Article 80 - Procédure applicable aux systèmes d’IA classés par le fournisseur comme n’étant pas à haut risque en application de l’annexe III

Explication de l’article

L’article 80 de l’IA Act prévoit une procédure permettant aux autorités de surveillance du marché de vérifier la classification d’un système d’IA lorsqu’un fournisseur considère que ce système n’est pas à haut risque, alors qu’il appartient à une catégorie de systèmes mentionnée à l’annexe III de l’IA Act.

Cet article est directement lié à l’article 6, paragraphe 3, qui prévoit certaines situations dans lesquelles un système figurant à l’annexe III peut exceptionnellement ne pas être considéré comme un système d’IA à haut risque.

L’objectif de l’article 80 est donc d’éviter qu’un fournisseur puisse décider seul qu’un système n’est pas à haut risque sans qu’une autorité puisse contrôler cette décision.

1. Le point de départ : un système de l’annexe III

L’annexe III de l’IA Act identifie plusieurs catégories de systèmes d’IA considérés comme à haut risque. Il s’agit notamment de certains systèmes utilisés dans les infrastructures critiques? l’éducation et la formation professionnelle, l’emploi et la gestion des travailleurs, l’accès à certains services essentiels, l’application de la loi, la migration, l’asile et le contrôle aux frontières, ainsi que l’administration de la justice et les processus démocratiques.

En principe, lorsqu’un système entre dans une catégorie de l’annexe III, il est considéré comme à haut risque. Cependant, l’article 6, paragraphe 3, prévoit certaines exceptions.

2. L’exception prévue par l’article 6, paragraphe 3

Un système figurant à l’annexe III peut ne pas être considéré comme à haut risque lorsqu’il ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux des personnes, notamment lorsqu’il n’influence pas matériellement le résultat d’une prise de décision. Cette exception peut notamment s’appliquer lorsque le système :

• réalise une tâche procédurale étroite ;
• améliore le résultat d’une activité humaine déjà réalisée ;
• détecte des modèles ou des écarts dans des décisions antérieures sans remplacer ou influencer l’évaluation humaine ;
• réalise une tâche préparatoire à une évaluation.

Cependant, il existe une limite importante : un système de l’annexe III qui effectue le profilage de personnes physiques reste toujours considéré comme à haut risque.

3. Le rôle du fournisseur

Lorsqu’un fournisseur considère qu’un système de l’annexe III n’est finalement pas à haut risque, il doit documenter son analyse avant la mise sur le marché ou la mise en service du système, afin de pouvoir justifier cette conclusion. En plus, cette obligation permet de rendre la classification vérifiable par les autorités.

4. Le rôle de l’autorité de surveillance du marché

L’article 80 intervient lorsque l’autorité de surveillance du marché a des raisons suffisantes de considérer que la classification effectuée par le fournisseur est incorrecte. L’autorité peut alors procéder à sa propre évaluation.

Elle vérifie notamment si les conditions de l’article 6, paragraphe 3, permettant de considérer le système comme non haut risque sont réellement remplies. Cette évaluation tient également compte des lignes directrices de la Commission européenne relatives à la classification des systèmes d’IA à haut risque. L’article 80 crée donc un mécanisme de contrôle de la classification.

5. Si l’autorité considère que le système est à haut risque

Si l’autorité conclut que le système est effectivement à haut risque, elle demande au fournisseur de prendre toutes les mesures nécessaires pour mettre le système en conformité avec les exigences et obligations de l’IA Act.

Le fournisseur peut donc devoir appliquer les obligations spécifiques aux systèmes d’IA à haut risque. Cela peut notamment impliquer :

• la mise en place d’un système de gestion des risques ;
• une gouvernance appropriée des données ;
• une documentation technique ;
• l’enregistrement des événements et des journaux ;
• une transparence et une information appropriées ;
• un contrôle humain ;
• des exigences en matière d’exactitude, de robustesse et de cybersécurité ;
• une évaluation de conformité.

L’autorité peut également imposer des mesures correctives dans le délai qu’elle fixe.

6. Une dimension européenne

L’article 80 prévoit également une coopération entre les autorités des différents États membres. Si l’autorité de surveillance du marché considère que l’utilisation du système d’IA concerné ne se limite pas à son territoire national, elle doit informer la Commission européenne et les autres États membres. Elle leur communique les résultats de son évaluation ainsi que les mesures qu’elle a demandé au fournisseur de prendre.

Cette disposition est importante car un même système d’IA peut être commercialisé ou utilisé dans plusieurs pays de l’Union européenne. L’objectif est donc d’éviter qu’un fournisseur soit considéré comme conforme dans un État membre mais soumis à une classification différente dans un autre pour le même système.

En résumé: L’article 80 repose sur une idée essentielle que le fournisseur peut évaluer la classification de son système, mais cette évaluation peut être contrôlée par une autorité publique. Cet article permet donc de garantir que les exceptions à la classification « haut risque » ne soient pas utilisées de manière trop large. Il contribue ainsi à assurer une classification correcte des systèmes d’IA, une application uniforme de l’IA Act, une meilleure protection des droits fondamentaux et une surveillance efficace du marché européen de l’IA ainsi qu’une meilleure coopération entre les autorités nationales et européennes.

Notions clés à comprendre

Fournisseur : personne physique ou morale, autorité publique ou autre organisme qui développe ou fait développer un système d’IA et le met sur le marché ou le met en service sous son propre nom ou sa propre marque.

Autorité de surveillance du marché : autorité nationale chargée de contrôler la conformité des systèmes d’IA avec les règles européennes applicables.

Risque significatif : niveau de risque suffisamment important pour pouvoir porter atteinte à la santé, à la sécurité ou aux droits fondamentaux d’une personne.

Profilage : traitement automatisé consistant notamment à utiliser des données personnelles pour évaluer ou analyser certains aspects concernant une personne. Dans le cadre de l’article 6, un système de l’annexe III qui effectue du profilage reste considéré comme à haut risque.

Mesure corrective : action demandée pour supprimer une non-conformité ou réduire un risque.

Exemple pratique

Une entreprise développe un système d’IA destiné au recrutement. Le système analyse les CV des candidats et aide les recruteurs à identifier les candidatures qui correspondent le mieux à une offre d’emploi. 

Le recrutement fait partie des domaines concernés par l’annexe III de l’IA Act. Le système devrait donc, en principe, être considéré comme un système d’IA à haut risque. Cependant, l’entreprise considère que son système relève de l’exception prévue par l’article 6, paragraphe 3.

Elle affirme que le système effectue uniquement une tâche limitée, ne prend aucune décision finale, ne remplace pas le recruteur et il fournit uniquement des informations destinées à aider le recruteur. L’entreprise conclut donc que le système n’est pas à haut risque.

Étape 1 : documentation par le fournisseur: 

Avant de mettre le système sur le marché, l’entreprise documente son analyse et explique pourquoi elle considère que l’article 6, paragraphe 3, est applicable.

Étape 2 : intervention de l’autorité:

Après la mise sur le marché, l’autorité de surveillance du marché examine le système. Elle constate que le système ne se contente pas de fournir des informations. En réalité, il attribue automatiquement un score à chaque candidat et classe les candidatures selon leur probabilité d’être sélectionnées. 

L’autorité considère donc que le système peut influencer matériellement le résultat de la décision de recrutement.

Étape 3 : application de l’article 80: 

L’autorité décide de procéder à une évaluation de la classification du système. Elle examine notamment les conditions prévues par l’article 6, paragraphe 3. Elle conclut que les conditions permettant de considérer le système comme non haut risque ne sont pas remplies. Le système doit donc être considéré comme à haut risque.

Étape 4 : mise en conformité

L’autorité demande alors à l’entreprise de prendre les mesures nécessaires pour mettre le système en conformité avec les obligations applicables aux systèmes d’IA à haut risque. L’entreprise devra notamment mettre en place les mesures de conformité correspondantes avant de pouvoir continuer à exploiter le système conformément aux exigences de l’IA Act.

Cet exemple montre que le fournisseur ne dispose pas d’un pouvoir définitif pour déterminer seul le niveau de risque. Il peut effectuer une première analyse, mais l’autorité de surveillance du marché peut contrôler cette analyse et imposer une nouvelle classification. L’article 80 fonctionne donc comme un mécanisme de sécurité.