Liste des documents réglementaires (376 documents)

Texte original :
Le présent règlement établit des règles harmonisées concernant la mise sur le marché, la mise en service et l’utilisation de systèmes d’IA dans l’Union; l’interdiction de certaines pratiques en matière d’IA; des exigences spécifiques applicables aux systèmes d’IA à haut risque et des obligations imposées aux opérateurs de ces systèmes; des règles harmonisées en matière de transparence applicables à certains systèmes d’IA; des règles harmonisées pour la mise sur le marché de modèles d’IA à usage général; des règles relatives au suivi du marché, à la surveillance du marché, à la gouvernance et à l’application des règles; des mesures visant à soutenir l’innovation, en mettant particulièrement l’accent sur les PME, y compris les jeunes pousses.

Interprétation opérationnelle :
Les acteurs du marché doivent se conformer à des exigences de mise sur le marché, de transparence, de suivi, de gouvernance et d’innovation, interdire les pratiques prohibées et garantir la sécurité et les droits fondamentaux des systèmes d’IA.

Mots-clés : IA systèmes d'IA haut risque transparence marché intérieur interdiction obligations opérateurs innovation PME conformité

Références croisées : Charte des droits fondamentaux de l'Union GDPR

Gravité : 5/5
Potentiel de dommages sévères sur la santé, la sécurité, les droits fondamentaux, la démocratie et l'environnement si les systèmes d'IA sont non conformes.

Probabilité : 3/5
De nombreuses organisations manquent de ressources ou d'expertise pour implémenter toutes les exigences, ce qui augmente la probabilité d'infractions, bien que la réglementation soit encore en phase de déploiement.

Détectabilité : 4/5
Les non-conformités sont souvent cachées dans les algorithmes et les données, nécessitant des audits spécialisés; la détection sans audit approfondi est difficile.

Score inhérent : 60 Élevé (Orange)

Texte original :
Le présent règlement s’applique aux fournisseurs, déployeurs, importateurs, distributeurs et mandataires de systèmes d’IA, aux conditions définies aux points a) à f) et g), et impose des obligations de conformité aux acteurs du marché de l’IA, notamment pour les systèmes à haut risque, tout en excluant les usages militaires, de défense ou de recherche avant commercialisation.

Interprétation opérationnelle :
Les acteurs du marché de l’IA doivent se conformer aux exigences du règlement, y compris la mise en œuvre de mesures de gestion des risques, la transparence, la documentation et le respect des exclusions définies, afin d’assurer la sécurité et la conformité des systèmes déployés dans l’Union.

Mots-clés : IA haut risque fournisseurs déployeurs obligations exclusions conformité responsabilité

Références croisées : article 6 article 102 article 109 article 112 article 57 annexe I section B

Gravité : 4/5
Un non‑respect peut entraîner des sanctions financières lourdes (jusqu’à 6 % du chiffre d’affaires), des dommages réputationnels et des impacts sur la sécurité des utilisateurs, donc un impact élevé.

Probabilité : 3/5
Le cadre réglementaire est complexe et nécessite des changements organisationnels et techniques, ce qui rend la non‑conformité possible, mais pas inévitable.

Détectabilité : 4/5
Les manquements sont souvent découverts uniquement lors d’audits ou d’incidents, ce qui rend la détection difficile sans contrôle actif.

Score inhérent : 48 Élevé (Orange)

Texte original :
Article unique contenant les définitions clés du règlement sur l’IA, incluant la notion de système d’IA, risque, fournisseur, déployeur, mandataire, importateur, distributeur, opérateur, mise sur le marché, mise à disposition, mise en service, mauvaise utilisation raisonnablement prévisible, notice d’utilisation, rappel, retrait, performance, autorité notifiante, évaluation de conformité, organisme d’évaluation, organisme notifié, marquage CE, surveillance post‑commercialisation, autorité de surveillance du marché, données à caractère personnel, données biométriques, hypertrucage, infraction de grande ampleur, infrastructure critique, modèle d’IA à usage général, capacités à fort impact, risque systémique, système d’IA à usage général

Interprétation opérationnelle :
Ces définitions structurent les obligations de conformité, de notification et de surveillance pour tous les acteurs de la chaîne d’approvisionnement de l’IA sur le marché de l’Union.

Mots-clés : ["système d'IA", 'risque', 'fournisseur', 'déployeur', 'mandataire', 'importateur', 'distributeur', 'opérateur', 'mise sur le marché', 'mise à disposition', 'mise en service', 'mauvaise utilisation raisonnablement prévisible', "notice d'utilisation", 'rappel', 'retrait', 'performance', 'autorité notifiante', 'évaluation de conformité', "organisme d'évaluation", 'organisme notifié', 'marquage CE', 'surveillance post-commercialisation', 'autorité de surveillance du marché', 'données à caractère personnel', 'données biométriques', 'hypertrucage', 'infraction de grande ampleur', 'infrastructure critique', 'modèle d’IA à usage général', 'capacités à fort impact', 'risque systémique', "système d'IA à usage général"]

Références croisées : -

Gravité : 3/5
Une mauvaise interprétation des définitions peut entraîner un non‑respect des obligations réglementaires, exposant les acteurs à des sanctions et à des risques pour la sécurité et les droits fondamentaux, mais l’impact direct reste modéré.

Probabilité : 2/5
Les définitions sont clairement publiées dans le texte officiel, ce qui limite la probabilité d’ambiguïté non détectée.

Détectabilité : 1/5
Les écarts de compréhension sont facilement repérables lors d’audits ou de revues de conformité.

Score inhérent : 6 Moyen (Jaune)

Texte original :
Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.

Interprétation opérationnelle :
Les fournisseurs et déployeurs doivent mettre en place des mesures proportionnées afin d’assurer une maîtrise suffisante de l’IA pour tout le personnel et les autres acteurs utilisant les systèmes, en tenant compte de leurs compétences, de leur formation, du contexte d’usage et des parties prenantes impactées.

Mots-clés : maîtrise IA compétences formation contexte d'usage impact sur les parties prenantes

Références croisées : -

Gravité : 3/5
Une mauvaise maîtrise de l'IA peut entraîner des dérives fonctionnelles, des biais, des risques de sécurité ou des impacts juridiques, avec un impact modéré à élevé selon le secteur.

Probabilité : 2/5
Les organisations peuvent négliger la formation ou ne pas actualiser les compétences, ce qui rend la non‑conformité possible mais pas systématique.

Détectabilité : 4/5
La non‑maîtrise est souvent invisible tant que les processus internes ne sont pas audités, rendant la détection difficile sans contrôles spécifiques.

Score inhérent : 24 Moyen (Jaune)

Texte original :
Les pratiques d’IA suivantes sont interdites : (a) techniques subliminales ou manipulatrices affectant le comportement et la prise de décision; (b) exploitation des vulnérabilités liées à l’âge, au handicap ou à la situation sociale pour altérer le comportement; (c) évaluation ou classification de personnes selon leur comportement ou caractéristiques conduisant à un traitement préjudiciable ou disproportionné; (d) évaluation du risque criminel basée uniquement sur le profilage ou les traits de personnalité, à l’exception des évaluations humaines fondées sur des faits objectifs; (e) création de bases de données de reconnaissance faciale par moissonnage non ciblé d’images depuis Internet ou vidéoconférence; (f) inférence des émotions en milieu de travail ou scolaire, sauf usage médical ou de sécurité; (g) catégorisation biométrique individuelle aboutissant à des déductions sur race, opinions politiques, affiliation syndicale, convictions religieuses ou vie sexuelle ou orientation sexuelle; (h) utilisation de reconnaissance biométrique à distance en temps réel dans des espaces publics à des fins répressives, soumise à autorisation judiciaire ou administrative, à des conditions de nécessité, proportionnalité, limitation temporelle, géographique et personnelle, et à une analyse d’impact sur les droits fondamentaux.

Interprétation opérationnelle :
Il est interdit de commercialiser, mettre en service ou exploiter tout système d’IA présentant les risques décrits ci‑dessus, ainsi que de recourir à la reconnaissance biométrique à distance dans les lieux publics à des fins répressives sans autorisation préalable, notification et conformité aux exigences de nécessité, proportionnalité et protection des droits.

Mots-clés : IA pratiques interdites subliminal manipulation vulnérabilité handicap discrimination évaluation sociale risque criminel reconnaissance faciale inférence émotions catégorisation biométrique identification biométrique à distance autorisation judiciaire proportionnalité notification rapport annuel

Références croisées : Règlement (UE) 2016/679 (RGPD) article 9 Directive sur la protection des données Proposition de règlement sur l’IA

Gravité : 4/5
Les pratiques interdites peuvent causer un préjudice important aux individus (discrimination, atteinte à la liberté, manipulation) avec des conséquences juridiques, financières et réputationnelles graves.

Probabilité : 3/5
Bien que interdites, ces pratiques peuvent être mises en œuvre de façon clandestine par des acteurs mal intentionnés, surtout dans des secteurs à forte pression commerciale.

Détectabilité : 4/5
La nature cachée des techniques subliminales, la manipulation et l'usage de données biométriques rendent la détection difficile sans audits spécialisés.

Score inhérent : 48 Élevé (Orange)

Texte original :
Les systèmes d’IA à haut risque faisant appel à des techniques qui impliquent l’entraînement de modèles d’IA au moyen de données sont développés sur la base de jeux de données d’entraînement, de validation et de test qui satisfont aux critères de qualité visés aux paragraphes 2 à 5 chaque fois que ces jeux de données sont utilisés.

Interprétation opérationnelle :
Les fournisseurs doivent mettre en place des pratiques de gouvernance des données adaptées, incluant les choix de conception, la collecte et l’origine des données (avec transparence sur la finalité pour les données personnelles), le traitement (annotation, nettoyage, enrichissement, etc.), la formulation et l’évaluation des hypothèses, l’évaluation de la disponibilité, de la quantité et de l’adéquation des jeux de données, la détection et l’atténuation des biais impactant santé, sécurité, droits fondamentaux ou non‑discrimination, ainsi que l’identification et la correction des lacunes ou déficiences des données.

Mots-clés : gouvernance des données qualité des jeux de données biais données personnelles respect du RGPD détection de biais atténuation des biais conformité EU AI Act exigences de qualité détection de lacunes

Références croisées : Règlement (UE) 2016/679 (RGPD) (UE) 2018/1725 Directive (UE) 2016/680 Règlement sur l'IA à haut risque

Gravité : 5/5
Risque de discrimination, atteinte à la santé et à la sécurité, violation des droits fondamentaux, sanctions financières et réputationnelles graves.

Probabilité : 3/5
Les exigences détaillées et multiples augmentent le risque d'omission ou d'inefficacité dans la mise en œuvre des pratiques de gouvernance.

Détectabilité : 4/5
Biais et lacunes peuvent être subtils et nécessitent des audits spécialisés, ce qui rend leur détection difficile sans examen approfondi.

Score inhérent : 60 Moyen (Jaune)

Texte original :
La documentation technique relative à un système d’IA à haut risque est établie avant que ce système ne soit mis sur le marché ou mis en service et est tenue à jour. Elle doit démontrer la conformité du système aux exigences de la présente section et fournir aux autorités nationales compétentes et aux organismes notifiés les informations nécessaires sous une forme claire et intelligible. Elle contient, au minimum, les éléments énoncés à l’annexe IV. Les PME peuvent fournir les informations de manière simplifiée via un formulaire dédié, accepté par les organismes notifiés.

Interprétation opérationnelle :
Établir et maintenir une documentation technique détaillée, claire et intelligible, prouvant la conformité du système d’IA à haut risque aux exigences réglementaires, et mettre à disposition des informations exploitables pour les autorités et les organismes notifiés.

Mots-clés : documentation technique système d'IA à haut risque conformité obligation de mise à jour autorités nationales organismes notifiés

Références croisées : Annexe IV Article 97 Section A de l'annexe I

Gravité : 3/5
Impact modéré : non‑conformité pouvant entraîner un retrait du marché, des sanctions administratives et une perte de confiance, mais sans danger physique immédiat.

Probabilité : 2/5
Probabilité moyenne : la plupart des organisations négligent parfois la mise à jour de la documentation, surtout en l'absence de processus structuré.

Détectabilité : 1/5
La documentation est facilement vérifiable lors d'audits ou de contrôles, donc non détectable de façon autonome.

Score inhérent : 6 Moyen (Jaune)

Texte original :
Les systèmes d'IA à haut risque doivent disposer de fonctionnalités de journalisation permettant l'enregistrement automatique des événements pertinents, incluant la période d'utilisation, la base de données de référence, les données d'entrée correspondantes et l'identification des personnes physiques vérifiant les résultats.

Interprétation opérationnelle :
Le système doit mettre en place des mécanismes de journalisation continue qui enregistrent, pour chaque utilisation, la date/heure de début et fin, la base de données de référence, les entrées déclenchant une correspondance, et les personnes physiques impliquées dans la vérification des résultats, afin de garantir la traçabilité et la conformité aux articles 79, 72 et 26.

Mots-clés : journalisation traçabilité système d'IA à haut risque article 79 article 72 article 26 article 14 données d'entrée identité des personnes physiques

Références croisées : article 79 paragraphe 1 article 72 article 26 paragraphe 5 article 14 paragraphe 5 annexe III point 1 a)

Gravité : 4/5
Absence de logs empêche la détection précoce des anomalies, compromet la conformité aux articles 79, 72, 26 et 14, et augmente le risque de dommages aux usagers ou de sanctions.

Probabilité : 3/5
Les systèmes peuvent ne pas implémenter correctement la journalisation ou ne pas la maintenir, surtout en phase de développement ou de mise à jour.

Détectabilité : 4/5
La présence de logs ne garantit pas leur examen systématique; détecter une absence ou une falsification nécessite des audits spécifiques.

Score inhérent : 48 Élevé (Orange)

Texte original :
La conception et le développement des systèmes d’IA à haut risque sont tels que le fonctionnement de ces systèmes est suffisamment transparent pour permettre aux déployeurs d’interpréter les sorties et de les utiliser de manière appropriée, avec un niveau adéquat de transparence garanti. La notice d’utilisation doit contenir des informations concises, complètes, exactes et claires, incluant l’identité du fournisseur, les caractéristiques du système, les performances, les risques, les mesures de contrôle humain, les ressources et la maintenance, ainsi que les mécanismes de journalisation.

Interprétation opérationnelle :
Le fournisseur doit garantir que le système IA à haut risque est conçu pour être transparent, permettant aux déployeurs d’interpréter les sorties et de les exploiter correctement, et doit fournir une notice d’utilisation détaillée, accessible et compréhensible, couvrant toutes les informations requises par l’article.

Mots-clés : transparence fourniture d'informations déployeurs notice d'utilisation IA à haut risque exactitude robustesse cybersécurité sécurité des personnes maintenance maintenance logicielle

Références croisées : Article 15 (cybersécurité) Article 9 (droits fondamentaux) Article 14 (contrôle humain) Article 12 (collecte et interprétation des journaux)

Gravité : 4/5
Non-conformité peut entraîner des risques graves pour la santé, la sécurité et les droits fondamentaux des personnes, avec des conséquences potentiellement mortelles ou juridiques.

Probabilité : 3/5
Les exigences détaillées et la nécessité de fournir une notice complète rendent la conformité difficile sans effort dédié, surtout dans les organisations manquant de processus de gouvernance IA.

Détectabilité : 4/5
L'absence de transparence se manifeste surtout lors d'incidents ou d'audits, ce qui retarde la détection sans contrôle systématique.

Score inhérent : 48 Élevé (Orange)

Texte original :
La conception et le developpement des systemes d'IA a haut risque permettent, notamment au moyen d'interfaces homme-machine appropriées, un controle effectif par des personnes physiques pendant leur periode d'utilisation.

Interprétation opérationnelle :
Le developpeur doit integrer des interfaces permettant a l'opérateur humain d'exercer un controle effectif sur le systeme d'IA, en veillant a ce que l'opérateur puisse comprendre, surveiller, interpreter, decider et interrompre le systeme.

Mots-clés : contrôle humain IA à haut risque sécurité droits fondamentaux interfaces sûreté

Références croisées : Annexe III point 1 a) Règlement sur l'IA (EU) 2021/01 Exigences de sécurité des systèmes d'IA

Gravité : 4/5
Risques potentiels pour la santé, la sécurité ou les droits fondamentaux, pouvant entraîner des dommages graves ou des violations de droits.

Probabilité : 3/5
Absence de contrôle humain augmente la probabilité d'erreurs ou d'abus, mais de nombreux systèmes intègrent déjà des mécanismes de supervision.

Détectabilité : 4/5
Il est difficile de détecter l'absence de contrôle humain sans audits spécifiques; les indicateurs de non-conformité peuvent être masqués par le comportement du système.

Score inhérent : 48 Élevé (Orange)

Texte original :
Les systèmes d'IA à haut risque doivent être conçus et développés de façon à garantir un niveau approprié d'exactitude, de robustesse, de cybersécurité et de performance constante tout au long de leur cycle de vie, avec résilience face aux erreurs, défaillances, incohérences et aux attaques visant à manipuler les données ou le modèle.

Interprétation opérationnelle :
Les développeurs doivent intégrer des exigences de précision, de robustesse et de cybersécurité dans la conception, tester et valider ces exigences, mettre en place des mesures de résilience (sauvegarde, redondance) et appliquer des protections contre les attaques (données d'entraînement, exemples contradictoires, etc.).

Mots-clés : Exactitude Robustesse Cybersécurité Résilience Boucles de rétroaction Attaques de données Exemples contradictoires Sécurité après défaillance

Références croisées : Règlement sur l'IA (IA Act) Normes de métrologie et d'étalonnage Guide de la Commission européenne sur l'IA

Gravité : 4/5
Impact potentiel sur la sécurité, la santé, la confiance du public et la conformité réglementaire, pouvant entraîner des dommages matériels ou humains graves.

Probabilité : 3/5
Les exigences sont strictes, mais la complexité technique et l’absence de critères de référence clairs augmentent la probabilité d'inefficacité.

Détectabilité : 4/5
Les défauts de précision ou de robustesse peuvent rester subtils et ne se manifestent que sous des conditions spécifiques, nécessitant des audits ou des tests approfondis.

Score inhérent : 48 Élevé (Orange)

Texte original :
Les fournisseurs de systèmes d’IA à haut risque: a) veillent à ce que leurs systèmes d’IA à haut risque soient conformes aux exigences énoncées à la section 2; b) indiquent sur le système d’IA à haut risque ou, lorsque cela n’est pas possible, sur son emballage ou dans la documentation l’accompagnant, selon le cas, leur nom, raison sociale ou marque déposée, l’adresse à laquelle ils peuvent être contactés; c) mettent en place un système de gestion de la qualité conforme à l’article 17; d) assurent la conservation de la documentation visée à l’article 18; e) assurent la tenue des journaux générés automatiquement par leurs systèmes d’IA à haut risque, lorsque ces journaux se trouvent sous leur contrôle, conformément à l’article 19; f) veillent à ce que le système d’IA à haut risque soit soumis à la procédure d’évaluation de la conformité applicable visée à l’article 43, avant sa mise sur le marché ou sa mise en service; g) élaborent une déclaration UE de conformité conformément à l’article 47; h) apposent le marquage CE sur le système d’IA à haut risque ou, lorsque cela n’est pas possible, sur son emballage ou dans la documentation l’accompagnant, selon le cas, afin d’indiquer la conformité avec le présent règlement, conformément à l’article 48; i) respectent les obligations en matière d’enregistrement prévues à l’article 49, paragraphe 1; j) prennent les mesures correctives nécessaires et fournissent les informations requises à l’article 20; k) à la demande motivée d’une autorité nationale compétente, prouvent la conformité du système d’IA à haut risque avec les exigences énoncées à la section 2; l) veillent à ce que le système d’IA à haut risque soit conforme aux exigences en matière d’accessibilité conformément aux directives (UE) 2016/2102 et (UE) 2019/882.

Interprétation opérationnelle :
Les fournisseurs doivent garantir que leurs systèmes d’IA à haut risque respectent les exigences du règlement, fournir leurs informations d’identification, mettre en place une gestion de la qualité, conserver la documentation, gérer les journaux, soumettre le système à l’évaluation de conformité, déclarer sa conformité UE, apposer le marquage CE, enregistrer le système, répondre aux autorités et garantir l’accessibilité.

Mots-clés : IA à haut risque conformité gestion de la qualité documentation journaux évaluation de conformité déclaration UE marquage CE enregistrement accessibilité

Références croisées : Article 17 Article 18 Article 19 Article 43 Article 47 Article 48 Article 49 Directive (UE) 2016/2102 Directive (UE) 2019/882

Gravité : 4/5
Impact potentiel sur la sécurité, la santé, les droits des utilisateurs, la réputation et les sanctions financières en cas de non‑conformité.

Probabilité : 3/5
Les fournisseurs peuvent négliger certaines obligations (documentation, logs, évaluation) si leurs processus internes sont immatures ou mal maîtrisés.

Détectabilité : 2/5
Les exigences sont explicites et vérifiables via des preuves documentaires et des audits, ce qui rend la non‑conformité facilement détectable.

Score inhérent : 24 Élevé (Orange)

Texte original :
Les fournisseurs de systèmes d’IA à haut risque mettent en place un système de gestion de la qualité garantissant le respect du présent règlement. Ce système est documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites, et comprend au moins les aspects suivants: a) une stratégie de respect de la réglementation, notamment le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications apportées aux systèmes d’IA à haut risque; b) des techniques, procédures et actions systématiques destinées à la conception des systèmes d’IA à haut risque ainsi qu’au contrôle et à la vérification de cette conception; c) des techniques, procédures et actions systématiques destinées au développement des systèmes d’IA à haut risque ainsi qu’au contrôle et l’assurance de leur qualité; d) des procédures d’examen, de test et de validation à exécuter avant, pendant et après le développement du système d’IA à haut risque, ainsi que la fréquence à laquelle elles doivent être réalisées; e) des spécifications techniques, notamment des normes, à appliquer et, lorsque les normes harmonisées pertinentes ne sont pas appliquées intégralement, ou ne couvrent pas toutes les exigences pertinentes énoncées à la section 2, les moyens à utiliser pour faire en sorte que le système d’IA à haut risque satisfasse auxdites exigences; f) les systèmes et procédures de gestion des données, notamment l’acquisition, la collecte, l’analyse, l’étiquetage, le stockage, la filtration, l’exploration, l’agrégation, la conservation des données et toute autre opération concernant les données qui est effectuée avant la mise sur le marché ou la mise en service de systèmes d’IA à haut risque et aux fins de celles-ci; g) le système de gestion des risques prévu à l’article 9; h) l’élaboration, la mise en œuvre et le fonctionnement d’un système de surveillance après commercialisation conformément à l’article 72; i) les procédures relatives au signalement d’un incident grave conformément à l’article 73; j) la gestion des communications avec les autorités nationales compétentes, les autres autorités compétentes, y compris celles fournissant ou facilitant l’accès aux données, les organismes notifiés, les autres opérateurs, les clients ou d’autres parties intéressées; k) les systèmes et procédures de conservation de tous les documents et informations pertinents; l) la gestion des ressources, y compris les mesures liées à la sécurité d’approvisionnement; m) un cadre de responsabilisation définissant les responsabilités de l’encadrement et des autres membres du personnel en ce qui concerne tous les aspects énumérés dans le présent paragraphe.

Interprétation opérationnelle :
Le fournisseur doit créer, documenter et maintenir un système de gestion de la qualité (SGQ) formalisé, comprenant des politiques, procédures et instructions écrites. Le SGQ doit couvrir la stratégie de conformité et la gestion des modifications, la conception contrôlée, le développement et l’assurance qualité, les tests, la validation et la fréquence des contrôles, l’application des normes techniques ou les moyens alternatifs, la gestion complète des données (acquisition, stockage, etc.), le système de gestion des risques (article 9), la surveillance post‑commercialisation (article 72), le signalement d’incidents graves (article 73), les communications avec les autorités et les parties prenantes, la conservation durable des documents, la gestion des ressources et la sécurité d’approvisionnement, ainsi qu’un cadre de responsabilisation du personnel.

Mots-clés : système de gestion de la qualité fournisseurs IA à haut risque conformité documentation procédures gestion des données gestion des risques surveillance post‑marché signalement incident communication autorités responsabilisation normes techniques évaluation de conformité gestion des modifications

Références croisées : Article 9 (gestion des risques) Article 72 (surveillance post‑commercialisation) Article 73 (signalement d’incident grave) Article 40 (normes harmonisées) Règlement sur l’IA

Gravité : 4/5
Un défaut du SGQ peut entraîner une non‑conformité majeure, compromettant la sécurité, la confiance des utilisateurs et entraînant des sanctions administratives lourdes, voire des dommages à la réputation.

Probabilité : 3/5
La complexité de la mise en place d’un SGQ complète et la nécessité de respecter toutes les exigences rendent la non‑conformité possible, surtout dans les organisations de taille moyenne ou petite.

Détectabilité : 4/5
L’absence ou la défaillance du SGQ est difficile à détecter sans audits spécifiques, revues de conformité ou incidents déclencheurs, donc la détection repose sur des contrôles externes ou des audits périodiques.

Score inhérent : 48 Élevé (Orange)

Texte original :
Pendant une période prenant fin 10 ans après la mise sur le marché ou la mise en service du système d’IA à haut risque, le fournisseur tient à la disposition des autorités nationales compétentes: a) la documentation technique visée à l’article 11; b) la documentation concernant le système de gestion de la qualité visé à l’article 17; c) la documentation concernant les modifications approuvées par les organismes notifiés, le cas échéant; d) les décisions et autres documents émis par les organismes notifiés, le cas échéant; e) la déclaration UE de conformité visée à l’article 47.

Interprétation opérationnelle :
Le fournisseur doit conserver pendant 10 ans, à la disposition des autorités nationales, les documents listés (technique, qualité, modifications, décisions, déclaration UE).

Mots-clés : documentation conservation 10 ans autorités nationales IA à haut risque déclaration UE de conformité

Références croisées : article 11 article 17 article 47

Gravité : 4/5
Perte de conformité entraîne des sanctions financières, réputationnelles et risque de retrait du marché, avec un impact élevé sur l'entreprise.

Probabilité : 3/5
Complexité de la conservation à long terme, risque de faillite ou d'absence de processus adéquat.

Détectabilité : 2/5
La non-conformité est généralement révélée lors d'audits ou de vérifications par les autorités, ce qui rend le risque facilement détectable.

Score inhérent : 24 Élevé (Orange)

Texte original :
Les fournisseurs de systèmes d’IA à haut risque assurent la tenue des journaux générés automatiquement par leurs systèmes d’IA à haut risque, visés à l’article 12, paragraphe 1, dans la mesure où ces journaux se trouvent sous leur contrôle. Sans préjudice du droit de l’Union ou du droit national applicable, les journaux sont conservés pendant une période adaptée à la destination du système d’IA à haut risque, d’au moins six mois, sauf disposition contraire dans le droit de l’Union ou le droit national applicable, en particulier dans le droit de l’Union sur la protection des données à caractère personnel. Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l’Union sur les services financiers, ils tiennent à jour les journaux générés automatiquement par leurs systèmes d’IA à haut risque dans le cadre de la documentation conservée en vertu de la législation pertinente sur les services financiers.

Interprétation opérationnelle :
Les fournisseurs doivent garantir que les journaux automatiques de leurs systèmes d'IA à haut risque sont conservés pendant au moins six mois, sous réserve de leur contrôle, et, pour les établissements financiers, maintenir ces journaux à jour dans le cadre de leur documentation réglementaire.

Mots-clés : journaux systèmes d'IA à haut risque conservation contrôle exigences financières gouvernance

Références croisées : article 12 paragraphe 1 réglementation Union sur la protection des données legislation financière

Gravité : 4/5
Absence de logs compromet la traçabilité et la conformité, pouvant entraîner des sanctions lourdes et perte de confiance.

Probabilité : 3/5
Les exigences sont claires, mais la mise en œuvre dépend de la gouvernance interne; risque de non-conformité modéré.

Détectabilité : 4/5
Les logs sont générés automatiquement et non visibles sans examen spécifique, donc détectabilité faible à modérée.

Score inhérent : 48 Élevé (Orange)

Texte original :
1. Les fournisseurs de systèmes d’IA à haut risque qui considèrent ou ont des raisons de considérer qu’un système d’IA à haut risque qu’ils ont mis sur le marché ou mis en service n’est pas conforme au présent règlement prennent immédiatement les mesures correctives nécessaires pour le mettre en conformité, le retirer, le désactiver ou le rappeler, selon le cas. Ils informent les distributeurs du système d’IA à haut risque concerné et, le cas échéant, les déployeurs, le mandataire et les importateurs en conséquence. 2. Lorsque le système d’IA à haut risque présente un risque au sens de l’article 79, paragraphe 1, et que le fournisseur prend conscience de ce risque, celui-ci recherche immédiatement les causes, en collaboration avec le déployeur à l’origine du signalement, le cas échéant, et informe les autorités de surveillance du marché compétentes pour le système d’IA à haut risque concerné et, le cas échéant, l’organisme notifié qui a délivré un certificat pour ce système d’IA à haut risque, conformément à l’article 44, en précisant en particulier la nature du cas de non-conformité et les éventuelles mesures correctives pertinentes prises.

Interprétation opérationnelle :
Le fournisseur doit agir sans délai pour corriger, retirer, désactiver ou rappeler le système non conforme, informer les parties prenantes (distributeurs, déployeurs, mandataires, importateurs) et notifier les autorités de surveillance ainsi que l’organisme notifié, en détaillant la nature du manquement et les mesures correctives prises.

Mots-clés : mesures correctives information non-conformité risque autorités de surveillance certificat article 44 article 79

Références croisées : Article 79 Article 44

Gravité : 4/5
Un système d'IA à haut risque non conforme peut causer des dommages importants pour la sécurité, la santé ou les droits fondamentaux, entraînant des conséquences graves.

Probabilité : 3/5
La non-conformité peut survenir à tout moment lors du déploiement ou de la mise sur le marché, surtout si les processus de validation sont insuffisants.

Détectabilité : 4/5
Les écarts de conformité sont souvent découverts uniquement lors d'audits, de signalements externes ou d'incidents, ce qui rend la détection difficile sans contrôle dédié.

Score inhérent : 48 Élevé (Orange)

Texte original :
À la demande motivée d’une autorité compétente, les fournisseurs de systèmes d’IA à haut risque fournissent à ladite autorité toutes les informations et tous les documents nécessaires pour démontrer la conformité du système d’IA à haut risque avec les exigences énoncées à la section 2, dans une langue aisément compréhensible par l’autorité dans l’une des langues officielles des institutions de l’Union, telle qu’indiquée par l’État membre concerné. À la demande motivée d’une autorité compétente, les fournisseurs accordent également à l’autorité compétente à l’origine de la demande, le cas échéant, l’accès aux journaux générés automatiquement par le système d’IA à haut risque visés à l’article 12, paragraphe 1, dans la mesure où ces journaux sont sous leur contrôle. Les informations obtenues par une autorité compétente en application du présent article sont traitées conformément aux obligations de confidentialité énoncées à l’article 78.

Interprétation opérationnelle :
Le fournisseur doit, sur demande motivée d’une autorité compétente, fournir toutes les informations et documents nécessaires pour prouver la conformité du système d’IA à haut risque, dans une langue officielle de l’UE compréhensible par l’autorité, et autoriser l’accès aux journaux automatiques générés par le système, tout en respectant les obligations de confidentialité prévues à l’article 78.

Mots-clés : autorité compétente demande motivée informations documents conformité langue officielle journaux confidentialité

Références croisées : article 78

Gravité : 4/5
Non-conformité empêche la démonstration de conformité, expose le fournisseur à des sanctions financières, à la perte de licence et à l'exclusion du marché.

Probabilité : 3/5
Les demandes d'autorité sont fréquentes mais pas systématiques, ce qui augmente le risque de non-respect.

Détectabilité : 2/5
L'obligation est clairement stipulée et les journaux sont générés automatiquement, rendant la non-conformité facilement observable lors d'un audit.

Score inhérent : 24 Élevé (Orange)

Texte original :
Avant de mettre leurs systèmes d’IA à haut risque à disposition sur le marché de l’Union, les fournisseurs établis dans des pays tiers désignent, par mandat écrit, un mandataire établi dans l’Union. Le mandataire exécute les tâches de vérification de conformité, de conservation des documents, de fourniture d’informations aux autorités et de coopération pour atténuer les risques, et peut mettre fin au mandat en cas de non‑conformité du fournisseur, en informant immédiatement l’autorité de surveillance du marché concernée.

Interprétation opérationnelle :
Le fournisseur doit nommer un représentant UE via un mandat écrit, autoriser ce mandataire à réaliser les missions de contrôle de conformité, de conservation des pièces justificatives, de transmission d’informations aux autorités et de coopération pour atténuer les risques, et à mettre fin au mandat si le fournisseur ne respecte pas le règlement.

Mots-clés : mandataire déclaration UE de conformité documentation technique évaluation de conformité conservation 10 ans accès aux journaux IA coopération autorités enregistrement fin de mandat

Références croisées : article 47 article 11 article 74 paragraphe 10 article 49 paragraphe 1 article 12 paragraphe 1

Gravité : 4/5
Non‑respect empêche la mise sur le marché de l’UE, expose le fournisseur à des amendes et à la perte de confiance, affectant fortement les activités commerciales.

Probabilité : 3/5
L’obligation de désignation n’est pas toujours anticipée, surtout pour les fournisseurs non‑EU, ce qui augmente le risque d’omission.

Détectabilité : 4/5
L’absence de mandataire n’est pas visible tant que le système n’est pas placé sur le marché ; les contrôles de marché sont nécessaires pour détecter la non‑conformité.

Score inhérent : 48 Élevé (Orange)

Texte original :
Avant de mettre sur le marché un système d’IA à haut risque, l’importateur doit vérifier que le fournisseur a suivi la procédure d’évaluation de conformité (article 43), que la documentation technique est établie conformément à l’article 11 et à l’annexe IV, que le système porte le marquage CE, la déclaration UE de conformité (article 47) et la notice d’utilisation, et que le fournisseur a désigné un mandataire (article 22). Lorsqu’un importateur a des raisons suffisantes de considérer que le système n’est pas conforme ou a été falsifié, il ne le met sur le marché qu’après mise en conformité et informe le fournisseur, les mandataires et les autorités de surveillance du risque (article 79). L’importateur indique son nom, raison sociale ou marque déposée ainsi que son adresse sur le système, son emballage ou la documentation. Il s’assure que le stockage ou le transport ne compromettent pas la conformité. Il conserve pendant dix ans le certificat de l’organisme notifié, la notice d’utilisation et la déclaration UE de conformité. Sur demande des autorités compétentes, il communique toutes les informations et documents nécessaires, y compris ceux du paragraphe 5, pour démontrer la conformité, et veille à ce que la documentation technique soit mise à disposition. Il coopère avec les autorités pour atténuer les risques du système.

Interprétation opérationnelle :
L’importateur doit vérifier la conformité du fournisseur, s’assurer que la documentation technique, le marquage CE, la déclaration UE de conformité et la notice d’utilisation sont présents, confirmer la désignation d’un mandataire, conserver les documents pendant 10 ans, communiquer les informations aux autorités sur demande et coopérer avec elles.

Mots-clés : importateur IA à haut risque conformité documentation technique marquage CE déclaration UE de conformité notice d’utilisation mandataire mise en conformité autorités compétentes stockage transport conservation 10 ans

Références croisées : article 43 article 11 article 47 article 22 article 79

Gravité : 4/5
Impact potentiel grave (santé, sécurité, conséquences légales et réputationnelles) si un système non conforme est mis sur le marché.

Probabilité : 3/5
Probabilité modérée que l’importateur néglige une vérification ou accepte un fournisseur non conforme.

Détectabilité : 3/5
Les exigences (marquage CE, documentation) sont visibles et vérifiables, donc la non‑conformité est détectable lors d’audits ou de contrôles.

Score inhérent : 36 Élevé (Orange)

Texte original :
Avant de mettre un système d’IA à haut risque à disposition sur le marché, les distributeurs vérifient le marquage CE, la déclaration UE de conformité et la notice d’utilisation, et s’assurent que le fournisseur et l’importateur ont respecté leurs obligations (art.16 b/c, art.23 par.3). Si le système n’est pas conforme, il ne doit pas être mis à disposition, le distributeur doit informer le fournisseur/importateur, prendre des mesures correctives, informer les autorités et fournir les documents sur demande.

Interprétation opérationnelle :
Le distributeur doit vérifier la conformité documentaire et technique du système avant sa mise sur le marché, s’assurer du respect des obligations du fournisseur et de l’importateur, et, en cas de non‑conformité ou de risque, informer immédiatement le fournisseur/importateur, les autorités compétentes et prendre les mesures correctives (mise en conformité, retrait ou rappel) tout en coopérant avec les autorités.

Mots-clés : distributeur système d'IA à haut risque marquage CE déclaration UE de conformité notice d'utilisation obligations du fournisseur obligations de l'importateur mise en conformité retrait rappel autorités compétentes information coopération

Références croisées : Article 16 (obligations du fournisseur/importateur) Article 23 (déclaration de conformité) Article 79 (risque du système d'IA) Section 2 (exigences du AI Act)

Gravité : 4/5
Risque de danger pour la sécurité des personnes, dommages matériels, perte de confiance du public et sanctions financières lourdes

Probabilité : 3/5
Absence de processus systématique de vérification et complexité des exigences peuvent mener à des erreurs

Détectabilité : 4/5
Les manquements restent souvent cachés tant que le système n’est pas déployé ou auditée

Score inhérent : 48 Élevé (Orange)

Texte original :
Tout distributeur, importateur, déployeur ou autre tiers est considéré comme un fournisseur d’un système d’IA à haut risque aux fins du présent règlement et est soumis aux obligations incombant au fournisseur au titre de l’article 16 dans toutes les circonstances suivantes: a) il commercialise sous son propre nom ou sa propre marque un système d’IA à haut risque déjà mis sur le marché ou mis en service, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations; b) il apporte une modification substantielle à un système d’IA à haut risque qui a déjà été mis sur le marché ou a déjà été mis en service de telle sorte qu’il reste un système d’IA à haut risque en application de l’article 6; c) il modifie la destination d’un système d’IA, y compris un système d’IA à usage général, qui n’a pas été classé à haut risque et a déjà été mis sur le marché ou mis en service de telle manière que le système d’IA concerné devient un système d’IA à haut risque conformément l’article 6.

Interprétation opérationnelle :
Les acteurs de la chaîne de valeur doivent assumer les obligations du fournisseur d’un système d’IA à haut risque, fournir les informations, l’accès technique et l’assistance nécessaires, coopérer avec le fournisseur initial et garantir la conformité via des contrats et des contrôles adaptés.

Mots-clés : fournisseur obligations article 16 distributeur importateur déployeur modification substantielle destinations coopération documentation accès technique propriété intellectuelle confidentialité contrats

Références croisées : article 16 article 6 annexe I section A

Gravité : 5/5
Impact élevé sur la sécurité, la santé, la réputation et les finances en cas de non‑conformité d'un système d'IA à haut risque.

Probabilité : 3/5
Probabilité modérée à élevée due à la complexité de la chaîne de valeur, aux multiples acteurs et à la nécessité de coopération et de documentation.

Détectabilité : 4/5
Détection difficile sans audit ou revue documentaire, les écarts se manifestent surtout lors d'événements ou d'incidents.

Score inhérent : 60 Élevé (Orange)

Texte original :
Les déployeurs de systèmes d’IA à haut risque doivent prendre des mesures techniques et organisationnelles appropriées pour garantir une utilisation conforme aux notices d’utilisation, confier le contrôle humain à des personnes compétentes, veiller à la pertinence des données d’entrée, surveiller le système, informer le fournisseur et les autorités en cas de risque ou d’incident grave, conserver les logs ≥6 mois, informer les travailleurs et les représentants, respecter les obligations d’enregistrement et de traitement des données biométriques, informer les personnes physiques, coopérer avec les autorités.

Interprétation opérationnelle :
Mettre en place des contrôles techniques et organisationnels, désigner des acteurs humains qualifiés, garantir la qualité des données d’entrée, monitorer le système, notifier les fournisseurs et autorités en cas de manquement ou d’incident, conserver les logs pendant au moins six mois, informer les salariés et représentants, respecter les exigences d’enregistrement et de traitement des données biométriques, informer les concernés, coopérer avec les autorités.

Mots-clés : déployeurs IA à haut risque mesures techniques organisationnelles notice d’utilisation contrôle humain compétences formation autorité soutien données d’entrée pertinence surveillance notification incident grave journaux six mois enregistrement analyse d’impact protection des données biométrie autorisation judiciaire coopération autorités

Références croisées : article 72 article 79 article 73 article 49 article 13 article 35 article 27 article 9 article 10 directive (UE) 2016/680 règlement (UE) 2016/679

Gravité : 4/5
Non-respect peut entraîner des sanctions administratives, des atteintes aux droits fondamentaux, des risques de sécurité et de sûreté, et des dommages réputationnels.

Probabilité : 3/5
Les exigences sont nombreuses et doivent être mises en œuvre de façon coordonnée; des lacunes fréquentes observées dans les pratiques de gouvernance IA.

Détectabilité : 4/5
Les indicateurs de non-conformité (absence de logs, absence de notification) sont souvent invisibles sans examen détaillé des processus et des registres.

Score inhérent : 48 Élevé (Orange)

Texte original :
Avant le déploiement d’un système d’IA à haut risque visé à l’article 6, paragraphe 2, à l’exception des systèmes d’IA à haut risque destinés à être utilisés dans le domaine visé à l’annexe III, point 2, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics et les déployeurs de systèmes d’IA à haut risque visés à l’annexe III, points 5), b) et c), effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire. À cette fin, les déployeurs effectuent une analyse comprenant: a) une description des processus du déployeur dans lesquels le système d’IA à haut risque sera utilisé conformément à sa destination; b) une description de la période pendant laquelle et de la fréquence à laquelle chaque système d’IA à haut risque est destiné à être utilisé; c) les catégories de personnes physiques et les groupes susceptibles d’être concernés par son utilisation dans le contexte spécifique; d) les risques spécifiques de préjudice susceptibles d’avoir une incidence sur les catégories de personnes physiques ou groupes de personnes identifiés en vertu du point c) du présent paragraphe, compte tenu des informations fournies par le fournisseur conformément à l’article 13; e) une description de la mise en œuvre des mesures de contrôle humain, conformément à la notice d’utilisation; f) les mesures à prendre en cas de matérialisation de ces risques, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes.

Interprétation opérationnelle :
Le développeur doit réaliser, avant la première utilisation, une évaluation détaillée des impacts potentiels du système d’IA à haut risque sur les droits fondamentaux, en incluant description des processus, durée d’utilisation, catégories de personnes concernées, risques spécifiques, mesures de contrôle humain et procédures de réponse/gestion des incidents.

Mots-clés : analyse d’impact droits fondamentaux système d'IA à haut risque déploiement mesures de contrôle humain gouvernance interne plainte interne

Références croisées : Article 6 paragraphe 2 Article 13 Article 46 paragraphe 1 Article 35 RGPD Article 27 directive 2016/680

Gravité : 5/5
Potentiel d’infractions graves aux droits fondamentaux (non‑discrimination, atteinte à la liberté, privacy), engendrant des conséquences sociétales majeures.

Probabilité : 3/5
Obligation explicite mais nouvelle ; de nombreux déployeurs ne disposent pas encore de processus d’analyse, ce qui rend la probabilité de non‑conformité modérée.

Détectabilité : 4/5
L’absence d’analyse n’est pas visible sans examen des documents ; la détection se fait surtout lors d’audits ou de contrôles, donc difficile à détecter sans effort.

Score inhérent : 60 Élevé (Orange)

Texte original :
1. Chaque État membre désigne ou établit au moins une autorité notifiante chargée de mettre en place et d’accomplir les procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité et à leur contrôle. Ces procédures sont élaborées en coopération entre les autorités notifiantes de tous les États membres. 2. Les États membres peuvent décider que l’évaluation et le contrôle visés au paragraphe 1 doivent être effectués par un organisme national d’accréditation au sens du règlement (CE) no 765/2008 et conformément à ses dispositions. 3. Les autorités notifiantes sont établies, organisées et gérées de manière à éviter tout conflit d’intérêts avec les organismes d’évaluation de la conformité et à garantir l’objectivité et l’impartialité de leurs activités. 4. Les autorités notifiantes sont organisées de telle sorte que les décisions concernant la notification des organismes d’évaluation de la conformité sont prises par des personnes compétentes différentes de celles qui ont réalisé l’évaluation de ces organismes. 5. Les autorités notifiantes ne proposent ni ne fournissent aucune des activités réalisées par les organismes d’évaluation de la conformité, ni aucun service de conseil sur une base commerciale ou concurrentielle. 6. Les autorités notifiantes garantissent la confidentialité des informations qu’elles obtiennent conformément à l’article 78. 7. Les autorités notifiantes disposent d’un personnel compétent en nombre suffisant pour la bonne exécution de leurs tâches. Le personnel compétent possède l’expertise nécessaire, le cas échéant, pour sa fonction, dans des domaines tels que les technologies de l’information, l’IA et le droit, y compris le contrôle du respect des droits fondamentaux.

Interprétation opérationnelle :
Les États membres doivent créer et gérer une autorité notifiante indépendante, capable d’évaluer, désigner et contrôler les organismes d’évaluation de la conformité, tout en garantissant l’objectivité, la confidentialité et en disposant d’un personnel compétent.

Mots-clés : autorité notifiante procédures indépendance objectivité confidentialité personnel compétent technologies de l’information IA droit réglement (CE) no 765/2008 article 78

Références croisées : règlement (CE) no 765/2008 article 78

Gravité : 3/5
Impact potentiel sur la conformité des systèmes IA et la confiance des utilisateurs, pouvant entraîner des sanctions et des retards

Probabilité : 3/5
Les exigences sont claires mais la mise en œuvre dépend de la capacité des États à créer une autorité indépendante et compétente

Détectabilité : 4/5
La non-conformité se révèle surtout lors d’audits ou de contrôles périodiques, ce qui la rend difficile à détecter quotidiennement

Score inhérent : 36 Moyen (Jaune)

Texte original :
Les organismes d’évaluation de la conformité soumettent une demande de notification à l’autorité notifiante de l’État membre dans lequel ils sont établis, accompagnée d’une description des activités d’évaluation de la conformité, du ou des modules d’évaluation de la conformité et des types de systèmes d’IA pour lesquels l’organisme d’évaluation de la conformité se déclare compétent, ainsi que d’un certificat d’accréditation, lorsqu’il existe, délivré par un organisme national d’accréditation qui atteste que l’organisme d’évaluation de la conformité remplit les exigences énoncées à l’article 31. Tout document en cours de validité relatif à des désignations existantes de l’organisme notifié demandeur en vertu de toute autre législation d’harmonisation de l’Union est ajouté. Lorsque l’organisme d’évaluation de la conformité ne peut pas produire de certificat d’accréditation, il présente à l’autorité notifiante toutes les preuves documentaires nécessaires à la vérification, à la reconnaissance et au contrôle régulier de sa conformité avec les exigences définies à l’article 31. Quant aux organismes notifiés désignés en vertu de toute autre législation d’harmonisation de l’Union, tous les documents et certificats liés à ces désignations peuvent être utilisés à l’appui de leur procédure de désignation au titre du présent règlement, le cas échéant. L’organisme notifié met à jour la documentation visée aux paragraphes 2 et 3 du présent article dès que des changements pertinents interviennent afin de permettre à l’autorité responsable des organismes notifiés de contrôler et de vérifier que toutes les exigences énoncées à l’article 31 demeurent observées.

Interprétation opérationnelle :
L’organisme doit adresser à l’autorité compétente une notification contenant les informations sur son activité, ses modules d’évaluation, les catégories de systèmes IA concernés et, si disponible, son certificat d’accréditation ; à défaut, il doit fournir tous les documents prouvant sa conformité aux exigences de l’article 31.

Mots-clés : notification organisme d’évaluation de la conformité autorité notifiante certificat d’accréditation exigences article 31 documentation déclaration de compétence

Références croisées : Article 31 Règlement sur l'IA (AI Act)

Gravité : 3/5
Non-conformité entraîne refus de désignation, retards, sanctions financières et perte de confiance dans le processus d’évaluation.

Probabilité : 2/5
Les organismes sont habitués à la procédure et disposent généralement d’un certificat d’accréditation ou de preuves documentaires, ce qui rend la non-conformité relativement peu probable.

Détectabilité : 2/5
La notification et les pièces justificatives sont soumises à l’autorité et sont facilement vérifiables, donc la non-conformité est détectable sans recourir à des audits spécialisés.

Score inhérent : 12 Moyen (Jaune)

Texte original :
1. Les autorités notifiantes ne peuvent notifier que les organismes d’évaluation de la conformité qui ont satisfait aux exigences énoncées à l’article 31. 2. Les autorités notifiantes informent la Commission et les autres États membres à l’aide de l’outil de notification électronique mis au point et géré par la Commission quant à chaque organisme d’évaluation de la conformité visé au paragraphe 1. 3. La notification visée au paragraphe 2 du présent article comprend des informations complètes sur les activités d’évaluation de la conformité, le ou les modules d’évaluation de la conformité et les types de systèmes d’IA concernés, ainsi que l’attestation de compétence correspondante. Lorsqu’une notification n’est pas fondée sur le certificat d’accréditation visé à l’article 29, paragraphe 2, l’autorité notifiante fournit à la Commission et aux autres États membres les preuves documentaires attestant de la compétence de l’organisme d’évaluation de la conformité et des dispositions prises pour faire en sorte que cet organisme soit régulièrement contrôlé et continue à satisfaire aux exigences énoncées à l’article 31. 4. L’organisme d’évaluation de la conformité concerné ne peut effectuer les activités propres à un organisme notifié que si aucune objection n’est émise par la Commission ou les autres États membres dans les deux semaines suivant la notification par une autorité notifiante, si cette notification comprend le certificat d’accréditation visé à l’article 29, paragraphe 2, ou dans les deux mois suivant la notification par une autorité notifiante si cette notification comprend les preuves documentaires visées à l’article 29, paragraphe 3. 5. En cas d’objections, la Commission entame sans tarder des consultations avec les États membres et l’organisme d’évaluation de la conformité concernés. Au vu de ces consultations, la Commission décide si l’autorisation est justifiée ou non. La Commission adresse sa décision à l’État membre et à l’organisme d’évaluation de la conformité concernés.

Interprétation opérationnelle :
Les autorités compétentes doivent, sans délai, notifier la Commission et les États membres via l'outil électronique de la Commission, en fournissant toutes les informations relatives aux activités d’évaluation, aux modules, aux systèmes d’IA concernés et à l’attestation de compétence. Si la notification ne repose pas sur le certificat d’accréditation (art. 29.2), elles doivent présenter des preuves documentaires de la compétence de l’organisme et des contrôles de suivi.

Mots-clés : notification autorité notifiante Commission État membre organisme d’évaluation de la conformité certificat d’accréditation preuves documentaires examen de conformité délais objection

Références croisées : article 31 article 29 paragraphe 2 article 29 paragraphe 3

Gravité : 3/5
Impact potentiellement significatif (sanctions réglementaires, perte de confiance, blocage d’accès aux marchés) mais pas catastrophique.

Probabilité : 2/5
La procédure est clairement définie et largement soutenue par des outils numériques; les autorités sont généralement informées, ce qui rend la non‑conformité peu fréquente.

Détectabilité : 4/5
La non‑conformité est difficile à détecter sans audit ou examen des processus internes, elle n’est pas visible en temps réel.

Score inhérent : 24 Moyen (Jaune)

Texte original :
Les organismes notifiés doivent être constitués en entité juridique nationale, disposer d’une organisation, d’une gestion de la qualité, de ressources et de procédures, garantir l’indépendance vis‑à‑vis du fournisseur et des acteurs économiques, assurer la confidentialité des informations d’évaluation, tenir compte de la taille et de la complexité du système d’IA, souscrire une assurance responsabilité civile, disposer de compétences internes suffisantes, participer aux activités de coordination et de normalisation.

Interprétation opérationnelle :
L’organisme notifié doit être une entité juridique indépendante, dotée des moyens organisationnels, humains et techniques nécessaires, garantir l’impartialité et la confidentialité, souscrire une assurance, et être capable d’évaluer les systèmes d’IA à haut risque conformément aux exigences du règlement.

Mots-clés : Organisme notifié Indépendance Confidentialité Organisation Gestion de la qualité Ressources Assurance responsabilité civile Compétences Coordination Normalisation

Références croisées : Règlement UE sur l'IA à haut risque Article 78 du Règlement

Gravité : 4/5
Impact élevé sur la confiance dans l’évaluation de la conformité et sur la sécurité des systèmes d’IA, pouvant entraîner des sanctions réglementaires et des dommages réputationnels.

Probabilité : 3/5
Bien que les exigences soient claires, la mise en œuvre complète (organisation, assurance, compétences) peut être complexe, surtout pour les petits fournisseurs, ce qui rend la non‑conformité possible mais pas inévitable.

Détectabilité : 4/5
L’indépendance et la conformité sont difficilement détectables sans audit externe ou examen approfondi des procédures, ce qui rend la détection tardive probable.

Score inhérent : 48 Élevé (Orange)

Texte original :
Lorsqu’un organisme d’évaluation de la conformité démontre sa conformité avec les critères énoncés dans les normes harmonisées concernées, ou dans des parties de ces normes, dont les références ont été publiées au Journal officiel de l’Union européenne, il est présumé répondre aux exigences énoncées à l’article 31 dans la mesure où les normes harmonisées applicables couvrent ces exigences.

Interprétation opérationnelle :
Si un organisme d’évaluation de la conformité montre qu’il respecte les critères des normes harmonisées (ou leurs parties) publiées au Journal officiel de l’UE, il est réputé remplir les exigences de l’article 31 dans la mesure où ces normes couvrent ces exigences.

Mots-clés : presumption conformité organisme d'évaluation normes harmonisées Journal officiel article 31

Références croisées : Article 31 Normes harmonisées UE Obligations d'évaluation de conformité

Gravité : 4/5
Risque de non‑conformité du produit final pouvant entraîner rappels, sanctions, perte de marché et atteinte à la réputation.

Probabilité : 3/5
Probabilité modérée que l'organisme d'évaluation ne soit pas réellement conforme aux normes harmonisées.

Détectabilité : 5/5
La conformité de l'organisme n'est détectable que par audit spécialisé, donc difficile à identifier sans contrôle.

Score inhérent : 60 Élevé (Orange)

Texte original :
1. Lorsqu’un organisme notifié sous‑traite des tâches spécifiques dans le cadre de l’évaluation de la conformité ou a recours à une filiale, il s’assure que le sous‑traitant ou la filiale répond aux exigences fixées à l’article 31 et en informe l’autorité notifiante. 2. Les organismes notifiés assument l’entière responsabilité des tâches exécutées par tout sous‑traitant ou toute filiale. 3. Des activités ne peuvent être sous‑traitées ou réalisées par une filiale qu’avec l’accord du fournisseur. Les organismes notifiés rendent publique une liste de leurs filiales. 4. Les documents pertinents concernant l’évaluation des qualifications du sous‑traitant ou de la filiale et le travail exécuté par celui‑ci ou celle‑ci en vertu du présent règlement sont tenus à la disposition de l’autorité notifiante pendant une période de cinq ans à compter de la date de cessation de la sous‑traitance.

Interprétation opérationnelle :
L’organisme notifié doit vérifier que tout sous‑traitant ou filiale utilisé pour les tâches d’évaluation de conformité respecte les exigences de l’article 31, notifier l’autorité compétente, et être pleinement responsable des actions de ces tiers. Il ne peut sous‑traiter ou confier l’exécution à une filiale sans l’accord du fournisseur d’origine, doit publier la liste de ses filiales et conserver pendant cinq ans les documents justifiant des qualifications et du travail réalisé.

Mots-clés : sous‑traitance filiale obligation de conformité responsabilité notification délai 5 ans accord fournisseur publication liste

Références croisées : article 31 réglementation organisme notifié

Gravité : 4/5
Un défaut de contrôle sur les sous‑traitants ou filiales peut entraîner une non‑conformité majeure, compromettre la sécurité des données, la confiance du public et la validité de l’agrément de l’organisme.

Probabilité : 3/5
La pratique courante de sous‑traitance augmente la probabilité d’écart par rapport aux exigences, surtout lorsque les contrôles internes sont insuffisants.

Détectabilité : 4/5
Les manquements sont généralement découverts uniquement lors d’audits ou de contrôles externes, rendant la détection difficile sans surveillance active.

Score inhérent : 48 Élevé (Orange)

Texte original :
Les organismes notifiés vérifient la conformité du système d’IA à haut risque conformément aux procédures d’évaluation de la conformité visées à l’article 43.

Interprétation opérationnelle :
Les organismes notifiés doivent vérifier que le système d'IA à haut risque respecte les exigences de conformité définies par l'article 43, en suivant les procédures d'évaluation correspondantes.

Mots-clés : vérification conformité système d'IA à haut risque procédures d'évaluation article 43

Références croisées : article 43 article 28

Gravité : 4/5
Un défaut de vérification peut entraîner un non‑respect des exigences de sécurité et de conformité, compromettant la sûreté du système d'IA, la confiance des utilisateurs et entraînant des sanctions lourdes.

Probabilité : 3/5
Les procédures d'évaluation sont généralement bien définies, mais la mise en œuvre varie selon les organismes, ce qui rend la non‑conformité possible mais pas systématique.

Détectabilité : 4/5
L'absence de vérification adéquate reste souvent cachée jusqu'à ce qu'un audit ou un incident survienne, rendant la détection difficile sans contrôle externe.

Score inhérent : 48 Élevé (Orange)

Texte original :
La Commission attribue un numéro d’identification unique à chaque organisme notifié, même lorsqu’il est notifié au titre de plusieurs actes de l’Union. La Commission rend publique la liste des organismes notifiés, mentionne leurs numéros d’identification et les activités pour lesquelles ils ont été notifiés, et veille à ce que cette liste soit tenue à jour.

Interprétation opérationnelle :
La Commission doit garantir que chaque organisme notifié possède un identifiant unique et que le public dispose d’une liste actualisée listant chaque organisme avec son identifiant et son champ d’activité.

Mots-clés : Numéro d'identification Organisme notifié Publication Mise à jour Liste

Références croisées : Règlement (UE) n° 2017/745 (MDR) Directive 2007/46/CE

Gravité : 3/5
Absence de numéros uniques et de liste à jour compromet la traçabilité, crée des risques de non‑conformité et peut affecter la sécurité des patients ou usagers

Probabilité : 2/5
La Commission dispose de procédures internes, mais un manquement peut survenir lors de la gestion de multiples notifications

Détectabilité : 2/5
La non‑conformité peut être détectée par des audits ou la vérification de la liste publique

Score inhérent : 12 Faible (Vert)

Texte original :
L’autorité notifiante notifie à la Commission et aux États membres toute modification pertinente de la notification d’un organisme notifié via l’outil de notification électronique (art. 30.2). Les procédures des art. 29‑30 s’appliquent en cas d’extension de la portée ; pour toute autre modification, les paragraphes 3‑9 s’appliquent. En cas de cessation d’activités, l’organisme notifié informe l’autorité et les fournisseurs au moins un an avant l’arrêt, les certificats restent valables 9 mois si un autre organisme notifié les évalue et délivre de nouveaux certificats. Si l’autorité constate non‑conformité de l’organisme (art. 31), elle enquête, le notifie, puis peut restreindre, suspendre ou retirer la désignation, informant la Commission et les États membres. En cas de suspension, restriction ou retrait, l’organisme notifié informe les fournisseurs sous 10 jours, les dossiers sont conservés et mis à disposition des autorités. L’autorité évalue l’incidence sur les certificats, transmet un rapport dans les 3 mois, exige la suspension ou le retrait des certificats délivrés à tort, informe la Commission et les États membres et fournit les informations aux autorités nationales compétentes. Sauf certificats délivrés à tort, les certificats restent valides pendant la suspension ou la restriction selon les conditions a) ou b), et après retrait ils restent valables 9 mois sous conditions a) ou b), avec prolongation possible de 3 mois jusqu’à 12 mois.

Interprétation opérationnelle :
L’autorité compétente doit informer la Commission et les États membres de toute modification pertinente de la notification d’un organisme notifié, en utilisant l’outil électronique prévu. Si la modification n’est pas une extension de portée, les procédures des paragraphes 3‑9 s’appliquent. En cas de cessation d’activités, l’organisme notifié doit avertir l’autorité et les fournisseurs au moins un an à l’avance ; les certificats restent valables 9 mois si un autre organisme notifié les évalue et délivre de nouveaux certificats. Si l’autorité constate un manquement aux exigences de l’article 31, elle enquête, informe l’organisme, puis peut le restreindre, suspendre ou retirer sa désignation, notifiant immédiatement la Commission et les États membres. En cas de suspension, restriction ou retrait, l’organisme doit informer les fournisseurs sous 10 jours, conserver les dossiers et les mettre à disposition des autorités. L’autorité évalue l’impact sur les certificats, transmet un rapport dans les 3 mois, impose la suspension ou le retrait des certificats délivrés à tort, informe la Commission et les États membres des certificats concernés et fournit les informations aux autorités nationales compétentes pour prendre les mesures nécessaires. Les certificats restent valides pendant la suspension ou la restriction selon les conditions a) ou b), et après retrait ils restent valables 9 mois sous conditions a) ou b), avec prolongation possible de 3 mois jusqu’à 12 mois.

Mots-clés : notification modification cessation d'activités certificats suspension restriction retrait investigation sanctions conformité obligation de moyens obligation de notification

Références croisées : -

Gravité : 4/5
Un manquement peut entraîner la suspension ou le retrait de la désignation, la diffusion de certificats non conformes et un risque pour la santé, la sécurité ou les droits fondamentaux des systèmes d'IA à haut risque.

Probabilité : 3/5
Les procédures de notification et de gestion des désignations sont complexes et dépendent de la rigueur des organes notifiés; des erreurs ou omissions sont possibles mais pas systématiques.

Détectabilité : 4/5
Les écarts de conformité sont généralement détectés lors d’audits ou d’enquêtes, mais peuvent rester invisibles pendant de longues périodes sans contrôle continu.

Score inhérent : 48 Élevé (Orange)

Texte original :
La Commission enquête, s’il y a lieu, sur tous les cas où il existe des raisons de douter de la compétence d’un organisme notifié ou du respect continu, par un organisme notifié, des exigences établies à l’article 31 et de ses responsabilités applicables.

Interprétation opérationnelle :
La Commission doit vérifier la compétence et la conformité continue des organes notifiés, et l’autorité notifiante doit fournir les informations nécessaires pour cette vérification.

Mots-clés : compétence organisme notifié exigences article 31 responsabilités enquête confidentialité suspension retrait notification

Références croisées : article 31 article 78 article 98

Gravité : 4/5
Risque de non-conformité aux exigences de sécurité, pouvant entraîner des incidents de cybersécurité, des retards de mise sur le marché et des sanctions lourdes.

Probabilité : 3/5
Les contrôles de la Commission et la transparence des informations réduisent la probabilité, mais des cas de dépassement de compétences existent.

Détectabilité : 4/5
Les écarts de compétence sont souvent découverts uniquement lors d'audits ou d'incidents, ce qui rend la détection difficile sans examen approfondi.

Score inhérent : 48 Élevé (Orange)

Texte original :
La Commission veille à ce que, en ce qui concerne les systèmes d’IA à haut risque, une coordination et une coopération appropriées entre les organismes notifiés intervenant dans les procédures d’évaluation de la conformité conformément au présent règlement soient mises en place et gérées de manière adéquate dans le cadre d’un groupe sectoriel d’organismes notifiés. Chaque autorité notifiante veille à ce que les organismes qu’elle a notifiés participe aux travaux d’un groupe visé au paragraphe 1, directement ou par l’intermédiaire de représentants désignés. La Commission veille à l’échange des connaissances et des bonnes pratiques entre les autorités notifiantes.

Interprétation opérationnelle :
La Commission doit garantir une coordination et une coopération adéquates entre les organismes notifiés pour les systèmes d'IA à haut risque, via un groupe sectoriel, et s’assurer que chaque autorité notifiante implique ses organismes notifiés dans les travaux d’évaluation, éventuellement via des représentants. Elle doit également favoriser le partage continu de connaissances et de bonnes pratiques entre les autorités.

Mots-clés : coordination coopération organismes notifiés systèmes d'IA à haut risque évaluation de conformité autorités notifiantes échange de bonnes pratiques

Références croisées : -

Gravité : 4/5
Une mauvaise coordination peut entraîner des évaluations de conformité inadéquates, compromettant la sécurité et la conformité des systèmes d'IA à haut risque, avec des conséquences potentiellement graves.

Probabilité : 3/5
L'absence de coordination adéquate est fréquente si les acteurs ne suivent pas les exigences, mais des mécanismes de contrôle peuvent réduire la probabilité.

Détectabilité : 4/5
La coordination est interne et nécessite des audits ou revues pour être détectée, ce qui la rend difficile à identifier sans contrôle actif.

Score inhérent : 48 Élevé (Orange)

Texte original :
Organismes d’évaluation de la conformité de pays tiers Les organismes d’évaluation de la conformité établis conformément à la législation d’un pays tiers avec lequel l’Union a conclu un accord peuvent être autorisés à exercer les activités d’organismes notifiés au titre du présent règlement, pour autant qu’ils répondent aux exigences prévues à l’article 31 ou qu’ils veillent à un niveau équivalent de respect.

Interprétation opérationnelle :
Les organismes étrangers peuvent être agréés comme organismes notifiés, à condition de respecter les exigences de l’article 31 ou d’assurer un niveau équivalent de conformité.

Mots-clés : organismes d’évaluation pays tiers autorisation exigences article 31 niveau équivalent

Références croisées : article 31 réglementation Union européenne

Gravité : 3/5
Impact potentiel sur la conformité du marché, la confiance des utilisateurs et la sécurité, avec des conséquences juridiques et réputationnelles.

Probabilité : 2/5
Risque modéré de non‑respect des exigences de l’article 31 ou d’équivalence insuffisante, surtout si les audits sont peu fréquents.

Détectabilité : 4/5
Difficulté à détecter sans audits spécialisés ou documentation adéquate, le risque étant caché jusqu’à un contrôle formel.

Score inhérent : 24 Moyen (Jaune)

Texte original :
Les systèmes d’IA à haut risque ou les modèles d’IA à usage général conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne conformément au règlement (UE) no 1025/2012 sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, du présent règlement, dans la mesure où ces exigences ou obligations sont couvertes par ces normes. Conformément à l’article 10 du règlement (UE) no 1025/2012, la Commission présente sans retard injustifié des demandes de normalisation couvrant toutes les exigences énoncées à la section 2 du présent chapitre et, le cas échéant, les demandes de normalisation couvrant les obligations énoncées au chapitre V, sections 2 et 3, du présent règlement. La demande de normalisation inclut également une demande de livrables sur les processus de déclaration et de documentation afin d’améliorer les performances des systèmes d’IA en matière de ressources, telles que la réduction de la consommation d’énergie et d’autres ressources par le système d’IA à haut risque au cours de son cycle de vie, et sur le développement économe en énergie de modèles d’IA à usage général. Lors de la préparation d’une demande de normalisation, la Commission consulte le Comité IA et les parties prenantes concernées, y compris le forum consultatif. Lorsqu’elle présente une demande de normalisation aux organisations européennes de normalisation, la Commission précise que les normes doivent être claires, cohérentes, y compris avec les normes développées dans les différents secteurs pour les produits relevant de la législation d’harmonisation de l’Union existante dont la liste figure à l’annexe I, et visant à veiller à ce que les systèmes d’IA à haut risque ou les modèles d’IA à usage général mis sur le marché ou mis en service dans l’Union satisfont aux exigences ou obligations pertinentes énoncées dans le présent règlement. La Commission demande aux organisations européennes de normalisation de fournir la preuve qu’elles mettent tout en œuvre pour atteindre les objectifs visés aux premier et deuxième alinéas du présent paragraphe, conformément à l’article 24 du règlement (UE) no 1025/2012. Les participants au processus de normalisation s’efforcent de favoriser les investissements et l’innovation dans le domaine de l’IA, y compris en renforçant la sécurité juridique, ainsi que la compétitivité et la croissance du marché de l’Union, de contribuer à renforcer la coopération mondiale en faveur d’une normalisation en tenant compte des normes internationales existantes dans le domaine de l’IA qui sont conformes aux valeurs et aux intérêts de l’Union et aux droits fondamentaux, et de renforcer la gouvernance multipartite en veillant à une représentation équilibrée des intérêts et à la participation effective de toutes les parties prenantes concernées conformément aux articles 5, 6 et 7 du règlement (UE) no 1025/2012.

Interprétation opérationnelle :
La Commission doit, sans retard injustifié, soumettre des demandes de normalisation détaillées (exigences, livrables de déclaration, documentation, éco‑efficacité énergétique) aux organismes de normalisation européens, tout en s’assurant que les normes sont claires, cohérentes et compatibles avec les standards sectoriels existants. Les acteurs de la normalisation doivent veiller à ce que les normes harmonisées permettent de présumer la conformité des IA à haut risque ou des modèles d’IA à usage général, à garantir la transparence des processus et à soutenir l’éco‑efficacité énergétique.

Mots-clés : normes harmonisées IA à haut risque modèles d'IA à usage général conformité présumée demande de normalisation éco‑efficacité énergétique gouvernance multipartite

Références croisées : Règlement (UE) no 1025/2012 Article 10 Article 24 Annexe I

Gravité : 4/5
Un non‑respect empêche la présomption de conformité, bloque l’accès au marché et expose à des sanctions financières et réputationnelles, ce qui constitue un impact élevé.

Probabilité : 3/5
La disponibilité et l’adoption de normes harmonisées varient selon les acteurs; le risque d’absence de conformité est modéré.

Détectabilité : 4/5
La non‑conformité se détecte surtout par audits de documentation et vérification de normes, ce qui rend la détection difficile sans contrôle formel.

Score inhérent : 48 Élevé (Orange)

Texte original :
Les systèmes d'IA à haut risque ou les modèles d'IA à usage général conformes aux spécifications communes visées au paragraphe 1, ou à des parties de ces spécifications, sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant pour se conformer aux obligations visées au chapitre V, sections 2 et 3, dans la mesure où ces exigences ou obligations sont couvertes par ces spécifications communes. Lorsqu'un fournisseur ne respecte pas les spécifications communes, il doit justifier avoir adopté des solutions techniques satisfaisant aux exigences de la section 2 ou du chapitre V à un niveau au moins équivalent.

Interprétation opérationnelle :
Le fournisseur doit vérifier que son système ou modèle respecte les spécifications communes; s'il ne le fait pas, il doit démontrer qu'il a mis en place des solutions techniques équivalentes répondant aux exigences de la section 2 ou du chapitre V.

Mots-clés : spécifications communes IA à haut risque modèles d'IA à usage général conformité obligations solutions techniques équivalentes

Références croisées : Règlement (UE) n° 1025/2012 Article 10 paragraphe 1 Article 67 Article 98 paragraphe 2 Article 22

Gravité : 4/5
Impact élevé sur la sécurité, la protection des droits fondamentaux et la confiance du public en cas de non‑conformité.

Probabilité : 3/5
Probabilité modérée de non‑conformité en raison de la complexité des spécifications et de la variabilité des solutions techniques.

Détectabilité : 4/5
Détection difficile sans audits formels ou contrôles techniques approfondis.

Score inhérent : 48 Élevé (Orange)

Texte original :
1. Les systèmes d’IA à haut risque qui ont été entraînés et testés avec des données tenant compte du cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel ils sont destinés à être utilisés sont présumés conformes aux exigences pertinentes établies à l’article 10, paragraphe 4. 2. Les systèmes d’IA à haut risque qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d’un schéma de cybersécurité conformément au règlement (UE) 2019/881 et dont les références ont été publiées au Journal officiel de l’Union européenne sont présumés conformes aux exigences de cybersécurité énoncées à l’article 15 du présent règlement, dans la mesure où ces dernières sont couvertes par tout ou partie du certificat de cybersécurité ou de la déclaration de conformité.

Interprétation opérationnelle :
Les systèmes d’IA à haut risque sont réputés conformes s’ils utilisent des données pertinentes au contexte d’usage ou s’ils disposent d’un certificat/ déclaration de conformité cybersécurité couvrant les exigences de l’article 15.

Mots-clés : IA à haut risque conformité présumée données contextuelles certification cybersécurité déclaration de conformité

Références croisées : règlement (UE) 2019/881 article 15 du présent règlement

Gravité : 4/5
Impacts juridiques, réputationnels et de sécurité potentiellement graves si le système n'est pas conforme.

Probabilité : 2/5
La présomption de conformité réduit la probabilité d'erreur, la conformité est clairement définie.

Détectabilité : 3/5
La conformité se vérifie via documents et certificats, détectable lors d'audits mais pas en temps réel.

Score inhérent : 24 Moyen (Jaune)

Texte original :
Le fournisseur doit appliquer une procédure d'évaluation de conformité, soit le contrôle interne (annexe VI), soit l'évaluation avec organisme notifié (annexe VII), selon les conditions décrites.

Interprétation opérationnelle :
Le fournisseur doit choisir et suivre une procédure d'évaluation de conformité adaptée, en fonction de l'existence de normes harmonisées ou de spécifications communes, et, le cas échéant, impliquer un organisme notifié.

Mots-clés : IA à haut risque procédure d'évaluation normes harmonisées organisme notifié contrôle interne

Références croisées : Article 40 Article 41 Annexe VI Annexe VII

Gravité : 5/5
Impacts potentiels sur la santé, la sécurité, les droits fondamentaux et l'environnement, avec des conséquences graves et généralisées.

Probabilité : 3/5
Risque modéré : le non‑respect de la procédure d'évaluation est possible, surtout en l'absence de contrôle interne rigoureux.

Détectabilité : 4/5
La non‑conformité est difficile à détecter sans audit ou vérification documentaire, donc peu visible en pratique quotidienne.

Score inhérent : 60 Élevé (Orange)

Texte original :
Les certificats délivrés par les organismes notifiés conformément à l’annexe VII sont établis dans une langue aisément compréhensible par les autorités compétentes de l’État membre dans lequel l’organisme notifié est établi. Les certificats sont valables pendant la période indiquée sur ceux-ci, qui n’excède pas cinq ans pour les systèmes d’IA relevant de l’annexe I, et quatre ans pour les systèmes d’IA relevant de l’annexe III. À la demande du fournisseur, la durée de validité d’un certificat peut être prolongée d’une durée maximale de cinq ans à chaque fois pour les systèmes d’IA relevant de l’annexe I, et de quatre ans pour les systèmes d’IA relevant de l’annexe III, sur la base d’une nouvelle évaluation selon les procédures d’évaluation de la conformité applicables. Tout document complémentaire à un certificat reste valable, à condition que le certificat qu’il complète le soit. Lorsqu’un organisme notifié constate qu’un système d’IA ne répond plus aux exigences énoncées à la section 2, il suspend ou retire le certificat délivré ou l’assortit de restrictions, en tenant compte du principe de proportionnalité, sauf si le fournisseur applique, en vue du respect de ces exigences, des mesures correctives appropriées dans le délai imparti à cet effet par l’organisme notifié. L’organisme notifié motive sa décision. Une procédure de recours contre les décisions des organismes notifiés, y compris concernant des certificats de conformité délivrés, est disponible.

Interprétation opérationnelle :
Les organismes notifiés doivent délivrer des certificats de conformité aux systèmes d'IA dans une langue compréhensible par les autorités compétentes du pays où ils sont établis, les certificats étant valables jusqu’à 5 ans (annexe I) ou 4 ans (annexe III). La validité peut être prolongée de 5 ans (annexe I) ou 4 ans (annexe III) sur demande du fournisseur après nouvelle évaluation. Tout document complémentaire reste valable tant que le certificat principal l’est. Si le système d’IA ne respecte plus les exigences, l’organisme notifié peut suspendre, retirer ou restreindre le certificat, sous condition que le fournisseur applique des mesures correctives dans le délai imparti, et doit justifier sa décision. Une procédure de recours est prévue.

Mots-clés : certificat organisme notifié validité prolongation suspension retrait restriction procédure de recours exigences IA annexe I annexe III langue autorités compétentes

Références croisées : Annexe VII section 2 procédure de recours

Gravité : 3/5
Un certificat non valide ou suspendu empêche le déploiement du système d'IA sur le marché, entraîne des sanctions et des pertes d'opportunités, mais n’implique pas de danger physique direct.

Probabilité : 2/5
Les exigences sont clairement définies, les organismes notifiés sont surveillés, la probabilité d’erreur est modérée mais pas très élevée.

Détectabilité : 2/5
La validité du certificat, les dates d'expiration et les restrictions sont visibles et contrôlables via les registres de l’organisme notifié, donc détectables sans audit spécialisé.

Score inhérent : 12 Moyen (Jaune)

Texte original :
1. Les organismes notifiés communiquent à l’autorité notifiante: a) tout certificat d’évaluation UE de la documentation technique, tout document complémentaire afférent à ce certificat, et toute approbation d’un système de gestion de la qualité délivrée conformément aux exigences de l’annexe VII; b) tout refus, restriction, suspension ou retrait d’un certificat d’évaluation UE de la documentation technique ou d’une approbation d’un système de gestion de la qualité délivrée conformément aux exigences de l’annexe VII; c) toute circonstance ayant une incidence sur la portée ou les conditions de la notification; d) toute demande d’information reçue des autorités de surveillance du marché concernant les activités d’évaluation de la conformité; e) sur demande, les activités d’évaluation de la conformité réalisées dans le cadre de leur notification et toute autre activité réalisée, y compris les activités transfrontières et sous-traitées. 2. Chaque organisme notifié porte à la connaissance des autres organismes notifiés: a) les approbations de systèmes de gestion de la qualité qu’il a refusées, suspendues ou retirées et, sur demande, les approbations qu’il a délivrées; b) les certificats d’évaluation UE de la documentation technique ou les documents complémentaires y afférents qu’il a refusés, retirés, suspendus ou soumis à d’autres restrictions et, sur demande, les certificats et/ou documents complémentaires y afférents qu’il a délivrés. 3. Chaque organisme notifié fournit aux autres organismes notifiés qui accomplissent des activités similaires d’évaluation de la conformité portant sur les mêmes types de systèmes d’IA des informations pertinentes sur les aspects liés à des résultats négatifs et, sur demande, à des résultats positifs d’évaluation de la conformité. 4. Les autorités notifiantes garantissent la confidentialité des informations qu’elles obtiennent conformément à l’article 78.

Interprétation opérationnelle :
Les organismes notifiés doivent, sur demande de l’autorité notifiante ou des autres organismes notifiés, transmettre l’ensemble des certificats d’évaluation UE, les documents complémentaires, les approbations ou refus de systèmes de gestion de la qualité, ainsi que toute information relative à la portée ou aux conditions de la notification, les réponses aux demandes d’autorités de surveillance du marché et leurs propres activités d’évaluation (y compris les opérations transfrontalières et sous‑traitance).

Mots-clés : organisme notifié autorité notifiante certificat d’évaluation UE système de gestion de la qualité refus restriction suspension retrait incidence demande d’information confidentialité

Références croisées : Article 78 (confidentialité) Annexe VII (exigences de documentation)

Gravité : 4/5
Une non-communication peut entraîner des sanctions administratives, la perte de confiance des autorités et des partenaires, et compromettre la chaîne d'approvisionnement de conformité.

Probabilité : 3/5
Les processus internes varient, et la dépendance à des demandes externes rend la conformité variable.

Détectabilité : 4/5
L'absence de reporting n'est visible que lors d'un audit ou d'une inspection, ce qui la rend difficile à détecter quotidiennement.

Score inhérent : 48 Moyen (Jaune)

Texte original :
Par dérogation à l’article 43, toute autorité de surveillance du marché peut, sur demande dûment justifiée, autoriser la mise sur le marché ou la mise en service de systèmes d’IA à haut risque spécifiques pour des raisons exceptionnelles de sécurité publique, de protection de la vie et de la santé humaines, de l’environnement ou de la protection d’actifs industriels et d’infrastructures d’importance majeure, pendant la durée des procédures d’évaluation de la conformité, sans retard injustifié. En situation d’urgence justifiée, les autorités répressives ou de protection civile peuvent mettre en service le système sans autorisation préalable, à condition de demander l’autisation sans retard après utilisation et de cesser immédiatement l’usage si l’autorisation est refusée. L’autorisation n’est délivrée que si le système satisfait les exigences de la section 2. L’autorité informe la Commission et les États membres de toute autorisation, et aucune objection dans 15 jours civils rend l’autorisation réputée justifiée. En cas d’objection, la Commission consulte et décide ; si l’autorisation est jugée injustifiée, elle est retirée. Les dérogations de la législation d’harmonisation de l’Union s’appliquent uniquement.

Interprétation opérationnelle :
L’opérateur doit soumettre une demande justifiée à l’autorité de surveillance du marché pour obtenir une autorisation temporaire d’utilisation ou de mise sur le marché d’un système d’IA à haut risque, justifiant une exception de sécurité publique, santé, environnement ou actifs critiques. Cette autorisation est valable pendant les évaluations de conformité, sans retard. En cas d’urgence, le système peut être mis en service immédiatement, avec obligation de demander l’autorisation post‑utilisation et de cesser immédiatement si l’autorisation est refusée. L’autorité vérifie la conformité aux exigences de la section 2, informe la Commission et les États membres, et la décision est réputée justifiée si aucune objection n’est formulée dans les 15 jours civils.

Mots-clés : dérogation autorisation sécurité publique urgence IA à haut risque conformité section 2 Commission États membres objection refus retrait

Références croisées : article 43 section 2 annexe I

Gravité : 5/5
Potentiel de graves conséquences sur la sécurité publique, la santé, l’environnement ou les actifs critiques si un système d’IA non conforme est déployé.

Probabilité : 3/5
Bien que la procédure impose une demande justifiée, l’existence d’une procédure d’urgence crée un risque de non‑conformité ou de mauvaise utilisation, surtout dans des contextes critiques.

Détectabilité : 4/5
La nature temporaire et l’absence de suivi continu rendent la violation difficile à détecter sans audits spécifiques ou surveillance proactive.

Score inhérent : 60 Élevé (Orange)

Texte original :
Le fournisseur établit une déclaration UE de conformité écrite, lisible par machine, signée à la main ou électroniquement concernant chaque système d’IA à haut risque et la tient à la disposition des autorités nationales compétentes pendant une durée de dix ans à partir du moment où le système d’IA à haut risque a été mis sur le marché ou mis en service. La déclaration UE de conformité identifie le système d’IA à haut risque pour lequel elle a été établie. Une copie de la déclaration UE de conformité est communiquée, sur demande, aux autorités nationales compétentes concernées.

Interprétation opérationnelle :
Le fournisseur doit créer, signer et mettre à disposition une déclaration conforme, traduite, valable 10 ans, et la tenir à jour.

Mots-clés : Déclaration UE de conformité IA à haut risque Obligation de tenue à disposition Durée 10 ans Responsabilité du fournisseur Annexe V

Références croisées : Règlement UE sur l'IA Article 97 Annexe V

Gravité : 3/5
Non-conformité pouvant entraîner des sanctions, retrait du marché et atteinte à la réputation

Probabilité : 2/5
Le processus de rédaction est clairement défini, mais la mise en œuvre varie selon les organisations

Détectabilité : 4/5
La déclaration n’est pas toujours visible sans audit documentaire, ce qui la rend difficile à détecter sans contrôle dédié

Score inhérent : 24 Moyen (Jaune)

Texte original :
Le marquage CE est soumis aux principes généraux de l’article 30 du règlement (CE) no 765/2008. Pour les systèmes d’IA à haut risque fournis numériquement, le marquage CE numérique n’est utilisé que s’il est facile d’y accéder par l’interface ou un code machine‑lisible. Le marquage doit être visible, lisible, indélébile sur le système, sinon sur l’emballage ou les documents d’accompagnement. Il doit être suivi du numéro d’identification de l’organisme notifié et indiqué dans les documents publicitaires. Si le système est soumis à d’autres actes législatifs prévoyant le marquage CE, celui‑ci indique la conformité à ces exigences.

Interprétation opérationnelle :
Le fournisseur doit garantir que le marquage CE est clairement visible, lisible et indélébile sur le système d’IA à haut risque, ou sur son emballage/document d’accompagnement si impossible. Il doit offrir un accès numérique simple (interface ou code machine‑lisible) pour le marquage CE et apposer le numéro de l’organisme notifié, le mentionner dans toute publicité affirmant la conformité.

Mots-clés : marquage CE système d'IA à haut risque accessibilité numérique numéro organisme notifié publicité conformité réglementaire

Références croisées : Règlement (CE) no 765/2008 article 30 Article 43 du règlement (CE) no 765/2008 Autres actes législatifs de l’Union

Gravité : 4/5
Impact potentiel : interdiction de mise sur le marché, sanctions financières, perte de confiance des clients et responsabilité juridique.

Probabilité : 3/5
Les exigences de visibilité, d’indélébilité et d’accès numérique sont souvent mal appliquées, surtout dans les implémentations numériques.

Détectabilité : 2/5
Le non‑respect se constate aisément lors d’audits de conformité ou d’inspections de marché.

Score inhérent : 24 Moyen (Jaune)

Texte original :
Avant de mettre sur le marché ou de mettre en service un système d’IA à haut risque... le fournisseur ou le mandataire s’enregistre dans la base de données de l’UE visée à l’article 71 et y enregistre aussi son système. Avant de mettre sur le marché ou de mettre en service un système d’IA... le fournisseur ou le mandataire s’enregistre... Avant de mettre en service ou d’utiliser un système d’IA à haut risque... les déployeurs qui sont des autorités publiques... s’enregistrent, sélectionnent le système et enregistrent son utilisation. Pour les systèmes d’IA à haut risque visés à l’annexe III, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l’asile et de la gestion des contrôles aux frontières, l’enregistrement... figure dans une section sécurisée non publique...

Interprétation opérationnelle :
Le fournisseur ou son mandataire doit s’inscrire dans la base de données UE et y déclarer le système avant toute mise sur le marché ou mise en service. Les autorités publiques doivent, quant à elles, s’enregistrer, sélectionner le système et consigner son utilisation dans la base de données, avec des informations limitées réservées à une section sécurisée.

Mots-clés : enregistrement base de données UE IA à haut risque conformité déploiement autorités publiques

Références croisées : Article 71 Annexe III Annexe VIII Annexe IX Article 74

Gravité : 4/5
Absence d'enregistrement empêche la mise sur le marché, expose à des sanctions administratives et nuit à la confiance des utilisateurs.

Probabilité : 3/5
Le processus d'enregistrement n'est pas toujours intégré aux flux de mise sur le marché, surtout pour les petits fournisseurs.

Détectabilité : 1/5
La non‑enregistrement se constate lors des contrôles de conformité ou des audits de la base de données.

Score inhérent : 12 Moyen (Jaune)

Texte original :
Un fournisseur doit documenter son évaluation pour déterminer si un système d’IA visé à l’annexe III est à haut risque, et s’il n’est pas à haut risque, il doit enregistrer le système conformément à l’article 49, paragraphe 2, et fournir la documentation aux autorités sur demande avant la mise sur le marché ou la mise en service.

Interprétation opérationnelle :
Le fournisseur doit réaliser une évaluation écrite, la documenter, la conserver et la mettre à disposition des autorités nationales lorsqu’elles le demandent, avant la mise sur le marché ou la mise en service du système.

Mots-clés : IA à haut risque évaluation de conformité enregistrement documentation obligation de preuve Annexe III exigences de sécurité responsabilité du fournisseur

Références croisées : Article 49, paragraphe 2 Article 96 Article 97

Gravité : 4/5
Non-respect entraîne des amendes potentiellement élevées, la suspension du marché, et des dommages à la réputation.

Probabilité : 3/5
La complexité de l’évaluation et le manque de sensibilisation augmentent la probabilité d’omission.

Détectabilité : 4/5
L’absence d’évaluation documentée n’est pas visible sans audit externe, donc détectabilité faible.

Score inhérent : 48 Élevé (Orange)