Le règlement se lit mal par domaine. Il classe des destinations de systèmes, pas des métiers : l’annexe III vise des usages nommés, et une même organisation peut porter plusieurs qualifications selon les systèmes qu’elle exploite.
Ces pages prennent donc l’entrée inverse de celle du texte. Elles partent d’une situation concrète et remontent aux dispositions en jeu, avec le même gabarit à chaque fois : ce qui s’applique, ce qui ne s’applique pas, à quelle date, et ce qui n’est pas tranché.
Deux notions commandent tout le reste et ne sont pas répétées à chaque cas : la distinction entre fournisseur et déployeur, et les deux portes d’entrée du haut risque, l’annexe I et l’annexe III. Elles sont traitées dans le silo consacré au règlement.
Les six situations traitées
Recrutement
L’annexe III ne vise pas les ressources humaines en bloc, mais des usages nommés, en deux temps : l’amont du recrutement et la relation de travail. Et l’échéance qui concerne réellement le recrutement n’est pas celle du haut risque : une pratique de recrutement est interdite depuis le 2 février 2025.
Chatbot et agent conversationnel
L’obligation d’information de l’article 50, paragraphe 1 pèse sur le fournisseur, pas sur celui qui installe le chatbot sur son site. Et l’exception tenant à l’évidence de la situation est plus étroite qu’on ne le lit.
→ Chatbot et agent conversationnel
Scoring et décision automatisée
Trois régimes se superposent sur la même opération : l’interdiction de la notation sociale, exigible depuis février 2025 ; le haut risque de l’annexe III, exigible en décembre 2027 ; et l’article 22 du règlement général sur la protection des données (RGPD), applicable depuis 2018. Noter des personnes n’est pas interdit, et la Commission le dit expressément.
→ Scoring et décision automatisée
Banque et assurance
Le seul secteur auquel le règlement consacre des équivalences de conformité explicites. La gouvernance financière vaut respect de dix des treize composantes du système de gestion de la qualité, jamais des trois autres. Et aucune de ces règles ne vise le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique, dit DORA.
Santé
Le domaine où le projet de lignes directrices traite le plus explicitement la double qualification : un même système peut relever des deux portes. Ce que le texte ne règle pas, c’est laquelle des deux dates de l’article 113 s’applique alors : nous ne le tranchons pas. Selon le projet de lignes directrices, non adopté, un système de tri des patients aux urgences relève de l’annexe I s’il est un dispositif médical et qu’il remplit les conditions de l’article 6, paragraphe 1, et de l’annexe III s’il n’en est pas un.
Secteur public
Le règlement ne crée aucun régime « secteur public », mais il nomme les organismes publics dans des dispositions éparses : l’analyse d’impact sur les droits fondamentaux, l’enregistrement dans la base de l’Union, et un butoir d’antériorité propre aux systèmes destinés aux autorités publiques — l’article 111 en porte un second, au 31 décembre 2030, pour les composants des systèmes d’information à grande échelle de l’annexe X.
Ce qui revient dans presque toutes
Quatre constats traversent l’ensemble des cas, et ils expliquent la plupart des erreurs d’analyse.
La date qui compte est rarement celle qu’on retient. Les sections 1, 2 et 3 du chapitre III, à l’exception de l’article 6, paragraphe 5, sont reportées au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. Mais les pratiques interdites de l’article 5 sont exigibles depuis le 2 février 2025, la maîtrise de l’IA de l’article 4 depuis la même date, et la transparence de l’article 50 depuis le 2 août 2026. Dans trois des six cas traités ici, l’échéance réelle est déjà passée.
L’antériorité de l’article 111 ne couvre jamais l’article 5. Les paragraphes 1 et 2 s’ouvrent l’un et l’autre par la réserve des pratiques interdites. Et l’exonération qu’ils ouvrent porte sur l’application du règlement à ces opérateurs, non sur le seul chapitre III.
Une part importante de l’interprétation disponible n’est pas adoptée. Les lignes directrices de la Commission sur les pratiques interdites, adoptées le 29 juillet 2025, et celles sur la définition d’un système d’IA le sont. Celles sur la classification des systèmes à haut risque et celles sur les obligations de transparence de l’article 50 ne le sont pas, et n’existent qu’en anglais. Ces pages signalent la différence à chaque citation, parce qu’elle change la valeur de ce qui est cité.
Le rôle se qualifie système par système. Une même organisation est déployeur sur un outil acheté et fournisseur sur un outil dont elle a modifié la destination de telle manière que le système devient à haut risque. L’article 25 opère cette bascule sans qu’aucune formalité soit nécessaire, mais un changement de destination qui n’aboutit pas au haut risque ne la déclenche pas.
Sur quoi ces pages s’appuient
Le règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire. Les lignes directrices de la Commission adoptées, lorsqu’elles existent sur le sujet traité, et les projets non adoptés, signalés comme tels à chaque citation.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744, règlement général sur la protection des données, lignes directrices sur les pratiques interdites et projet de lignes directrices sur la classification des systèmes à haut risque, consultés le 28 août 2026.
Questions fréquentes
Comment savoir laquelle de ces pages me concerne ?
Par ce que fait le système, pas par le secteur qui l’emploie. Le règlement classe des destinations, pas des métiers : l’annexe III vise des usages nommés, et un même établissement peut porter plusieurs qualifications selon les systèmes qu’il utilise. Une banque qui recrute avec un outil de tri de CV relève de la page recrutement pour cet outil, et de la page banque et assurance pour son moteur de solvabilité.
Faut-il d’abord lire les pages générales ou les cas pratiques ?
Les cas pratiques supposent connues deux notions : la distinction entre fournisseur et déployeur, et les deux portes d’entrée du haut risque. Elles sont traitées dans le silo consacré au règlement lui-même. Chaque cas pratique y renvoie plutôt que de les répéter.
Ces pages remplacent-elles un conseil juridique ?
Non. Elles indiquent quelles dispositions sont en jeu, quelles interprétations officielles existent et lesquelles n’existent pas, et à quelle date chaque obligation devient exigible. La qualification d’un système précis suppose de l’examiner, ce qu’aucune page ne peut faire à distance.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.