Article 77 – Protection des droits fondamentaux

Explication de l’article

L’article 73 impose aux fournisseurs de systèmes d’IA à haut risque une obligation de notification proactive auprès des autorités nationales de surveillance du marché (market surveillance authorities – MSA) dès qu’un incident grave est identifié.

Le mécanisme repose sur trois piliers :

Le déclencheur : la notification intervient dès qu’un lien de causalité (plausible causal link) est établi — ou raisonnablement suspecté — entre le système d’IA et l’incident. Il n’est pas nécessaire d’attendre une certitude absolue.

Les délais : l’article distingue plusieurs niveaux d’urgence. Pour un incident entraînant un décès, la notification doit intervenir dans les 24 heures. Pour tout autre incident grave, le délai est de 72 heures. Des informations complémentaires peuvent être transmises ultérieurement au fur et à mesure de l’enquête interne.

Les destinataires : la notification est adressée aux MSA des États membres sur le territoire desquels l’incident s’est produit ou dont les utilisateurs sont affectés.

L’article 73 impose aux fournisseurs de systèmes d’IA à haut risque une obligation de notification proactive auprès des autorités nationales de surveillance du marché (market surveillance authorities – MSA) dès qu’un incident grave est identifié.

Le mécanisme repose sur trois piliers :

Le déclencheur : la notification intervient dès qu’un lien de causalité (plausible causal link) est établi — ou raisonnablement suspecté — entre le système d’IA et l’incident. Il n’est pas nécessaire d’attendre une certitude absolue.

Les délais : l’article distingue plusieurs niveaux d’urgence. Pour un incident entraînant un décès, la notification doit intervenir dans les 24 heures. Pour tout autre incident grave, le délai est de 72 heures. Des informations complémentaires peuvent être transmises ultérieurement au fur et à mesure de l’enquête interne.

Les destinataires : la notification est adressée aux MSA des États membres sur le territoire desquels l’incident s’est produit ou dont les utilisateurs sont affectés.

Notions clés à comprendre

Incident grave (serious incident) — défini à l’article 3(49) de l’IA Act : tout incident ou dysfonctionnement d’un système d’IA à haut risque qui entraîne directement ou indirectement la mort d’une personne, un dommage grave à la santé, une atteinte grave aux droits fondamentaux, ou des dommages graves aux biens ou à l’environnement dans le contexte de certains systèmes (ex. : infrastructures critiques).

Fournisseur (provider) : l’entité qui développe ou fait développer le système d’IA et le met sur le marché sous son propre nom. C’est lui qui porte l’obligation principale — et non le déployeur (deployer), même si ce dernier peut avoir un rôle d’information en amont.

Lien de causalité plausible : notion intentionnellement souple. Elle évite le blocage de la notification dans l’attente d’une expertise technique complète. Une suspicion raisonnée suffit à déclencher l’obligation.

MSA (Market Surveillance Authority) : autorité désignée par chaque État membre pour contrôler la conformité des systèmes d’IA sur son territoire. En France, ce rôle devrait être assuré conjointement par la CNIL (pour les dimensions données personnelles) et d’autres autorités sectorielles selon le domaine (ex. : HAS pour la santé, ACPR pour la finance).

Exemple Pratique

Contexte : Une préfecture française déploie un système d’IA à haut risque (Annexe III, point 6) pour prioriser l’instruction des demandes de titre de séjour. Le système analyse des dossiers numérisés et attribue un score de priorité influençant l’ordre de traitement et, indirectement, les délais d’obtention des titres.

Déclenchement de l’investigation :

Une association de défense des droits des étrangers publie une étude statistique montrant que les demandes émanant de ressortissants de certaines nationalités sont systématiquement reléguées en bas de la file d’attente, entraînant des délais deux à trois fois supérieurs à la moyenne. Elle saisit le Défenseur des droits (autorité de protection des droits fondamentaux compétente en matière de discrimination).

Exercice des pouvoirs de l’article 77 :

Étape 1 – Accès à la documentation

Le Défenseur des droits demande au ministère de l’Intérieur (déployeur) et au fournisseur du système l’accès à la documentation technique complète : architecture du modèle, variables utilisées pour le scoring, données d’entraînement, résultats des tests de non-discrimination conduits préalablement au déploiement, FRIA réalisée au titre de l’article 27.

Étape 2 – Analyse de la FRIA

La FRIA révèle que le fournisseur a identifié un risque de proxy discriminatoire lié à la variable pays de naissance du demandeur, mais a conclu que ce risque était acceptable au regard des objectifs opérationnels. Le Défenseur des droits conteste cette appréciation ; la variable pays de naissanc constitue un proxy indirect de la nationalité, critère protégé au titre du droit à la non-discrimination.

Étape 3 -Demande de tests spécifiques

Le Défenseur des droits demande qu’un audit algorithmique soit conduit par un tiers indépendant, portant spécifiquement sur les effets disparates du système selon la nationalité, l’origine ethnique apparente et le genre. Il coordonne cette demande avec la MSA compétente (vraisemblablement la CNIL en raison du traitement massif de données personnelles).

Étape 4 – Coopération avec la CNIL

La CNIL, saisie conjointement, vérifie la licéité du traitement au titre du RGPD — notamment l’absence de discrimination indirecte par le biais de catégories de données sensibles, et le respect du droit à ne pas faire l’objet d’une décision automatisée (art. 22 RGPD, applicable si le scoring entraîne des effets juridiques significatifs).

Résultat :

L’audit révèle un biais statistiquement significatif. Le Défenseur des droits émet une recommandation de suspension du système et d’exclusion de la variable litigieuse. La CNIL prononce une mise en demeure au titre du RGPD. Le ministère suspend le système dans l’attente d’une refonte algorithmique.