Article 23 — Obligations des importateurs (Règlement IA de l'UE)

Article 23 du Règlement (UE) 2024/1689 — Obligations des importateurs. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'Article 23 du Règlement (UE) 2024/1689 (le Règlement IA de l'UE) établit les obligations de conformité incombant aux importateurs de systèmes d'IA à haut risque. Cet article s'inscrit dans le Titre III, Chapitre 3, qui régit les obligations des fournisseurs, des déployeurs, des importateurs et des distributeurs.

En vertu de l'Article 23, avant de mettre sur le marché un système d'IA à haut risque, un importateur doit vérifier que :

1. la procédure d'évaluation de la conformité applicable a été réalisée par le fournisseur ;
2. le fournisseur a établi la documentation technique requise par l'Annex IV ;
3. le système porte le marquage CE requis et est accompagné de la Déclaration de conformité UE et des instructions d'utilisation ;
4. le fournisseur a désigné un représentant autorisé dans l'Union conformément à l'Article 22.

Lorsqu'un importateur a des raisons de croire qu'un système n'est pas conforme au Règlement, il lui est interdit de le mettre sur le marché tant que la conformité n'est pas établie. Si le système présente un risque inacceptable au sens de l'Article 6, l'importateur doit en informer le fournisseur, le représentant autorisé et les autorités de surveillance du marché compétentes.

Les importateurs doivent également veiller à ce que, pendant la période où un système d'IA à haut risque relève de leur responsabilité, les conditions de stockage et de transport ne compromettent pas sa conformité. Ils doivent indiquer leur nom, leur raison sociale ou leur marque, ainsi que leur adresse postale sur le système ou son emballage. Enfin, les importateurs doivent conserver une copie de la Déclaration de conformité UE et de la documentation technique pendant dix ans et coopérer pleinement avec les autorités compétentes.

Signification pratique

L'Article 23 a des implications directes et concrètes pour toute entité établie dans l'UE qui se procure et met sur le marché européen un système d'IA à haut risque développé par un fournisseur établi hors de l'Union.

Qui est concerné. Un distributeur européen qui importe un outil d'IA à haut risque pour le recrutement développé par une entreprise logicielle américaine est un importateur au sens de cet article. De même, une filiale européenne qui met sur le marché européen un système d'IA de diagnostic médical à haut risque de sa société mère (d'un pays tiers) sera traitée comme un importateur et supportera les obligations décrites ci-dessous. En revanche, si le fournisseur non établi dans l'UE désigne un représentant autorisé agissant en son nom, le rôle d'importateur et les obligations associées demeurent distincts du rôle de ce représentant.

Quelles actions sont requises avant la mise sur le marché. Les importateurs doivent effectuer un examen de diligence raisonnable du dossier de conformité du fournisseur : ils doivent confirmer que l'évaluation de la conformité est complète, examiner la Déclaration de conformité, vérifier le marquage CE et s'assurer que la documentation technique (Annex IV) existe et est accessible. Il ne s'agit pas d'un simple exercice de cocher des cases — si la documentation est manquante ou s'il existe des motifs sérieux de douter de la conformité, l'importateur doit interrompre le processus.

Obligations continues. Une fois le système mis sur le marché, les importateurs doivent conserver leur propre copie de la déclaration et de la documentation pendant dix ans, apposer leurs coordonnées sur le système ou l'emballage, et signaler les incidents graves ou les non-conformités aux autorités de surveillance du marché. Ils doivent également coopérer avec toute surveillance post-commercialisation ou enquête demandée par les autorités nationales, et s'assurer qu'aucune opération de stockage ou de logistique ne dégrade les propriétés de conformité du système.

Exemple pratique : un importateur européen de technologies de santé qui introduit un système d'IA de triage d'un pays tiers inscrit à l'Annex III doit effectuer l'examen complet de la documentation, confirmer le marquage CE, étiqueter le produit avec son adresse européenne et conserver les dossiers pendant dix ans — avant même d'approcher un seul hôpital en tant que client.

Obligations clés

• Vérification de la conformité avant la mise sur le marché. Confirmer que le fournisseur a achevé la procédure d'évaluation de la conformité applicable au titre de l'Article 43 et que toute la documentation requise — dossier technique (Annex IV) et Déclaration de conformité UE — est disponible et à jour.
• Vérification du marquage CE et de l'étiquetage. Vérifier que le système d'IA à haut risque porte un marquage CE valide et que le nom, la marque commerciale ou la marque de l'importateur, ainsi que son adresse postale, figurent sur le système, son emballage ou la documentation qui l'accompagne.
• Interdiction de mise sur le marché de systèmes non conformes. S'abstenir de mettre sur le marché tout système d'IA à haut risque s'il existe des motifs raisonnables de croire qu'il n'est pas conforme au Règlement ou présente un risque inacceptable ; en informer le fournisseur, le représentant autorisé et les autorités de surveillance du marché compétentes.
• Conservation de la documentation. Conserver des copies de la Déclaration de conformité UE et de la documentation technique pendant dix ans à compter de la date de mise sur le marché ou de mise en service, et les mettre à la disposition des autorités compétentes sur demande.
• Signalement des incidents et des non-conformités. Informer immédiatement les autorités nationales de surveillance du marché et le fournisseur si un système déjà mis sur le marché s'avère non conforme ou présente un risque, et coopérer à toute mesure corrective ou enquête requise.
• Préservation des conditions de conformité. S'assurer que les conditions de stockage, de manutention et de transport relevant de la responsabilité de l'importateur ne compromettent pas la conformité du système d'IA à haut risque avec les exigences énoncées au Chapitre 2 du Titre III.

Lien avec d'autres articles

L'Article 23 ne peut être lu isolément. Il est étroitement lié à l'Article 16 (Obligations des fournisseurs), qui définit les obligations de conformité fondamentales dont l'importateur vérifie le respect avant la mise sur le marché. L'Article 22 (Représentants autorisés) est directement référencé : l'importateur doit confirmer qu'un tel représentant a été désigné, ce qui distingue le rôle de l'importateur de celui du représentant. L'Article 43 (Évaluation de la conformité) définit les procédures dont l'importateur doit vérifier l'achèvement.

Sur le plan documentaire, l'Annex IV précise la documentation technique dont l'importateur doit vérifier l'existence, et l'Article 47 régit la Déclaration de conformité UE qui doit accompagner le système. Pour les obligations post-commercialisation, l'Article 72 (Surveillance post-commercialisation) et l'Article 73 (Signalement des incidents graves) fournissent le cadre dans lequel s'inscrivent les obligations de signalement de l'importateur. L'Article 25 (Obligations des distributeurs) est la disposition complémentaire naturelle, précisant comment les obligations diffèrent une fois que le système remonte la chaîne d'approvisionnement au-delà de l'importateur.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel. Ses dispositions s'appliquent toutefois de manière progressive :

• 2 février 2025 — Les interdictions relatives aux pratiques d'IA présentant un risque inacceptable (Titre II, Article 5) sont devenues applicables. Les importateurs ne sont pas directement concernés par ces interdictions, mais doivent savoir que les systèmes qu'ils importent ne peuvent pas relever de ces catégories.
• 2 août 2025 — Les dispositions relatives aux modèles d'IA à usage général (Titre VIII) et aux structures de gouvernance sont devenues applicables. L'Article 23 ne régit pas directement les modèles d'IA à usage général.
• 2 décembre 2027 — Les obligations relatives aux systèmes d'IA à haut risque au titre du Titre III, y compris l'Article 23, deviennent pleinement applicables aux systèmes couverts par l'Annex III (la principale catégorie de systèmes d'IA à haut risque). Les importateurs de ces systèmes doivent être en pleine conformité à cette date.
• 2 août 2027 — Délai prolongé pour les systèmes d'IA à haut risque couverts par l'Annex I (composants de sécurité relevant de la législation d'harmonisation de l'Union existante) qui avaient déjà été mis sur le marché avant le 2 août 2028.

Les importateurs devraient considérer le 2 décembre 2027 comme la date limite impérative pour établir leurs processus de diligence raisonnable et de documentation pour tous les systèmes d'IA à haut risque relevant de l'Annex III qui se trouvent actuellement dans leur chaîne d'approvisionnement.