Article 24 IA ACT - Obligations des distributeurs

Explication de l’article

L’article 24 de l’IA Act encadre les distributeurs de systèmes d’IA à haut risque, c’est-à-dire les entités qui mettent les systèmes à disposition des utilisateurs finaux sans être elles-mêmes fournisseurs ni importateurs.

Les distributeurs doivent :

Vérifier la conformité apparente des systèmes avant la mise à disposition (marquage CE, documentation technique, instructions d’utilisation).
S’assurer que le système n’a pas de défauts visibles pouvant compromettre la sécurité ou la conformité réglementaire.
Conserver les informations utiles permettant aux autorités de remonter la chaîne de distribution si nécessaire.
Coopérer avec les autorités compétentes en cas de contrôle ou d’incident.

Cet article complète les obligations des fournisseurs et importateurs, assurant que chaque maillon de la chaîne respecte la sécurité, la traçabilité et la conformité.

Notions clés à comprendre

Distributeur : acteur commercialisant un système d’IA, en assurant sa livraison à l’utilisateur final.

Conformité apparente : vérification que le système présente les signes visibles de conformité (marquage CE, documentation complète, instructions).

Modification substantielle : toute altération qui change la sécurité, la fiabilité ou la finalité du système.

Traçabilité : capacité de fournir aux autorités des informations sur l’origine et les caractéristiques du système.

Coopération avec les autorités : obligation de répondre aux demandes de renseignements ou d’audit.

Exemple pratique

Une entreprise française revends un logiciel de présélection de CV développé par un fournisseur hors UE et importé par un mandataire.

Conformément à l’article 24 :

Le distributeur vérifie que le logiciel porte le marquage CE et que la documentation technique et instructions d’utilisation sont disponibles en français.
Il s’assure qu’aucune anomalie ou défaut évident ne compromet le fonctionnement correct du logiciel.
Il conserve les informations de contact du fournisseur et de l’importateur et reste prêt à fournir ces informations à la CNIL ou aux autorités en cas de contrôle.

Vous distribuez une IA sans savoir quelles vérifications vous devez effectuer ?

L’article 24 impose aux distributeurs de vérifier la conformité des systèmes d’IA avant leur mise à disposition et d’agir en cas de non-conformité ou de risque.

Sécuriser mon rôle de distributeur IA avec un expert

Texte original de l’IA Act

Article 24 – Obligations des distributeurs

1. Avant de mettre un système d’IA à haut risque à disposition sur le marché, les distributeurs vérifient qu’il porte le marquage CE requis, qu’il est accompagné d’une copie de la déclaration UE de conformité visée à l’article 47 et de la notice d’utilisation, et que le fournisseur et l’importateur dudit système, selon le cas, ont respecté leurs obligations respectives en vertu de l’article 16, points b) et c), et de l’article 23, paragraphe 3.

2. Lorsqu’un distributeur considère ou a des raisons de considérer, sur la base des informations en sa possession, qu’un système d’IA à haut risque n’est pas conforme aux exigences énoncées à la section 2, il ne met le système à disposition sur le marché qu’après la mise en conformité de celui-ci avec lesdites exigences. De plus, lorsque le système d’IA à haut risque présente un risque au sens de l’article 79, paragraphe 1, le distributeur en informe le fournisseur ou l’importateur du système, selon le cas.

3. Les distributeurs s’assurent, lorsqu’un système d’IA à haut risque est sous leur responsabilité, que les conditions de stockage ou de transport, le cas échéant, ne compromettent pas sa conformité avec les exigences énoncées à la section 2.

4. Lorsqu’un distributeur considère ou a des raisons de considérer, sur la base des informations en sa possession, qu’un système d’IA à haut risque qu’il a mis à disposition sur le marché n’est pas conforme aux exigences énoncées à la section 2, il prend les mesures correctives nécessaires pour mettre ce système en conformité avec lesdites exigences, le retirer ou le rappeler ou veille à ce que le fournisseur, l’importateur ou tout opérateur concerné, selon le cas, prenne ces mesures correctives. Lorsque le système d’IA à haut risque présente un risque au sens de l’article 79, paragraphe 1, le distributeur en informe immédiatement le fournisseur ou l’importateur du système ainsi que les autorités compétentes pour le système d’IA à haut risque concerné et précise, notamment, le cas de non-conformité et les éventuelles mesures correctives prises.

5. À la demande motivée d’une autorité compétente concernée, les distributeurs d’un système d’IA à haut risque communiquent à cette autorité toutes les informations et tous les documents concernant les mesures qu’ils ont prises en vertu des paragraphes 1 à 4, nécessaires pour démontrer la conformité de ce système avec les exigences énoncées à la section 2.

6. Les distributeurs coopèrent avec les autorités compétentes concernées à toute mesure prise par ces autorités à l’égard d’un système d’IA à haut risque mis à disposition sur le marché par les distributeurs, en particulier pour réduire et atténuer les risques qu’il présente.

Perspectives avec d’autres textes

Perspectives européennes

Règlement (UE) 2019/1020 – Surveillance du marché

Les distributeurs doivent vérifier la conformité des produits avant mise sur le marché.

Les principes de traçabilité et d’alerte sont très proches.

Directive 2001/95/CE – Sécurité générale des produits

Responsabilité partagée entre fabricants, importateurs et distributeurs.

Obligation d’informer les autorités et de prendre des mesures correctives si le produit présente un risque.

Charte des droits fondamentaux de l’UE

L’obligation d’alerte et de traçabilité protège indirectement les droits fondamentaux des personnes concernées.

Perspectives françaises

Code de la consommation – Articles L. 221‑1 et suivants

Obligation de sécurité pour les produits mis sur le marché.

CNIL – Guide IA et RGPD

Les distributeurs doivent s’assurer que le système respecte la législation applicable, même s’ils ne sont pas producteurs.

Les obligations de traçabilité et d’alerte des distributeurs renforcent la conformité globale.

ANSSI – recommandations sur la sécurisation des systèmes numériques

Distribuer une IA conforme peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act