Article 37 — Contestation de la compétence des organismes notifiés (règlement IA de l'UE)

Article 37 du règlement (UE) 2024/1689 — Contestation de la compétence des organismes notifiés. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 37 du règlement (UE) 2024/1689 (le règlement IA de l'UE) établit un mécanisme de supervision permettant de contester formellement la compétence et la conformité continue des organismes notifiés. Lorsque la Commission ou un État membre a des motifs de penser qu'un organisme notifié ne satisfait pas ou ne satisfait plus aux exigences de notification fixées à l'article 31 — ou qu'il manque à ses obligations —, il peut saisir l'autorité notifiante responsable de cet organisme.

À réception d'une telle contestation, l'autorité notifiante est tenue d'enquêter sans retard injustifié. Elle doit examiner les éléments de preuve présentés et, lorsque l'enquête révèle des manquements, prendre des mesures correctives proportionnées, pouvant comprendre l'imposition de conditions, la restriction du champ de la notification, la suspension de la notification ou son retrait total, en fonction de la gravité de la non-conformité.

L'autorité notifiante doit informer la Commission et tous les autres États membres des mesures restrictives prises et de leurs résultats. Cette obligation de partage d'informations garantit la transparence et prévient les traitements divergents au sein du marché unique. L'organisme notifié concerné conserve le droit de soumettre des observations avant que des mesures ne soient imposées, ce qui garantit l'équité procédurale. Les certificats déjà délivrés par un organisme dont la notification a été suspendue ou retirée restent soumis à des dispositions distinctes régissant leur validité continue ou leur révocation.

Ce que cela signifie en pratique

L'article 37 constitue l'épine dorsale de l'application du cadre des organismes notifiés établi au titre III, chapitre 4. Il crée un canal de responsabilité permanent qui fonctionne tout au long du cycle de vie d'un organisme notifié — et non pas uniquement au moment de sa désignation initiale.

Pour les fournisseurs de systèmes d'IA à haut risque, l'article a des conséquences pratiques directes. Les évaluations de conformité effectuées par les organismes notifiés constituent une condition préalable à la mise sur le marché de l'UE de nombreux systèmes d'IA à haut risque (voir l'annexe III et l'article 43). Si l'organisme qui a réalisé votre évaluation de conformité voit sa notification suspendue ou retirée à la suite d'une contestation fondée sur l'article 37, vous devez déterminer si les certificats précédemment délivrés restent valides et si une réévaluation par un organisme conforme est nécessaire pour maintenir l'accès au marché.

Pour les organismes notifiés eux-mêmes, l'article 37 signifie que la désignation n'est pas un statut permanent. Tout État membre ou la Commission peut déclencher un examen formel à tout moment sur la base de preuves de non-conformité. Les organismes devraient donc maintenir une conformité continue aux exigences des articles 31 à 36 — pas uniquement lors de la demande de désignation initiale. Des systèmes de management de la qualité solides, des pratiques de documentation transparentes et une communication proactive avec l'autorité notifiante constituent les principales garanties contre une contestation aboutie.

Pour les autorités notifiantes, l'article crée une obligation d'enquête obligatoire. La réception d'une contestation crédible n'est pas discrétionnaire ; l'autorité doit agir, documenter ses conclusions, appliquer des mesures proportionnées et rendre compte à la Commission et à ses homologues. Cela place au premier plan la nécessité de disposer de procédures internes claires pour traiter les notifications entre États membres et les renvois de la Commission.

Exemple pratique : si un organisme notifié allemand a certifié un outil de recrutement par IA à haut risque sans effectuer l'examen requis du dossier technique, la France ou la Commission pourrait saisir l'autorité notifiante allemande compétente au titre de l'article 37, l'invitant à enquêter et potentiellement à suspendre le droit de l'organisme à délivrer d'autres certificats dans cette catégorie de produits.

Obligations clés

• Tout État membre ou la Commission peut contester la compétence d'un organisme notifié à tout moment en portant des préoccupations motivées à l'attention de l'autorité notifiante, déclenchant ainsi une enquête obligatoire.
• L'autorité notifiante doit enquêter sans retard injustifié, examiner les preuves de non-conformité aux articles 31 à 36, et parvenir à une conclusion motivée.
• Des mesures correctives proportionnées doivent être appliquées lorsque des manquements sont confirmés, allant de l'imposition de conditions et de restrictions de portée à la suspension totale ou au retrait de la notification.
• L'équité procédurale doit être respectée — l'organisme notifié doit avoir la possibilité réelle de soumettre des observations avant que toute mesure restrictive ne soit finalisée.
• Toutes les mesures restrictives et leurs résultats doivent être communiqués à la Commission et à tous les autres États membres afin d'assurer la transparence et une surveillance cohérente du marché dans l'ensemble de l'UE.
• Les organismes notifiés dont les notifications ont été suspendues ou retirées doivent cesser immédiatement les activités d'évaluation de la conformité concernées, et le statut des certificats délivrés pendant la période affectée doit être traité conformément aux dispositions applicables.

Relation avec d'autres articles

L'article 37 ne peut pas être lu isolément et est étroitement lié à plusieurs autres dispositions du règlement. Les exigences substantielles dont le non-respect déclenche une contestation au titre de l'article 37 sont fixées à l'article 31 (exigences applicables aux organismes notifiés) et aux articles 32 à 36 (la procédure de notification, les systèmes d'information NANDO, les modifications apportées aux notifications et les obligations subsidiaires des organismes notifiés). Les procédures d'évaluation de la conformité que les organismes notifiés doivent correctement mettre en œuvre sont précisées à l'article 43 et dans les sections pertinentes de l'annexe VII.

Lorsqu'une contestation aboutit au retrait d'une notification, les conséquences pour les certificats déjà délivrés renvoient à l'article 44 (certificats délivrés par les organismes notifiés) et à l'article 46 (obligations des organismes notifiés en matière d'information). L'article 38 complète l'article 37 en traitant du rôle de coordination et de conseil du Comité IA pour assurer une pratique de supervision cohérente entre les autorités notifiantes. Les dispositions relatives à la surveillance du marché prévues aux articles 74 à 76 fournissent des outils d'exécution parallèles au niveau du produit, tandis que l'article 37 se concentre sur le niveau institutionnel — l'organisme lui-même plutôt que tout système d'IA individuel.

Calendrier de conformité

L'article 37 s'inscrit dans les dispositions régissant les organismes notifiés et le cadre d'évaluation de la conformité des systèmes d'IA à haut risque. Le règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel.

Les dispositions du titre III, chapitre 4 — y compris l'article 37 — deviennent pleinement applicables le 2 décembre 2027, date d'application des obligations relatives aux systèmes d'IA à haut risque énumérés à l'annexe III (à l'exception des systèmes visés à l'annexe I, dont certains s'appliquent à partir du 2 août 2028). Les autorités notifiantes et les organismes notifiés potentiels auraient dû être opérationnellement prêts à partir de mi-2025, étant donné que le processus de désignation et de notification prévu aux articles 31 à 36 doit être achevé avant que les organismes puissent légalement effectuer des évaluations de conformité pour les produits atteignant le marché à la date d'application de 2026.

Le mécanisme de contestation prévu à l'article 37 est opérationnel dès le moment où les organismes notifiés sont formellement désignés et commencent à délivrer des certificats. Les fournisseurs qui s'appuient sur des évaluations de conformité par des tiers devraient surveiller le statut de leur organisme notifié via la base de données NANDO tout au long du cycle de vie du produit, car une contestation déposée après la mise sur le marché peut avoir des conséquences rétroactives sur la validité du certificat.