L'actualité en pratique
Haut risque : le régime est reporté, la qualification ne l'est pas
L'échéance est passée à décembre 2027. La question de savoir si vous en relevez, elle, se pose maintenant, parce qu'elle conditionne dix-huit mois de travail.
Pour les cabinets et directions juridiques qui doivent établir leur position. Ce que couvre l'annexe III, ce qui concerne réellement une organisation juridique, et pourquoi la réponse doit être écrite.
Votre usage de l'IA relève-t-il du régime des systèmes à haut risque ? La question paraît prématurée puisque les obligations correspondantes ne s'appliqueront qu'au 2 décembre 2027. Elle ne l'est pas, pour une raison de calendrier : si la réponse est positive, la mise en conformité représente un travail de plusieurs mois, et le découvrir à l'automne 2027 revient à le mener dans l'urgence.
Pourquoi la question se pose maintenant
Les obligations du régime haut risque ne sont pas déclaratives. Elles supposent un système de gestion des risques, une documentation technique, une journalisation, des mesures de supervision humaine, une évaluation de conformité et un enregistrement.
Un cabinet qui découvrirait en septembre 2027 qu'il est concerné disposerait de trois mois pour mettre tout cela en place. C'est matériellement insuffisant, et c'est la seule raison pour laquelle la question mérite d'être tranchée cette année.
Il faut ajouter que la charge de cette mise en conformité ne se répartit pas : elle tombe sur les mêmes personnes que celles qui portent déjà la conformité RGPD et la sécurité, dans des cabinets où ces fonctions sont rarement à temps plein.
À l'inverse, si la réponse est négative, l'établir maintenant évite de reposer la question à chaque échéance et de mobiliser une équipe sur un sujet réglé.
Ce que couvre l'annexe III
Elle énumère des domaines d'usage, non des technologies. Un même système peut relever du régime dans un emploi et pas dans un autre, ce qui est la source principale des erreurs de qualification.
Trois domaines de cette liste peuvent concerner un cabinet ou une direction juridique. L'emploi et la gestion des travailleurs, qui vise notamment le recrutement et l'évaluation. L'accès à des services essentiels, publics et privés. Et l'administration de la justice, qui vise l'assistance aux autorités judiciaires dans la recherche et l'interprétation des faits et du droit.
Un point de méthode sur la lecture de cette annexe : elle vise des finalités et des contextes d'emploi, et la qualification suppose donc d'examiner ce que le système fait dans l'organisation, non ce qu'il sait faire. Un même outil d'analyse documentaire employé sur des dossiers clients et sur des candidatures reçoit deux qualifications différentes.
C'est ce qui rend l'exercice moins intuitif qu'il n'y paraît, et ce qui explique qu'il soit souvent mal conduit : on raisonne spontanément par outil alors que le texte raisonne par usage.
Le cas de la production juridique
C'est le point sur lequel les cabinets s'interrogent le plus, et la réponse est le plus souvent négative.
Le domaine relatif à l'administration de la justice vise l'assistance apportée à une autorité judiciaire. Un cabinet d'avocats n'est pas une autorité judiciaire : il représente une partie. Un système qui l'assiste dans la préparation d'écritures ne remplit donc pas, en principe, la fonction visée par ce point de l'annexe.
Cette réponse mérite d'être établie plutôt que supposée, et pour une raison pratique : elle sera demandée. Un client, un assureur ou une autorité pourront interroger le cabinet sur sa position, et disposer d'une analyse datée vaut mieux qu'une conviction partagée.
Une seconde raison milite pour établir cette position dès maintenant : elle conditionne les choix d'équipement. Un cabinet qui conclurait relever du régime devrait exiger de son fournisseur une documentation technique et une évaluation de conformité, ce qui restreint considérablement le champ des solutions disponibles et modifie le calendrier d'un déploiement.
Trancher la qualification avant de choisir un outil est donc l'ordre logique, et c'est l'inverse de ce qui se pratique.
Les usages internes qui posent question
Le risque de qualification ne se situe pas là où les cabinets le cherchent. Il se situe dans les usages internes, où un cabinet agit comme n'importe quel employeur.
Un dispositif intervenant dans le tri des candidatures, dans l'évaluation des collaborateurs ou dans les décisions d'affectation relève du domaine de l'emploi. La question se pose alors dans les mêmes termes que pour toute entreprise, et elle se pose y compris lorsque le dispositif est un module d'un logiciel de gestion des ressources humaines que personne n'a identifié comme un système d'IA.
Un cas voisin mérite d'être signalé : les dispositifs employés par le cabinet pour le compte d'un client, par exemple dans une enquête interne portant sur des salariés. La qualification se pose alors sur un terrain différent, et elle engage aussi le client.
C'est la raison pour laquelle l'inventaire des usages précède la qualification : on ne qualifie pas ce qu'on ne sait pas utiliser.
Le risque de qualification ne se situe pas dans la production juridique. Il se situe dans les usages internes que personne n'a inventoriés.
Ce que la qualification déclenche si elle est positive
Il vaut la peine de savoir ce qui se trouve derrière une réponse positive, parce que cela mesure l'enjeu de la question.
Le déployeur d'un système à haut risque doit notamment utiliser le système conformément à sa notice, assurer une supervision humaine par des personnes compétentes, conserver les journaux générés, surveiller le fonctionnement et signaler les incidents graves.
S'y ajoute une exigence d'information des personnes concernées lorsque le système intervient dans une décision les affectant, ce qui vise directement les usages internes évoqués plus loin.
Ce sont des obligations de déployeur, plus légères que celles du fournisseur, et elles supposent malgré tout une organisation : quelqu'un doit être désigné, formé, et des traces doivent être conservées pendant une durée déterminée. Aucune de ces exigences n'est hors de portée d'un cabinet, et aucune ne se met en place en trois semaines.
Pourquoi la réponse doit être écrite et datée
Une qualification n'a de valeur que si l'on peut établir quand elle a été faite, sur quel périmètre et au regard de quel état du texte.
C'est la même exigence que celle qui s'applique à toute analyse juridique : une conclusion sans date ni périmètre n'est pas opposable, y compris à soi-même.
Un document de 1–2 pages suffit : la liste des usages recensés, la qualification retenue pour chacun, le motif, la date, et le nom de la personne qui l'a établie. Ce document sera à reprendre lorsque le périmètre des usages changera, ce qui arrivera.
Sa rédaction gagne à mentionner ce qui a été examiné et écarté, et non seulement ce qui a été retenu. Un usage examiné puis jugé hors champ doit apparaître comme tel : c'est ce qui distingue une analyse d'un oubli, et la distinction sera faite par quiconque relira le document.
Il a une seconde utilité, moins évidente. Le jour où un usage nouveau apparaît dans le cabinet, la question de sa qualification se pose immédiatement plutôt que d'attendre la prochaine échéance, parce qu'un cadre existe pour l'accueillir.
Cet article expose l'état du droit à sa date de révision. Il ne constitue pas une consultation et ne se substitue pas à l'analyse d'un professionnel sur une situation déterminée.