Article 73 – Signalement d'incidents graves

Explication de l’article

L’article 73 de l’IA Act concerne le signalement des incidents graves liés aux systèmes d’IA à haut risque. Son objectif est simple : lorsqu’un système d’IA à haut risque provoque ou est susceptible d’avoir provoqué un incident grave, l’information doit parvenir rapidement aux autorités compétentes afin qu’elles puissent :

• comprendre ce qui s’est passé ;
• identifier les risques ;
• prendre les mesures nécessaires ;
• éviter que l’incident ne se reproduise ;
• protéger les personnes concernées.

L’article 73 s’inscrit donc dans une logique de surveillance après la mise sur le marché ou la mise en service d’un système d’IA. Il ne suffit pas de vérifier la conformité d’un système avant sa commercialisation : il faut également être capable de détecter et de signaler les problèmes qui apparaissent dans son utilisation réelle.

La Commission européenne présente d’ailleurs cette obligation comme un moyen de détecter les risques à un stade précoce, de renforcer la responsabilité des acteurs et de permettre une réaction rapide.

1. Qui doit signaler un incident grave ?

L’article 73 prévoit principalement une obligation pour les fournisseurs de systèmes d’IA à haut risque mis sur le marché de l’Union européenne. Ils doivent signaler tout incident grave à l’autorité de surveillance du marché de l’État membre dans lequel l’incident s’est produit.

Pour comprendre l’article 73, il faut se référer à la définition de l’article 3, point 49, de l’IA Act. Un incident grave comprend notamment :

• un décès ou un préjudice grave pour la santé ;
• une perturbation grave et irréversible de la gestion ou du fonctionnement d’une infrastructure critique ;
• la violation d’obligations découlant du droit de l’Union destinées à protéger les droits fondamentaux ;
• des dommages graves à des biens ou à l’environnement ;
• ainsi que certains autres événements graves prévus par le règlement.

Il faut donc distinguer un simple dysfonctionnement d’un incident présentant une gravité suffisante pour déclencher le mécanisme de signalement.

Par exemple:  Une IA utilisée pour assister un médecin produit occasionnellement une recommandation incorrecte, mais celle-ci est immédiatement détectée par le professionnel et n’a aucune conséquence. Il ne s’agit pas nécessairement d’un « incident grave ».

En revanche, si une défaillance du système entraîne une erreur médicale ayant pour conséquence un préjudice grave pour la santé d’un patient, la situation peut relever de l’article 73.

2. Quand faut-il effectuer le signalement ?

C’est l’un des éléments les plus importants de l’article 73. Le fournisseur doit effectuer le signalement immédiatement après avoir établi un lien de causalité entre le système d’IA et l’incident grave, ou lorsqu’il existe une probabilité raisonnable d’un tel lien.

Dans tous les cas, le signalement doit intervenir au plus tard dans les 15 jours après que le fournisseur ou, le cas échéant, le déployeur, a eu connaissance de l’incident grave. Le délai doit également tenir compte de la gravité de l’incident.

L’article 73 prévoit des délais spécifiques lorsque la situation est particulièrement grave.  Lorsqu’il s’agit d’une violation généralisée ou d’un incident grave relevant de l’article 3, point 49 b), le signalement doit être effectué immédiatement et au plus tard dans les 2 jours après que le fournisseur ou, le cas échéant, le déployeur, en a eu connaissance.

Par exemple:  Un système d’IA présente une faille qui provoque simultanément un problème grave dans plusieurs établissements utilisant le même système. La situation peut nécessiter un signalement beaucoup plus rapide que le délai général de 15 jours.

3. En cas de décès d’une personne

L’article 73 prévoit une règle encore plus stricte lorsqu’une personne est décédée. Le signalement doit être effectué immédiatement après que le fournisseur ou le déployeur a établi un lien de causalité avec le système d’IA ou dès qu’il soupçonne l’existence d’un tel lien et, dans tous les cas, au plus tard dans les 10 jours suivant la date à laquelle l’incident grave a été porté à sa connaissance.

Par exemple:  Un système d’IA à haut risque utilisé dans un établissement médical donne une recommandation qui pourrait avoir contribué au décès d’un patient. L’entreprise ne peut pas attendre plusieurs semaines pour terminer son analyse. Dès qu’un lien causal est établi ou même suspecté, le mécanisme de signalement doit être déclenché.

4. Peut-on envoyer un rapport incomplet ?

L’article 73 prévoit qu’il est possible, lorsque cela est nécessaire pour respecter les délais, de transmettre un premier rapport incomplet, puis de fournir ultérieurement un rapport complet. Cette possibilité est particulièrement importante dans les situations d’urgence.

Par exemple:  Une entreprise découvre un incident grave vendredi matin. Elle ne dispose pas encore de toutes les informations techniques nécessaires pour comprendre exactement la cause du problème. Elle peut néanmoins transmettre rapidement les informations dont elle dispose, puis compléter son rapport après avoir poursuivi son investigation. L’objectif est d’éviter qu’une enquête incomplète empêche le respect du délai de signalement.

5. Que doit faire le fournisseur après le signalement ?

Le signalement n’est pas la fin de la procédure. Après avoir signalé l’incident, le fournisseur doit sans délai mener les investigations nécessaires concernant l’incident, le système d’IA concerné, les éventuelles causes de l’incident et les conséquences, ainsi que les mesures correctives nécessaires. Cette obligation est essentielle : le fournisseur doit chercher à comprendre pourquoi l’incident s’est produit et comment éviter qu’il se reproduise.

6. Le rôle de déployeur

L’article 73 mentionne également, dans plusieurs de ses dispositions, le déployeur. Cela signifie que le fournisseur ne doit pas nécessairement être le premier acteur à découvrir l’incident. Dans certaines situations, le déployeur peut être celui qui constate le problème.

Par exemple:  Une entreprise utilise un système d’IA fourni par une autre société. Un incident grave survient pendant l’utilisation du système. Le déployeur découvre l’incident et en informe le fournisseur. Le fournisseur doit alors intégrer cette information dans son processus de signalement et d’investigation lorsque les conditions de l’article 73 sont réunies.

Il est donc important que les contrats entre fournisseur et déployeur prévoient clairement qui doit informer qui, dans quel délai et quelles informations doivent être communiquées, qui réalise l’analyse initiale et qui effectue le signalement auprès de l’autorité.

7. Les autorités nationales doivent informer la Commission

Après réception d’un signalement, les autorités nationales compétentes doivent informer sans délai la Commission européenne de tout incident grave, qu’elles aient ou non pris des mesures à la suite de cet incident. Cette obligation s’inscrit dans le cadre du règlement (UE) 2019/1020 relatif à la surveillance du marché. L’objectif est de permettre une vision européenne des incidents liés aux systèmes d’IA.

Notions clés à comprendre

Incident grave: Événement présentant une gravité définie par l’article 3, point 49, notamment certains décès, dommages graves à la santé, atteintes graves aux droits fondamentaux, dommages importants à des infrastructures critiques, biens ou environnement.

Signalement: Communication officielle d’un incident grave à l’autorité compétente.

Autorité de surveillance du marché: Autorité chargée de contrôler le respect de l’IA Act et de prendre, lorsque nécessaire, des mesures à l’égard des systèmes concernés.

Lien de causalité: Il s’agit de déterminer si le système d’IA a causé ou a pu raisonnablement contribuer à l’incident.

Exemple pratique

Imaginons une entreprise qui développe un système d’IA à haut risque utilisé pour aider les médecins à détecter certaines anomalies sur des images médicales. Un jour, le système produit une recommandation erronée qui contribue à un grave préjudice pour un patient.

Étape 1 – Détection: L’hôpital constate le problème et informe le fournisseur.

Étape 2 – Analyse:  Le fournisseur analyse l’incident afin de déterminer s’il existe un lien causal ou une probabilité raisonnable de lien entre le système d’IA et l’incident.

Étape 3 – Signalement: Si les conditions de l’article 73 sont réunies, le fournisseur doit signaler l’incident à l’autorité compétente. Le délai général est de 15 jours maximum, avec des délais plus courts dans certaines situations.

Étape 4 – Rapport initial: Si toutes les informations ne sont pas encore disponibles, le fournisseur peut envoyer un premier rapport incomplet.

Étape 5 – Investigation: Le fournisseur mène ensuite une investigation approfondie.

Étape 6 – Mesures correctives: Il peut être nécessaire de corriger le système, suspendre son utilisation, modifier le modèle, renforcer la supervision humaine et informer les utilisateurs, ainsi que prendre des mesures pour empêcher une répétition de l’incident.