Le haut risque
C’est le niveau qui concentre l’attention, l’inquiétude, et l’essentiel des cas réels. Il mérite d’être compris précisément, parce que la classification n’a rien d’intuitif.
Deux voies vers le haut risque
Section intitulée « Deux voies vers le haut risque »Un système peut être classé à haut risque de deux manières, et elles n’ont rien à voir.
Par le produit. Le système est un composant de sécurité d’un produit déjà soumis à une réglementation européenne d’harmonisation, ou constitue lui-même un tel produit : machines, dispositifs médicaux, ascenseurs, jouets, équipements sous pression, véhicules. Si vous fabriquez ce type de produit, votre service qualité connaît déjà ce mécanisme.
Par l’usage. Le système est destiné à l’un des usages énumérés à l’annexe III du règlement. C’est cette voie qui concerne la quasi-totalité des organisations de service, des collectivités et des PME.
Les huit domaines de l’annexe III
Section intitulée « Les huit domaines de l’annexe III »Voici la liste, avec ce qu’elle recouvre concrètement.
| Domaine | Ce que ça vise |
|---|---|
| Biométrie | Identification à distance, catégorisation biométrique, reconnaissance des émotions, hors cas interdits |
| Infrastructures critiques | Sécurité de la gestion de l’eau, du gaz, de l’électricité, du trafic |
| Éducation et formation | Accès et admission, évaluation des acquis, orientation, surveillance des examens |
| Emploi et gestion des travailleurs | Recrutement, sélection, évaluation, promotion, rupture, répartition des tâches, surveillance |
| Services essentiels | Accès aux prestations sociales, évaluation de solvabilité, tarification en assurance vie et santé, tri des appels d’urgence |
| Répression | Usages des autorités, très encadrés |
| Migration et asile | Usages des autorités |
| Justice et processus démocratiques | Aide à la décision judiciaire, influence sur les scrutins |
Trois de ces domaines touchent réellement une organisation ordinaire : l’emploi, l’éducation et la formation, et les services essentiels. Les autres relèvent d’acteurs spécifiques.
Ce qui touche une entreprise ordinaire
Section intitulée « Ce qui touche une entreprise ordinaire »L’emploi. C’est le domaine le plus large et le plus fréquent. Tri et analyse de candidatures, évaluation de candidats, diffusion ciblée d’offres d’emploi. Puis, côté relation de travail : décisions de promotion ou de rupture, répartition des tâches selon le comportement ou des caractéristiques personnelles, surveillance et évaluation des performances.
Presque toutes les entreprises qui recrutent avec un outil sont concernées par au moins un de ces usages. La formation IA pour les ressources humaines traite ce domaine en deux jours.
Les services essentiels. Si votre activité conditionne l’accès à une prestation, à un crédit, à une assurance santé ou vie, une décision assistée relève de ce domaine. Cela concerne les organismes sociaux, les collectivités, les mutuelles, les établissements financiers, les bailleurs sociaux.
L’éducation et la formation. Organismes de formation, écoles, centres d’apprentissage : l’accès, l’évaluation des acquis et la surveillance des examens sont visés. Un organisme certifié qui sélectionne ses stagiaires avec un outil est dans le champ.
Ce que la classification déclenche pour vous
Section intitulée « Ce que la classification déclenche pour vous »Rappel de la fiche sur les rôles : l’essentiel du poids repose sur le fournisseur. Ce qui vous revient en tant que déployeur tient en six points, détaillés au module suivant.
Utiliser conformément à la notice. Confier la supervision à des personnes compétentes et outillées. Veiller à la pertinence des données d’entrée que vous fournissez. Surveiller et alerter. Conserver les journaux quand vous les contrôlez. Informer les personnes concernées, travailleurs et représentants compris.
S’ajoutent, pour certains déployeurs publics ou pour certains usages, une évaluation d’impact sur les droits fondamentaux et un enregistrement. Si vous êtes une collectivité ou un organisme chargé d’un service public, ce point se vérifie précisément.
Le test pratique, en trois questions
Section intitulée « Le test pratique, en trois questions »Pour chaque système de votre inventaire, dans l’ordre.
Est-ce un composant de sécurité d’un produit réglementé, ou un tel produit ? Si oui, haut risque par la voie produit, et votre qualité connaît la suite.
Son usage figure-t-il dans un des huit domaines ? Si oui, haut risque par la voie usage.
Sinon, on descend au niveau suivant, celui de la transparence et des usages courants.
Ce test se fait sur l’usage réel, pas sur la plaquette commerciale. Un outil vendu comme « assistant de productivité » utilisé pour classer des candidatures est classé selon ce qu’on en fait.
Ce qu’il faut demander à un fournisseur
Section intitulée « Ce qu’il faut demander à un fournisseur »Cinq questions, à obtenir par écrit avant d’acheter, ou au prochain renouvellement.
Votre système est-il classé à haut risque au sens du règlement, et pour quel usage prévu ?
Fournissez-vous la notice d’utilisation et les informations prévues pour les déployeurs ?
Qu’avez-vous mesuré en matière d’écarts de traitement, et pouvez-vous nous le montrer ?
Quels journaux le système produit-il, et lesquels pouvons-nous conserver ?
Que se passe-t-il si nous utilisons le système pour un usage différent de celui que vous prévoyez ?
La dernière question est celle qui protège le plus, parce qu’elle documente la limite de ce que la documentation du fournisseur couvre.
Vérifie ta compréhension
Question : votre organisme de formation utilise un outil qui corrige automatiquement les évaluations de fin de module et détermine si le stagiaire valide. L’éditeur le présente comme un « simple correcteur automatique ». Comment tu le classes ?
Réponse : haut risque, par la voie de l’usage. L’évaluation des acquis d’apprentissage figure explicitement parmi les domaines de l’annexe III, et le fait que la correction soit automatique ne change rien à la nature de la décision produite, qui conditionne la validation du stagiaire. La présentation commerciale de l’éditeur n’a aucune valeur de classification. Demande-lui par écrit s’il classe son produit à haut risque et s’il fournit la documentation prévue : sa réponse te dira à qui tu as affaire.
Fiche suivante : la transparence et les usages courants, où se trouve l’essentiel de votre parc.
Une formationBaxIA