Article 79 - Procédure applicable au niveau national aux systèmes d’IA présentant un risque

Explication de l’article

L’article 79 de l’IA Act établit la procédure que les autorités nationales de surveillance du marché doivent suivre lorsqu’un système d’IA présente un risque pour la santé, la sécurité ou les droits fondamentaux des personnes.

L’objectif de cet article est de permettre aux autorités d’intervenir rapidement lorsqu’un système d’IA présente un risque, même lorsque le problème n’est pas nécessairement lié à la classification du système comme « haut risque ».

L’article 79 s’inscrit donc dans une logique de surveillance après la mise sur le marché.

1. Qu’est-ce qu’un système d’IA présentant un risque ?

L’article 79 considère comme « système d’IA présentant un risque » un système qui peut être considéré comme un « produit présentant un risque » au sens du règlement (UE) 2019/1020 sur la surveillance du marché, lorsqu’il présente un risque pour la santé, la sécurité et les droits fondamentaux des personnes. 

Il ne faut donc pas confondre le système d’IA à haut risque, catégorie définie principalement par l’article 6 et l’annexe III de l’IA Act et le système d’IA présentant un risque au sens de l’article 79, système qui, indépendamment de cette classification, présente concrètement un risque pour la santé, la sécurité ou les droits fondamentaux. Cette distinction est importante car un système d’IA peut être conforme à certaines exigences mais présenter malgré tout un risque nécessitant l’intervention des autorités.

2. Intervention de l’autorité de surveillance du marché

Lorsqu’une autorité nationale de surveillance du marché a des raisons suffisantes de considérer qu’un système d’IA présente un risque, elle doit procéder à une évaluation. Elle vérifie notamment si le système respecte les exigences et obligations prévues par l’IA Act. L’autorité doit accorder une attention particulière aux systèmes présentant des risques pour les groupes vulnérables.

Cette disposition est importante car certaines personnes peuvent être davantage exposées aux conséquences négatives d’un système d’IA, par exemple : les enfants, les personnes âgées, les personnes en situation de handicap, certaines personnes en situation de vulnérabilité sociale ou économique et etc. 

3. Coopération avec les autorités chargées des droits fondamentaux

Lorsque l’autorité de surveillance du marché identifie des risques pour les droits fondamentaux, elle doit également informer les autorités ou organismes publics nationaux concernés visés à l’article 77. Elle doit ensuite coopérer pleinement avec ces autorités.

4. Que se passe-t-il si le système n’est pas conforme ?

Si l’évaluation montre que le système d’IA ne respecte pas les exigences de l’IA Act, l’autorité de surveillance du marché peut demander à l’opérateur concerné de prendre des mesures correctives. Celles-ci peuvent notamment consister à mettre le système en conformité, à le retirer du marché, à procéder à son rappel ou à prendre toute autre mesure nécessaire pour éliminer le risque.  

L’autorité fixe un délai pour prendre ces mesures. Selon l’article 79, ce délai ne peut en principe pas dépasser 15 jours ouvrables, ou le délai prévu par la législation d’harmonisation de l’Union concernée si celui-ci est plus court. L’objectif est donc d’éviter qu’un système présentant un risque reste disponible sur le marché pendant une période excessive.

Si l’opérateur ne prend pas les mesures correctives demandées dans le délai prévu, l’autorité de surveillance du marché peut prendre des mesures restrictives. Celles-ci peuvent notamment conduire au retrait du système du marché, à son rappel, au retrait ou à la limitation de sa disponibilité, ou encore à l’interdiction de sa mise à disposition ou de sa mise en service. 

L’autorité doit également informer la Commission européenne et les autres États membres conformément à la procédure prévue par l’article 79. Cette dimension européenne est importante car un même système d’IA peut être disponible dans plusieurs États membres.

5. Une procédure qui dépasse les frontières nationales

L’article 79 ne se limite donc pas à une intervention nationale. Lorsqu’un système d’IA est disponible dans plusieurs États membres, les autorités nationales doivent communiquer les informations pertinentes afin que les autres États membres puissent prendre les mesures appropriées. 

L’objectif est d’éviter qu’un système considéré comme dangereux soit retiré dans un seul pays mais continue à être librement disponible dans les autres États membres. L’article 79 participe ainsi à la création d’une surveillance coordonnée du marché européen.

En résumé: L’article 79 montre que l’IA Act ne se limite pas à fixer des règles avant la mise sur le marché. Il crée également un mécanisme d’intervention lorsque des risques apparaissent dans la pratique : Détecter → évaluer → coopérer → corriger → retirer ou rappeler si nécessaire.

C’est donc un article essentiel pour assurer une surveillance effective des systèmes d’IA sur le marché européen et protéger concrètement la santé, la sécurité et les droits fondamentaux des personnes.

Notions clés à comprendre

Autorité de surveillance du marché : autorité nationale chargée de vérifier qu’un produit ou un système respecte les règles européennes applicables et de prendre des mesures lorsqu’un risque ou une non-conformité est identifié.

Produit présentant un risque : notion provenant du règlement (UE) 2019/1020 sur la surveillance du marché. Elle concerne notamment les produits susceptibles de présenter un risque pour la santé, la sécurité ou d’autres intérêts publics protégés.

Mesure corrective : action destinée à supprimer une non-conformité ou à réduire un risque. Elle peut notamment consister à modifier un système, le mettre en conformité, le retirer du marché ou le rappeler.

Rappel : mesure visant à récupérer un produit ou système déjà mis à disposition des utilisateurs.

Groupe vulnérable : groupe de personnes particulièrement exposé aux conséquences négatives d’un système d’IA en raison de sa situation ou de ses caractéristiques.

Droits fondamentaux : droits essentiels protégés notamment par la Charte des droits fondamentaux de l’Union européenne, comme la dignité, la vie privée, la protection des données et la non-discrimination.

Exemple pratique

Une entreprise développe un système d’IA utilisé dans une plateforme de recrutement. Le système analyse automatiquement les CV et attribue un score aux candidats afin d’aider les recruteurs à sélectionner les personnes qui seront convoquées pour un entretien. Après sa mise sur le marché, plusieurs candidats constatent que le système semble systématiquement attribuer des scores plus faibles à certaines catégories de personnes.

Une autorité nationale de surveillance du marché reçoit plusieurs signalements et dispose de raisons suffisantes de penser que le système pourrait présenter un risque pour les droits fondamentaux, notamment le droit à la non-discrimination.

Étape 1 : évaluation du système

L’autorité procède à une évaluation du système afin de vérifier s’il respecte les exigences de l’IA Act. Elle examine notamment la documentation du système, les données utilisées, les procédures d’évaluation des risques, les résultats des tests et les mesures mises en place pour prévenir les discriminations.

Étape 2 : coopération avec l’autorité compétente

L’autorité constate que le problème pourrait concerner le droit à la non-discrimination. Elle informe donc l’autorité ou l’organisme public compétent en matière de droits fondamentaux conformément à l’article 77. Les deux autorités coopèrent afin d’analyser le risque.

Étape 3 : identification d’une non-conformité

L’analyse révèle que le système présente effectivement un problème de conformité. L’autorité demande donc à l’entreprise de prendre des mesures correctives, telles quelles: modifier le système, corriger les données ou les méthodes utilisées, effectuer de nouveaux tests et mettre en place des mesures permettant de réduire le risque de discrimination.

Étape 4 : absence de correction

Si l’entreprise ne prend pas les mesures nécessaires dans le délai fixé, l’autorité peut demander le retrait du système du marché ou prendre d’autres mesures restrictives appropriées.

Cet exemple montre que l’IA Act ne repose pas uniquement sur des obligations à respecter avant la mise sur le marché. Les autorités peuvent également intervenir après la mise à disposition du système, lorsqu’un risque concret apparaît.