Exigences applicables au système et devoirs du fournisseur
Les articles 9 à 15 exigent un système de gestion des risques, une gouvernance des données d’entraînement, de validation et de test, une documentation technique, l’enregistrement automatique des événements, une notice d’utilisation claire, un contrôle humain effectif et des niveaux appropriés d’exactitude, de robustesse et de cybersécurité.
Le fournisseur met en outre en place un système de gestion de la qualité (art. 17), soumet le système à une évaluation de la conformité (art. 43), l’enregistre dans la base de données de l’UE le cas échéant (art. 49), assure une surveillance après commercialisation (art. 72) et signale les incidents graves au plus tard quinze jours après en avoir eu connaissance (art. 73, par. 2).
Depuis l’omnibus, les PME et les petites entreprises à moyenne capitalisation peuvent fournir la documentation technique au moyen d’un formulaire simplifié de la Commission (art. 11, par. 1), et le système de gestion de la qualité s’applique proportionnellement à la taille du fournisseur (art. 17, par. 2).
Ce que fait le déployeur
L’article 26 oblige le déployeur à utiliser le système conformément à sa notice, à confier le contrôle humain à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires, à veiller à la pertinence des données d’entrée qu’il contrôle, à surveiller le fonctionnement et à suspendre l’utilisation s’il détecte un risque, et à conserver au moins six mois les journaux générés par le système.
Si le système est utilisé sur le lieu de travail, l’employeur en informe au préalable les représentants des travailleurs et les personnes concernées (art. 26, par. 7). S’il sert à prendre ou à éclairer des décisions concernant des personnes dans un domaine de l’annexe III, il informe ces personnes (art. 26, par. 11).
Analyse d’impact sur les droits fondamentaux
L’article 27 l’impose avant le déploiement aux organismes de droit public, aux entités privées qui fournissent des services publics et aux utilisateurs de systèmes d’évaluation de la solvabilité ou de tarification en assurance vie et santé (annexe III, point 5, b et c).
L’omnibus permet de renvoyer aux parties pertinentes de l’analyse d’impact relative à la protection des données de l’article 35 du RGPD ou de les y intégrer, et charge le Bureau de l’IA d’élaborer un questionnaire type pour la simplifier (art. 27, par. 4 et 5).
À partir de quand
Ces obligations s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III et du 2 août 2028 pour ceux de l’annexe I (art. 113, point c). Les systèmes à haut risque déjà sur le marché avant cette date n’y sont soumis que si leur conception est ensuite modifiée de façon significative ; ceux destinés aux autorités publiques doivent être conformes au plus tard le 2 août 2030 (art. 111, par. 2).
Ce que demande habituellement l’auditeur
- Notice d’utilisation du fournisseur reçue et archivée
- Personnes désignées pour le contrôle humain, formées et habilitées à intervenir
- Journaux du système conservés au moins six mois
- Représentants des travailleurs informés avant toute utilisation du système au travail
- Analyse d’impact sur les droits fondamentaux réalisée lorsque l’article 27 l’exige
Comment s’y prendre en pratique
- 1Demandez au fournisseur la notice d’utilisation et la déclaration de conformité du système, et conservez-les avec le contrat.
- 2Désignez qui supervise chaque système à haut risque et consignez par écrit ce qu’il peut faire lorsque le résultat ne le convainc pas.
- 3Intégrez la conservation des journaux et l’information du personnel aux procédures de protection des données que vous avez déjà.
L’analyse d’impact relative à la protection des données et celle sur les droits fondamentaux partagent une bonne part de l’analyse : mieux vaut les mener ensemble.
Voir le chapitre sur l’analyse d’impact dans le parcours RGPD
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- Règlement (UE) 2024/1689 sur l’intelligence artificielle EUR-Lex · JO L 2024/1689 · 12 juillet 2024
- Règlement (UE) 2026/1744 (omnibus numérique sur l’IA) modifiant le règlement (UE) 2024/1689 EUR-Lex · JO L 2026/1744 · 24 juillet 2026
- Règlement (UE) 2024/1689, texte consolidé EUR-Lex · CELEX 02024R1689-20260727 · Version du 27 juillet 2026
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · Applicable depuis le 25 mai 2018