Article 75 : Surveillance du marché et contrôle des systèmes d'IA et assistance mutuelle

Explication de l’article

L’article 75 de l’IA Act concerne la surveillance et le contrôle de certains systèmes d’IA à usage général. Il est particulièrement important car il précise le rôle du Bureau de l’IA (AI Office) dans le contrôle de certains systèmes d’IA qui reposent sur des modèles d’IA à usage général. L’objectif est d’éviter qu’un système d’IA complexe, utilisé dans plusieurs États membres ou dans plusieurs secteurs, échappe au contrôle ou fasse l’objet de décisions différentes selon les pays.

L’article 75 organise donc une coopération entre le Bureau de l’IA et les autorités nationales de surveillance du marché. Il prévoit principalement trois situations :

Le Bureau de l’IA peut contrôler directement certains systèmes d’IA lorsque le modèle d’IA à usage général et le système sont développés par le même fournisseur.
Les autorités nationales doivent coopérer avec le Bureau de l’IA lorsqu’elles soupçonnent qu’un système d’IA reposant sur un modèle à usage général n’est pas conforme.
Le Bureau de l’IA peut fournir des informations aux autorités nationales lorsque celles-ci ne disposent pas des informations nécessaires pour effectuer leur contrôle.

L’article 75 permet donc d’établir un lien entre la surveillance nationale et une coordination européenne.

1. Quand le Bureau de l’IA peut-il contrôler directement un système ?

Le paragraphe 1 de l’article 75 prévoit une situation particulière. Lorsqu’un système d’IA :

repose sur un modèle d’IA à usage général ;
et que le modèle et le système sont développés par le même fournisseur,

le Bureau de l’IA est habilité à contrôler et surveiller la conformité de ce système avec les obligations prévues par l’IA Act. Cela signifie que, dans cette situation, le contrôle ne repose pas uniquement sur une autorité nationale.

Par exemple: Une grande entreprise développe son propre modèle d’IA à usage général et puis un système d’IA construit directement à partir de ce modèle.

Si les conditions de l’article 75 sont réunies, le Bureau de l’IA peut contrôler directement la conformité de ce système.

2. Le Bureau de l’IA dispose des pouvoirs d’une autorité de surveillance du marché

Pour exercer ses missions, le Bureau de l’IA dispose des pouvoirs d’une autorité de surveillance du marché prévus par l’IA Act et par le règlement (UE) 2019/1020. Cela signifie qu’il ne s’agit pas simplement d’un organisme qui donne des conseils, mais il dispose également de véritables pouvoirs de contrôle et de surveillance. Il peut donc intervenir dans le cadre prévu par les règles européennes de surveillance du marché.

C’est important, car les systèmes d’IA fondés sur des modèles à usage général peuvent être extrêmement complexes. Leur contrôle nécessite parfois d’accéder à des informations sur le modèle, les données utilisées, les tests réalisés, les risques identifiés et les aspects techniques, ainsi qu’à des documents relatifs à la conformité. Le Bureau de l’IA doit donc disposer de moyens suffisants pour exercer efficacement ses missions de contrôle.

3. Les autorités nationales doivent coopérer avec le Bureau de l’IA

Une autorité nationale de surveillance du marché peut avoir des raisons suffisantes de considérer qu’un système d’IA à usage général, pouvant être utilisé directement pour au moins un usage classé à haut risque, n’est pas conforme à l’IA Act. Dans ce cas, l’autorité nationale doit coopérer avec le Bureau de l’IA pour effectuer l’évaluation de conformité. Elle doit également informer :

le Comité européen de l’intelligence artificielle (« Comité IA ») ;
les autres autorités de surveillance du marché concernées.

Par exemple: Une autorité française constate qu’un système d’IA basé sur un modèle à usage général pourrait être utilisé pour une activité à haut risque. Elle dispose également d’éléments laissant penser que le système n’est pas conforme aux exigences de l’IA Act. Elle ne doit pas nécessairement mener seule toute l’enquête. Elle coopère avec le Bureau de l’IA. Cette coopération permet d’avoir une approche plus cohérente au niveau européen.

Cette coopération est nécessaire, car un système d’IA peut être utilisé dans plusieurs États membres. Imaginez :

un fournisseur établi en France ;
un système utilisé en Allemagne ;
des utilisateurs en Espagne ;
un modèle développé avec des données provenant de plusieurs pays.

Si chaque autorité nationale procédait seule à son propre contrôle, il pourrait y avoir des interprétations différentes, plusieurs enquêtes parallèles et des demandes d’information répétées, ainsi que des décisions contradictoires. L’article 75 cherche donc à favoriser une surveillance coordonnée au niveau européen.

4. Que se passe-t-il lorsqu’une autorité nationale n’a pas accès aux informations nécessaires ?

Une autorité nationale peut parfois être incapable de terminer son enquête parce qu’elle n’a pas accès à certaines informations concernant le modèle d’IA à usage général. Elle doit cependant avoir :

effectué les efforts appropriés pour obtenir ces informations ;
une raison concrète expliquant pourquoi elle ne peut pas poursuivre son enquête.

Dans ce cas, elle peut envoyer une demande motivée au Bureau de l’IA. Le Bureau de l’IA doit alors lui fournir les informations qu’il considère pertinentes pour déterminer si le système d’IA à haut risque est conforme ou non. Il doit le faire sans tarder et, dans tous les cas, dans un délai de 30 jours.

Par exemple: une autorité nationale enquête sur un système d’IA utilisé dans le recrutement. Elle constate que le système repose sur un modèle d’IA à usage général. L’autorité souhaite comprendre :

comment le modèle a été entraîné ;
quelles informations techniques sont disponibles ;
quelles mesures de sécurité ont été mises en place ;
quelles évaluations ont été réalisées.

Mais le fournisseur refuse de communiquer certaines informations ou l’autorité ne peut pas y accéder malgré les démarches nécessaires. L’autorité peut alors adresser une demande motivée au Bureau de l’IA. Le Bureau de l’IA peut transmettre les informations pertinentes dont il dispose. Cela permet à l’autorité nationale de poursuivre son contrôle.

5. La confidentialité des informations

L’article 75 prévoit également que les autorités de surveillance du marché doivent garantir la confidentialité des informations qu’elles obtiennent, conformément à l’article 78 de l’IA Act. Cette protection est particulièrement importante, car les enquêtes peuvent porter sur des informations sensibles, telles que des secrets d’affaires, l’architecture des modèles, les données relatives aux systèmes, ainsi que des informations techniques, commerciales ou liées à la sécurité.

L’idée essentielle de l’article 75 est d’éviter que le contrôle des systèmes d’IA fondés sur des modèles à usage général reste uniquement national. Il donne au Bureau de l’IA un rôle central et organise sa coopération avec les autorités nationales afin d’assurer une surveillance plus cohérente à l’échelle de l’Union européenne.

Notions clés à comprendre

Bureau de l’IA: Le Bureau de l’IA est un service de la Commission européenne chargé de contribuer à la mise en œuvre et à l’application de l’IA Act, avec des compétences particulières concernant notamment les modèles d’IA à usage général.

Modèle d’IA à usage général (GPAI): Il s’agit d’un modèle d’IA pouvant être utilisé pour différentes tâches et intégré dans différents systèmes ou applications. Un même modèle peut donc servir de base à de nombreux usages.

Système d’IA: Le système d’IA est l’application ou le dispositif utilisant notamment un modèle d’IA pour produire des résultats tels que des prédictions, contenus, recommandations ou décisions.

Autorité de surveillance du marché: Autorité nationale chargée de vérifier que les systèmes d’IA respectent les règles européennes applicables.

Assistance mutuelle: L’assistance mutuelle signifie que les autorités compétentes peuvent coopérer et s’échanger les informations nécessaires pour exercer efficacement leurs missions.

Exemple pratique

Imaginons une entreprise européenne qui développe un modèle d’IA à usage général et une application utilisant directement ce modèle pour aider les entreprises à sélectionner des candidats. Le système peut être utilisé pour une activité relevant du domaine de l’emploi, qui peut être considérée comme à haut risque dans les conditions prévues par l’IA Act.

Étape 1 – Développement: L’entreprise développe son modèle d’IA à usage général.

Étape 2 – Développement du système: Elle développe également un système utilisant directement ce modèle.

Étape 3 – Contrôle: Une autorité de surveillance du marché constate des éléments laissant penser que le système pourrait ne pas respecter les exigences de l’IA Act.

Étape 4 – Intervention du Bureau de l’IA: Lorsque les conditions de l’article 75 sont réunies, le Bureau de l’IA peut exercer ses pouvoirs de contrôle.

Étape 5 – Coopération: L’autorité nationale et le Bureau de l’IA coopèrent pour examiner la conformité du système.

Étape 6 – Difficulté d’accès aux informations: Si l’autorité nationale ne dispose pas de certaines informations nécessaires concernant le modèle, elle peut adresser une demande motivée au Bureau de l’IA.

Étape 7 – Transmission des informations: Le Bureau de l’IA fournit les informations pertinentes, en principe dans un délai maximal de 30 jours.

Étape 8 – Poursuite du contrôle: L’autorité peut poursuivre son évaluation de conformité.

L’article 75 permet ainsi de créer une chaîne de coopération européenne entre le Bureau de l’IA et les autorités nationales.

Votre modèle d'IA à usage général est-il conforme ?

L’article 75 de l’IA Act prévoit des mécanismes de contrôle et de coopération entre le Bureau de l’IA et les autorités de surveillance afin de vérifier la conformité de certains systèmes d’IA.

Identifions vos obligations de conformité

L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour mettre en conformité votre IA à usage général.

Texte original de l’IA Act

Article 75 – Surveillance du marché et contrôle des systèmes d’IA et assistance mutuelle

1. Le Bureau de l’IA est seul compétent pour la surveillance et le contrôle du respect des obligations au titre du présent règlement en ce qui concerne les systèmes d’IA suivants:

a) les systèmes d’IA fondés sur des modèles d’IA à usage général lorsque le modèle et le système sont développés par le même fournisseur, ou par des fournisseurs faisant partie de la même entreprise que ce fournisseur, à l’exception:

i) des systèmes d’IA liés à des produits couverts par la législation d’harmonisation de l’Union dont la liste figure à l’annexe I;

ii) des systèmes d’IA visés à l’annexe III, point 2;

iii) des systèmes d’IA fournis par les autorités répressives, les autorités chargées de la gestion des frontières et les établissements financiers, dans la mesure où ces systèmes d’IA relèvent de l’article 74, paragraphe 6; et

iv) des systèmes d’IA visés à l’annexe III, point 8, en ce qui concerne l’administration de la justice;

b) les systèmes d’IA qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne ainsi désignés conformément au règlement (UE) 2022/2065, ou qui sont intégrés dans une telle plateforme ou un tel moteur.

La compétence exclusive visée au premier alinéa s’applique aux fournisseurs de ces systèmes. Elle ne s’applique aux déployeurs de ces systèmes que lorsqu’ils sont également le fournisseur ou font partie de la même entreprise que le fournisseur.

1 bis. Par dérogation à l’article 73, les fournisseurs de systèmes d’IA à haut risque relevant de la compétence du Bureau de l’IA en vertu du paragraphe 1 du présent article signalent tout incident grave au Bureau de l’IA. L’article 73, paragraphes 2 à 9, s’applique mutatis mutandis. Le Bureau de l’IA transmet rapidement les informations pertinentes à l’autorité de surveillance du marché de l’État membre sur le territoire duquel le fournisseur ou son représentant légal est établi.

1 ter. Les autorités participant à l’application du présent règlement coopèrent activement avec le Bureau de l’IA et lui fournissent l’assistance nécessaire à l’exercice de ses pouvoirs, y compris, si nécessaire, en ce qui concerne les inspections ou autres mesures d’exécution menées sur le territoire d’un État membre. À cette fin, ces autorités disposent des pouvoirs prévus par le présent règlement et par le règlement (UE) 2019/1020 et, le cas échéant et dans la mesure nécessaire à l’accomplissement de leurs tâches au titre du présent paragraphe, conformément aux procédures nationales applicables.

1 quater. Lorsqu’il prend, sur le territoire d’un État membre, des mesures d’enquête ou d’exécution qui impliquent l’accès aux données ou au système d’IA d’une autorité publique, le Bureau de l’IA est assisté par l’autorité de surveillance du marché concernée.

1 quinquies. Avant de prendre une décision qui aurait pour effet d’interdire ou de restreindre la mise à disposition ou la mise en service du système d’IA sur un marché national, ou une décision visant à retirer ou à rappeler le système d’IA de ce marché, le Bureau de l’IA notifie sans retard injustifié à l’autorité de surveillance du marché compétente pour ce marché son intention de prendre une telle décision. Le Bureau de l’IA consulte les autorités participant à l’application du présent règlement, le cas échéant, sur toute question relative à l’application et au contrôle de l’application du présent règlement.

1 sexies. Le Bureau de l’IA est chargé des évaluations de la conformité et des essais des systèmes d’IA visés au paragraphe 1 du présent article qui sont classés comme étant à haut risque et font l’objet d’une évaluation de la conformité par un tiers en vertu de l’article 43, avant que ces systèmes d’IA ne soient mis sur le marché ou mis en service. Ces essais et évaluations ont pour objet de vérifier que les systèmes sont conformes aux exigences pertinentes du présent règlement et peuvent être mis sur le marché ou mis en service dans l’Union conformément au présent règlement. La Commission confie la réalisation de ces essais ou évaluations à des organismes notifiés désignés conformément au présent règlement, auquel cas l’organisme notifié agit au nom de la Commission. Si un organisme notifié auquel la Commission a délégué des tâches au titre du présent paragraphe ne s’acquitte pas de ces tâches de manière satisfaisante, la Commission peut retirer la délégation avec effet immédiat.

Les redevances pour les activités d’essai et d’évaluation sont perçues auprès du fournisseur d’un système d’IA à haut risque qui a demandé à la Commission une évaluation de la conformité par un tiers. Le fournisseur paye directement à l’organisme notifié les coûts liés aux services confiés par la Commission aux organismes notifiés conformément au présent article.

2. Lorsqu’elles ont des raisons suffisantes de considérer que des systèmes d’IA à usage général qui peuvent être utilisés directement par les déployeurs pour au moins un usage classé comme étant à haut risque en vertu du présent règlement ne sont pas conformes aux exigences énoncées dans le présent règlement, les autorités de surveillance du marché concernées coopèrent avec le Bureau de l’IA pour procéder à des évaluations de la conformité, et en informent le Comité IA et les autres autorités de surveillance du marché.

2 bis. Lorsqu’une autorité de surveillance du marché a des raisons fondées et suffisantes de suspecter qu’un fournisseur ou un déployeur d’un système d’IA visé au paragraphe 1 du présent article a enfreint le présent règlement, elle peut demander, par l’intermédiaire du point de contact unique pertinent désigné conformément à l’article 70, paragraphe 2, au Bureau de l’IA d’évaluer la question afin de prendre les mesures de surveillance et d’exécution nécessaires pour garantir le respect rapide du présent règlement. Une telle demande est dûment motivée et indique au moins:

a) le nom du fournisseur ou du déployeur concerné;

b) une description des faits pertinents, des dispositions du présent règlement qui auraient été enfreintes, ainsi que de toute raison fondée et suffisante de suspecter une infraction, y compris, le cas échéant, la description des effets négatifs de l’infraction alléguée;

c) l’autorité de surveillance du marché à l’origine de la demande.

Le Bureau de l’IA tient le plus grand compte de la demande et l’autorité de surveillance du marché coopère activement et fournit au Bureau de l’IA l’assistance nécessaire à l’exercice de ses pouvoirs, conformément au paragraphe 1 bis.

Le Bureau de l’IA informe le point de contact unique, sans retard injustifié et en tout état de cause au plus tard quatre mois après la réception de la demande, de son intention d’exercer ses pouvoirs conformément à l’article 75 bis ou des raisons pour lesquelles il ne le fait pas. Si le Bureau de l’IA décide d’exercer ses pouvoirs conformément à l’article 75 bis, il informe périodiquement ce point de contact unique des évolutions importantes de la procédure et de l’issue de celle-ci, sans divulguer d’informations confidentielles.

3. Lorsqu’une autorité de surveillance du marché n’est pas en mesure de conclure son enquête sur le système d’IA à haut risque en raison de son incapacité à accéder à certaines informations relatives au modèle d’IA à usage général bien qu’elle ait déployé tous les efforts appropriés pour obtenir ces informations, elle peut présenter une demande motivée au Bureau de l’IA, par laquelle l’accès à ces informations est mis en œuvre. Dans ce cas, le Bureau de l’IA fournit sans tarder à l’autorité requérante, et en tout état de cause dans un délai de 30 jours, toute information qu’il juge pertinente pour déterminer si un système d’IA à haut risque est non conforme. Les autorités de surveillance du marché garantissent la confidentialité des informations qu’elles obtiennent conformément à l’article 78 du présent règlement. La procédure prévue au chapitre VI du règlement (UE) 2019/1020 s’applique mutatis mutandis.

Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.

Perspectives avec d’autres textes

Règlement (UE) 2026/1744 — Digital Omnibus on AI

Le règlement (UE) 2026/1744 a directement modifié l’article 75 en renforçant les compétences du Bureau de l’IA en matière de surveillance et de contrôle de certains systèmes d’IA, notamment ceux fondés sur des modèles d’IA à usage général (GPAI). Cette modification est complétée par les nouveaux articles 75 bis à 75 quinquies, qui précisent les pouvoirs et procédures de contrôle du Bureau de l’IA.

Règlement (UE) 2019/1020

Le règlement 2019/1020 constitue le cadre général de la surveillance du marché. L’article 75 précise que le Bureau de l’IA dispose, pour ses missions de contrôle, des pouvoirs d’une autorité de surveillance du marché prévus par l’IA Act et par ce règlement. Cette articulation permet donc au Bureau de l’IA d’utiliser un cadre européen déjà établi plutôt que de créer un mécanisme complètement séparé.

RGPD

Lorsqu’un système d’IA traite des données personnelles, il faut analyser séparément les obligations liées à la protection des données.

Digital Services Act (DSA)

Le DSA peut s’appliquer en parallèle de l’IA Act lorsqu’un système d’IA est intégré à certaines très grandes plateformes en ligne ou à certains très grands moteurs de recherche en ligne, conformément aux règles applicables.

Menu IA Act