AI Act – Règlement européen sur l’intelligence artificielle (Articles 1 à 113)

Chapitre III – Systèmes d’IA à haut risque

Section 1 – Classification de systèmes d’IA comme systèmes à haut risque

• Article 6 – Règles relatives à la classification de systèmes d’IA comme systèmes à haut risque

  Définit les critères permettant de qualifier un système d’IA de haut risque. Fait référence aux systèmes listés à l’annexe III et prévoit des exceptions encadrées.

• Article 7 – Modifications de l’annexe III

  Autorise la Commission européenne à ajouter ou retirer des systèmes d’IA à haut risque dans l’annexe III par actes délégués. L’évaluation repose sur le niveau de risque pour la santé, la sécurité et les droits fondamentaux.

Section 2 – Exigences applicables aux systèmes d’IA à haut risque

• Article 8 – Respect des exigences

  Impose aux systèmes d’IA à haut risque de respecter l’ensemble des exigences prévues par le règlement. Prévoit une coordination avec les législations sectorielles existantes afin d’éviter les doublons de conformité.

• Article 9 – Système de gestion des risques

  Oblige à mettre en place un processus continu de gestion des risques tout au long du cycle de vie du système d’IA. Vise à identifier, évaluer et atténuer les risques pour la santé, la sécurité et les droits fondamentaux.

• Article 10 – Données et gouvernance des données

  Encadre la qualité, la représentativité et la gouvernance des données utilisées pour entraîner, valider et tester les systèmes d’IA à haut risque. Autorise, sous conditions strictes, l’utilisation de données sensibles pour corriger les biais.

• Article 11 – Documentation technique

  Impose à l’établissement, la mise à jour d’une documentation technique démontrant la conformité du système d’IA à haut risque. Prévoit des modalités simplifiées pour les PME et les start-ups.

• Article 12 – Enregistrement

  Exige que les systèmes d’IA à haut risque enregistrent automatiquement les événements pertinents de leur fonctionnement. Ces journaux permettent la traçabilité, la surveillance et le contrôle a posteriori.

• Article 13 – Transparence et fourniture d’informations aux déployeurs

  Impose une transparence suffisante pour permettre aux déployeurs de comprendre et d’utiliser correctement les sorties du système d’IA. Prévoit la fourniture d’une notice d’utilisation claire et détaillée.

• Article 14 – Contrôle humain

  Garantit un contrôle effectif par des personnes physiques sur les systèmes d’IA à haut risque. Permet notamment l’intervention humaine, la suspension du système ou l’annulation de ses résultats.

• Article 15 – Exactitude, robustesse et cybersécurité

  Exige que les systèmes d’IA à haut risque atteignent un niveau élevé d’exactitude, de robustesse et de cybersécurité. Vise à prévenir les défaillances, les biais persistants et les attaques malveillantes.

Section 3 – Obligations incombant aux fournisseurs et aux déployeurs de systèmes d’IA à haut risque et à d’autres parties

• Article 16 – Obligations incombant aux fournisseurs de systèmes d’IA à haut risque

  Fixe l’ensemble des obligations pesant sur les fournisseurs de systèmes d’IA à haut risque. Couvre notamment la conformité aux exigences techniques, la gestion de la qualité, l’évaluation de conformité, le marquage CE, l’enregistrement et la coopération avec les autorités.

• Article 17 – Système de gestion de la qualité

  Impose la mise en place d’un système de gestion de la qualité documenté couvrant l’ensemble du cycle de vie du système d’IA. Ce système inclut la gestion des risques, des données, des incidents et la surveillance après commercialisation.

• Article 18 – Conservation des documents

  Oblige les fournisseurs à conserver pendant dix ans la documentation technique, la déclaration UE de conformité et les documents relatifs à l’évaluation de conformité. Garantit la disponibilité de ces documents pour les autorités compétentes.

• Article 19 – Journaux générés automatiquement

  Impose la conservation des journaux générés par les systèmes d’IA à haut risque lorsque ceux-ci sont sous le contrôle du fournisseur. Ces journaux doivent être conservés pendant une durée minimale adaptée à la finalité du système.

• Article 20 – Mesures correctives et devoir d’information

  Oblige les fournisseurs à prendre des mesures correctives en cas de non-conformité ou de risque identifié. Impose l’information des autorités compétentes et des acteurs concernés lorsque le système présente un risque.

• Article 21 – Coopération avec les autorités compétentes

  Impose aux fournisseurs de coopérer avec les autorités de contrôle en fournissant les informations, documents et accès nécessaires. Garantit le respect des obligations de confidentialité applicables.

• Article 22 – Mandataires des fournisseurs

  Oblige les fournisseurs établis hors de l’Union à désigner un mandataire dans l’UE. Définit les missions du mandataire, notamment en matière de documentation, de coopération avec les autorités et de démonstration de la conformité.

• Article 23 – Obligations des importateurs

  Fixe les obligations des importateurs avant la mise sur le marché d’un système d’IA à haut risque. Ils doivent vérifier la conformité, la documentation, le marquage CE et coopérer avec les autorités compétentes.

• Article 24 – Obligations des distributeurs

  Impose aux distributeurs de vérifier la conformité des systèmes d’IA à haut risque avant leur mise à disposition sur le marché. Prévoit des obligations de retrait, de rappel et d’information en cas de non-conformité ou de risque.

• Article 25 – Responsabilités dans la chaîne de valeur de l’IA

  Précise les cas dans lesquels un acteur devient juridiquement considéré comme fournisseur d’un système d’IA à haut risque. Encadre la répartition des responsabilités et la coopération contractuelle entre les acteurs.

• Article 26 – Obligations des déployeurs

  Fixe les obligations applicables aux utilisateurs de systèmes d’IA à haut risque, notamment en matière de contrôle humain, de surveillance, de tenue des journaux et d’information des personnes concernées. Encadre strictement l’usage des systèmes biométriques.

• Article 27 – Analyse d’impact sur les droits fondamentaux

  Impose la réalisation d’une analyse d’impact avant le déploiement de certains systèmes d’IA à haut risque. Cette analyse vise à identifier, prévenir et atténuer les risques pour les droits fondamentaux et doit être notifiée aux autorités compétentes.

Section 4 – Autorités notifiantes et organismes notifiés

• Article 28 – Autorités notifiantes

  Chaque État membre désigne une ou plusieurs autorités notifiantes pour évaluer, notifier et contrôler les organismes d’évaluation de la conformité (OEC), en garantissant leur impartialité, compétence et confidentialité, avec un personnel qualifié en IA, TIC et droit.

• Article 29 – Demande de notification d’un organisme d’évaluation de la conformité

  Les organismes d’évaluation de la conformité soumettent une demande à l’autorité notifiante avec description de leurs activités, certificats d’accréditation ou preuves documentaires, et doivent mettre à jour les documents en cas de changement.

• Article 30 – Procédure de notification

  L’autorité notifiante notifie les OEC (organismes d’évaluation de la conformité) conformes à l’article 31 à la Commission et aux États membres, qui disposent d’un délai pour formuler des objections avant que l’OEC ne commence ses activités.

• Article 31 – Exigences concernant les organismes notifiés

  Les OEC (organismes d’évaluation de la conformité) doivent être juridiquement constitués, indépendants, compétents, organisés et assurer l’impartialité, la confidentialité, la cybersécurité et la participation aux activités de normalisation et de coordination européenne.

• Article 32 – Présomption de conformité

  Un organisme d’évaluation de la conformité qui respecte les normes harmonisées publiées au JOUE est présumé remplir les exigences de l’article 31.

• Article 33 – Filiales et sous-traitance

  Les organismes d’évaluation de la conformité restent responsables des tâches réalisées par leurs filiales ou sous-traitants, qui doivent aussi respecter les exigences, avec accord du fournisseur et documentation conservée cinq ans.

• Article 34 – Obligations opérationnelles

  Les organismes d’évaluation de la conformité doivent vérifier la conformité des systèmes IA à haut risque, minimiser les charges administratives pour les fournisseurs (notamment PME) et fournir toute documentation à l’autorité notifiante pour contrôle.

• Article 35 – Numéros d’identification et listes

  La Commission attribue un numéro unique à chaque organismes d’évaluation de la conformité et publie une liste publique de tous les organismes notifiés avec leurs activités.

• Article 36 – Modifications apportées aux notifications

  Tout changement dans la notification doit être signalé à la Commission et aux États membres, et en cas de manquement ou de cessation, la désignation peut être restreinte, suspendue ou retirée, avec mesures pour préserver les certificats existants.

• Article 37 – Contestation de la compétence

  La Commission peut enquêter sur la compétence ou la conformité continue d’un organisme d’évaluation de la conformité, demander des mesures correctives à l’État membre, et suspendre ou retirer la désignation si nécessaire.

• Article 38 – Coordination des organismes notifiés

  La Commission assure la coordination entre organisme d’évaluation de la conformité pour les systèmes IA à haut risque via des groupes sectoriels, avec échange de connaissances et bonnes pratiques.

• Article 39 – Organismes d’évaluation de pays tiers

  Les organismes d’évaluation de la conformité de pays tiers peuvent être autorisés à exercer comme organismes notifiés si leur niveau de compétence et d’exigences est équivalent à celui de l’UE.

Section 5 – Normes, évaluation de la conformité, certificats, enregistrement

• Article 40 – Normes harmonisées et travaux de normalisation

  Les systèmes d’IA conformes à des normes harmonisées publiées au JOUE sont présumés conformes aux exigences légales. La Commission demande la création de nouvelles normes pour couvrir toutes les exigences et veille à ce que ces normes favorisent innovation, sécurité juridique, compétitivité et alignement avec les normes internationales.

• Article 41 – Spécifications communes

  La Commission peut établir des spécifications communes lorsque les normes harmonisées ne couvrent pas suffisamment les exigences. Les systèmes conformes à ces spécifications sont présumés conformes, et les fournisseurs doivent justifier toute solution technique alternative équivalente.

• Article 42 – Présomption de conformité avec certaines exigences

  Les systèmes d’IA à haut risque formés sur des données adaptées à leur contexte ou certifiés dans le cadre de schémas de cybersécurité sont présumés conformes aux exigences pertinentes, notamment en cybersécurité et sécurité contextuelle.

• Article 43 – Évaluation de la conformité

  Les fournisseurs doivent démontrer la conformité de leurs systèmes IA à haut risque via contrôle interne ou avec intervention d’un organisme notifié selon le type de système. Toute modification substantielle nécessite une nouvelle évaluation, et la Commission peut mettre à jour les procédures d’évaluation.

• Article 44 – Certificats

  Les certificats délivrés par les organismes notifiés sont limités dans le temps (4-5 ans selon le type de système), et peuvent être prolongés après réévaluation. Les certificats peuvent être suspendus ou retirés si le système n’est plus conforme, avec possibilité de recours.

• Article 45 – Obligations d’information des organismes notifiés

  Les organismes notifiés doivent informer l’autorité notifiante et les autres organismes des certificats délivrés, refusés, suspendus ou retirés, ainsi que de tout événement affectant leur notification, tout en garantissant la confidentialité.

• Article 46 – Dérogation à la procédure d’évaluation de la conformité

  Les autorités peuvent autoriser temporairement l’usage d’un système IA à haut risque pour raisons exceptionnelles (sécurité publique, santé, environnement) même si la conformité n’est pas encore évaluée, sous contrôle et notification à la Commission et aux États membres.

• Article 47 – Déclaration UE de conformité

  Le fournisseur établit une déclaration UE de conformité pour chaque système IA à haut risque, conservée 10 ans et accessible aux autorités nationales, attestant le respect des exigences légales et intégrant toutes les législations applicables.

• Article 48 – Marquage CE

  Le marquage CE, physique ou numérique, doit être visible et indélébile pour les systèmes IA à haut risque. Il indique l’organisme notifié responsable et, le cas échéant, la conformité aux autres législations de l’UE.

• Article 49 – Enregistrement

  Les fournisseurs et déployeurs doivent enregistrer leurs systèmes IA à haut risque dans la base de données de l’UE avant mise sur le marché ou mise en service, avec certaines informations sécurisées pour les systèmes sensibles dans le domaine de la sécurité et de la migration.