L’annexe III expliquée aux banques et aux assureurs : quels agents IA sont à haut risque
L’annexe III de l’AI Act, le règlement européen sur l’intelligence artificielle, rend un système d’IA à haut risque en raison de son usage, et non de sa technique. Le sujet « annexe III AI Act haut risque » revient dans tous les comités de gouvernance de l’IA, et il est rarement traité point par point pour une banque ou un assureur. Chaque point décrit des systèmes destinés à un usage : la classification est donc une décision sur un usage, prise système par système et consignée par écrit.
1. Biométrie
Le texte anglais dit :
- Biometrics ...: (a) remote biometric identification systems. This shall not include AI systems intended to be used for biometric verification the sole purpose of which is to confirm that a specific natural person is the person he or she claims to be; ... (c) AI systems intended to be used for emotion recognition. (Annex III, point 1)
Un selfie comparé à la photo de la pièce d’identité lors de l’entrée en relation relève de la vérification biométrique. Son seul objet est de confirmer que le client est bien la personne qu’il prétend être : il sort donc du point 1(a). Le point 1(c) ne prévoit aucune exclusion de ce type. Une banque dont la plateforme du centre d’appels note la voix de l’appelant pour y détecter du stress ou un mensonge exploite un système de reconnaissance des émotions, et il est à haut risque. Braquer le même outil sur le personnel est interdit par l’article 5(1)(f), sauf pour des raisons médicales ou de sécurité. Pour un assureur, un entretien de déclaration de sinistre en visio analysé pour y repérer une fausse déclaration relève de la reconnaissance des émotions, à haut risque.
2. Infrastructures critiques
Le texte anglais dit :
- Critical infrastructure: AI systems intended to be used as safety components in the management and operation of critical digital infrastructure, road traffic, or in the supply of water, gas, heating or electricity. (Annex III, point 2)
Ce point ne concerne ni une banque ni un assureur. Les systèmes de paiement et de gestion des contrats sont critiques pour l’établissement, mais ils ne sont pas les infrastructures numériques critiques que vise ce point, et l’article 6(1a) ajoute qu’un système utilisé uniquement pour l’optimisation des performances, l’efficacité ou l’automatisation n’est pas un composant de sécurité.
3. Éducation et formation professionnelle
Le texte anglais dit :
- Education and vocational training: (a) AI systems intended to be used to determine access or admission or to assign natural persons to educational and vocational training institutions at all levels; (b) AI systems intended to be used to evaluate learning outcomes ... (Annex III, point 3)
Ce point ne concerne pas une banque ou un assureur en tant que tels. Chacune de ses branches est rattachée aux établissements d’enseignement et de formation professionnelle, et une plateforme interne de formation des collaborateurs n’en est pas un. Le cas limite est le groupe qui exploite un organisme de formation enregistré pour ses agents généraux ou ses courtiers : un agent qui corrige ces examens relève du point 3(b).
4. Emploi et gestion des travailleurs
Le texte anglais dit :
- Employment, workers’ management and access to self-employment: (a) AI systems intended to be used for the recruitment or selection of natural persons, in particular ... to analyse and filter job applications, and to evaluate candidates; (b) AI systems intended to be used ... to allocate tasks based on individual behaviour ... or to monitor and evaluate the performance and behaviour of persons in such relationships. (Annex III, point 4)
Ce point atteint tout grand employeur. Une banque dont le copilote de recrutement filtre et note les candidatures avant qu’un humain ne les voie exploite un système du point 4(a). Un assureur qui répartit les dossiers sinistres entre gestionnaires selon la rapidité et les décisions passées de chacun exploite un système du point 4(b). L’article 6(3) peut sortir de la liste un outil qui ne fait que convertir des CV en un format structuré, pas un outil qui classe des personnes sur des traits déduits : c’est du profilage.
5. Accès aux services privés et publics essentiels
Le texte anglais dit :
- Access to and enjoyment of essential private services and essential public services and benefits: ... (b) AI systems intended to be used to evaluate the creditworthiness of natural persons or establish their credit score, with the exception of AI systems used for the purpose of detecting financial fraud; (c) AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance; ... (Annex III, point 5)
Pour une banque, le point 5(b) couvre l’assistant crédit qui pré-accorde un prêt à la consommation dans l’application, et l’agent crédit immobilier qui renvoie une décision ou un score. Il vise les personnes physiques : un modèle qui note une société n’y figure pas, un modèle qui note un entrepreneur individuel y figure. Et il exclut les systèmes de détection de la fraude financière, où se trouvent les modèles de fraude sur transactions et de lutte contre le blanchiment.
Pour un assureur, le point 5(c) couvre l’agent de souscription qui lit un questionnaire de santé et tarifie une temporaire décès, et le moteur de tarification d’une complémentaire santé. Il se limite à l’assurance vie et santé, et à l’évaluation des risques et à la tarification : un modèle de tarification auto ou habitation n’y figure pas, ni, selon les mots du texte, un agent sinistres. Les deux branches se croisent : une banque qui distribue de l’assurance vie au guichet déploie un système du point 5(c).
6. Répression pénale
Le texte anglais dit :
- Law enforcement ...: (a) AI systems intended to be used by or on behalf of law enforcement authorities ... to assess the risk of a natural person becoming the victim of criminal offences; ... (Annex III, point 6)
Ce point ne concerne ni une banque ni un assureur. Chacune de ses branches exige un usage par une autorité répressive ou pour son compte. La lutte contre le blanchiment et les déclarations de soupçon sont des obligations que la banque porte en son nom propre, et le service anti-fraude d’un assureur fonctionne de la même manière. Ce qui atteint les deux, c’est l’article 5(1)(d), qui s’applique à tout le monde : il interdit de prédire le risque qu’une personne commette une infraction pénale à partir du seul profilage ou des seuls traits de personnalité.
7. Migration, asile et contrôle aux frontières
Le texte anglais dit :
- Migration, asylum and border control management ...: ... (b) AI systems intended to be used by or on behalf of competent public authorities ... to assess a risk ... posed by a natural person who intends to enter or who has entered into the territory of a Member State; ... (Annex III, point 7)
Ce point ne concerne ni une banque ni un assureur. Il s’adresse aux autorités publiques compétentes et à ceux qui agissent pour leur compte. Une banque qui lit un titre de séjour à l’entrée en relation le fait pour sa propre vigilance à l’égard du client, et un assureur qui vend la couverture santé exigée pour un visa n’évalue pas un risque migratoire pour l’État.
8. Administration de la justice et processus démocratiques
Le texte anglais dit :
- Administration of justice and democratic processes: (a) AI systems intended to be used by a judicial authority or on their behalf ..., or to be used in a similar way in alternative dispute resolution; ... (Annex III, point 8)
Ce point ne concerne ni une banque ni un assureur. Un service réclamations qui répond aux clients ne fait pas de règlement extrajudiciaire des litiges. Le seul endroit où le point 8(a) touche le secteur est le médiateur qu’il finance : un système d’IA que cet organe utilise pour rendre ses avis est à haut risque.
La dérogation de l’article 6(3)
Tomber dans le point 4 ou le point 5 ne règle pas la question : l’article 6(3) peut faire ressortir un système. Le texte anglais dit :
By derogation from paragraph 2, an AI system referred to in Annex III shall not be considered to be high-risk where it does not pose a significant risk of harm to the health, safety or fundamental rights of natural persons, including by not materially influencing the outcome of decision making. The first subparagraph shall apply where any of the following conditions is fulfilled: (a) the AI system is intended to perform a narrow procedural task; (b) the AI system is intended to improve the result of a previously completed human activity; (c) the AI system is intended to detect decision-making patterns or deviations from prior decision-making patterns and is not meant to replace or influence the previously completed human assessment, without proper human review; or (d) the AI system is intended to perform a preparatory task to an assessment relevant for the purposes of the use cases listed in Annex III. Notwithstanding the first subparagraph, an AI system referred to in Annex III shall always be considered to be high-risk where the AI system performs profiling of natural persons. (Article 6(3))
En crédit et en souscription, la condition (a) est un agent qui extrait les chiffres des bulletins de paie vers le dossier de prêt ; (b) un agent qui reformule en langage clair la lettre de décision du souscripteur ; (c) un agent qualité qui signale les décisions sinistres qui s’écartent de la pratique passée du gestionnaire, pour qu’un humain les réexamine ; (d) un agent qui résume un dossier immobilier avant que l’analyste ne l’évalue.
Une note de crédit est une évaluation automatisée de la situation économique et de la fiabilité d’une personne, c’est-à-dire du profilage au sens du RGPD : la dérogation ne sauve donc pas un moteur de scoring. Au titre de l’article 6(4), un fournisseur qui estime qu’un système de l’annexe III n’est pas à haut risque doit documenter cette évaluation avant la mise sur le marché ou la mise en service, l’enregistrer au titre de l’article 49(2), et la remettre à l’autorité compétente sur demande.
Ce que « haut risque » veut dire avant et après décembre 2027
Être à haut risque ne déclenche pas, aujourd’hui, les obligations du haut risque. L’Omnibus numérique, le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a déplacé la date : le chapitre III, sections 1 à 3, s’applique aux systèmes autonomes à haut risque de l’annexe III à compter du 2 décembre 2027, et les systèmes intégrés de l’annexe I suivent le 2 août 2028. La section 5 du chapitre III (articles 40 à 49) et l’article 86 sont contestés depuis l’Omnibus : ils s’appliquent peut-être déjà, confirmez avec votre conseil.
Les interdictions de l’article 5 et l’obligation de maîtrise de l’IA de l’article 4 s’appliquent depuis le 2 février 2025 : les lignes tracées plus haut sur les émotions et le profilage sont donc en vigueur. Rien dans le report ne change ce qu’un superviseur prudentiel attend déjà : que vous sachiez quels systèmes d’IA vous exploitez, que chacun soit classé avec une raison écrite, et que vous puissiez montrer qu’il se comporte comme sa documentation le dit. À compter du 2 décembre 2027, le déployeur d’un système du point 5(b) ou 5(c) porte aussi les obligations du déployeur de l’article 26 et, au titre de l’article 27, une analyse d’impact sur les droits fondamentaux.
Vidimus transforme chaque article applicable en tests, les exécute contre votre agent en production, enregistre ses appels d’outil, note chaque réponse avec un modèle de notation distinct, fait confirmer le résultat par le relecteur, la personne qui valide, et délivre un dossier de preuves versionné et signé. Pour classer votre agent au regard de l’annexe III, commencez par le classificateur de risque AI Act gratuit : /tools/eu-ai-act-readiness.