Article 29 IA ACT - Demande de notification d’un organisme d’évaluation de la conformité

Explication de l’article

L’article 29 de l’IA Act encadre la phase d’entrée dans le système européen de certification de l’IA. Il précise comment un organisme peut devenir officiellement habilité à évaluer la conformité des systèmes d’IA à haut risque.

Cet article repose sur une idée centrale : on ne peut pas contrôler des systèmes d’IA sensibles sans garantir la fiabilité de ceux qui contrôlent.
Ainsi, avant d’être reconnu comme « organisme notifié », un organisme doit démontrer qu’il respecte des exigences élevées en matière de compétence, d’indépendance et d’organisation interne.

La demande de notification est adressée à l’autorité notifiante nationale de l’État membre dans lequel l’organisme est établi. Cela permet un contrôle de proximité, tout en s’inscrivant dans un cadre européen harmonisé.

L’article distingue deux situations :

l’organisme dispose déjà d’une accréditation officielle (procédure facilitée),
l’organisme ne dispose pas d’accréditation, auquel cas il doit fournir des preuves documentaires renforcées.

Enfin, l’article prévoit un mécanisme de continuité juridique : les organismes déjà notifiés dans d’autres cadres européens (dispositifs médicaux, produits industriels, etc.) peuvent réutiliser leurs documents, évitant ainsi une duplication excessive des procédures.

Notions clés à comprendre

Organisme d’évaluation de la conformité : Structure indépendante chargée de vérifier qu’un système d’IA respecte les exigences de l’AI Act (gestion des risques, qualité des données, supervision humaine, documentation, etc.).

Notification : Acte juridique par lequel un État membre reconnaît officiellement un organisme et informe la Commission européenne et les autres États membres.

Accréditation : Reconnaissance formelle, souvent délivrée par un organisme national (ex. le COFRAC en France), attestant de la compétence technique et organisationnelle.

Dossier de notification

Ensemble de documents décrivant :

les compétences techniques de l’organisme,
les types de systèmes d’IA évalués,
les procédures internes de contrôle et d’impartialité.

Exemple pratique

Un organisme français spécialisé dans l’audit de logiciels médicaux souhaite devenir organisme notifié pour certifier des systèmes d’IA utilisés en radiologie.

Étape 1 : Constitution du dossier

Il rassemble :

une description précise des types d’IA concernés (diagnostic assisté par IA),
les modules d’évaluation utilisés,
les CV et compétences de ses experts (IA, cybersécurité, droit, éthique),
ses procédures internes d’indépendance.

Étape 2 : Dépôt auprès de l’autorité notifiante

Le dossier est transmis à l’autorité française compétente.

Étape 3 : Cas sans accréditation

Si l’organisme n’est pas encore accrédité, il doit prouver par des documents équivalents qu’il respecte les exigences de l’article 31 (qualité, impartialité, expertise).

Étape 4 : Mise à jour continue

Si l’organisme change ses méthodes ou son périmètre d’activité, il doit mettre à jour son dossier afin de permettre un contrôle continu.

Vous ne savez pas comment un organisme d’évaluation est officiellement reconnu en IA ?

L’article 29 indique que la demande de notification conditionne la capacité d’un organisme à évaluer des systèmes d’IA à haut risque.

Sécuriser ma démarche de conformité IA

Texte original de l’IA Act

Article 29

Demande de notification d’un organisme d’évaluation de la conformité

1. Les organismes d’évaluation de la conformité soumettent une demande de notification à l’autorité notifiante de l’État membre dans lequel ils sont établis.

2. La demande de notification est accompagnée d’une description des activités d’évaluation de la conformité, du ou des modules d’évaluation de la conformité et des types de systèmes d’IA pour lesquels l’organisme d’évaluation de la conformité se déclare compétent, ainsi que d’un certificat d’accréditation, lorsqu’il existe, délivré par un organisme national d’accréditation qui atteste que l’organisme d’évaluation de la conformité remplit les exigences énoncées à l’article 31.

Tout document en cours de validité relatif à des désignations existantes de l’organisme notifié demandeur en vertu de toute autre législation d’harmonisation de l’Union est ajouté.

3. Lorsque l’organisme d’évaluation de la conformité ne peut pas produire de certificat d’accréditation, il présente à l’autorité notifiante toutes les preuves documentaires nécessaires à la vérification, à la reconnaissance et au contrôle régulier de sa conformité avec les exigences définies à l’article 31.

4. Quant aux organismes notifiés désignés en vertu de toute autre législation d’harmonisation de l’Union, tous les documents et certificats liés à ces désignations peuvent être utilisés à l’appui de leur procédure de désignation au titre du présent règlement, le cas échéant. L’organisme notifié met à jour la documentation visée aux paragraphes 2 et 3 du présent article dès que des changements pertinents interviennent afin de permettre à l’autorité responsable des organismes notifiés de contrôler et de vérifier que toutes les exigences énoncées à l’article 31 demeurent observées.

Perspectives avec d’autres textes

Perspectives européennes

Règlement (CE) n° 765/2008 : cadre général de l’accréditation.

Règlement (UE) 2017/745 (MDR) : procédure comparable pour les dispositifs médicaux.

Perspectives françaises

Code de la consommation (organismes notifiés)

COFRAC : rôle clé dans l’accréditation

ANSSI : expérience comparable en cybersécurité

Comprendre les exigences de l’IA Act peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne.

Menu IA Act