Article 82 - Systèmes d’IA conformes qui présentent un risque

Explication de l’article

L’article 82 de l’IA Act traite d’une situation particulière : un système d’IA à haut risque respecte les exigences de l’IA Act, mais présente malgré tout un risque pour les personnes ou pour l’intérêt public. L’idée est importante car la conformité réglementaire ne signifie pas nécessairement qu’un système d’IA est totalement dépourvu de risques.

Un système peut avoir respecté les exigences techniques du règlement, passé son évaluation de conformité, été correctement documenté, obtenu son marquage CE et été mis légalement sur le marché. Pourtant, son utilisation réelle peut révéler un risque qui n’avait pas été identifié ou qui apparaît dans certaines conditions d’utilisation. L’article 82 permet donc aux autorités de surveillance du marché d’intervenir dans cette situation.

1. Un système conforme peut malgré tout présenter un risque

L’article 82 vise spécifiquement les systèmes d’IA à haut risque. L’autorité de surveillance du marché réalise d’abord une évaluation conformément à l’article 79. Elle peut alors constater que le système est conforme à l’IA Act, mais qu’il présente néanmoins un risque, qui peut concerner la santé et la sécurité des personnes, les droits fondamentaux et d’autres aspects liés à la protection de l’intérêt public.

Cette situation peut notamment apparaître lorsque l’utilisation réelle du système révèle des conséquences différentes de celles qui avaient été prévues lors de son développement.

2. La conformité ne signifie donc pas « absence de risque »

C’est l’un des points les plus importants de l’article 82. L’IA Act repose sur une approche fondée sur les risques. Même lorsqu’un fournisseur respecte toutes les exigences réglementaires applicables, il est impossible de garantir qu’un système ne présentera jamais aucun risque.

Par exemple, un système peut être correctement conçu et testé, mais être utilisé dans un environnement différent de celui prévu, être confronté à des données différentes, produire des résultats inattendus dans certaines situations et être utilisé par un nombre beaucoup plus important de personnes, ainsi qu’avoir des effets particuliers sur certains groupes de population.

L’article 82 permet donc de prendre en compte la réalité de l’utilisation du système, et pas uniquement sa conformité théorique.

3. L’autorité consulte les autorités chargées des droits fondamentaux

Avant de prendre les mesures prévues par l’article 82, l’autorité de surveillance du marché doit consulter l’autorité publique nationale concernée visée à l’article 77, paragraphe 1. Cette consultation est particulièrement importante lorsque le risque concerne les droits fondamentaux. L’objectif est de permettre une analyse qui ne soit pas uniquement technique.

4. L’autorité demande à l’opérateur de prendre des mesures

Lorsque l’autorité constate qu’un système conforme présente néanmoins un risque, elle demande à l’opérateur concerné de prendre toutes les mesures appropriées permettant de faire disparaître ce risque. L’objectif est que le système, lorsqu’il est mis sur le marché ou mis en service, ne présente plus le risque identifié.

L’autorité peut fixer un délai dans lequel l’opérateur doit agir. Le texte précise que les mesures doivent être prises sans retard injustifié.

5. Les mesures doivent être adaptées au risque

L’article 82 ne prévoit pas une seule mesure obligatoire. L’opérateur doit prendre les mesures appropriées pour supprimer le risque. Selon la situation, cela peut par exemple conduire à modifier le système, améliorer certains mécanismes de sécurité, corriger certains paramètres, renforcer la supervision humaine, modifier les conditions d’utilisation, mettre à jour le système, informer davantage les utilisateurs, limiter certaines fonctionnalités et prendre d’autres mesures techniques ou organisationnelles nécessaires. L’objectif principal est toujours de faire disparaître ou réduire le risque identifié.

Si l’opérateur ne prend pas les mesures nécessaires ou si les mesures prises ne permettent pas de supprimer le risque, l’autorité peut prendre des mesures plus importantes, telles quelles: restreindre ou interdire la mise à disposition du système, veiller à ce que le système soit retiré du marché, ainsi que demander son rappel. L’objectif est de protéger les personnes lorsque les mesures correctives ne sont pas suffisantes.

6. Une dimension européenne

Comme pour les articles 79 et 81, l’article 82 prévoit également une dimension européenne. Lorsqu’un système d’IA est commercialisé ou utilisé dans plusieurs États membres, une mesure prise dans un seul État peut avoir des conséquences pour l’ensemble du marché intérieur.

L’article 82 prévoit donc une communication avec la Commission européenne et les autres États membres lorsque les conditions prévues par le règlement sont réunies. Cela permet d’assurer une réponse coordonnée lorsqu’un même système présente un risque dans plusieurs pays.

En résumé: L’article 82 montre que la conformité à l’IA Act doit être comprise comme un processus continu. Il ne suffit pas qu’un système soit conforme au moment de sa mise sur le marché. Les autorités doivent également pouvoir intervenir lorsque l’utilisation réelle du système révèle un risque qui n’avait pas été suffisamment identifié ou qui apparaît ultérieurement.

C’est pourquoi l’article 82 est particulièrement important pour la protection des droits fondamentaux, de la santé, de la sécurité et de l’intérêt public. Il s’inscrit dans une logique plus large de surveillance continue et de gestion dynamique des risques prévue par l’IA Act.

Notions clés à comprendre

Système d’IA à haut risque : système d’IA soumis aux exigences renforcées de l’IA Act en raison des risques importants qu’il peut présenter pour la santé, la sécurité ou les droits fondamentaux.

Surveillance du marché : contrôle réalisé par les autorités publiques afin de vérifier que les systèmes disponibles sur le marché respectent les règles européennes.

Opérateur : terme qui désigne notamment les fournisseurs, déployeurs, importateurs, distributeurs et autres acteurs concernés par l’utilisation ou la mise à disposition d’un système d’IA.

Mesure corrective : action permettant de corriger un problème ou de réduire un risque identifié.

Mesure restrictive : mesure permettant de limiter ou d’interdire la mise à disposition ou l’utilisation d’un système d’IA, ou d’organiser son retrait ou son rappel.

Droits fondamentaux : droits protégés notamment par la Charte des droits fondamentaux de l’Union européenne, tels que la dignité humaine, la vie privée, la protection des données et la non-discrimination.

Intérêt public : intérêts que le droit de l’Union ou le droit national considère comme importants pour la société, par exemple la santé, la sécurité ou la protection des personnes.

Exemple pratique

Une entreprise développe un système d’IA destiné à aider les médecins à détecter certaines anomalies sur des images médicales. Le système est considéré comme un système d’IA à haut risque. Avant sa mise sur le marché, l’entreprise réalise une analyse des risques, teste le système, constitue sa documentation technique, effectue l’évaluation de conformité et respecte les exigences de l’IA Act, ainsi que appose le marquage CE. Le système est donc conforme à l’IA Act.

Mais un problème apparaît après son utilisation

Après plusieurs mois d’utilisation dans différents hôpitaux, les autorités constatent que le système fonctionne correctement dans la majorité des cas. Cependant, les résultats sont beaucoup moins fiables lorsqu’il est utilisé sur certaines catégories de patients qui étaient insuffisamment représentées dans les données utilisées pour entraîner le système. Le système peut alors produire davantage de faux résultats. Cela peut conduire certains médecins à prendre des décisions médicales inappropriées.

Étape 1 : intervention de l’autorité

L’autorité de surveillance du marché prend connaissance de la situation et réalise une évaluation conformément à l’article 79. Elle constate que le système est conforme à l’IA Act,  mais présente néanmoins un risque pour la santé et la sécurité des patients.

Étape 2 : consultation de l’autorité compétente

L’autorité consulte l’autorité publique nationale concernée en matière de droits fondamentaux, conformément à l’article 77.

Étape 3 : mesures demandées au fournisseur

L’autorité demande à l’entreprise de prendre les mesures nécessaires. L’entreprise peut notamment devoir :

• améliorer les données utilisées pour le système ;
• effectuer des tests supplémentaires ;
• améliorer la performance du système pour les différentes catégories de patients ;
• renforcer la supervision humaine ;
• modifier certaines conditions d’utilisation ;
• mettre à jour le système.

Étape 4 : contrôle des mesures

L’autorité vérifie ensuite si les mesures prises permettent effectivement de supprimer ou de réduire le risque. Si le risque est suffisamment maîtrisé, le système peut continuer à être utilisé. Si le risque persiste, des mesures plus restrictives peuvent être prises.

Cet exemple est important car il montre que la conformité à l’IA Act n’est pas une garantie absolue d’absence de risque. Un système peut respecter toutes les obligations réglementaires et révéler ensuite, dans son utilisation réelle, un risque qui nécessite une intervention. L’article 82 permet donc de créer un mécanisme de sécurité après la conformité.