Article 33 — Filiales des organismes notifiés et sous-traitance (règlement IA de l'UE)

Article 33 du règlement (UE) 2024/1689 — Filiales des organismes notifiés et sous-traitance. Texte officiel, interprétation pratique, obligations essentielles et implications en matière de conformité.

Résumé du texte officiel

L'article 33 du règlement (UE) 2024/1689 régit les conditions dans lesquelles les organismes notifiés peuvent déléguer des activités d'évaluation de la conformité à des filiales ou à des sous-traitants externes. L'article établit qu'un organisme notifié souhaitant sous-traiter des tâches spécifiques d'évaluation de la conformité ou recourir à une filiale pour s'acquitter de ces tâches doit d'abord obtenir le consentement du client à cet arrangement.

Lorsque des arrangements de sous-traitance ou de filiales sont utilisés, l'organisme notifié est tenu de s'assurer que le sous-traitant ou la filiale satisfait aux mêmes exigences établies pour les organismes notifiés en ce qui concerne les tâches spécifiques faisant l'objet de la délégation. Cette obligation est le reflet des exigences en matière de qualification, d'impartialité et de fonctionnement énoncées ailleurs au chapitre 4 du titre III.

De manière cruciale, l'article 33 attribue sans ambiguïté la responsabilité à l'organisme notifié : celui-ci doit assumer l'entière responsabilité des travaux effectués par les sous-traitants et les filiales, quel que soit le lieu d'établissement de ces entités — que ce soit au sein de l'UE ou dans un pays tiers. L'organisme notifié est également tenu de tenir à la disposition de son autorité notifiante toute la documentation pertinente concernant l'évaluation des qualifications du sous-traitant ou de la filiale et les travaux effectués par ces entités dans le cadre de la délégation.

Cet article garantit que la délégation des tâches d'évaluation de la conformité ne peut être utilisée pour contourner les exigences strictes que les organismes notifiés eux-mêmes doivent satisfaire, et que la responsabilité demeure concentrée au niveau de l'organisme formellement désigné par l'autorité notifiante.

Ce que cela signifie en pratique

L'article 33 affecte directement les organismes notifiés opérant au titre du règlement IA de l'UE, leurs sociétés mères, leurs filiales, ainsi que tout prestataire de services tiers qu'ils engagent pour effectuer des parties des travaux d'évaluation de la conformité pour les systèmes d'IA à haut risque.

Pour un organisme notifié cherchant à développer ses opérations ou à tirer parti d'une expertise spécialisée, la sous-traitance et le recours à des filiales offrent une flexibilité opérationnelle — mais cette flexibilité s'accompagne d'exigences strictes en matière de responsabilité. Avant d'engager un sous-traitant, l'organisme notifié doit vérifier que le sous-traitant satisfait aux exigences de qualification pertinentes applicables aux organismes notifiés pour ces tâches spécifiques. Un contrat fournisseur général est insuffisant ; une évaluation substantielle de la conformité des compétences et de l'indépendance du sous-traitant doit être effectuée et documentée.

Le client de l'évaluation de la conformité — généralement le fournisseur du système d'IA à haut risque — doit consentir explicitement à tout arrangement de sous-traitance. En pratique, cela signifie que les accords contractuels pour les services d'évaluation de la conformité doivent traiter la sous-traitance dès le départ, en précisant si le consentement est accordé de manière générale ou doit être demandé au cas par cas.

Pour les fournisseurs de systèmes d'IA soumis à une évaluation de la conformité par tierce partie, l'article 33 confère un droit à la transparence : ils doivent savoir qui effectue l'évaluation et avoir la possibilité de s'y opposer. Les fournisseurs devraient inclure des clauses de divulgation de la sous-traitance dans leurs accords avec les organismes notifiés et vérifier que les sous-traitants engagés sont dûment qualifiés.

Pour les organismes notifiés ayant des structures de groupe internationales, l'article 33 est particulièrement pertinent : les travaux effectués par une filiale non européenne pour le compte de l'organisme notifié entrent dans le champ d'application, et l'organisme notifié établi dans l'UE demeure responsable de la qualité et de la conformité de ces travaux.

Obligations essentielles

• Consentement préalable du client : L'organisme notifié doit obtenir le consentement explicite du client de l'évaluation de la conformité avant de sous-traiter une tâche ou de recourir à une filiale pour effectuer des activités d'évaluation de la conformité.
• Équivalence des exigences : Les sous-traitants et les filiales doivent satisfaire aux mêmes exigences que celles applicables à l'organisme notifié lui-même pour les tâches spécifiques d'évaluation de la conformité faisant l'objet de la délégation, y compris en ce qui concerne la compétence, l'impartialité et les normes opérationnelles.
• Responsabilité intégrale conservée : L'organisme notifié conserve l'entière responsabilité juridique et réglementaire pour tous les travaux effectués par les sous-traitants et les filiales ; cette responsabilité ne peut être transférée, déléguée ou exclue contractuellement.
• Notification à l'autorité notifiante : L'organisme notifié doit informer son autorité notifiante des arrangements de sous-traitance et des activités des filiales, et doit rendre disponible toute la documentation pertinente concernant les qualifications des sous-traitants et les travaux qu'ils ont effectués.
• Documentation et tenue de registres : L'organisme notifié doit conserver des registres complets des évaluations des qualifications des sous-traitants et des résultats des tâches d'évaluation de la conformité déléguées, disponibles auprès de l'autorité notifiante sur demande.
• Portée géographique : Les obligations s'appliquent que le sous-traitant ou la filiale soit établi au sein de l'Union européenne ou dans un pays tiers.

Relation avec d'autres articles

L'article 33 doit être lu en étroite relation avec le cadre plus large applicable aux organismes notifiés établi au chapitre 4 du titre III. L'article 28 (Organismes notifiés) définit les exigences substantielles — notamment en matière de compétence, d'indépendance et d'impartialité — que les sous-traitants et les filiales doivent satisfaire au titre de l'article 33. L'article 29 (Indépendance des organismes notifiés) est tout aussi pertinent, dans la mesure où les arrangements de sous-traitance ne doivent pas compromettre l'impartialité du processus d'évaluation de la conformité. Les articles 30 et 31 régissent le processus de notification et de désignation des organismes notifiés et définissent les normes qu'un organisme doit respecter pour être habilité à effectuer des tâches d'évaluation de la conformité.

L'article 43 (Procédures d'évaluation de la conformité pour les systèmes d'IA à haut risque) définit le champ des activités d'évaluation de la conformité que les organismes notifiés sont appelés à réaliser, et donc les activités auxquelles s'appliquent les règles de sous-traitance de l'article 33. L'article 74 (Surveillance du marché) est également pertinent, car les autorités de surveillance du marché peuvent examiner si les organismes notifiés et leurs sous-traitants ont respecté les obligations de l'article 33 lors de l'examen des manquements à la conformité.

Calendrier de conformité

Le règlement IA de l'UE (règlement 2024/1689) est entré en vigueur le 1er août 2024. L'article 33, en tant que partie du cadre régissant les organismes notifiés et leurs exigences opérationnelles, est soumis au calendrier général d'application progressive :

• 1er août 2024 : Entrée en vigueur. Le règlement devient contraignant en droit de l'UE.
• 2 février 2025 : Les interdictions relatives aux pratiques d'IA présentant un risque inacceptable s'appliquent (titre II).
• 2 août 2025 : Les règles relatives aux modèles d'IA à usage général (titre VIII) et les dispositions de gouvernance commencent à s'appliquer.
• 2 décembre 2026 : Le cadre d'évaluation de la conformité — y compris les règles relatives aux organismes notifiés au titre du titre III, chapitre 4, et donc l'article 33 — s'applique aux systèmes d'IA à haut risque figurant à l'annexe I (systèmes de sécurité composants réglementés par la législation d'harmonisation de l'Union).
• 2 août 2027 : Application intégrale des obligations d'évaluation de la conformité pour les systèmes d'IA à haut risque figurant à l'annexe III, y compris les exigences opérationnelles prévues à l'article 33 pour la sous-traitance et le recours à des filiales.

Les organismes notifiés qui cherchent à être désignés au titre du règlement IA de l'UE devraient traiter la conformité à l'article 33 comme faisant partie de leur état de préparation à la désignation initiale, en veillant à ce que les politiques de sous-traitance, les cadres de gouvernance des filiales et les modèles de contrats clients reflètent les exigences de l'article bien avant les dates d'application pertinentes.