L'exemption de l'article 6(3)

Tout le monde cite l'annexe III. Presque personne ne lit l'article 6(3), qui se trouve juste en dessous et peut faire sortir un système de la catégorie du haut risque, purement et simplement.

C'est le paragraphe le plus lourd de conséquences du règlement sur l'IA pour les petites entreprises, et il passe systématiquement à la trappe - chez les fondateurs, chez les consultants, et dans la plupart des outils de classification gratuits actuellement en ligne. Résultat : des équipes budgètent des évaluations de la conformité, des organismes notifiés et un marquage CE qu'elles ne devront peut-être jamais.

Ce qu'il dit

Un système qui relève d'un domaine de l'annexe III n'est pas à haut risque s'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux, notamment parce qu'il n'influence pas matériellement le résultat de la prise de décision. Cela vaut dès lors que l'une de ces quatre conditions est remplie :

La condition de profilage, c'est là que presque tous les cas se tranchent

Parce qu'elle est absolue, c'est la question à traiter en premier. Le profilage au sens de l'article 4(4) du RGPD, dont s'inspire le règlement sur l'IA, désigne le traitement automatisé de données à caractère personnel visant à évaluer des aspects personnels d'une personne physique - en particulier pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, ses intérêts, sa fiabilité, son comportement, sa localisation ou ses déplacements.

Le piège : les équipes lisent « profilage » comme « constituer un dossier ». C'est bien plus large. Évaluer ou prédire quoi que ce soit sur une personne à partir de ses données, c'est du profilage, même une seule fois, même de façon passagère, même si vous ne stockez jamais le résultat.

Le motif : la personne est-elle l'objet de l'évaluation, ou est-ce autre chose ? Les documents, les décisions, les transcriptions et les processus peuvent être analysés librement. Dès l'instant où la sortie est un jugement portant sur un être humain, vous faites du profilage.

L'autre piège : « influencer matériellement le résultat »

Même sans profilage, l'exemption suppose que le système n'influence pas matériellement la prise de décision. Deux façons dont les équipes se convainquent du contraire, et qu'il vaut mieux éviter :

« C'est un humain qui tranche en dernier. » Formellement vrai, souvent sans portée. Si votre système présente une liste courte classée et que l'humain choisit parmi les trois premiers quatre-vingt-quinze pour cent du temps, le système influence matériellement le résultat. Les régulateurs regardent ce qui se passe réellement, pas où se trouve le bouton. Si vous avez les données sur les taux de contournement, regardez-les avant de vous reposer sur cet argument.

« Ce n'est qu'une suggestion. » Une suggestion suivie par défaut est une décision avec des étapes en plus. Le critère du point (c) est explicite - le système ne doit pas influencer l'appréciation humaine sans examen approprié. Un examen approprié suppose que la personne qui examine dispose de l'information, du temps et de l'autorité pour être en désaccord, et qu'il lui arrive de l'être.

L'exemption n'est pas gratuite

C'est la partie que l'on saute, et elle transforme une bonne position en mauvaise.

Un fournisseur qui conclut que son système est exempté au titre du 6(3) doit documenter cette évaluation avant de mettre le système sur le marché, et doit malgré tout enregistrer le système dans la base de données de l'UE. L'autorité compétente peut réclamer la documentation. L'exemption retire donc les lourdes obligations du chapitre III - gestion des risques, dossier technique, évaluation de la conformité, marquage CE - mais elle n'est pas un silence. C'est une position plus légère, et documentée.

Un exemple déroulé

Une entreprise de onze personnes vend à des hôpitaux un logiciel qui lit les lettres d'adressage entrantes et les oriente vers le bon service.

Annexe III ? Oui - l'accès aux soins peut relever des services essentiels, et cela touche au parcours des patients.

Quel cas ? Le (a), une tâche procédurale étroite. Le système classe un document par objet et le transmet.

Profilage ? Non. Il lit le contenu clinique de la lettre et le rapproche d'un service. Il ne se forme aucune opinion sur le patient - ni urgence, ni risque, ni probabilité de venue.

Influence matérielle ? Non. Un clinicien examine chaque adressage à l'arrivée, quel que soit l'aiguillage, et les lettres mal orientées sont réaffectées chaque jour.

Conclusion : probablement exempté. Documentez-le, enregistrez-le, passez à la suite.

Changez maintenant une seule chose. L'entreprise ajoute une fonction qui signale les adressages comme « probablement urgents » à partir des antécédents du patient. C'est une prédiction sur la santé d'une personne : du profilage. L'exemption se referme aussitôt et le système est à haut risque, avec l'ensemble complet du chapitre III à tenir d'ici au 2 décembre 2027.

Une fonction. Même produit, mêmes clients, même équipe. C'est à cette vitesse que cela bascule, et c'est pourquoi l'évaluation doit être reprise chaque fois que le produit évolue.

Comment mener la vérification

1. Vérifiez que vous êtes bien dans un domaine de l'annexe III. Sinon, le 6(3) est sans objet - vous n'avez jamais été à haut risque.
2. Posez la question du profilage en premier. Elle est absolue : un oui met fin à l'analyse et vous épargne le reste.
3. Identifiez le cas sur lequel vous vous appuyez. Un seul suffit, mais nommez-le. « C'est assez étroit » n'est pas un cas.
4. Mettez l'influence matérielle à l'épreuve. Regardez les taux de contournement réels si vous les avez.
5. Écrivez-le, datez-le, enregistrez le système.
6. Refaites l'exercice quand le produit change. Mettez-le à la revue de feuille de route, pas dans un dossier.