Article 22 — Représentants autorisés des fournisseurs établis hors de l'Union (EU AI Act)

Article 22 du Règlement (UE) 2024/1689 — Représentants autorisés des fournisseurs établis hors de l'Union. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'Article 22 du Règlement (UE) 2024/1689 établit un mécanisme de passerelle obligatoire pour les fournisseurs de systèmes d'IA à haut risque et de modèles d'IA à usage général qui sont établis dans des pays tiers mais qui mettent ces systèmes ou modèles sur le marché de l'Union ou les mettent en service dans l'Union.

Ces fournisseurs doivent, avant de mettre leur système d'IA ou leur modèle GPAI à disposition dans l'UE, désigner — par mandat écrit — un représentant autorisé établi dans l'Union. Le mandat doit habiliter ce représentant à accomplir un ensemble défini de tâches au nom du fournisseur : vérifier que la déclaration de conformité de l'UE et la documentation technique requise ont été correctement établies ; assurer l'enregistrement dans la base de données de l'UE visée à l'Article 71 ; et agir comme point de contact unique identifiable pour le Bureau de l'IA et pour les autorités nationales compétentes dans toutes les questions relatives à la conformité avec le Règlement.

Le représentant autorisé doit être inclus dans les informations d'enregistrement obligatoires et doit avoir accès à une documentation suffisante pour lui permettre de remplir ses obligations. Le représentant opère sous un devoir continu de coopérer avec les autorités compétentes et d'alerter immédiatement le fournisseur de tout risque ou non-conformité identifié. Il est important de noter que la désignation d'un représentant autorisé ne décharge pas le fournisseur d'un pays tiers de ses propres obligations en vertu du Règlement ; les deux parties portent des responsabilités distinctes, la responsabilité du représentant découlant spécifiquement des tâches attribuées dans le mandat.

Ce que cela signifie en pratique

L'Article 22 fonctionne comme l'équivalent pour l'EU AI Act des concepts de « personne responsable » ou de « représentant autorisé » déjà familiers de la législation sur la sécurité des produits telle que le Règlement sur les dispositifs médicaux et le Règlement général sur la sécurité des produits. Son effet pratique est de s'assurer qu'une entité juridiquement identifiable avec une présence physique à l'intérieur de l'UE est toujours joignable par les régulateurs, quel que soit le lieu où le développeur du système d'IA a son siège.

Qui est concerné. Toute entreprise non établie dans l'UE — qu'il s'agisse d'un développeur de modèles de fondation basé aux États-Unis, d'une entreprise de logiciels de robotique basée à Singapour ou d'un fournisseur de technologie RH basé au Royaume-Uni — qui propose un système d'IA à haut risque ou un modèle GPAI à des clients, déployeurs ou utilisateurs de l'UE doit mettre cette structure en place. Cela inclut les entreprises qui distribuent via des revendeurs ou des places de marché cloud de l'UE : l'obligation incombe au fournisseur, pas au canal de distribution.

Ce qui doit être fait. Le fournisseur doit identifier une personne physique ou morale basée dans un État membre de l'UE, conclure un mandat écrit précisant les tâches autorisées du représentant, s'assurer que le représentant détient des copies de (ou un accès sécurisé à) la documentation technique pertinente et aux déclarations de conformité, et enregistrer les coordonnées du représentant dans la base de données de l'UE en vertu de l'Article 71.

Exemple concret. Une entreprise canadienne développant un outil de notation de crédit basé sur l'IA classé comme à haut risque en vertu de l'Annex III doit contracter un cabinet d'avocats établi dans l'UE, un cabinet de conseil en conformité ou une filiale entité juridique dédiée comme représentant autorisé avant d'intégrer toute banque de l'UE comme cliente. Le nom, l'adresse et les coordonnées de ce représentant figurent dans la base de données de l'UE et dans la documentation du produit, offrant aux autorités françaises ou allemandes de surveillance du marché un point de contact national immédiat.

Obligation continue. Le mandat n'est pas un dépôt unique. Le représentant doit rester joignable, maintenir la documentation à jour et signaler rapidement toute non-conformité identifiée au fournisseur.

Obligations clés

• Mandat écrit obligatoire. Le fournisseur doit accorder au représentant autorisé un mandat formel et écrit avant de mettre le système d'IA à haut risque ou le modèle GPAI sur le marché de l'UE, précisant explicitement quelles tâches le représentant est habilité à accomplir au nom du fournisseur.
• Exigence d'établissement dans l'UE. Le représentant autorisé doit être une personne physique ou morale établie à l'intérieur de l'Union européenne ; un représentant basé dans un pays tiers — y compris les États de l'AELE de l'EEE non couverts par un arrangement d'équivalence — ne satisfait pas à cette exigence.
• Accès à la documentation et vérification. Le représentant doit vérifier que la déclaration de conformité de l'UE et la documentation technique requise en vertu des Articles 11 et 18 ont été correctement établies, et doit conserver l'accès à ces documents pendant la durée du mandat.
• Enregistrement dans la base de données de l'UE. Le représentant est responsable de s'assurer que les informations du fournisseur — y compris ses propres coordonnées — sont enregistrées dans la base de données de l'UE visée à l'Article 71, et que l'enregistrement est tenu à jour.
• Point de contact pour les autorités. Le représentant autorisé sert de point de contact principal pour le Bureau de l'IA et les autorités nationales compétentes pour toutes les demandes de conformité, de surveillance du marché et d'application relatives au système d'IA ou au modèle GPAI dans le champ d'application.
• Devoir d'alerte et de coopération. Le représentant doit informer rapidement le fournisseur de tout risque pour la santé, la sécurité ou les droits fondamentaux ou de tout soupçon de non-conformité qui parvient à sa connaissance, et doit coopérer pleinement avec les autorités compétentes sur demande, notamment en leur fournissant de la documentation et un accès aux enregistrements.

Relation avec d'autres Articles

L'Article 22 s'inscrit dans le cadre plus large du Chapitre 3 régissant les obligations des fournisseurs et des déployeurs et doit être lu en parallèle avec plusieurs autres dispositions.

L'Article 16 énonce la liste complète des obligations s'appliquant aux fournisseurs de systèmes d'IA à haut risque ; l'Article 22 délègue effectivement l'exécution nationale de ces obligations au représentant autorisé lorsque le fournisseur est établi hors de l'UE.

Les Articles 11 et 18 définissent les obligations de documentation technique et de tenue de registres que le représentant doit vérifier avoir été remplies avant que le système soit mis sur le marché.

L'Article 71 établit la base de données de l'UE dans laquelle les coordonnées du représentant doivent être enregistrées, faisant de l'Article 22 un prérequis pour l'enregistrement légal par des fournisseurs de pays tiers.

L'Article 53 régit les obligations spécifiques aux fournisseurs de modèles d'IA à usage général ; l'Article 22 étend l'exigence de représentant autorisé à cette catégorie, renforçant ainsi que les fournisseurs GPAI hors de l'UE font face à des obligations de contrôle d'accès équivalentes.

Les Articles 74 et 75 sur la surveillance du marché sont directement servis par l'Article 22 : les autorités compétentes exercent leurs pouvoirs de surveillance à l'égard du représentant autorisé comme ancre d'application nationale lorsque le fournisseur réel est injoignable.

Calendrier de conformité

L'EU AI Act (Règlement 2024/1689) est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel. L'application est progressive :

• 2 février 2025 — Les dispositions relatives aux pratiques d'IA interdites (Article 5) sont devenues applicables. L'Article 22 ne s'applique pas encore de manière isolée à ce stade, mais les fournisseurs devraient déjà évaluer si leurs systèmes relèvent du champ d'application à haut risque ou GPAI.
• 2 août 2025 — Les obligations s'appliquant aux modèles d'IA à usage général (Titre V, y compris l'Article 53) sont devenues applicables. Étant donné que l'Article 22 couvre explicitement les fournisseurs de modèles GPAI, les fournisseurs GPAI de pays tiers doivent avoir leur représentant autorisé en place à cette date.
• 2 décembre 2027 — Les systèmes d'IA à haut risque listés à l'Annex III qui sont déjà soumis à la législation existante de l'UE sur la sécurité des produits doivent se conformer à l'ensemble de la chaîne d'obligations du fournisseur, y compris les exigences de représentant autorisé de l'Article 22.
• 2 décembre 2027 — Tous les systèmes d'IA à haut risque restants listés à l'Annex III deviennent soumis à l'ensemble complet des obligations. Les fournisseurs de pays tiers de ces systèmes qui n'ont pas encore désigné de représentant autorisé seront en violation à compter de cette date.

Les fournisseurs mettant des systèmes à haut risque sur le marché de l'UE pour la première fois après le 2 août 2024 devraient traiter l'exigence de représentant autorisé comme un prérequis d'accès au marché dès le départ, plutôt que d'attendre la date d'application pertinente pour leur catégorie de système.