Article 74 : Surveillance du marché et contrôle des systèmes d’IA sur le marché de l’Union

Explication de l’article

L’article 74 de l’IA Act concerne la surveillance du marché et le contrôle des systèmes d’IA dans l’Union européenne. Son objectif est de garantir que les systèmes d’IA mis sur le marché ou utilisés dans l’Union respectent effectivement les exigences prévues par l’IA Act.

L’idée est importante : adopter des règles ne suffit pas. Il faut également prévoir des autorités capables de contrôler leur respect et d’intervenir lorsqu’un système d’IA présente un risque ou ne respecte pas la réglementation.

Pour cela, l’article 74 établit un lien direct entre l’IA Act et le règlement (UE) 2019/1020 relatif à la surveillance du marché et à la conformité des produits. Autrement dit, l’IA Act utilise le système européen déjà existant de surveillance du marché et l’adapte aux spécificités de l’intelligence artificielle. L’article 74 peut donc être compris autour de plusieurs idées :

Appliquer le règlement 2019/1020 aux systèmes d’IA ;
Identifier les autorités chargées de contrôler ces systèmes ;
Organiser la coopération entre les autorités ;
Assurer la transmission d’informations à la Commission européenne ;
Permettre une surveillance efficace des systèmes d’IA présents sur le marché européen.

1. Qui sont les autorités de surveillance du marché ?

Les autorités de surveillance du marché sont les autorités nationales chargées de contrôler la conformité des systèmes d’IA relevant de leur compétence. L’article 74 ne donne cependant pas une seule autorité compétente pour tous les systèmes. La compétence peut dépendre de la nature du système et du secteur concerné. C’est notamment le cas lorsque l’IA est intégrée à un produit déjà réglementé par d’autres textes européens.

2. Les systèmes d’IA intégrés à des produits déjà réglementés

L’article 74 prévoit une règle spécifique pour les systèmes d’IA à haut risque qui sont liés à certains produits couverts par la législation d’harmonisation de l’Union européenne mentionnée à l’annexe I de l’IA Act. Dans cette situation, l’autorité chargée de la surveillance du marché au titre de l’IA Act est, en principe, l’autorité déjà responsable de la surveillance du marché pour le produit concerné.

Par exemple: Une entreprise développe un système d’IA qui constitue un composant de sécurité d’un produit soumis à une réglementation européenne spécifique. Il ne serait pas logique de créer une nouvelle autorité totalement indépendante pour contrôler uniquement la partie « IA ».

L’autorité qui connaît déjà le produit peut donc également jouer un rôle dans la surveillance du système d’IA. Cela favorise la cohérence du contrôle et évite la multiplication inutile des autorités.

3. Cas particulier du secteur financier

L’article 74 prévoit également une règle spécifique pour certains systèmes d’IA à haut risque utilisés par des établissements financiers soumis au droit de l’Union en matière de services financiers. Dans ce cas, l’autorité de surveillance du marché est, en principe, l’autorité nationale responsable de la surveillance financière de l’établissement concerné, lorsque le système d’IA est directement lié à la fourniture de ces services financiers.

Par exemple: Une banque utilise un système d’IA à haut risque pour certaines activités directement liées à ses services financiers. L’autorité chargée de la surveillance financière de cette banque peut également être compétente pour contrôler le système d’IA dans le cadre prévu par l’IA Act.

Pourquoi ? : Les autorités financières connaissent déjà les activités des établissements financiers, leurs systèmes de contrôle et obligations réglementaires, ainsi que les risques propres au secteur financier. Cela permet donc une surveillance plus cohérente.

4. Une autre autorité peut parfois être désignée

L’article 74 prévoit toutefois qu’une autre autorité compétente puisse être désignée par l’État membre dans certaines circonstances, à condition que la coordination soit assurée. Cela permet aux États membres d’adapter leur organisation administrative à leur propre système national. L’IA Act fixe donc un cadre européen commun, tout en laissant une certaine flexibilité dans l’organisation nationale de la surveillance.

5. Les autorités doivent également surveiller les pratiques interdites

L’article 74 prévoit également que les autorités de surveillance du marché rendent compte chaque année à la Commission européenne concernant notamment l’utilisation de pratiques interdites et les mesures prises à leur sujet. Cette obligation permet à la Commission d’avoir une vision globale de l’application de l’IA Act dans l’Union.

Par exemple: Supposons qu’une autorité nationale identifie une entreprise utilisant une pratique interdite par l’article 5 de l’IA Act. L’autorité peut prendre les mesures nécessaires et doit également communiquer les informations pertinentes dans le cadre du mécanisme de rapport prévu par l’article 74.

6. Le lien avec le droit de la concurrence

L’article 74 prévoit également que les autorités de surveillance du marché communiquent chaque année à la Commission et aux autorités nationales de concurrence les informations recueillies lors de leurs activités de surveillance qui pourraient être pertinentes pour l’application du droit de la concurrence de l’Union européenne.

Vu que l’utilisation de l’IA peut avoir des conséquences qui dépassent la simple conformité technique. Par exemple, certaines pratiques liées à l’IA pourraient :

favoriser une entreprise dominante ;
limiter la concurrence ;
créer des barrières à l’entrée ;
faciliter certaines pratiques anticoncurrentielles.

L’article 74 permet donc de créer un pont entre la réglementation de l’IA et le droit de la concurrence.

7. La coopération entre les autorités

La surveillance de l’IA ne peut pas fonctionner uniquement au niveau national. Par exemple, un système d’IA peut être développé en France, fourni par une entreprise américaine, utilisé en Allemagne, traiter des données provenant de plusieurs pays et être intégré dans un produit vendu dans toute l’Union européenne. Il est donc nécessaire que les autorités de surveillance coopèrent entre elles.

Le règlement 2019/1020 fournit précisément un cadre de coopération entre les autorités nationales et la Commission. L’article 74 permet ainsi d’intégrer la surveillance des systèmes d’IA dans cette architecture européenne.

Notions clés à comprendre

Surveillance du marché: La surveillance du marché consiste à vérifier que les produits mis à disposition sur le marché respectent les règles européennes qui leur sont applicables. Dans le domaine de l’IA, cela signifie notamment vérifier qu’un système respecte les exigences de l’IA Act, les obligations applicables aux systèmes à haut risque et les obligations de transparence lorsqu’elles sont applicables, ainsi qu’il ne présente pas de risques inacceptables.

Autorité de surveillance du marché: Autorité nationale compétente pour contrôler la conformité d’un système d’IA et, lorsque cela est nécessaire, prendre des mesures à son encontre.

Opérateur économique: Dans le contexte de l’IA Act, cette notion permet notamment de couvrir les différents acteurs intervenant dans la chaîne de mise à disposition ou d’utilisation des systèmes d’IA.

Législation d’harmonisation de l’Union: Ensemble des textes européens qui établissent des règles communes pour certains produits ou secteurs. L’annexe I de l’IA Act renvoie à plusieurs de ces textes.

Coopération transfrontière: Coopération entre les autorités de plusieurs États membres lorsqu’un système d’IA concerne plusieurs pays.

Exemple pratique

Imaginons qu’une entreprise commercialise dans l’Union européenne un système d’IA à haut risque destiné à aider les banques dans l’évaluation de certaines demandes de crédit.

Étape 1 – Mise sur le marché: L’entreprise met le système d’IA à disposition sur le marché européen.

Étape 2 – Surveillance: L’autorité compétente peut contrôler le système afin de vérifier sa conformité à l’IA Act.

Étape 3 – Détection d’un problème: L’autorité découvre que le système présente un problème susceptible de porter atteinte aux droits fondamentaux des personnes.

Étape 4 – Évaluation: L’autorité examine le système et les documents fournis par le fournisseur. Elle peut notamment vérifier :

la documentation ;
les données pertinentes ;
les mesures de gestion des risques ;
les procédures de contrôle ;
les informations relatives aux performances du système.

Étape 5 – Mesures: Si le système n’est pas conforme et présente un risque, les autorités peuvent prendre les mesures prévues par l’IA Act et le règlement 2019/1020.

Étape 6 – Coopération européenne: Les informations pertinentes peuvent être communiquées aux autres autorités et à la Commission européenne.

L’objectif final est d’empêcher qu’un système d’IA non conforme continue à présenter un risque sur le marché européen.

Votre système d'IA est-il prêt pour un contrôle des autorités ?

L’article 74 de l’IA Act encadre la surveillance du marché et permet aux autorités compétentes de contrôler le respect des exigences applicables aux systèmes d’IA.

Besoin d’aide pour respecter mes obligations de conformité ?

Texte original de l’IA Act

Article 74 – Surveillance du marché et contrôle des systèmes d’IA dans le marché de l’Union

1. Le règlement (UE) 2019/1020 s’applique aux systèmes d’IA couverts par le présent règlement. Aux fins de l’application effective du présent règlement :

a) toute référence à un opérateur économique en vertu du règlement (UE) 2019/1020 s’entend comme incluant tous les opérateurs visés à l’article 2, paragraphe 1, du présent règlement ;

b) toute référence à un produit relevant du règlement (UE) 2019/1020 s’entend comme incluant tous les systèmes d’IA relevant du champ d’application du présent règlement.

2. Dans le cadre de l’obligation d’information qui leur incombe en vertu de l’article 34, paragraphe 4, du règlement (UE) 2019/1020, les autorités de surveillance du marché communiquent chaque année à la Commission et aux autorités nationales de concurrence compétentes toute information recensée dans le cadre des activités de surveillance du marché qui pourrait présenter un intérêt pour l’application du droit de l’Union en matière de règles de concurrence. Elles font également rapport chaque année à la Commission sur le recours à des pratiques interdites survenu au cours de l’année et sur les mesures prises.

3. Pour les systèmes d’IA à haut risque liés à des produits couverts par la législation d’harmonisation de l’Union énumérée à l’annexe I, section A, l’autorité de surveillance du marché aux fins du présent règlement est l’autorité responsable des activités de surveillance du marché désignée en vertu de ces actes juridiques. Par dérogation au premier alinéa et dans des circonstances appropriées, les États membres peuvent désigner une autre autorité compétente pour agir en tant qu’autorité de surveillance du marché, à condition d’assurer la coordination avec les autorités sectorielles de surveillance du marché chargées de l’application de la législation d’harmonisation de l’Union énumérée à l’annexe I.

4. Les procédures visées aux articles 79 à 83 du présent règlement ne s’appliquent pas aux systèmes d’IA relatifs aux produits couverts par la législation d’harmonisation de l’Union énumérée à l’annexe I, section A, lorsque ces actes juridiques prévoient déjà des procédures garantissant un niveau de protection équivalent et ayant le même objectif. Dans ce cas, les procédures sectorielles pertinentes s’appliquent à la place.

5. Sans préjudice des pouvoirs conférés aux autorités de surveillance du marché en vertu de l’article 14 du règlement (UE) 2019/1020, les autorités de surveillance du marché peuvent exercer à distance, le cas échéant, les pouvoirs visés à l’article 14, paragraphe 4, points d) et j), dudit règlement, afin d’assurer l’application effective du présent règlement.

6. Pour les systèmes d’IA à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l’Union sur les services financiers, l’autorité de surveillance du marché aux fins du présent règlement est l’autorité nationale compétente chargée de la surveillance financière de ces établissements en vertu de cette législation, dans la mesure où la mise sur le marché, la mise en service ou l’utilisation du système d’IA est directement liée à la fourniture de ces services financiers.

7. Par dérogation au paragraphe 6, dans des circonstances appropriées et à condition que la coordination soit assurée, une autre autorité compétente peut être désignée par l’État membre comme autorité de surveillance du marché aux fins du présent règlement. Les autorités nationales de surveillance du marché qui contrôlent les établissements de crédit réglementés relevant de la directive 2013/36/UE et qui participent au mécanisme de surveillance unique établi par le règlement (UE) n° 1024/2013 devraient communiquer sans délai à la Banque centrale européenne toute information recensée dans le cadre de leurs activités de surveillance du marché qui pourrait présenter un intérêt pour les missions de surveillance prudentielle de la Banque centrale européenne précisées dans ledit règlement.

8. Pour les systèmes d’IA à haut risque énumérés à l’annexe III, point 1, du présent règlement, dans la mesure où les systèmes sont utilisés à des fins répressives, de gestion des frontières et de justice et démocratie, et pour les systèmes d’IA à haut risque énumérés à l’annexe III, points 6, 7 et 8, du présent règlement, les États membres désignent comme autorités de surveillance du marché aux fins du présent règlement soit les autorités de contrôle de la protection des données compétentes en vertu du règlement (UE) 2016/679 ou de la directive (UE) 2016/680, soit toute autre autorité désignée dans les mêmes conditions que celles énoncées aux articles 41 à 44 de la directive (UE) 2016/680. Les activités de surveillance du marché n’affectent en aucune manière l’indépendance des autorités judiciaires ni n’interfèrent d’une autre manière avec leurs activités lorsqu’elles agissent dans l’exercice de leurs fonctions judiciaires.

9. Lorsque des institutions, organes ou organismes de l’Union relèvent du champ d’application du présent règlement, le contrôleur européen de la protection des données agit en tant qu’autorité de surveillance du marché, sauf en ce qui concerne la Cour de justice de l’Union européenne agissant dans l’exercice de ses fonctions juridictionnelles.

10. Les États membres facilitent la coordination entre les autorités de surveillance du marché désignées en vertu du présent règlement et les autres autorités ou organismes nationaux compétents qui supervisent l’application de la législation d’harmonisation de l’Union énumérée à l’annexe I, ou d’une autre législation de l’Union, qui pourrait être pertinente pour les systèmes d’IA à haut risque visés à l’annexe III.

11. Les autorités de surveillance du marché et la Commission sont en mesure de proposer des activités conjointes, y compris des enquêtes conjointes, à mener par les autorités de surveillance du marché ou par les autorités de surveillance du marché conjointement avec la Commission, dans le but de promouvoir la conformité, de détecter les cas de non-conformité, de sensibiliser ou de fournir des orientations en rapport avec le présent règlement en ce qui concerne des catégories spécifiques de systèmes d’IA à haut risque dont il est établi qu’ils présentent un risque grave dans deux États membres ou plus, conformément à l’article 9 du règlement (UE) 2019/1020. L’Office AI fournit un soutien à la coordination des enquêtes conjointes.

12. Sans préjudice des pouvoirs prévus par le règlement (UE) 2019/1020 et, le cas échéant, dans la limite de ce qui est nécessaire à l’accomplissement de leurs tâches, les autorités de surveillance du marché se voient accorder par les fournisseurs un accès complet à la documentation ainsi qu’aux ensembles de données de formation, de validation et d’essai utilisés pour le développement de systèmes d’IA à haut risque, y compris, le cas échéant et sous réserve de garanties de sécurité, par l’intermédiaire d’interfaces de programmation d’applications (API) ou d’autres moyens et outils techniques pertinents permettant l’accès à distance.

13. Les autorités de surveillance des marchés se voient accorder l’accès au code source du système d’IA à haut risque sur demande motivée et uniquement lorsque les deux conditions suivantes sont remplies :

a) l’accès au code source est nécessaire pour évaluer la conformité d’un système d’IA à haut risque avec les exigences énoncées au chapitre III, section 2 ; et,

b) les procédures de test ou d’audit et les vérifications fondées sur les données et la documentation fournies par le fournisseur ont été épuisées ou se sont révélées insuffisantes.

14. Toute information ou documentation obtenue par les autorités de surveillance du marché est traitée conformément aux obligations de confidentialité prévues à l’article 78.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour faire face aux surveillance de marché concernant votre système d’IA.

Perspectives avec d’autres textes

Règlement (UE) 2019/1020

C’est le texte directement visé par l’article 74, qui établit les règles générales relatives à la surveillance du marché et à la coopération entre les autorités, au contrôle de la conformité des produits ainsi qu’aux pouvoirs des autorités de surveillance du marché. L’article 74 transpose cette logique au domaine des systèmes d’IA.

L’article 74 renvoie notamment à l’article 34, paragraphe 4 du règlement (UE) 2019/1020, concernant les obligations d’information des autorités de surveillance du marché. Les autorités doivent notamment communiquer certaines informations à la Commission et aux autorités nationales de concurrence lorsqu’elles sont pertinentes pour l’application du droit de la concurrence.

Ainsi que l’article 20 du règlement (UE) 2019/1020 concerne notamment les mesures que les autorités de surveillance peuvent prendre lorsqu’un produit présente un risque.

Dispositifs médicaux:

Règlement (UE) 2017/745 relatif aux dispositifs médicaux ;
Règlement (UE) 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro.

RGPD – règlement (UE) 2016/679

Lorsqu’un système d’IA traite des données personnelles, il faut analyser séparément les obligations liées à la protection des données.

Digital Services Act (DSA)

Le DSA peut s’appliquer en parallèle de l’IA Act lorsqu’un système d’IA est intégré à certaines très grandes plateformes en ligne ou à certains très grands moteurs de recherche en ligne, conformément aux règles applicables.

La directive NIS 2

NIS 2 établit un cadre européen visant à assurer un niveau élevé commun de cybersécurité. L’autorité de surveillance du marché qui contrôle un système d’IA peut être confrontée à des questions de cybersécurité. L’IA Act impose d’ailleurs des exigences concernant la robustesse et la cybersécurité des systèmes d’IA à haut risque.

La NIS 2 intervient de manière complémentaire lorsqu’une organisation relevant de son champ d’application utilise ou fournit des systèmes d’IA : elle impose notamment des mesures de gestion des risques de cybersécurité, de gestion des incidents et de sécurité de la chaîne d’approvisionnement.

Cyber Resilience Act

L’article 74 de l’IA Act doit être replacé dans un cadre réglementaire européen plus large. Il s’appuie directement sur le règlement (UE) 2019/1020 relatif à la surveillance du marché. Cette architecture peut également être mise en relation avec le Cyber Resilience Act (règlement (UE) 2024/2847), qui établit des exigences de cybersécurité pour les produits comportant des éléments numériques et modifie notamment le règlement (UE) 2019/1020.

Menu IA Act