Article 63 – Dérogations pour des opérateurs spécifiques
Table des matières
Explication de l’article
L’article 63 de l’AI Act prévoit des mesures de simplification destinées aux petites et moyennes entreprises (PME), y compris les jeunes pousses, qui développent des systèmes d’intelligence artificielle à haut risque.
L’objectif est de faciliter la mise en conformité des petites structures avec les exigences européennes, sans réduire le niveau de protection de la santé, de la sécurité et des droits fondamentaux. Les obligations imposées aux fournisseurs de systèmes d’IA à haut risque peuvent en effet nécessiter des ressources humaines, techniques et financières importantes, particulièrement difficiles à mobiliser pour une petite entreprise.
Depuis sa modification par le règlement (UE) 2026/1744, l’article 63 permet aux PME, y compris aux start-up, de respecter de manière simplifiée certains éléments du système de gestion de la qualité prévu à l’article 17 de l’IA Act. Cette possibilité est soumise à une condition importante : l’entreprise ne doit pas avoir d’entreprises partenaires ou liées au sens de la recommandation 2003/361/CE.
1. Une simplification du système de gestion de la qualité
L’article 17 impose aux fournisseurs de systèmes d’IA à haut risque de mettre en place un système de gestion de la qualité. Celui-ci doit permettre de garantir et de documenter le respect des exigences du règlement tout au long du développement et de la mise sur le marché du système.
Il peut notamment couvrir les procédures de conformité, la gestion des risques, la conception et le développement du système, la gestion des données, la documentation technique, la surveillance après commercialisation et la gestion des incidents.
L’article 63 reconnaît que certaines de ces exigences organisationnelles peuvent être adaptées aux capacités des petites structures. Les PME éligibles peuvent donc appliquer une approche simplifiée à certains éléments du système de gestion de la qualité, en fonction des modalités qui seront précisées dans les lignes directrices de la Commission européenne.
Cette simplification porte uniquement sur certains éléments du système de gestion de la qualité. Elle ne constitue pas une exemption générale aux obligations de l’IA Act.
2. Des conditions liées à la taille et à l’indépendance de l’entreprise
Pour bénéficier de cette possibilité, l’entreprise doit relever de la catégorie des PME, y compris des jeunes pousses, au sens des règles européennes applicables. La recommandation 2003/361/CE fournit notamment les critères permettant de déterminer la catégorie d’une entreprise.
L’évaluation ne repose pas uniquement sur les effectifs ou le chiffre d’affaires de la société prise isolément. Il faut également examiner les relations qu’elle entretient avec d’autres entreprises, notamment les participations et les liens de contrôle susceptibles de la faire considérer comme une entreprise partenaire ou liée.
Ainsi, une entreprise qui semble petite au regard de ses seuls effectifs ne peut pas automatiquement bénéficier de cette simplification si ses relations avec d’autres sociétés l’excluent du dispositif.
3. Des lignes directrices de la Commission européenne
L’article 63 prévoit que la Commission européenne élabore des lignes directrices précisant les éléments du système de gestion de la qualité pouvant faire l’objet d’une mise en œuvre simplifiée.
Ces lignes directrices doivent tenir compte des besoins des PME et faciliter leur mise en conformité, sans compromettre le niveau de protection recherché par l’IA Act ni les exigences applicables aux systèmes d’IA à haut risque.
Elles doivent donc permettre de distinguer les procédures qui peuvent être adaptées aux ressources d’une petite entreprise des exigences substantielles qui doivent continuer à être respectées.
Il convient de vérifier les lignes directrices applicables au moment de la mise en conformité : l’article 63 établit le principe de la simplification, mais ne signifie pas que chaque PME peut décider seule de supprimer ou d’alléger n’importe quelle procédure.
4. Le maintien des autres obligations de l’IA Act
Le paragraphe 2 de l’article 63 précise que la simplification ne dispense pas les entreprises concernées des autres obligations prévues par le règlement.
Il mentionne expressément plusieurs dispositions, notamment :
- Article 9 : le système de gestion des risques ;
- Article 10 : la gouvernance et la qualité des données ;
- Article 11 : la documentation technique ;
- Article 12 : la tenue des journaux et l’enregistrement des événements ;
- Article 13 : la transparence et les informations fournies aux déployeurs ;
- Article 14 : la supervision humaine ;
- Article 15 : l’exactitude, la robustesse et la cybersécurité ;
- Article 72 : la surveillance après commercialisation ;
- Article 73 : le signalement des incidents graves.
La liste n’est pas exhaustive : toutes les autres obligations applicables au fournisseur restent également pertinentes.
En pratique, une PME ne peut donc pas invoquer l’article 63 pour se soustraire à la gestion des risques, à la documentation technique ou à la supervision humaine. Elle peut uniquement bénéficier d’une simplification ciblée du système de gestion de la qualité, dans les conditions prévues par le règlement.
Notions clés à comprendre
PME : petite ou moyenne entreprise répondant aux critères européens applicables, notamment ceux relatifs aux effectifs et aux données financières, en tenant compte des liens éventuels avec d’autres entreprises.
Jeune pousse (start-up) : jeune entreprise innovante susceptible de bénéficier du dispositif si elle répond aux critères applicables aux PME.
Entreprise partenaire ou liée : entreprise entretenant avec une autre société des relations de participation ou de contrôle définies par la recommandation 2003/361/CE. Ces relations peuvent modifier la qualification de PME.
Système de gestion de la qualité : ensemble organisé de politiques, procédures et processus visant à garantir que le système d’IA à haut risque respecte les exigences applicables.
Simplification de la conformité : adaptation de certains éléments organisationnels aux besoins des PME éligibles, sans suppression des obligations substantielles prévues par l’IA Act.
Obligations non dérogeables par ce dispositif : exigences qui continuent à s’appliquer, notamment en matière de gestion des risques, de données, de documentation, de supervision humaine et de cybersécurité.
Exemple pratique
Une start-up française développe un système d’IA à haut risque destiné à assister les établissements de santé dans certaines tâches de traitement de l’information. Elle dispose d’une petite équipe et de ressources limitées pour mettre en place les procédures nécessaires à la conformité réglementaire.
Avant de recourir à la simplification prévue par l’article 63, elle vérifie qu’elle répond aux critères européens applicables aux PME et qu’elle ne possède pas d’entreprises partenaires ou liées qui l’excluraient du dispositif.
Si elle remplit ces conditions, elle peut appliquer une approche simplifiée à certains éléments de son système de gestion de la qualité, conformément aux lignes directrices de la Commission européenne.
Elle doit néanmoins continuer à gérer les risques liés au système, à garantir la qualité des données, à constituer la documentation technique nécessaire, à prévoir une supervision humaine appropriée et à assurer la surveillance après commercialisation. Elle doit également disposer de procédures pour détecter et signaler les incidents graves.
L’intérêt pratique : la start-up peut adapter certaines procédures organisationnelles à ses moyens, mais elle ne peut pas diminuer les garanties de sécurité et de protection des personnes exigées par l’IA Act.
Texte original de l’IA Act
Article 63 – Dérogations pour des opérateurs spécifiques
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
Perspectives avec d’autres textes
Perspectives européennes
Recommandation 2003/361/CE de la Commission du 6 mai 2003
Cette recommandation définit les critères permettant d’identifier les microentreprises, notamment selon leurs effectifs et leurs données financières. L’article 63 de l’IA Act s’appuie sur cette définition pour permettre à certaines microentreprises de simplifier une partie de leur système de gestion de la qualité, sans les dispenser des autres obligations applicables aux systèmes d’IA à haut risque.
L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour être conforme à l’IA Act.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement