Le piège classique
Le considérant 50 eclaire l'article 6(1) du AI Act : un système d'IA devient automatiquement haut risque des qu'il est composant de sécurité d'un produit deja soumis a évaluation de conformité par tiers (machines, dispositifs médicaux, ascenseurs, automobile, aviation, jouets...). Le piège que sanctionneront les autorités de surveillance du marché : croire qu'un module d'IA auxiliaire (vision par ordinateur dans une chaîne de production, scoring de defaillance dans un dispositif médical, détection d'obstacle dans un ascenseur) échappe au regime haut risque parce qu'il est secondaire. Des lors que le produit final passe par un organisme notifié, l'IA embarquee suit le même regime, avec cumul des obligations sectorielles (MDR, machinery, RED) et du AI Act.
Les produits concernes et la logique de cumul
Le considérant 50 enumere les regimes harmonises qui déclenchent la qualification haut risque automatique. Pour chaque produit que vous mettez sur le marché, posez-vous trois questions :
- Mon produit relevait-il deja d'une évaluation par tiers sous une legislation listee en annexe I du AI Act (directive machines 2006/42/CE puis règlement 2023/1230, MDR 2017/745, IVDR 2017/746, directive ascenseurs 2014/33/UE, RED 2014/53/UE, directive équipements sous pression 2014/68/UE, directive jouets 2009/48/CE, règlement automobile, règlement aviation EASA, ATEX, etc.) ?
- Mon système d'IA est-il intégré comme composant de sécurité, c'est-a-dire dont la defaillance met en danger la santé, la sécurité ou les biens ?
- Le produit lui-meme est-il un système d'IA au sens de l'article 3(1) du AI Act ?
Si oui a la premiere question + (oui a la deuxieme OU oui a la troisième), votre IA est haut risque. Vous cumulez alors les exigences AI Act (gestion des risques article 9, qualité des données article 10, documentation technique article 11, journalisation article 12, transparence article 13, supervision humaine article 14, robustesse article 15) avec les exigences sectorielles. L'organisme notifié qui evaluait deja votre produit etend son périmètre a l'IA, ou un second organisme intervient en parallele.
Les pièges en pratique
- Sous-estimer la qualification composant de sécurité pour des modules ML embarques (maintenance predictive, détection d'anomalie, régulation de couple).
- Croire que la certification CE deja obtenue couvre l'IA : elle ne couvre que le produit dans son état evalue, toute mise à jour substantielle du modèle déclenche une reevaluation.
- Oublier que les datasets d'entrainement deviennent partie integrante de la documentation technique opposable a la surveillance du marché.
- Négliger la coordination entre fournisseur d'IA en amont (modèle de fondation) et integrateur (fabricant du produit final) : les obligations article 25 sur la chaîne de responsabilité sont mal cartographiees.
- Pour le secteur médical (MDR/IVDR), confondre les classes de risque MDR (I, IIa, IIb, III) avec la qualification haut risque AI Act : les deux regimes coexistent et ne se substituent pas.
Comment Luxgap automatise ce risque
Notre Luxgap AI Product Classifier rend impossible le mauvais aiguillage d'un système d'IA embarque dans un produit réglementé. L'outil scanne votre catalogue produits (PLM type Windchill, Aras, Teamcenter, Odoo Manufacturing), votre bibliotheque de modèles ML (MLflow, Azure ML, Vertex AI, Hugging Face privé) et vos dossiers techniques CE existants, puis croise chaque combinaison produit-modele avec la matrice complète des annexes I et III du AI Act et des 12 legislations d'harmonisation citees au considérant 50.
- Classifie automatiquement chaque système d'IA en haut risque, risque limite ou risque minimal, avec justification opposable referencee article par article.
- Detecte les mises à jour substantielles de modèles (drift, reentrainement, nouvelle architecture) qui déclenchent une reevaluation par organisme notifié, via webhooks MLflow et GitHub Actions.
- Cartographie la chaîne de responsabilité article 25 entre fournisseur de modèle de fondation, integrateur et distributeur, et identifié les clauses contractuelles manquantes.
- Genere la documentation technique annexe IV prete pour notification : description du système, données d'entrainement, mesures de supervision humaine, journaux, évaluation des risques.
- Suit la liste des organismes notifiés désignés pour le AI Act et alerte des qu'un nouvel organisme est competent pour votre secteur (médical, machines, automobile).
- Produit un rapport PDF horodate cryptographiquement scelle, opposable lors d'un contrôle de surveillance du marché.
Disponible en complement d'un mandat CISO ou DPO Luxgap ou en brique SaaS dediee selon votre périmètre industriel. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre catalogue reel, avec un audit blanc gratuit sous 48h pour cartographier vos systèmes d'IA exposes au regime haut risque avant tout engagement.
