Article 72 IA Act – Surveillance après commercialisation
Table des matières
Explication de l’article
L’article 72 de l’AI Act impose aux fournisseurs de systèmes d’IA à haut risque de mettre en place un dispositif de surveillance après commercialisation.
L’objectif est de vérifier que le système continue de respecter les exigences réglementaires après sa mise sur le marché ou sa mise en service. En effet, les risques liés à l’intelligence artificielle ne disparaissent pas une fois le système commercialisé. Son utilisation dans des conditions réelles peut révéler des erreurs, des comportements inattendus ou des risques qui n’avaient pas été détectés pendant les phases de conception et d’évaluation.
La surveillance après commercialisation permet donc de recueillir et d’analyser les informations issues de l’utilisation du système, d’identifier les éventuels problèmes et de déterminer si des mesures correctives ou préventives sont nécessaires.
L’article 72 poursuit quatre objectifs principaux : organiser une surveillance continue, collecter des données pertinentes, formaliser cette surveillance dans un plan documenté et éviter les doublons lorsque d’autres réglementations imposent déjà un dispositif équivalent.
1. Mettre en place un système de surveillance proportionné aux risques
Le paragraphe 1 impose aux fournisseurs d’établir et de documenter un système de surveillance après commercialisation.
Ce système doit être proportionné à la nature des technologies d’IA utilisées et aux risques présentés par le système concerné. Les modalités de surveillance ne seront donc pas nécessairement identiques pour tous les systèmes.
Le fournisseur doit tenir compte de la destination du système, de son fonctionnement, de ses usages prévus et des risques susceptibles d’apparaître pendant son utilisation.
Concrètement, le dispositif peut prévoir des indicateurs de performance, des procédures de collecte des retours des utilisateurs, des contrôles périodiques, l’analyse des erreurs et un mécanisme permettant de déclencher des mesures correctives.
L’objectif n’est pas seulement de constater les incidents après leur survenue. Il s’agit également de repérer suffisamment tôt les signes d’une dégradation des performances ou d’un risque émergent.
2. Collecter et analyser les données pendant tout le cycle de vie
Le paragraphe 2 précise que le système de surveillance doit collecter, documenter et analyser les données pertinentes de manière active et systématique.
Ces informations peuvent provenir des déployeurs, c’est-à-dire des personnes ou organismes qui utilisent le système dans le cadre de leur activité, ou d’autres sources pertinentes.
La surveillance doit permettre au fournisseur d’évaluer si le système continue de respecter les exigences applicables aux systèmes d’IA à haut risque prévues au chapitre III, section 2, de l’IA Act.
Selon le système, cette analyse peut notamment porter sur :
- l’évolution des performances et de la précision ;
- les erreurs ou les dysfonctionnements constatés ;
- les risques pour la santé, la sécurité ou les droits fondamentaux ;
- les difficultés rencontrées par les utilisateurs ;
- les écarts entre le fonctionnement attendu et le fonctionnement observé ;
- les interactions avec d’autres systèmes d’IA, lorsqu’elles sont pertinentes.
Cette surveillance s’effectue tout au long du cycle de vie du système. Elle ne se limite donc pas à une vérification ponctuelle après sa commercialisation.
Le règlement prévoit toutefois une exception : cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs qui sont des autorités répressives. Cette réserve doit être prise en compte lorsque le système est utilisé dans le cadre d’activités de police ou de répression.
3. Formaliser la surveillance dans un plan documenté
Le paragraphe 3, modifié par le règlement (UE) 2026/1744, prévoit expressément que le système de surveillance après commercialisation doit reposer sur un plan de surveillance après commercialisation.
Ce plan fait partie de la documentation technique prévue à l’annexe IV de l’IA Act. Il doit donc s’inscrire dans la documentation générale permettant de démontrer la conformité du système.
La Commission européenne doit adopter des orientations, comprenant un modèle de plan, au plus tard le 2 septembre 2027, en tenant le plus grand compte de l’avis du Comité européen de l’IA.
Ces orientations doivent aider les fournisseurs à structurer leur dispositif et à déterminer les informations pertinentes à documenter.
En pratique, un plan de surveillance devrait permettre de comprendre comment les données seront recueillies, quelles performances et quels risques seront suivis, comment les informations seront analysées et quelles mesures pourront être prises lorsqu’un problème est détecté. Ces éléments doivent être adaptés au système concerné et aux exigences applicables.
L’existence d’un plan ne suffit toutefois pas à garantir la conformité : le fournisseur doit également mettre en œuvre le dispositif de surveillance et exploiter effectivement les informations recueillies.
4. Éviter les doublons avec les dispositifs déjà imposés par d’autres réglementations
Le paragraphe 4 prévoit une possibilité d’intégration pour certains systèmes d’IA à haut risque déjà couverts par une législation européenne d’harmonisation.
Lorsqu’un système de surveillance après commercialisation et un plan existent déjà en vertu de la législation visée à l’annexe I, section A, le fournisseur peut intégrer les éléments nécessaires de l’IA Act dans les dispositifs existants, en utilisant le modèle prévu au paragraphe 3.
Cette possibilité vise à garantir la cohérence des exigences, à éviter les doubles emplois et à limiter les charges supplémentaires. Elle est cependant soumise à une condition essentielle : le niveau de protection obtenu doit être équivalent.
Le même mécanisme s’applique également à certains systèmes d’IA à haut risque visés à l’annexe III, point 5, mis sur le marché ou mis en service par des établissements financiers soumis à des exigences du droit européen des services financiers concernant leur gouvernance interne, leurs dispositifs ou leurs processus.
Il ne s’agit donc pas d’une exemption générale à la surveillance après commercialisation. Le fournisseur doit vérifier que le dispositif existant couvre effectivement les éléments nécessaires et assure un niveau de protection équivalent.
En résumé, l’article 72 impose une surveillance continue et documentée des systèmes d’IA à haut risque. Il vise à détecter les problèmes après la commercialisation, à maintenir la conformité du système et à organiser une intégration cohérente avec les dispositifs de surveillance déjà prévus par certaines législations sectorielles.
Notions clés à comprendre
Surveillance après commercialisation : ensemble des activités menées par le fournisseur pour recueillir et analyser les informations issues de l’utilisation du système après sa mise sur le marché ou sa mise en service, afin d’identifier les mesures correctives ou préventives nécessaires.
Fournisseur : personne physique ou morale, autorité publique, agence ou autre organisme qui développe un système d’IA ou le fait développer et le met sur le marché ou en service sous son nom ou sa marque, selon la définition de l’IA Act.
Déployeur : personne physique ou morale, autorité publique, agence ou autre organisme qui utilise un système d’IA sous son autorité, sauf lorsqu’il est utilisé dans le cadre d’une activité personnelle à caractère non professionnel.
Plan de surveillance après commercialisation : document qui structure les activités de surveillance et fait partie de la documentation technique du système.
Données de surveillance : informations pertinentes sur les performances, les erreurs, les incidents et le comportement du système, provenant notamment des déployeurs ou d’autres sources.
Mesures correctives ou préventives : actions destinées à traiter un problème constaté ou à réduire un risque identifié pendant l’utilisation du système.
Niveau de protection équivalent : condition permettant d’intégrer la surveillance prévue par l’IA Act dans un dispositif sectoriel existant, à condition que cette intégration garantisse un niveau de protection équivalent.
Exemple pratique
Une entreprise développe un système d’IA à haut risque destiné à aider les services de ressources humaines à analyser des candidatures. Après sa mise sur le marché, plusieurs clients signalent que le système produit des résultats moins fiables pour certaines catégories de candidats.
Le fournisseur doit disposer d’un système de surveillance permettant de recueillir et d’analyser ces informations. Il peut notamment examiner les retours des déployeurs, les indicateurs de performance et les données pertinentes relatives aux erreurs constatées.
L’analyse révèle que les résultats sont moins fiables dans certaines situations que celles identifiées lors des tests initiaux. Le fournisseur doit alors évaluer les conséquences de ce problème sur la conformité du système et déterminer les mesures nécessaires.
Il peut notamment approfondir l’analyse des risques, améliorer le système, renforcer les instructions fournies aux utilisateurs ou prendre d’autres mesures adaptées. Si les faits révèlent un incident grave, les obligations de signalement prévues à l’article 73 doivent également être examinées.
Le fournisseur documente les informations recueillies, les conclusions de son analyse et les mesures décidées dans le cadre de son dispositif de surveillance.
Cet exemple montre que la conformité ne s’arrête pas à la commercialisation : le fournisseur doit continuer à surveiller le système et réagir lorsque son utilisation réelle révèle de nouveaux risques ou des problèmes de performance.
Texte original de l’IA Act
Article 72 – Surveillance après commercialisation par les fournisseurs et plan de surveillance après commercialisation pour les systèmes d’IA à haut risque
1. Les fournisseurs établissent et documentent un système de surveillance après commercialisation d’une manière qui soit proportionnée à la nature des technologies d’IA et des risques du système d’IA à haut risque.
2. Le système de surveillance après commercialisation collecte, documente et analyse, de manière active et systématique, les données pertinentes qui peuvent être fournies par les déployeurs ou qui peuvent être collectées via d’autres sources sur les performances des systèmes d’IA à haut risque tout au long de leur cycle de vie, et qui permettent au fournisseur d’évaluer si les systèmes d’IA respectent en permanence les exigences énoncées au chapitre III, section 2. Le cas échéant, la surveillance après commercialisation comprend une analyse de l’interaction avec d’autres systèmes d’IA. Cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs qui sont des autorités répressives.
3. Le système de surveillance après commercialisation repose sur un plan de surveillance après commercialisation. Le plan de surveillance après commercialisation fait partie de la documentation technique visée à l’annexe IV. La Commission, en tenant le plus grand compte de l’avis du Comité IA, adopte des orientations, y compris un modèle, sur le plan de surveillance après commercialisation au plus tard le 2 septembre 2027.
4. Pour les systèmes d’IA à haut risque relevant de la législation d’harmonisation de l’Union énumérés à la section A de l’annexe I, lorsqu’un système et un plan de surveillance après commercialisation sont déjà établis en vertu de ces actes, afin d’assurer la cohérence, d’éviter les doubles emplois et de réduire au minimum les charges supplémentaires, les fournisseurs ont le choix d’intégrer, le cas échéant, les éléments nécessaires décrits aux paragraphes 1, 2 et 3 en utilisant le modèle visé au paragraphe 3 dans les systèmes et plans existants au titre desdits actes, pour autant que cela donne lieu à un niveau de protection équivalent.
Le premier alinéa du présent paragraphe s’applique également aux systèmes d’IA à haut risque visés à l’annexe III, point 5, mis sur le marché ou mis en service par des établissements financiers qui sont soumis à des exigences en vertu de la législation de l’Union sur les services financiers concernant leur gouvernance, leurs dispositifs ou leurs processus internes.
Vous pouvez consulter le texte officiel consolidé sur EUR-Lex – Règlement (UE) 2024/1689, version consolidée du 27 juillet 2026.
L’IA ACT peut sembler complexe. L’équipe de DPO externe de Mon Expert RGPD vous accompagne pour assurer une conformité continue.
Perspectives avec d’autres textes
Perspectives européennes
Règlement (UE) 2019/1020 relatif à la surveillance du marché et à la conformité des produits
Ce règlement organise la surveillance des produits mis sur le marché européen et la coopération entre les autorités compétentes. Il complète l’article 72 de l’IA Act, qui impose aux fournisseurs de systèmes d’IA à haut risque de surveiller leurs performances après leur mise sur le marché. Cette articulation concerne notamment les systèmes d’IA intégrés à des produits soumis à la législation européenne d’harmonisation.
Règlement (UE) 2023/988 relatif à la sécurité générale des produits
Ce règlement impose aux opérateurs économiques des obligations destinées à garantir la sécurité des produits et prévoit la prise en compte des informations recueillies après leur commercialisation. Il complète indirectement l’article 72 lorsque le système d’IA est intégré à un produit de consommation entrant dans son champ d’application.
Perspectives françaises
Code de la consommation
L’article L. 411-1 impose que les produits et services respectent les prescriptions applicables dès leur mise sur le marché. L’article L. 411-2 prévoit qu’un opérateur économique informe sans délai ses fournisseurs et les destinataires concernés lorsqu’il découvre certaines non-conformités. Ces dispositions complètent indirectement l’article 72 de l’IA Act, qui impose une surveillance continue des systèmes d’IA à haut risque après leur mise sur le marché.
Menu IA Act
Besoin d’aide pour cet article ?
Comprendre les obligations liées à cet article et éviter les erreurs.
🔓 Échange confidentiel – Sans engagement