Article 31 IA Act - Exigences concernant les organismes notifiés

Explication de l’article

L’article 31 du règlement européen sur l’intelligence artificielle (IA Act) fixe les exigences que doivent respecter les organismes notifiés chargés de certaines évaluations de conformité des systèmes d’IA à haut risque.

Ces organismes jouent un rôle essentiel dans le dispositif de conformité prévu par le règlement. Ils évaluent certains systèmes d’IA afin de vérifier qu’ils respectent les exigences applicables avant leur mise sur le marché ou leur mise en service, lorsque la procédure prévue par l’IA Act impose leur intervention.

Pour garantir la fiabilité de ces évaluations, les organismes notifiés doivent présenter des garanties suffisantes d’indépendance, d’impartialité, de compétence et de confidentialité. Ils doivent également disposer de ressources adaptées et de procédures appropriées pour accomplir leurs missions.

L’article 31 poursuit donc un objectif essentiel : garantir que les évaluations de conformité soient réalisées par des organismes compétents, indépendants et dignes de confiance.

1. Disposer d’une existence juridique et d’une organisation adaptée

Le paragraphe 1 prévoit qu’un organisme notifié doit être constitué conformément au droit national d’un État membre et posséder la personnalité juridique.

Le paragraphe 2 impose des exigences en matière d’organisation, de gestion de la qualité, de ressources, de procédures et de cybersécurité.

Le paragraphe 3 précise que la structure organisationnelle, la répartition des responsabilités, les liens hiérarchiques et le fonctionnement de l’organisme doivent inspirer confiance et garantir la fiabilité des résultats de ses évaluations.

Ces exigences permettent de s’assurer que l’organisme dispose d’une organisation stable et structurée pour accomplir ses missions.

2. Garantir l’indépendance et l’impartialité

Les paragraphes 4 à 6 encadrent l’indépendance des organismes notifiés.

Un organisme notifié doit être indépendant du fournisseur du système d’IA à haut risque qu’il évalue. Il doit également être indépendant des autres acteurs ayant un intérêt économique dans les systèmes évalués, ainsi que des concurrents du fournisseur.

Le règlement interdit notamment que l’organisme, sa direction ou les personnes chargées des évaluations participent directement à la conception, au développement, à la commercialisation ou à l’utilisation des systèmes concernés. Ils ne peuvent pas non plus représenter les parties qui exercent ces activités.

Les activités susceptibles de compromettre leur indépendance de jugement ou leur intégrité sont également interdites. Le règlement vise expressément les services de conseil.

L’organisme doit mettre en place et documenter des procédures garantissant l’indépendance, l’objectivité et l’impartialité de ses activités.

L’objectif est d’éviter les conflits d’intérêts et de garantir que les conclusions d’une évaluation reposent sur des critères objectifs, et non sur des intérêts commerciaux ou des relations avec le fournisseur.

3. Protéger la confidentialité des informations

Le paragraphe 7 impose aux organismes notifiés de disposer de procédures documentées afin de garantir la confidentialité des informations obtenues pendant les évaluations de conformité.

Cette obligation concerne notamment leur personnel, leurs comités, leurs filiales, leurs sous-traitants et les organismes ou personnels externes associés à leurs activités.

La confidentialité doit être respectée conformément à l’article 78 de l’IA Act, sauf lorsque la divulgation est imposée par la loi. Le personnel des organismes notifiés est également soumis au secret professionnel pour les informations obtenues dans le cadre de ses missions, sous réserve des échanges prévus avec les autorités notifiante compétentes.

Cette exigence est particulièrement importante, car les évaluations peuvent donner accès à des informations techniques sensibles, à des documents internes ou à des éléments confidentiels concernant le fonctionnement d’un système d’IA.

4. Adapter les procédures aux caractéristiques du fournisseur et du système

Le paragraphe 8 prévoit que les organismes notifiés doivent disposer de procédures tenant compte de plusieurs facteurs :

• la taille du fournisseur ;
• le secteur dans lequel il exerce ses activités ;
• sa structure ;
• le degré de complexité du système d’IA évalué.

L’objectif est de mettre en œuvre des procédures adaptées à la situation concrète du fournisseur et au système concerné, tout en maintenant les garanties nécessaires à une évaluation fiable.

Cette disposition ne permet pas de diminuer arbitrairement le niveau d’exigence. Elle impose une approche adaptée aux caractéristiques du dossier, sans compromettre l’objectivité et la qualité de l’évaluation.

5. Disposer d’une assurance et de compétences professionnelles suffisantes

Le paragraphe 9 impose aux organismes notifiés de souscrire une assurance responsabilité appropriée pour leurs activités d’évaluation de conformité.

Cette obligation ne s’applique toutefois pas de la même manière lorsque la responsabilité est assumée par l’État membre d’établissement conformément au droit national, ou lorsque cet État membre est lui-même directement responsable de l’évaluation.

Le paragraphe 10 exige que les organismes notifiés accomplissent leurs missions avec une intégrité professionnelle élevée et les compétences nécessaires dans les domaines concernés.

Le paragraphe 11 précise qu’ils doivent disposer de compétences internes suffisantes pour évaluer efficacement les tâches réalisées par des intervenants externes pour leur compte. Ils doivent avoir en permanence un nombre suffisant de personnels administratifs, techniques, juridiques et scientifiques possédant une expérience et des connaissances adaptées :

• aux types de systèmes d’IA concernés ;
• aux données et à leur traitement ;
• aux exigences applicables aux systèmes d’IA à haut risque.

L’organisme ne peut donc pas se contenter de déléguer des tâches sans être en mesure d’en apprécier sérieusement la qualité et les résultats.

6. Participer à la coordination et suivre les normes européennes

Enfin, le paragraphe 12 prévoit que les organismes notifiés participent aux activités de coordination visées à l’article 38 de l’IA Act.

Ils doivent également participer directement, ou par l’intermédiaire de représentants, aux activités des organisations européennes de normalisation. À défaut, ils doivent veiller à rester informés des normes pertinentes et de leur évolution.

Cette participation contribue à rapprocher les pratiques d’évaluation et à favoriser une application cohérente des exigences réglementaires dans l’Union européenne.

En résumé, l’article 31 impose aux organismes notifiés un ensemble de garanties juridiques, organisationnelles, techniques et professionnelles. Ces exigences visent à assurer la crédibilité des évaluations de conformité et à renforcer la confiance dans les systèmes d’IA à haut risque.