Article 43 IA Act : Évaluation de la conformité

Explication de l’article

L’article 43 du Règlement européen sur l’intelligence artificielle définit les procédures permettant de vérifier qu’un système d’intelligence artificielle à haut risque respecte les exigences du règlement avant sa mise sur le marché ou sa mise en service. Cette évaluation vise notamment à s’assurer que le système répond aux exigences relatives à la gestion des risques, à la qualité des données, à la documentation technique, à la transparence, à la supervision humaine et à la cybersécurité.

La procédure à suivre dépend de la catégorie du système d’IA et de la législation européenne qui lui est applicable. L’article distingue principalement les systèmes biométriques visés à l’annexe III, point 1, et les systèmes d’IA à haut risque intégrés à des produits soumis à certaines législations européennes d’harmonisation.

1. Deux procédures possibles pour certains systèmes biométriques

Pour les systèmes d’IA à haut risque relevant de l’annexe III, point 1, lorsque le fournisseur applique les normes harmonisées visées à l’article 40 ou, le cas échéant, les spécifications communes visées à l’article 41, il peut choisir entre deux procédures :

Le contrôle interne, prévu à l’annexe VI : le fournisseur vérifie lui-même la conformité du système, notamment à partir de son système de gestion de la qualité et de sa documentation technique.
L’évaluation avec un organisme notifié, prévue à l’annexe VII : un organisme indépendant désigné par une autorité compétente intervient pour évaluer le système de gestion de la qualité et la documentation technique.

Dans certaines situations, le recours à un organisme notifié devient obligatoire. C’est notamment le cas lorsque les normes harmonisées pertinentes n’existent pas et qu’aucune spécification commune n’est disponible, lorsque le fournisseur ne les applique pas ou ne les applique que partiellement, ou encore lorsque les normes applicables sont soumises à des restrictions. La procédure de l’annexe VII s’applique également lorsque le fournisseur n’a pas appliqué les spécifications communes pertinentes ou ne les a appliquées que partiellement.

2. Une procédure adaptée aux produits déjà réglementés par l’Union européenne

Lorsqu’un système d’IA à haut risque est couvert par une législation européenne d’harmonisation figurant à l’annexe I, section A, l’évaluation de conformité prévue par cette législation s’applique également.

Les exigences spécifiques de l’IA Act doivent alors être intégrées à cette évaluation. Le système de gestion de la qualité prévu à l’article 17 doit aussi être évalué, selon les modalités précisées à l’article 43 et à l’annexe VII.

La version modifiée par l’AI Omnibus précise également les conditions dans lesquelles les organismes notifiés déjà désignés au titre de ces législations peuvent évaluer la conformité aux exigences de l’IA Act. Leur compétence doit avoir été évaluée pour les exigences pertinentes de l’article 31. Ces organismes doivent demander leur désignation au titre de l’IA Act au plus tard le 28 janvier 2028.

3. Des règles spécifiques pour les fabricants de produits

L’article 43 prévoit aussi des règles particulières lorsque le système d’IA est intégré à un produit relevant d’une législation européenne d’harmonisation.

Si cette législation autorise le fabricant à procéder à une évaluation sans intervention d’un tiers, cette possibilité ne peut être utilisée que si les normes harmonisées ou, le cas échéant, les spécifications communes couvrent toutes les exigences applicables de la section 2 du chapitre III de l’IA Act.

Le fait qu’un produit intègre un système d’IA à haut risque ne suffit donc pas, à lui seul, à imposer une évaluation par un organisme tiers lorsque la législation sectorielle applicable ne l’exige pas et que les conditions prévues par l’article 43 sont remplies.

4. Les modifications importantes et les systèmes qui continuent à apprendre

Une nouvelle évaluation peut être nécessaire lorsqu’un système d’IA à haut risque subit une modification substantielle susceptible d’affecter sa conformité, ou lorsque sa finalité prévue change. L’objectif est de vérifier que le système modifié respecte toujours les exigences applicables.

Toutefois, les changements résultant d’un apprentissage continu après la mise sur le marché ou la mise en service ne constituent pas automatiquement une modification substantielle, lorsque ces changements ont été prédéterminés par le fournisseur et évalués lors de l’évaluation initiale de conformité.

L’article 43 permet ainsi d’adapter la procédure au type de système et à son cadre réglementaire, tout en maintenant l’objectif essentiel : vérifier la conformité aux exigences de l’IA Act avant la mise sur le marché ou la mise en service, puis réévaluer le système lorsque les circonstances le justifient.

Notions clés à comprendre

Évaluation de la conformité : procédure visant à vérifier qu’un système d’IA respecte les exigences légales applicables avant sa mise sur le marché ou sa mise en service.

Contrôle interne : procédure par laquelle le fournisseur vérifie lui-même la conformité du système, selon les exigences de l’annexe VI.

Organisme notifié : organisme désigné par une autorité compétente pour réaliser certaines évaluations de conformité.

Normes harmonisées : normes européennes élaborées dans le cadre prévu par l’Union européenne et dont les références sont publiées au Journal officiel de l’Union européenne.

Spécifications communes : exigences techniques adoptées par la Commission européenne dans les conditions prévues à l’article 41, notamment lorsqu’il est nécessaire de préciser les moyens de démontrer la conformité.

Législation d’harmonisation : ensemble des règles européennes applicables à certaines catégories de produits, par exemple les dispositifs médicaux ou les machines.

Modification substantielle : modification susceptible d’affecter la conformité d’un système d’IA ou qui change sa finalité prévue et peut nécessiter une nouvelle évaluation.

Exemple pratique

Un fabricant commercialise un dispositif médical intégrant une IA qui analyse des images pour aider les professionnels de santé à détecter certaines anomalies. Le système est classé à haut risque au titre de l’IA Act et le dispositif relève également de la réglementation européenne sur les dispositifs médicaux.

Le fabricant ne peut pas se limiter à vérifier que son algorithme fonctionne correctement. Il doit démontrer que le système respecte les exigences applicables de l’IA Act, notamment en matière de gestion des risques, de qualité des données, de documentation technique et de supervision humaine.

L’évaluation est organisée dans le cadre de la procédure applicable au dispositif médical, en intégrant les exigences pertinentes de l’IA Act. Si un organisme notifié intervient, sa compétence pour évaluer ces exigences doit répondre aux conditions prévues par le règlement.

Après la mise sur le marché, le fabricant modifie profondément l’architecture logicielle de l’IA, ce qui risque d’affecter sa conformité. Il doit alors examiner si cette modification est substantielle et si une nouvelle évaluation est nécessaire avant de commercialiser ou de mettre en service le système modifié.

Cet exemple montre que l’évaluation de conformité ne constitue pas une simple formalité documentaire : elle doit être adaptée au produit, aux risques et aux modifications apportées au système.

Vous avez un système d’IA à haut risque et vous ne savez pas si vous devez passer une évaluation de conformité ?

L'article 43 indique que Lls systèmes d’IA à haut risque doivent démontrer leur conformité aux exigences de l’AI Act. Selon le type de système, cette évaluation peut être réalisée en interne ou nécessiter l’intervention d’un organisme notifié.

Comprendre la procédure d’évaluation de conformité

Texte original de l’IA Act

Article 43 – Évaluation de la conformité

1. Pour les systèmes d’IA à haut risque énumérés à l’annexe III, point 1, lorsque, pour démontrer la conformité d’un système d’IA à haut risque avec les exigences énoncées à la section 2, le fournisseur a appliqué les normes harmonisées visées à l’article 40 ou, le cas échéant, les spécifications communes visées à l’article 41, il choisit l’une des procédures d’évaluation de la conformité suivantes sur la base:

a) du contrôle interne visé à l’annexe VI; ou

b) de l’évaluation du système de gestion de la qualité et de l’évaluation de la documentation technique, avec l’intervention d’un organisme notifié, visée à l’annexe VII.

Pour démontrer la conformité d’un système d’IA à haut risque avec les exigences énoncées à la section 2, le fournisseur suit la procédure d’évaluation de la conformité prévue à l’annexe VII dans les cas suivants:

a) les normes harmonisées visées à l’article 40 n’existent pas et les spécifications communes visées à l’article 41 font défaut;

b) le fournisseur n’a pas appliqué la norme harmonisée ou ne l’a appliquée que partiellement;

c) les spécifications communes visées au point a) existent, mais le fournisseur ne les a pas appliquées;

d) une ou plusieurs des normes harmonisées visées au point a), ont été publiées assorties d’une restriction et seulement sur la partie de la norme qui a été soumise à une restriction.

Aux fins de la procédure d’évaluation de la conformité visée à l’annexe VII, le fournisseur peut choisir n’importe lequel des organismes notifiés. Toutefois, lorsque le système d’IA à haut risque est destiné à être mis en service par les autorités répressives, les services de l’immigration ou les autorités compétentes en matière d’asile ou par les institutions, organes ou organismes de l’UE, l’autorité de surveillance du marché visée à l’article 74, paragraphe 8 ou 9, selon le cas, agit en tant qu’organisme notifié.

2. Pour les systèmes d’IA à haut risque visés à l’annexe III, points 2 à 8, les fournisseurs suivent la procédure d’évaluation de la conformité fondée sur le contrôle interne visée à l’annexe VI, qui ne prévoit pas d’intervention d’un organisme notifié.

3. Pour les systèmes d’IA à haut risque couverts par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, le fournisseur du système suit la procédure d’évaluation de la conformité pertinente selon les modalités requises conformément à la législation d’harmonisation de l’Union applicable. Les exigences énoncées à la section 2 du présent chapitre s’appliquent à ces systèmes d’IA à haut risque et font partie de cette évaluation. L’évaluation du système de gestion de la qualité prévue à l’article 17 est également effectuée, et les points 3, 4.3, 4.4 et 4.5, le cinquième paragraphe du point 4.6 et le point 5 de l’annexe VII s’appliquent.

Aux fins de ces évaluations de la conformité, les organismes notifiés qui ont été notifiés en vertu de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, sont habilités à évaluer la conformité des systèmes d’IA à haut risque avec les exigences énoncées à la section 2 du présent chapitre, à condition que le respect, par ces organismes notifiés, des exigences énoncées à l’article 31, paragraphes 4, 5, 10 et 11, ait été évalué dans le cadre de la procédure de notification conformément à la législation d’harmonisation de l’Union applicable, ce qui est attesté par l’évaluation effectuée dans le cadre de la notification existante. Sans préjudice de l’article 28, les organismes notifiés qui ont été notifiés en vertu de la législation d’harmonisation de l’Union figurant à l’annexe I, section A, introduisent une demande de désignation conformément à la section 4 du présent chapitre au plus tard le 28 janvier 2028.

Lorsque la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, confère au fabricant du produit la faculté de se fonder sur une évaluation de la conformité ne faisant pas intervenir un tiers, à condition que ce fabricant ait appliqué les normes harmonisées afin de garantir le respect de toutes les exigences pertinentes, ce fabricant ne peut faire usage de cette faculté que s’il a également appliqué les normes harmonisées ou, le cas échéant, les spécifications communes visées à l’article 41 couvrant toutes les exigences énoncées à la section 2 du présent chapitre. La classification d’un produit en tant que système d’IA à haut risque conformément à l’article 6, paragraphe 1, n’affecte pas le choix de la procédure d’évaluation de la conformité offert aux fabricants de produits couverts par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A, y compris, le cas échéant, la possibilité de se fonder sur des normes harmonisées. Les fabricants de ces produits ne sont pas tenus de choisir une procédure d’évaluation de la conformité impliquant une évaluation par un tiers uniquement parce que le produit intègre un système d’IA à haut risque en tant que composant de sécurité, si cela n’est pas requis par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A.

Lorsqu’un système d’IA à haut risque relève à la fois de la législation d’harmonisation de l’Union dont la liste figure à l’annexe I, section A et de l’une des catégories énumérées à l’annexe III, le fournisseur de ce système suit la procédure d’évaluation de la conformité pertinente selon les modalités requises en vertu de la législation d’harmonisation de l’Union applicable dont la liste figure à l’annexe I, section A.

4. Les systèmes d’IA à haut risque qui ont déjà été soumis à une procédure d’évaluation de la conformité sont soumis à une nouvelle procédure d’évaluation de la conformité lorsqu’ils font l’objet de modifications substantielles, que le système modifié soit destiné à être distribué plus largement ou reste utilisé par le déployeur actuel.

Pour les systèmes d’IA à haut risque qui continuent leur apprentissage après avoir été mis sur le marché ou mis en service, les modifications apportées au système d’IA à haut risque et à sa performance qui ont été déterminées au préalable par le fournisseur au moment de l’évaluation initiale de la conformité et font partie des informations contenues dans la documentation technique visée à l’annexe IV, point 2), f), ne constituent pas une modification substantielle.

5. La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier les annexes VI et VII afin de les mettre à jour compte tenu du progrès technique.

6. La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier les paragraphes 1 et 2 du présent article afin de soumettre les systèmes d’IA à haut risque visés à l’annexe III, points 2 à 8, à tout ou partie de la procédure d’évaluation de la conformité visée à l’annexe VII. La Commission adopte ces actes délégués en tenant compte de l’efficacité de la procédure d’évaluation de la conformité fondée sur le contrôle interne visée à l’annexe VI pour prévenir ou réduire au minimum les risques que ces systèmes font peser sur la santé et la sécurité et sur la protection des droits fondamentaux, ainsi que de la disponibilité de capacités et de ressources suffisantes au sein des organismes notifiés.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

Perspectives avec d’autres textes

Perspectives européennes

Règlement (CE) n° 765/2008 relatif à l’accréditation et à la surveillance du marché

Le règlement (CE) n° 765/2008 établit un cadre européen pour l’accréditation des organismes d’évaluation de la conformité. Il contribue à garantir la compétence des organismes chargés d’évaluer la conformité.

Décision n° 768/2008/CE relative à un cadre commun pour la commercialisation des produits

La décision n° 768/2008/CE établit des principes de référence pour la législation européenne relative aux produits, notamment en matière d’évaluation de la conformité et de notification des organismes concernés.

L’IA Act reprend une logique comparable : la désignation des organismes doit être encadrée, documentée et transparente afin de renforcer la confiance dans les évaluations réalisées. Cette cohérence est importante lorsque des systèmes d’IA sont intégrés à des produits soumis à d’autres réglementations européennes d’harmonisation.

Règlement (UE) 2017/745 relatif aux dispositifs médicaux

Lorsqu’un dispositif médical intègre un système d’IA à haut risque, les exigences de l’IA Act doivent être prises en compte dans la procédure de conformité applicable au produit, afin d’éviter des évaluations inutilement redondantes.

Règlement (UE) 2024/2847 sur la cyberrésilience (Cyber Resilience Act)

Lorsque le produit et le système d’IA entrent dans son champ d’application, les exigences de cybersécurité doivent être coordonnées avec celles de l’IA Act, en tenant compte des règles spécifiques applicables à l’évaluation de conformité.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour déterminer la procédure applicable et sécuriser votre conformité.

Menu IA Act

Besoin d’aide pour cet article ?

Comprendre les obligations liées à cet article et éviter les erreurs.

🔓 Échange confidentiel – Sans engagement