Article 36 — Modifications des notifications (Règlement IA de l'UE)

Article 36 du Règlement (UE) 2024/1689 — Modifications des notifications. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 36 du Règlement (UE) 2024/1689 (le Règlement IA de l'UE) établit les obligations applicables lorsque la situation d'un organisme notifié change après l'octroi de la notification initiale. Il s'inscrit dans le titre III, chapitre 4, qui régit le cadre des autorités notifiantes et des organismes notifiés impliqués dans l'évaluation de la conformité des systèmes d'IA à haut risque.

L'article exige que les organismes notifiés informent promptement leur autorité notifiante respective de tout changement pertinent pour leur statut de notification. Ces changements comprennent les modifications de la forme juridique ou de la propriété, les modifications de la structure organisationnelle ou du personnel clé responsable des activités d'évaluation de la conformité, les changements dans le champ technique pour lequel l'organisme a été notifié, et toute circonstance susceptible d'affecter la capacité continue de l'organisme à satisfaire aux exigences énoncées à l'article 33.

Après réception de la notification de tels changements, l'autorité notifiante doit évaluer si l'organisme notifié continue de satisfaire aux exigences applicables. Lorsque l'évaluation révèle un non-respect, l'autorité notifiante est habilitée à restreindre, suspendre ou retirer la notification, de manière proportionnelle à la gravité de la déficience constatée. L'autorité notifiante doit également tenir la Commission et les autres États membres informés par les canaux de notification établis, garantissant que des informations actualisées sont accessibles à l'échelle de l'Union. Ce mécanisme de surveillance continue vise à garantir que seuls des organismes compétents et conformes exercent des responsabilités d'évaluation de la conformité tout au long de leur période de désignation.

Ce que cela signifie en pratique

L'article 36 crée une obligation de conformité permanente et vivante pour les organismes notifiés — l'obligation de notifier ne prend pas fin au moment où un organisme reçoit sa désignation. Toute organisation détenant le statut d'organisme notifié au titre du Règlement IA de l'UE doit maintenir des processus internes capables de détecter et de faire remonter les changements significatifs de sa situation, et doit agir sur ces processus sans délai.

En pratique, un organisme notifié devrait établir des déclencheurs internes qui signalent automatiquement les changements devant être déclarés : par exemple, une fusion ou acquisition affectant la propriété, le départ d'un évaluateur principal détenant des qualifications techniques clés, l'ajout ou le retrait de catégories de systèmes d'IA du champ opérationnel de l'organisme, ou l'émergence d'un conflit d'intérêts avec un client d'évaluation de la conformité.

Les équipes de conformité des organismes notifiés devraient cartographier ces événements déclencheurs et attribuer une responsabilité interne claire pour les rapports à l'autorité notifiante. La déclaration doit être en temps opportun — et non rétrospective — ce qui signifie que les organismes ne peuvent pas attendre jusqu'à un cycle d'examen annuel pour divulguer un changement survenu des mois auparavant.

Pour les autorités notifiantes — généralement les organismes nationaux de surveillance du marché ou d'accréditation — l'article 36 exige qu'elles disposent d'un processus d'accueil structuré pour les notifications de changements et d'une procédure d'évaluation documentée pour évaluer la conformité continue. Lorsqu'un organisme notifié omet de déclarer spontanément un changement significatif, l'autorité notifiante conserve le droit d'enquêter et d'agir sur la base d'informations reçues d'autres sources, notamment la Commission ou des États membres homologues.

Les fournisseurs de systèmes d'IA à haut risque qui dépendent d'un organisme notifié donné pour leur évaluation de la conformité devraient surveiller la base de données NANDO pour toute restriction ou suspension affectant l'organisme choisi, car ces changements pourraient interrompre ou invalider leur voie de certification.

Obligations clés

• Les organismes notifiés doivent informer immédiatement leur autorité notifiante de tout changement de circonstances susceptible d'affecter leur conformité aux exigences de l'article 33, notamment les changements de statut juridique, de propriété, de structure organisationnelle, de champ technique ou de personnel clé.
• Les autorités notifiantes doivent réévaluer l'organisme notifié dès réception d'une notification de changement et déterminer si l'organisme continue de satisfaire à toutes les exigences applicables.
• Les autorités notifiantes doivent restreindre, suspendre ou retirer la notification lorsque la réévaluation révèle que l'organisme ne satisfait plus aux conditions dans lesquelles il a été désigné, en appliquant des mesures proportionnelles à la gravité du non-respect.
• Les autorités notifiantes doivent communiquer tout changement apporté à la notification d'un organisme — y compris les restrictions, suspensions et retraits — à la Commission européenne et aux autres États membres sans retard injustifié.
• La base de données de notification de la Commission (NANDO) doit être tenue à jour pour refléter le champ d'application réel et valide de la désignation de chaque organisme notifié, garantissant la transparence et la sécurité juridique dans l'ensemble du marché intérieur.
• Les organismes notifiés doivent maintenir des dispositifs de gouvernance interne suffisants pour identifier et faire remonter en permanence les changements devant être déclarés, plutôt que de traiter la notification comme un événement unique.

Relation avec d'autres articles

L'article 36 ne peut être lu de manière isolée ; il fait partie d'un cadre cohérent établi par l'ensemble du chapitre 4 du titre III. Les exigences fondamentales qu'un organisme notifié doit continuer à satisfaire sont énoncées à l'article 33 (Exigences relatives aux organismes notifiés), qui définit la base de référence par rapport à laquelle tout changement est évalué. La procédure de notification initiale — dont l'article 36 représente le pendant en matière de gestion des changements — est établie par l'article 34 (Procédure de notification) et l'article 35 (Numéros d'identification et listes des organismes notifiés).

L'article 36 se connecte également à l'article 37 (Contestation de la compétence des organismes notifiés), qui fournit le mécanisme par lequel la Commission ou les États membres peuvent soulever des préoccupations concernant la compétence ou la conformité d'un organisme — un processus qui peut être déclenché précisément lorsqu'un changement divulgué au titre de l'article 36 soulève des doutes. Plus largement, il soutient l'architecture de surveillance du marché et d'application des articles 74 à 83, puisqu'un organisme notifié opérant en dehors du champ de sa notification valide pourrait compromettre l'intégrité des évaluations de conformité qu'il a délivrées.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne. L'article 36, en tant que partie du cadre institutionnel et de gouvernance pour l'évaluation de la conformité, relève des dispositions qui s'appliquent à partir du 2 décembre 2027 — la date d'application générale pour la majorité des obligations du Règlement, y compris celles régissant les systèmes d'IA à haut risque de l'annexe III.

Les obligations des organismes notifiés et des autorités notifiantes au titre du chapitre 4 sont donc actives à compter de cette date, ce qui signifie que tout organisme désigné comme organisme notifié au titre du Règlement IA de l'UE à partir d'août 2026 est immédiatement soumis aux exigences de notification des changements de l'article 36. Les organismes notifiés au titre de législations sectorielles antérieures qui transitionnent vers une désignation au titre du Règlement IA de l'UE devraient intégrer la conformité à l'article 36 dans leur planification de transition bien avant l'échéance d'août 2026.

Pour les systèmes d'IA à haut risque couverts par l'annexe I (législation sur la sécurité des produits), l'infrastructure d'évaluation de la conformité concernée — y compris les obligations de l'article 36 — s'aligne sur la date d'application progressive d'août 2027 applicable à ces catégories de produits. Les fournisseurs s'appuyant sur des organismes notifiés pour la certification des systèmes de l'annexe I devraient vérifier la validité continue de la désignation de leur organisme notifié à l'approche de cette échéance.