Article 42 IA Act : Présomption de conformité avec certaines exigences
Table des matières
Explication de l’article
L’article 42 du Règlement européen sur l’intelligence artificielle prévoit des mécanismes permettant à certains systèmes d’IA à haut risque de bénéficier d’une présomption de conformité à des exigences précises du règlement.
L’objectif est d’éviter de répéter inutilement certaines démonstrations de conformité lorsque des conditions spécifiques sont déjà remplies, notamment en matière de qualité des données et de cybersécurité.
Cet article ne dispense pas les fournisseurs de respecter l’ensemble de leurs obligations. La présomption ne porte que sur les exigences expressément visées et dans les limites prévues par le texte.
La version consolidée au 27 juillet 2026 comprend trois paragraphes, dont le troisième a été ajouté par le règlement Omnibus sur l’IA.
1. Tenir compte du contexte d’utilisation dans les données d’entraînement et de test
L’article 42, paragraphe 1, prévoit que les systèmes d’IA à haut risque entraînés et testés avec des données tenant compte du contexte spécifique dans lequel ils sont destinés à être utilisés sont présumés respecter les exigences pertinentes de l’article 10, paragraphe 4.
Ce contexte peut être notamment :
- Géographique : le territoire ou la région dans lesquels le système doit fonctionner.
- Comportemental : les comportements pertinents pour l’utilisation prévue du système.
- Contextuel : les circonstances dans lesquelles le système sera utilisé.
- Fonctionnel : les tâches ou fonctions précises que le système doit accomplir.
L’objectif est de s’assurer que les données utilisées pour entraîner et tester le système correspondent suffisamment à son environnement d’utilisation réel.
Par exemple, un système destiné à assister des professionnels dans un établissement de santé doit être évalué au regard des conditions dans lesquelles il sera effectivement utilisé. Des données provenant d’un environnement très différent peuvent ne pas représenter correctement les situations rencontrées.
La présomption prévue par cet article concerne les exigences pertinentes de l’article 10, paragraphe 4. Elle ne signifie pas que toutes les obligations relatives à la gouvernance des données sont automatiquement satisfaites.
2. Reconnaître certaines certifications de cybersécurité
L’article 42, paragraphe 2, concerne les systèmes d’IA à haut risque certifiés, ou pour lesquels une déclaration de conformité a été délivrée, dans le cadre d’un schéma de cybersécurité relevant du règlement (UE) 2019/881.
Pour bénéficier de cette présomption, les références du schéma concerné doivent avoir été publiées au Journal officiel de l’Union européenne.
La présomption porte sur les exigences de cybersécurité de l’article 15 de l’IA Act, mais uniquement dans la mesure où celles-ci sont couvertes par le certificat, la déclaration de conformité ou les parties pertinentes de ces documents.
Une certification ne constitue donc pas une preuve générale de conformité à l’ensemble de l’IA Act. Le fournisseur doit vérifier le périmètre exact des exigences couvertes.
3. Reconnaître la conformité aux exigences de cybersécurité du Cyber Resilience Act
Le paragraphe 3, ajouté par le règlement Omnibus sur l’IA, établit une articulation avec le règlement (UE) 2024/2847 sur la cyberrésilience, également appelé Cyber Resilience Act.
Lorsqu’un système d’IA à haut risque relève du champ d’application de ce règlement et remplit les conditions de son article 12, paragraphe 1, il est réputé conforme aux exigences de cybersécurité prévues par l’article 15 de l’IA Act.
Cette disposition vise à éviter de reproduire inutilement des démonstrations de conformité lorsque les exigences essentielles de cybersécurité du Cyber Resilience Act couvrent déjà les exigences pertinentes de l’IA Act.
Il faut néanmoins vérifier que le système relève bien du champ d’application du Cyber Resilience Act et que les conditions prévues par son article 12, paragraphe 1, sont effectivement remplies.
Cette présomption concerne la cybersécurité. Elle ne remplace pas les autres exigences de l’IA Act, notamment celles relatives à la gestion des risques, à la gouvernance des données, à la documentation technique ou au contrôle humain.
Notions clés à comprendre
Présomption de conformité : mécanisme juridique permettant de considérer que certaines exigences sont satisfaites lorsque les conditions prévues par le règlement sont réunies.
Système d’IA à haut risque : système classé à haut risque conformément à l’article 6 et aux dispositions pertinentes de l’IA Act.
Données d’entraînement : données utilisées pour apprendre au système à accomplir les tâches prévues.
Données de test : données utilisées pour évaluer les performances et le fonctionnement du système.
Pertinence des données : adéquation entre les données utilisées et le contexte géographique, comportemental, contextuel ou fonctionnel de l’utilisation prévue.
Cybersécurité : mesures destinées à protéger un système contre les attaques, les accès non autorisés, les modifications malveillantes et les autres menaces informatiques.
Cyber Resilience Act : règlement (UE) 2024/2847 établissant des exigences de cybersécurité pour les produits comportant des éléments numériques.
Périmètre de certification : ensemble des exigences et des éléments effectivement couverts par une certification ou une déclaration de conformité.
Exemple pratique
Une entreprise développe un système d’IA à haut risque destiné à assister les professionnels d’un réseau hospitalier dans l’analyse de certaines informations médicales.
Première étape : adapter les données au contexte réel
L’entreprise entraîne et teste son système avec des données reflétant les conditions d’utilisation prévues : environnement hospitalier, types de tâches, contexte fonctionnel et caractéristiques pertinentes des situations rencontrées.
Elle documente cette démarche afin de démontrer que les données correspondent au contexte spécifique d’utilisation du système.
Lorsque les conditions de l’article 42, paragraphe 1, sont remplies, le système peut bénéficier d’une présomption de conformité aux exigences pertinentes de l’article 10, paragraphe 4.
Deuxième étape : vérifier la cybersécurité
L’entreprise vérifie ensuite si son système relève du Cyber Resilience Act et si les conditions prévues par l’article 12, paragraphe 1, de ce règlement sont remplies.
Si tel est le cas, l’article 42, paragraphe 3, permet de considérer que le système satisfait aux exigences de cybersécurité de l’article 15 de l’IA Act.
L’entreprise doit néanmoins continuer à respecter les autres obligations applicables, notamment celles relatives à la gestion des risques, à la robustesse, à la précision et à la documentation technique.
Cet exemple montre que l’article 42 facilite certaines démonstrations de conformité, mais ne constitue pas une exemption générale aux obligations de l’IA Act.
Texte original de l’IA Act
Article 42 – Présomption de conformité avec certaines exigences
1. Les systèmes d’IA à haut risque qui ont été entraînés et testés avec des données tenant compte du cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel ils sont destinés à être utilisés sont présumés conformes aux exigences pertinentes établies à l’article 10, paragraphe 4.
2. Les systèmes d’IA à haut risque qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d’un schéma de cybersécurité conformément au règlement (UE) 2019/881 et dont les références ont été publiées au Journal officiel de l’Union européenne sont présumés conformes aux exigences de cybersécurité énoncées à l’article 15 du présent règlement, dans la mesure où ces dernières sont couvertes par tout ou partie du certificat de cybersécurité ou de la déclaration de conformité.
3. Lorsque des systèmes d’IA à haut risque relèvent du champ d’application du règlement (UE) 2024/2847 et que les conditions énoncées à l’article 12, paragraphe 1, dudit règlement sont remplies, ces systèmes sont réputés conformes aux exigences de cybersécurité énoncées à l’article 15 du présent règlement.
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
Perspectives avec d’autres textes
Perspectives européennes
RGPD
Le RGPD impose des exigences relatives à la licéité, à la minimisation, à l’exactitude et à la sécurité des données personnelles.
Son article 5 prévoit notamment que les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire, ainsi qu’exactes et, si nécessaire, tenues à jour. Son article 32 impose des mesures de sécurité adaptées aux risques.
L’article 42 de l’IA Act et le RGPD poursuivent des objectifs complémentaires. La prise en compte du contexte d’utilisation des données contribue à la qualité et à la pertinence d’un système d’IA, mais elle ne garantit pas, à elle seule, la conformité du traitement de données personnelles au RGPD.
Un fournisseur ou un déployeur doit donc examiner séparément les obligations relatives à la qualité des données et celles relatives à la protection des données personnelles.
Règlement (UE) 2019/881 sur la cybersécurité (Cybersecurity Act)
Le Cybersecurity Act établit un cadre européen de certification de cybersécurité pour les produits, services et processus des technologies de l’information et de la communication.
L’article 42, paragraphe 2, permet, dans les conditions prévues par le texte, de reconnaître certaines certifications ou déclarations de conformité pour démontrer le respect des exigences de cybersécurité de l’article 15 de l’IA Act.
Cette articulation facilite la réutilisation de preuves de conformité existantes. Elle ne signifie toutefois pas que toute certification de cybersécurité est automatiquement reconnue : le schéma concerné doit répondre aux conditions prévues par l’article 42.
Règlement (UE) 2024/2847 sur la cyberrésilience
Le Cyber Resilience Act impose des exigences de cybersécurité aux produits comportant des éléments numériques relevant de son champ d’application.
Son article 12, paragraphe 1, prévoit des exigences essentielles de cybersécurité. Lorsque les conditions de l’article 42, paragraphe 3, de l’IA Act sont réunies, la conformité à ces exigences permet de bénéficier de la présomption prévue pour les exigences de cybersécurité de l’article 15 de l’IA Act.
Cette articulation vise à limiter les doublons entre deux cadres réglementaires qui peuvent s’appliquer à un même produit ou système. Elle ne supprime pas les obligations propres à chaque règlement.
L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour vérifier et documenter cette présomption.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement