Article 22 IA ACT : Mandataires des fournisseurs
Table des matières
Explication de l’article
L’article 22 de l‘IA ACT concerne les fournisseurs de systèmes d’IA établis en dehors de l’Union européenne. Ces fournisseurs doivent désigner un mandataire situé dans l’UE pour agir en leur nom et garantir la conformité du système à l’AI Act.
Le mandataire agit comme interlocuteur officiel des autorités compétentes et assure que :
le fournisseur a établi correctement la déclaration UE de conformité et la documentation technique,
les informations nécessaires pour la traçabilité et le contrôle sont disponibles pendant 10 ans après la mise sur le marché,
toutes les demandes des autorités compétentes (accès aux journaux, informations sur la conformité, coopération pour réduire les risques) sont respectées,
les obligations d’enregistrement ou de vérification des informations (article 49) sont correctement exécutées.
Le mandat précise également que le mandataire peut mettre fin à sa mission s’il constate que le fournisseur ne respecte pas ses obligations et doit en informer immédiatement l’autorité compétente.
En pratique, cet article permet à l’UE de garantir un point de contact légal pour tout fournisseur hors UE, afin que les systèmes d’IA à haut risque puissent être surveillés et contrôlés de manière fiable.
Notions clés à comprendre
Fournisseur hors UE : entreprise qui développe un système d’IA à haut risque mais n’a pas d’établissement dans l’Union.
Mandataire UE : personne ou entité établie dans l’UE qui représente le fournisseur auprès des autorités.
Mandat écrit : document juridique qui définit précisément les responsabilités et pouvoirs du mandataire.
Déclaration UE de conformité : document attestant que le système d’IA respecte les exigences de l’AI Act.
Journaux (logs) : enregistrements automatiques du système permettant le contrôle de la conformité et la traçabilité.
Coopération avec les autorités : fournir toutes les informations et documents demandés pour réduire les risques et démontrer la conformité.
Cessation du mandat : le mandataire doit notifier si le fournisseur ne respecte pas ses obligations, assurant ainsi la sécurité et la transparence.
Exemple pratique
Une start-up américaine développe un logiciel d’IA pour présélectionner des candidats à l’embauche. Elle souhaite le commercialiser en France et dans d’autres pays de l’UE.
Étapes pratiques :
1. Désignation du mandataire UE
- L’entreprise désigne une société française comme mandataire officiel.
- Le mandat est écrit et précise que le mandataire peut agir au nom du fournisseur pour toutes les questions réglementaires.
2. Tâches du mandataire
Vérifie que le fournisseur a correctement préparé la déclaration UE de conformité et la documentation technique.
Tient ces documents et les coordonnées du fournisseur disponibles pendant 10 ans pour les autorités françaises ou européennes.
Fournit les informations et logs du système d’IA aux autorités sur demande, par exemple lors d’un audit par la CNIL ou l’autorité compétente française.
Coopère avec les autorités pour corriger un biais détecté dans le système.
3. Cessation du mandat
Si le mandataire constate que la start-up américaine ne respecte pas ses obligations (ex. modification du système sans mise à jour de la conformité), il met fin au mandat, en informe les autorités et les organismes notifiés, protégeant ainsi les utilisateurs et le marché.
Texte original de l’IA Act
Article 22 – Mandataires des fournisseurs de systèmes d’IA à haut risque
1. Avant de mettre leurs systèmes d’IA à haut risque à disposition sur le marché de l’Union, les fournisseurs établis dans des pays tiers désignent, par mandat écrit, un mandataire établi dans l’Union.
2. Le fournisseur autorise son mandataire à exécuter les tâches indiquées dans le mandat que lui a confié le fournisseur.
3. Le mandataire exécute les tâches indiquées dans le mandat que lui a confié le fournisseur. Il fournit une copie du mandat aux autorités de surveillance du marché à leur demande, dans l’une des langues officielles des institutions de l’Union, indiquée par l’autorité compétente. Aux fins du présent règlement, le mandat habilite le mandataire à exécuter les tâches suivantes:
a) | vérifier que la déclaration UE de conformité visée à l’article 47 et la documentation technique visée à l’article 11 ont été établies et que le fournisseur a suivi une procédure appropriée d’évaluation de la conformité; |
b) | tenir à la disposition des autorités compétentes et des autorités ou organismes nationaux visés à l’article 74, paragraphe 10, pendant une période de dix ans après la mise sur le marché ou la mise en service du système d’IA à haut risque, les coordonnées du fournisseur ayant désigné le mandataire, une copie de la déclaration UE de conformité visée à l’article 47, la documentation technique et, le cas échéant, le certificat délivré par l’organisme notifié; |
c) | à la demande motivée d’une autorité compétente, communiquer à cette dernière toutes les informations et tous les documents, y compris ceux visés au point b) du présent alinéa, nécessaires pour démontrer la conformité d’un système d’IA à haut risque avec les exigences énoncées à la section 2, et notamment lui donner accès aux journaux générés automatiquement par le système d’IA à haut risque, visés à l’article 12, paragraphe 1, dans la mesure où ces journaux se trouvent sous le contrôle du fournisseur; |
d) | à la demande motivée des autorités compétentes, coopérer avec elles à toute mesure prise par ces dernières à l’égard du système d’IA à haut risque, en particulier pour réduire et atténuer les risques posés par le système d’IA à haut risque; |
e) | le cas échéant, respecter les obligations en matière d’enregistrement visées à l’article 49, paragraphe 1, ou, si l’enregistrement est effectué par le fournisseur lui-même, vérifier que les informations visées à l’annexe VIII, section A, point 3, sont correctes. |
Le mandat habilite le mandataire à servir d’interlocuteur, en plus ou à la place du fournisseur, aux autorités compétentes, pour toutes les questions liées au respect du présent règlement.
4. Le mandataire met fin au mandat s’il considère ou a des raisons de considérer que le fournisseur agit de manière contraire aux obligations qui lui incombent en vertu du présent règlement. Dans ce cas, il informe immédiatement l’autorité de surveillance du marché concernée et, selon le cas, l’organisme notifié pertinent de la cessation du mandat et des motifs qui la sous-tendent.
Perspectives avec d’autres textes
Perspectives européennes
Règlement (UE) 2019/1020 – Surveillance du marché
Obligation pour les fournisseurs hors UE de désigner un représentant dans l’UE pour garantir la conformité et la traçabilité.
Directive 2001/95/CE – Sécurité générale des produits
Principe similaire pour les produits industriels et dispositifs mis sur le marché depuis des pays tiers.
IA Act – Articles 21 et 24
Complète la coopération avec les autorités et les obligations des distributeurs et fournisseurs pour les systèmes à haut risque.
Perspectives françaises
Code de la consommation – Articles L.221‑1 et suivants
Responsabilité des produits importés par des fournisseurs étrangers et nécessité d’un représentant local.
CNIL – Guide IA
Importance de disposer d’un interlocuteur dans l’UE pour garantir la conformité RGPD et IA.
Exemples pratiques pour le secteur public, le secteur financier et les ressources humaines.
Désigner un mandataire dans l’UE peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement