Article 24 — Obligations des distributeurs (Règlement IA de l'UE)

Article 24 du Règlement (UE) 2024/1689 — Obligations des distributeurs. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'Article 24 du Règlement (UE) 2024/1689 établit les obligations incombant aux distributeurs de systèmes d'IA à haut risque au sens de l'Article 3(7). Avant de mettre un système d'IA à haut risque à disposition sur le marché, les distributeurs doivent vérifier qu'il porte le marquage de conformité CE requis, qu'il est accompagné d'une copie de la déclaration UE de conformité émise par le fournisseur, et que les instructions d'utilisation nécessaires sont fournies dans une langue aisément compréhensible par les utilisateurs de l'État membre où le système est mis à disposition.

Les distributeurs sont tenus de vérifier que le fournisseur et, le cas échéant, l'importateur ont respecté leurs obligations respectives au titre des Articles 16 et 23. Lorsqu'un distributeur a des raisons de croire qu'un système d'IA à haut risque n'est pas conforme aux exigences du Règlement, il doit s'abstenir de mettre le système à disposition jusqu'à ce que la conformité soit rétablie. Si le système présente un risque, le distributeur doit en informer le fournisseur ou l'importateur ainsi que les autorités compétentes de surveillance du marché.

Les distributeurs doivent également coopérer avec les fournisseurs, les importateurs et les autorités compétentes sur demande, et fournir toutes les informations et la documentation en leur possession nécessaires pour démontrer la conformité d'un système d'IA à haut risque. Les obligations de conservation de la documentation pertinente s'appliquent pendant une période de dix ans après la mise à disposition du système. De manière cruciale, l'article établit les conditions dans lesquelles un distributeur assume l'ensemble des obligations d'un fournisseur : lorsqu'il met un système sur le marché sous son propre nom, le modifie de manière substantielle, ou en modifie la destination prévue d'une manière qui atteint le seuil de classification à haut risque.

Ce que cela signifie en pratique

L'Article 24 affecte directement toute entreprise qui distribue des systèmes d'IA à haut risque sans les développer — les détaillants de dispositifs médicaux alimentés par l'IA, les revendeurs de systèmes biométriques basés sur l'IA, ou les opérateurs de plateformes fournissant des outils d'IA tiers à des clients d'entreprise. L'article impose un point de contrôle de diligence raisonnable avant tout acte de distribution.

Concrètement, un distributeur doit effectuer une vérification de conformité avant chaque mise sur le marché : confirmer la présence et la validité du marquage CE, obtenir et conserver une copie de la déclaration UE de conformité, et s'assurer que la documentation produit et les instructions d'utilisation sont traduites ou autrement accessibles dans la langue de l'État membre concerné. Ce ne sont pas des tâches ponctuelles — elles s'appliquent chaque fois que le système est mis à disposition.

Si un audit, une réclamation d'un client ou un examen interne fait apparaître un problème de conformité, le distributeur ne peut pas poursuivre la distribution et doit immédiatement en informer le fournisseur ou l'importateur et, si un risque pour la santé, la sécurité ou les droits fondamentaux est présent, les autorités de surveillance du marché telles que les autorités nationales en matière d'IA désignées au titre de l'Article 70.

La disposition relative à l'escalade de rôle est particulièrement significative. Un distributeur qui rebaptise un système d'IA à haut risque, effectue des modifications fonctionnelles qui altèrent les performances ou la destination prévue, ou modifie de manière substantielle le contexte de déploiement sera reclassé en tant que fournisseur. À ce moment-là, il hérite de l'ensemble des obligations au titre de l'Article 16, notamment l'évaluation de la conformité, l'enregistrement dans la base de données de l'UE, la surveillance post-commercialisation et la documentation technique. Les entreprises doivent réaliser un exercice de cartographie juridique avant de modifier tout système d'IA acquis pour déterminer si le seuil de modification est franchi.

Obligations clés

• Vérification de la conformité avant distribution : Avant de mettre un système d'IA à haut risque à disposition, confirmer que le marquage CE, la déclaration UE de conformité et les instructions d'utilisation accessibles sont tous présents et complets.
• Suspension des systèmes non conformes : S'il existe des raisons de croire qu'un système n'est pas conforme au Règlement (UE) 2024/1689, suspendre immédiatement la distribution et notifier le fournisseur, l'importateur et, lorsqu'un risque existe, l'autorité compétente de surveillance du marché.
• Coopération avec les autorités : Sur demande, fournir toutes les informations et la documentation détenues par le distributeur pour démontrer la conformité, et coopérer aux enquêtes menées par les autorités compétentes.
• Conservation de la documentation pendant dix ans : Conserver toute la documentation de conformité pertinente pendant dix ans à compter de la date à laquelle le système d'IA à haut risque a été mis à disposition sur le marché.
• Assumption des obligations de fournisseur : Lorsqu'un distributeur met un système sur le marché sous son propre nom ou sa propre marque, le modifie de manière substantielle, ou en modifie la destination prévue vers un cas d'usage à haut risque, il doit assumer toutes les obligations du fournisseur au titre de l'Article 16.
• Signalement des risques : Si un système distribué présente un risque pour la santé, la sécurité ou les droits fondamentaux, le distributeur doit immédiatement en informer le fournisseur ou l'importateur et les autorités compétentes de surveillance du marché, en fournissant des détails sur la non-conformité et toute mesure corrective prise.

Relation avec d'autres articles

L'Article 24 s'inscrit dans le Titre III, Chapitre 3, qui régit l'ensemble de la chaîne de responsabilité pour les systèmes d'IA à haut risque. Il est étroitement lié à l'Article 16 (obligations des fournisseurs), car l'Article 24 utilise à plusieurs reprises les obligations des fournisseurs comme référence de conformité que les distributeurs doivent vérifier et, dans certaines circonstances, assumer directement. L'Article 23 (obligations des importateurs) est un pendant direct : les distributeurs doivent vérifier que les importateurs ont rempli leurs propres contrôles pré-distribution. L'Article 3 fournit les définitions du distributeur, du fournisseur, de l'importateur et de la modification substantielle qui déterminent les obligations applicables.

L'Article 47 (déclaration UE de conformité) et l'Article 48 (marquage CE) définissent la documentation et le marquage que les distributeurs sont tenus de vérifier. Les Articles 72 à 74 sur la surveillance post-commercialisation et le signalement des incidents graves recoupent les obligations des distributeurs lorsqu'un risque se matérialise après la distribution. Les obligations de surveillance du marché et d'exécution au titre des Articles 74 à 83 régissent la façon dont les autorités compétentes interagissent avec les distributeurs lors des enquêtes sur les non-conformités.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 1er août 2024 (20 jours après sa publication au Journal officiel le 12 juillet 2024). Le calendrier d'application progressif est le suivant :

• 2 février 2025 — Les interdictions des pratiques d'IA présentant un risque inacceptable (Titre II, Article 5) sont devenues applicables.
• 2 août 2025 — Les obligations relatives aux modèles d'IA à usage général (Titre VIII) et les dispositions de gouvernance sont devenues applicables.
• 2 août 2026 — Les obligations de l'Article 24 s'appliquent pleinement aux distributeurs de systèmes d'IA à haut risque figurant à l'Annexe III (systèmes d'IA à haut risque autonomes dans des secteurs tels que l'éducation, l'emploi, les forces de l'ordre et l'accès aux services essentiels).
• 2 août 2027 — Les obligations de l'Article 24 s'appliquent aux distributeurs de systèmes d'IA à haut risque intégrés dans des produits régis par la législation d'harmonisation de l'Union figurant à l'Annexe I (par exemple, les machines, les dispositifs médicaux, les équipements d'aviation civile).

Les distributeurs mettant des systèmes de l'Annexe III sur le marché devraient déjà être engagés dans la préparation de la conformité, compte tenu de l'échéance du 2 août 2026. Ceux qui traitent exclusivement avec des systèmes intégrés dans des produits de l'Annexe I disposent de temps supplémentaire, mais devraient commencer sans délai la diligence raisonnable de la chaîne d'approvisionnement et les processus de documentation.