalité, le rôle, le risque et le régime transitoire

Dossier de qualification

Conserver la conclusion, son raisonnement et ses limites

Le livrable sépare les faits établis, l’analyse réglementaire et les points à arbitrer. Il devient la référence de départ de la matrice exigences–contrôles–preuves et doit rester rattaché à la version effectivement exploitée.

Référence technique identifiant, architecture, composants et versions.
Usage finalité prévue, usage réel, population et décision influencée.
Entités rôle retenu, acte déclencheur et pièces correspondantes.
Régimes tests menés, articles appliqués et exclusions motivées.
Conclusion résultat, niveau d’incertitude, valideur et date.
Révision changement déclencheur, responsable et prochaine revue.

Sources primaires

Sources sur lesquelles cette page s’appuie

Dernière revue documentaire : 5 septembre 2026.

Règlement (UE) 2024/1689 — texte consolidé
Rôles, exigences, surveillance après déploiement et calendrier en vigueur.
Commission européenne — lignes directrices sur la définition d’un système d’IA
Lecture au cas par cas des sept éléments de l’article 3, paragraphe 1, et distinction avec les logiciels traditionnels.
AI Act Service Desk — article 6, classification des systèmes à haut risque
Deux voies de qualification, filtre de l’article 6, paragraphe 3, profilage et obligation de justification.
AI Act Service Desk — article 25, chaîne de valeur
Transfert des obligations du fournisseur en cas de marque, modification substantielle ou changement de finalité.
Règlement (UE) 2026/1744 — modification de l’AI Act
Texte officiel fixant notamment les échéances du 2 décembre 2027 pour l’annexe III et du 2 août 2028 pour l’annexe I.

Avant de nous écrire

Questions fréquentes

Une solution achetée conserve-t-elle toujours le rôle défini par son fournisseur ?

Le simple achat ne suffit pas à répondre. L’organisation est généralement déployeur lorsqu’elle utilise le système sous son autorité. Pour un système à haut risque, une apposition de marque, une modification substantielle ou certains changements de finalité peuvent lui attribuer le rôle de fournisseur dans les conditions de l’article 25.

Un usage mentionné à l’annexe III est-il toujours haut risque ?

Il faut vérifier le cas d’usage exact et les conditions de l’article 6. Le filtre de l’article 6, paragraphe 3, peut s’appliquer dans certains cas ; un système qui réalise du profilage de personnes reste toutefois haut risque.

Quand faut-il reprendre la qualification ?

Après un changement de finalité, de composant, de version, de population, de chaîne de valeur ou de condition d’exploitation susceptible de modifier le champ, le rôle ou le régime applicable.

La conclusion peut-elle être revue par un tiers ?

Oui. La note conserve le système et sa version, les faits, les sources, chaque test mené, la conclusion, les incertitudes et le déclencheur de réexamen. Elle doit permettre à un second examinateur de reconstruire le raisonnement.

Qualification AI Act

Votre qualification résisterait-elle à une seconde lecture ?

Présentez le système, l’usage, l’entité et la date concernée. Nous identifions les tests à instruire et les points qui exigent un arbitrage juridique.

Présenter le système