Le piège classique
Le considérant 50 éclaire l'article 6(1) du AI Act : un système d'IA devient automatiquement haut risque des qu'il est composant de sécurité d'un produit déjà soumis a évaluation de conformité par tiers (machines, dispositifs médicaux, ascenseurs, automobile, aviation, jouets...). Le piège que sanctionneront les autorités de surveillance du marché : croire qu'un module d'IA auxiliaire (vision par ordinateur dans une chaîne de production, scoring de défaillance dans un dispositif médical, détection d'obstacle dans un ascenseur) échappe au régime haut risque parce qu'il est secondaire. Des lors que le produit final passe par un organisme notifié, l'IA embarquée suit le même régime, avec cumul des obligations sectorielles (MDR, machinery, RED) et du AI Act.
Les produits concernés et la logique de cumul
Le considérant 50 enumere les régimes harmonises qui déclenchent la qualification haut risque automatique. Pour chaque produit que vous mettez sur le marché, posez-vous trois questions :
- Mon produit relevait-il déjà d'une évaluation par tiers sous une legislation listée en annexe I du AI Act (directive machines 2006/42/CE puis règlement 2023/1230, MDR 2017/745, IVDR 2017/746, directive ascenseurs 2014/33/UE, RED 2014/53/UE, directive équipements sous pression 2014/68/UE, directive jouets 2009/48/CE, règlement automobile, règlement aviation EASA, ATEX, etc.) ?
- Mon système d'IA est-il intégré comme composant de sécurité, c'est-a-dire dont la défaillance met en danger la santé, la sécurité ou les biens ?
- Le produit lui-même est-il un système d'IA au sens de l'article 3(1) du AI Act ?
Si oui a la première question + (oui a la deuxieme OU oui a la troisième), votre IA est haut risque. Vous cumulez alors les exigences AI Act (gestion des risques article 9, qualité des données article 10, documentation technique article 11, journalisation article 12, transparence article 13, supervision humaine article 14, robustesse article 15) avec les exigences sectorielles. L'organisme notifié qui evaluait déjà votre produit etend son périmètre a l'IA, ou un second organisme intervient en parallèle.
Les pièges en pratique
- Sous-estimer la qualification composant de sécurité pour des modules ML embarques (maintenance predictive, détection d'anomalie, régulation de couple).
- Croire que la certification CE déjà obtenue couvre l'IA : elle ne couvre que le produit dans son état evalue, toute mise à jour substantielle du modèle déclenche une reevaluation.
- Oublier que les datasets d'entrainement deviennent partie integrante de la documentation technique opposable a la surveillance du marché.
- Négliger la coordination entre fournisseur d'IA en amont (modèle de fondation) et integrateur (fabricant du produit final) : les obligations article 25 sur la chaîne de responsabilité sont mal cartographiées.
- Pour le secteur médical (MDR/IVDR), confondre les classes de risque MDR (I, IIa, IIb, III) avec la qualification haut risque AI Act : les deux régimes coexistent et ne se substituent pas.
Comment Luxgap automatise ce risque
Notre Luxgap AI Product Classifier rend impossible le mauvais aiguillage d'un système d'IA embarque dans un produit réglementé. L'outil scanne votre catalogue produits (PLM type Windchill, Aras, Teamcenter, Odoo Manufacturing), votre bibliotheque de modèles ML (MLflow, Azure ML, Vertex AI, Hugging Face privé) et vos dossiers techniques CE existants, puis croise chaque combinaison produit-modèle avec la matrice complète des annexes I et III du AI Act et des 12 legislations d'harmonisation citées au considérant 50.
- Classifie automatiquement chaque système d'IA en haut risque, risque limite ou risque minimal, avec justification opposable referencée article par article.
- Détecte les mises à jour substantielles de modèles (drift, reentrainement, nouvelle architecture) qui déclenchent une reevaluation par organisme notifié, via webhooks MLflow et GitHub Actions.
- Cartographie la chaîne de responsabilité article 25 entre fournisseur de modèle de fondation, integrateur et distributeur, et identifié les clauses contractuelles manquantes.
- Génère la documentation technique annexe IV prête pour notification : description du système, données d'entrainement, mesures de supervision humaine, journaux, évaluation des risques.
- Suit la liste des organismes notifiés désignés pour le AI Act et alerte des qu'un nouvel organisme est compétent pour votre secteur (médical, machines, automobile).
- Produit un rapport PDF horodate cryptographiquement scelle, opposable lors d'un contrôle de surveillance du marché.
Disponible en complément d'un mandat CISO ou DPO Luxgap ou en brique SaaS dédiée selon votre périmètre industriel. Demandez un devis personnalisé et nos équipes préparent une démonstration sur votre catalogue réel, avec un audit blanc gratuit sous 48h pour cartographier vos systèmes d'IA exposes au régime haut risque avant tout engagement.
