Annexe III et décembre 2027 : préparer l'échéance sans la subir
Mis à jour le 8 min de lecture
Quinze mois, ce n'est pas long quand le travail commence par un recensement. Savoir si vous êtes concerné, et ce qui se prépare dès maintenant.
Le report des obligations haut risque au 2 décembre 2027 a produit un effet secondaire prévisible : le sujet est sorti des priorités. C'est une erreur d'appréciation, non parce que l'échéance serait proche, mais parce que le travail qu'elle demande commence par un inventaire, et qu'un inventaire ne se rattrape pas au dernier trimestre.
Ce que le report a changé, et ce qu'il n'a pas changé
Le Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a déplacé les obligations des systèmes à haut risque de l'Annexe III du 2 août 2026 au 2 décembre 2027. Le calendrier complet situe cette échéance parmi les autres.
Ce que le report ne change pas : l'article 4 sur la littératie IA est applicable depuis février 2025 et supervisé depuis le 2 août 2026. L'article 50 sur la transparence s'applique également. Le report porte sur une catégorie précise, pas sur l'ensemble du règlement.
Autrement dit, vous n'avez pas quinze mois de tranquillité. Vous avez quinze mois pour préparer une couche supplémentaire, pendant que les autres obligations courent déjà.
Êtes-vous concerné ? La question se tranche vite
L'Annexe III vise des usages autonomes dans des domaines sensibles. Pour une PME, quatre situations reviennent : le tri ou la présélection de candidatures, l'évaluation des salariés ou les décisions affectant les conditions de travail, l'évaluation de la solvabilité de personnes physiques, et l'accès à certains services essentiels.
Le point qui trompe le plus : ce n'est pas l'outil qui est à haut risque, c'est l'usage que vous en faites. Un modèle de langage généraliste n'est pas classé haut risque en soi. Le même modèle branché sur un tri automatique de candidatures, si.
Les quatre niveaux de risque détaillent cette logique. Retenez la question utile : ce système produit-il, seul, une décision qui affecte une personne ?
Fournisseur ou déployeur : la réponse change tout
Si vous utilisez un outil conçu par un tiers, vous êtes déployeur. Vos obligations existent mais restent bien plus légères que celles du fournisseur : information des personnes, supervision humaine, conservation des journaux, usage conforme à la notice.
Si vous développez le système, ou si vous le commercialisez sous votre marque, vous devenez fournisseur, et la charge est d'un autre ordre : gestion des risques, documentation technique, évaluation de la conformité. La frontière entre les deux rôles mérite d'être tranchée maintenant, parce qu'elle détermine l'ampleur du travail.
Le travail à étaler sur quinze mois
D'ici la fin 2026 : savoir. Un recensement qui identifie, pour chaque usage, s'il touche au recrutement, à l'évaluation des personnes ou à l'accès à un service. C'est un tri, pas une analyse juridique, et il tient en deux semaines.
Premier semestre 2027 : décider. Pour chaque usage concerné, trois options : le retirer, le maintenir avec une supervision humaine renforcée, ou l'assumer avec les obligations complètes. Beaucoup de PME découvriront que le retrait ou la reconception coûte moins cher que la conformité.
Second semestre 2027 : documenter. Supervision humaine formalisée, information des personnes concernées, journalisation. C'est la partie longue, et elle suppose que les deux étapes précédentes soient faites.
L'erreur classique consiste à commencer par la troisième. Documenter un système qu'on va finalement retirer est du temps perdu deux fois.
La décision que peu d'entreprises anticipent
Pour un usage marginal, se conformer n'est pas toujours le bon calcul. Un outil de présélection utilisé sur quinze recrutements par an peut coûter plus cher en documentation et en supervision qu'il ne rapporte en temps gagné.
Poser la question maintenant, alors qu'aucune obligation ne presse, permet d'y répondre froidement. La poser en octobre 2027 conduira à la mauvaise décision, prise dans l'urgence.
Ce qui ne peut pas attendre
Si un de vos usages relève probablement de l'Annexe III et touche des personnes, l'attente comporte un risque immédiat qui n'a rien à voir avec l'échéance de 2027. Le RGPD encadre déjà les décisions entièrement automatisées, comme l'a rappelé la sanction prononcée contre Uber sur ce fondement.
Décembre 2027 ajoute une couche. Elle ne remplace pas ce qui s'applique aujourd'hui.
Questions fréquentes
Utiliser ChatGPT nous place-t-il dans l'Annexe III ?
Non, pas en tant que tel. Un assistant de rédaction généraliste ne relève pas de cette catégorie. Ce qui compte est l'usage : si vous le branchez sur un processus qui décide du sort d'une personne, la qualification change.
Le régime PME allège-t-il ces obligations ?
Il proportionne les formalités, il ne supprime aucune obligation. Ce que le régime simplifié couvre réellement mérite d'être lu avant de compter dessus : il allège la documentation, pas la substance.
Faut-il attendre les lignes directrices de la Commission ?
Pour documenter, oui, autant attendre les précisions à venir. Pour recenser et décider, non : ces deux étapes ne dépendent d'aucune publication future, et elles représentent l'essentiel du délai.
Où en est votre entreprise ?
L'audit de maturité IA de Klaveta évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.