Article 56 IA Act : Code de bonnes pratiques
Table des matières
Explication de l’article
L’article 56 de l’AI Act encadre l’élaboration et le suivi des codes de bonnes pratiques destinés à faciliter le respect des obligations applicables aux modèles d’intelligence artificielle à usage général. Ces modèles, capables d’accomplir une grande variété de tâches et d’être intégrés dans différents systèmes, peuvent soulever des questions particulières en matière de transparence, de droit d’auteur, de sécurité et de gestion des risques systémiques.
Ces codes sont élaborés au niveau de l’Union européenne sous l’impulsion du Bureau de l’IA (AI Office), en collaboration avec le Comité européen de l’intelligence artificielle et les parties prenantes concernées. Ils doivent aider les fournisseurs à traduire les exigences du règlement en mesures concrètes, tout en tenant compte des évolutions technologiques et des approches internationales.
1. Faciliter l’application des obligations de l’IA Act
Le Bureau de l’IA encourage et facilite l’élaboration de codes de bonnes pratiques à l’échelle européenne. Leur objectif est de contribuer à la bonne application du règlement, notamment des obligations prévues aux articles 53 et 55.
L’article 53 concerne les fournisseurs de modèles d’IA à usage général. Il prévoit notamment des obligations en matière de documentation technique, d’informations à destination des fournisseurs qui intègrent le modèle dans leurs propres systèmes, de politique de respect du droit d’auteur de l’Union et de publication d’un résumé suffisamment détaillé des contenus utilisés pour l’entraînement.
L’article 55 impose des obligations supplémentaires aux fournisseurs de modèles d’IA à usage général présentant un risque systémique. Ces obligations comprennent notamment l’évaluation du modèle, l’identification et l’atténuation des risques systémiques, le signalement des incidents graves et la protection de la cybersécurité du modèle et de son infrastructure physique.
Les codes de bonnes pratiques doivent donc aider les fournisseurs à comprendre comment organiser leurs procédures et démontrer qu’ils respectent ces obligations.
2. Définir des mesures concrètes et proportionnées
L’article 56 précise les sujets que les codes doivent couvrir. Il s’agit notamment :
- de maintenir à jour les informations et la documentation exigées par l’article 53, en tenant compte des évolutions du marché et des technologies ;
- de déterminer le niveau de détail approprié du résumé des contenus utilisés pour entraîner les modèles ;
- d’identifier les types et la nature des risques systémiques à l’échelle de l’Union européenne, ainsi que leurs sources lorsque cela est pertinent ;
- de définir les mesures, procédures et modalités d’évaluation et de gestion de ces risques, ainsi que leur documentation.
Les mesures relatives aux risques systémiques doivent être proportionnées à leur gravité et à leur probabilité. Elles doivent également tenir compte de la manière dont les risques peuvent apparaître et se matérialiser tout au long de la chaîne de valeur de l’IA.
Ainsi, les codes ne doivent pas se limiter à des principes généraux : ils doivent proposer des engagements ou des mesures suffisamment précis pour pouvoir être évalués.
3. Associer les acteurs concernés
Le Bureau de l’IA peut inviter les fournisseurs de modèles d’IA à usage général ainsi que les autorités nationales compétentes à participer à l’élaboration des codes.
D’autres acteurs peuvent contribuer au processus, notamment les organisations de la société civile, les entreprises, les chercheurs, les fournisseurs de systèmes en aval et les experts indépendants.
Cette approche vise à prendre en compte des perspectives variées : les contraintes techniques des fournisseurs, les besoins des entreprises qui intègrent les modèles, les intérêts des personnes affectées et les enjeux de sécurité pour la société.
Les codes doivent également définir des objectifs précis et prévoir des engagements ou des mesures permettant de les atteindre. Des indicateurs clés de performance peuvent être utilisés lorsque cela est approprié.
4. Prévoir un suivi régulier des engagements
Les participants doivent rendre compte régulièrement au Bureau de l’IA de la mise en œuvre de leurs engagements, des mesures adoptées et des résultats obtenus. Lorsque des indicateurs de performance sont utilisés, les rapports doivent permettre d’apprécier les progrès accomplis.
L’article précise que les indicateurs et les obligations de reporting doivent tenir compte des différences de taille et de capacité entre les participants.
La Commission européenne et le Comité européen de l’intelligence artificielle suivent et évaluent régulièrement les résultats obtenus. La Commission évalue si les codes couvrent effectivement les obligations des articles 53 et 55, en tenant dûment compte de l’avis du Comité, puis publie son évaluation de leur adéquation.
Les codes peuvent également être révisés et adaptés, notamment pour tenir compte de l’apparition de nouvelles normes et de l’évolution des technologies.
5. Une voie pour démontrer la conformité, sans remplacer le règlement
L’article 56 permet au Bureau de l’IA d’inviter les fournisseurs à adhérer aux codes de bonnes pratiques.
Pour les fournisseurs de modèles d’IA à usage général qui ne présentent pas de risque systémique, cette adhésion peut être limitée aux obligations de l’article 53, sauf s’ils déclarent explicitement vouloir participer au code complet.
Les articles 53 et 55 prévoient que les fournisseurs peuvent s’appuyer sur les codes de bonnes pratiques pour démontrer leur conformité aux obligations concernées, jusqu’à la publication de normes harmonisées pertinentes. Les normes européennes harmonisées peuvent, quant à elles, conférer une présomption de conformité dans la mesure où elles couvrent les obligations concernées.
Les fournisseurs qui n’adhèrent pas à un code approuvé ou ne respectent pas une norme harmonisée doivent démontrer qu’ils disposent d’autres moyens appropriés de mise en conformité et les soumettre à l’appréciation de la Commission, conformément aux articles 53 et 55.
Les codes ne constituent donc pas une exemption générale : ils représentent une voie encadrée pour démontrer le respect de certaines exigences du règlement.
6. Que se passe-t-il si les codes sont insuffisants ?
L’article 56 prévoyait que les codes devaient être prêts au plus tard le 2 mai 2025. Si un code ne pouvait pas être finalisé au plus tard le 2 août 2025, ou si la Commission le jugeait inadéquat après évaluation, celle-ci pouvait adopter des règles communes de mise en œuvre par actes d’exécution, conformément à la procédure prévue à l’article 98.
Ce mécanisme vise à éviter que l’absence de code approprié ou ses insuffisances compromettent l’application effective des obligations prévues aux articles 53 et 55.
La Commission peut également encourager la révision et l’adaptation des codes, notamment en fonction des normes disponibles. Les codes doivent ainsi pouvoir évoluer avec les capacités des modèles et les risques qu’ils présentent.
Notions clés à comprendre
Adhésion : les fournisseurs peuvent adhérer aux codes pour démontrer leur conformité.
Modèle d’IA à usage général : modèle d’IA présentant une généralité significative et capable d’accomplir un large éventail de tâches distinctes, indépendamment de la manière dont il est mis sur le marché.
Modèle d’IA à usage général présentant un risque systémique : modèle répondant aux critères prévus par l’IA Act pour cette catégorie, compte tenu notamment de ses capacités et de ses risques potentiels à grande échelle.
Code de bonnes pratiques : ensemble d’engagements et de mesures élaborés au niveau européen pour faciliter la mise en œuvre des obligations prévues par le règlement.
Bureau de l’IA (AI Office) : service de la Commission européenne chargé de contribuer à la mise en œuvre et à l’application de l’IA Act, notamment pour les modèles d’IA à usage général.
Comité européen de l’intelligence artificielle : instance réunissant les représentants des États membres et contribuant à la coordination de l’application du règlement.
Risque systémique : risque susceptible d’avoir des effets significatifs à grande échelle, notamment en raison des capacités d’un modèle, de sa diffusion ou de ses conséquences potentielles.
Indicateur clé de performance (KPI) : indicateur permettant de mesurer les progrès accomplis et les résultats obtenus au regard des objectifs fixés.
Norme harmonisée : norme européenne élaborée dans le cadre prévu par le droit de l’Union et dont les références sont publiées au Journal officiel de l’Union européenne ; elle peut conférer une présomption de conformité pour les exigences qu’elle couvre.
Exemple pratique
Une entreprise développe un modèle d’IA à usage général qu’elle met à la disposition d’autres entreprises, lesquelles l’intègrent dans leurs propres assistants conversationnels et outils d’analyse documentaire.
Pour organiser sa conformité à l’IA Act, le fournisseur s’appuie sur le code européen de bonnes pratiques applicable aux modèles d’IA à usage général.
Il met en place plusieurs mesures :
Premièrement, la documentation. L’entreprise prépare la documentation technique requise et les informations nécessaires aux entreprises qui souhaitent intégrer son modèle dans leurs systèmes. Elle définit aussi une procédure pour mettre à jour ces informations lorsque le modèle évolue.
Deuxièmement, le droit d’auteur. Elle formalise une politique destinée à respecter le droit d’auteur de l’Union européenne et prépare un résumé suffisamment détaillé des contenus utilisés pour l’entraînement, conformément aux exigences applicables.
Troisièmement, la gestion des risques. Si le modèle est classé comme présentant un risque systémique, l’entreprise doit aller plus loin : elle évalue les risques associés à ses capacités, définit des mesures d’atténuation, organise le signalement des incidents graves et protège le modèle ainsi que son infrastructure contre les menaces de cybersécurité.
Quatrièmement, le suivi. Elle documente les mesures adoptées et transmet les informations requises dans le cadre du suivi des engagements prévus par le code.
Cette démarche aide l’entreprise à structurer sa conformité et à démontrer les mesures prises. Toutefois, l’adhésion au code ne la dispense pas de respecter les obligations applicables de l’IA Act ni de fournir d’autres éléments de preuve lorsque cela est nécessaire.
Texte original de l’IA Act
Article 56 – Codes de bonne pratique
1. Le Bureau de l’IA encourage et facilite l’élaboration de codes de bonne pratique au niveau de l’Union afin de contribuer à la bonne application du présent règlement, en tenant compte des approches internationales.
2. Le Bureau de l’IA et le Comité IA s’efforcent de veiller à ce que les codes de bonne pratique couvrent au moins les obligations prévues aux articles 53 et 55, y compris les questions suivantes:
4. Le Bureau de l’IA et le Comité IA s’efforcent de veiller à ce que les codes de bonne pratique définissent clairement leurs objectifs spécifiques et contiennent des engagements ou des mesures, y compris, le cas échéant, des indicateurs de performance clés, afin de garantir la réalisation de ces objectifs, et à ce qu’ils tiennent dûment compte des besoins et des intérêts de l’ensemble des parties intéressées, y compris les personnes concernées, au niveau de l’Union.
5. Le Bureau de l’IA veille à ce que les participants aux codes de bonne pratique fassent régulièrement rapport au Bureau de l’IA sur la mise en œuvre des engagements ainsi que sur les mesures qu’ils adoptent et leurs résultats, y compris mesurés par rapport aux indicateurs de performance clés, le cas échéant. Les indicateurs de performance clés et l’obligation de présenter des rapports reflètent les différences de taille et de capacité entre les différents participants.
6. La Commission et le Comité IA contrôlent et évaluent régulièrement la réalisation des objectifs des codes de bonne pratique par les participants et leur contribution à la bonne application du présent règlement. La Commission, tenant dûment compte de l’avis du Comité IA, évalue si les codes de bonne pratique couvrent les obligations prévues aux articles 53 et 55, et contrôle et évalue régulièrement la réalisation de leurs objectifs. La Commission publie son évaluation de l’adéquation des codes de bonne pratique.
7. Le Bureau de l’IA peut inviter tous les fournisseurs de modèles d’IA à usage général à adhérer aux codes de bonne pratique. Pour les fournisseurs de modèles d’IA à usage général ne présentant pas de risque systémique, cette adhésion peut se limiter aux obligations prévues à l’article 53, à moins qu’ils ne déclarent explicitement leur intérêt à respecter le code complet.
8. Le Bureau de l’IA encourage et facilite également, le cas échéant, le réexamen et l’adaptation des codes de bonne pratique, en particulier à la lumière des normes émergentes. Le Bureau de l’IA participe à l’évaluation des normes disponibles.
9. Les codes de bonne pratique sont prêts au plus tard le 2 mai 2025. Le Bureau de l’IA prend les mesures nécessaires, y compris inviter les fournisseurs en vertu du paragraphe 7.
Si, à la date du 2 août 2025, un code de bonnes pratiques n’a pas pu être mis au point, ou si le Bureau de l’IA estime qu’il n’est pas approprié à la suite de son évaluation au titre du paragraphe 6 du présent article, la Commission peut prévoir, au moyen d’actes d’exécution, des règles communes pour la mise en œuvre des obligations prévues aux articles 53 et 55, y compris les questions énoncées au paragraphe 2 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
Perspectives avec d’autres textes
Perspectives européennes
Directive (UE) 2019/790 sur le droit d’auteur et les droits voisins dans le marché unique numérique
Elle est pertinente pour la politique de respect du droit d’auteur que doivent prévoir les fournisseurs de modèles d’IA à usage général. Les codes doivent faciliter la mise en œuvre de cette obligation sans se substituer au droit d’auteur applicable.
RGPD
Lorsque l’entraînement ou l’utilisation d’un modèle implique des données à caractère personnel, les règles du RGPD restent applicables. L’adhésion à un code de bonnes pratiques de l’IA Act ne constitue pas, à elle seule, une base légale pour traiter ces données.
Directive (UE) 2022/2555, diteNIS2
Directive (UE) 2022/2555, diteNIS2 établit un cadre européen en matière de cybersécurité pour les entités relevant de son champ d’application. Les mesures de sécurité prévues pour un modèle présentant un risque systémique doivent être articulées avec les obligations de cybersécurité éventuellement applicables au fournisseur ou à son infrastructure.
Perspectives françaises
La loi Informatique et Libertés
Les entreprises françaises qui entraînent ou utilisent des modèles avec des données personnelles doivent articuler leurs démarches avec le RGPD et la loi Informatique et Libertés. La conformité à l’IA Act ne remplace pas l’analyse de la licéité du traitement, l’information des personnes ou les autres obligations applicables.
Droit d’auteur
Les fournisseurs doivent tenir compte du droit d’auteur applicable en France et dans l’Union européenne lorsqu’ils définissent leur politique relative aux contenus d’entraînement. Le résumé des contenus utilisés doit répondre aux exigences de l’IA Act sans être confondu avec une liste exhaustive de chaque œuvre utilisée.
L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne dans l’application de ces codes de bonne pratique et leur adaptation à votre organisation.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement