Article 38 — Coordination des organismes notifiés (règlement européen sur l'IA)

Article 38 du règlement (UE) 2024/1689 — Coordination des organismes notifiés. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 38 du règlement (UE) 2024/1689 établit un cadre de coordination obligatoire pour les organismes notifiés effectuant des évaluations de conformité des systèmes d'IA à haut risque au titre du titre III, chapitre 5 du règlement. L'article exige que les organismes notifiés participent à un groupe de coordination opérant sous la supervision et la facilitation de la Commission européenne, et y contribuent activement.

Le mécanisme de coordination remplit une double fonction. Premièrement, il assure la cohérence procédurale : les organismes notifiés doivent aligner leurs méthodologies d'évaluation, leurs approches interprétatives et leurs normes procédurales de sorte que des systèmes d'IA à haut risque équivalents fassent l'objet d'un examen équivalent, quel que soit l'État membre dans lequel l'évaluation a lieu. Deuxièmement, il permet un apprentissage substantiel : les organismes doivent partager l'expérience pertinente, les conclusions émergentes et les meilleures pratiques issues des évaluations de conformité réelles.

La Commission est chargée de faciliter le groupe de coordination et peut le relier aux structures de coordination sectorielle existantes établies au titre de la législation d'harmonisation pertinente de l'Union — telles que celles opérant dans les secteurs des dispositifs médicaux, des machines ou de l'aviation civile — où les systèmes d'IA sont soumis à des exigences d'évaluation spécifiques au secteur. Lorsque des organismes européens de normalisation tels que le CEN-CENELEC ont élaboré des normes harmonisées applicables à l'IA, la coordination au titre de l'article 38 doit tenir compte de ces normes.

L'article prévoit en outre que la Commission peut adopter des actes d'exécution pour établir des arrangements opérationnels pour le groupe de coordination, y compris des règles sur le partage d'informations, la fréquence des activités de coordination et les mécanismes de résolution des divergences entre les organismes.

Ce que cela signifie en pratique

Pour les organisations développant ou déployant des systèmes d'IA à haut risque, l'article 38 a des implications indirectes importantes en matière de conformité, même si ses obligations directes pèsent sur les organismes notifiés plutôt que sur les fournisseurs ou les déployeurs.

L'effet pratique le plus immédiat est la cohérence des résultats des évaluations de conformité. Avant le règlement européen sur l'IA, les interprétations divergentes des exigences techniques entre les organismes d'évaluation de la conformité des États membres constituaient un problème reconnu dans l'écosystème du marquage CE. L'article 38 vise à éviter que cela ne se reproduise pour l'IA. Les fournisseurs choisissant un organisme notifié pour une évaluation de conformité peuvent s'attendre à ce que les normes substantielles appliquées soient comparables, qu'ils fassent appel à un organisme autrichien, néerlandais ou allemand.

Pour les fournisseurs, cela signifie que la documentation et les dossiers techniques préparés pour l'évaluation de la conformité doivent être conçus pour répondre à un niveau de référence harmonisé plutôt qu'adaptés aux particularités d'un organisme donné. Cela signifie également que les informations partagées par un organisme notifié au sein du groupe de coordination — telles que les schémas de non-conformité ou les lacunes documentaires récurrentes — peuvent indirectement influencer l'examen appliqué aux évaluations futures dans l'ensemble de l'écosystème.

Les déployeurs de systèmes d'IA à haut risque dans les secteurs réglementés doivent noter que les liens de coordination sectorielle au titre de l'article 38 signifient que les organismes évaluant des composants d'IA intégrés dans des dispositifs médicaux, des machines industrielles ou des systèmes de transport peuvent appliquer simultanément les résultats de coordination du groupe relevant du règlement sur l'IA et du groupe sectoriel pertinent. Les équipes de conformité doivent surveiller les orientations et les notes techniques publiées par la Commission ou le Bureau de l'IA issues des activités du groupe de coordination.

Les organismes notifiés eux-mêmes doivent prévoir des ressources pour une participation active à la coordination, y compris le temps du personnel pour les réunions, les groupes de travail et les obligations de partage d'informations. Les organismes qui ne s'engagent pas de manière significative dans les mécanismes de coordination risquent des conclusions défavorables lors des processus de surveillance et d'examen par les pairs établis ailleurs dans le chapitre 4.

Obligations clés

• Les organismes notifiés doivent participer au groupe de coordination établi ou facilité par la Commission européenne et contribuer activement à ses travaux.
• Les organismes doivent partager l'expérience pertinente, les conclusions des évaluations et les approches méthodologiques avec les autres organismes notifiés participants dans le cadre de la structure de coordination.
• Les organismes doivent aligner leurs pratiques d'évaluation de la conformité sur les approches et interprétations communes développées dans le cadre de la coordination, en évitant les résultats divergents pour des systèmes d'IA comparables.
• La Commission doit faciliter le groupe de coordination et peut le relier aux organismes de coordination sectorielle existants opérant au titre d'autres législations d'harmonisation de l'Union lorsque les systèmes d'IA relèvent du champ d'application des deux régimes.
• La Commission peut adopter des actes d'exécution précisant les arrangements organisationnels pour le groupe de coordination, y compris les protocoles de partage d'informations et les procédures de résolution des divergences interprétatives entre les organismes.
• Les organismes notifiés doivent tenir compte des normes harmonisées et des résultats pertinents des activités de normalisation européenne lors de la conduite d'évaluations coordonnées.

Relation avec d'autres articles

L'article 38 s'inscrit dans le titre III, chapitre 4, qui régit collectivement la désignation, la surveillance et le fonctionnement des autorités notifiantes et des organismes notifiés. Il doit être lu conjointement avec l'article 33, qui établit les exigences substantielles auxquelles un organisme doit satisfaire pour être désigné comme organisme notifié, et l'article 34, qui couvre la procédure de notification elle-même. L'article 35 traite des obligations opérationnelles des organismes notifiés lors des évaluations, tandis que l'article 36 couvre les filiales et la sous-traitance. L'article 37 établit la surveillance et le réexamen des organismes notifiés par les autorités notifiantes.

Au-delà du chapitre 4, l'article 38 se connecte directement aux procédures d'évaluation de la conformité du chapitre 5, notamment les articles 43 et 44, qui précisent quand la participation obligatoire d'un organisme notifié tiers est requise. Les travaux de coordination au titre de l'article 38 s'articulent également avec le rôle du Bureau de l'IA établi au titre de l'article 64 et le Conseil européen de l'intelligence artificielle au titre de l'article 65, qui ont tous deux des responsabilités pour assurer l'application cohérente du règlement dans les États membres. Les mandats de normalisation délivrés au titre de l'article 40 constituent une contribution principale aux travaux techniques du groupe de coordination.

Calendrier de conformité

Le règlement européen sur l'IA est entré en vigueur le 1er août 2024, à la suite de sa publication au Journal officiel de l'Union européenne. L'application du règlement est progressive :

• Février 2025 — Les interdictions des pratiques d'IA à risque inacceptable (article 5) ont commencé à s'appliquer.
• Août 2025 — Les obligations relatives aux modèles d'IA à usage général (titre VIII) sont devenues applicables. Les organismes notifiés peuvent commencer à demander leur désignation à compter de cette date, déclenchant l'activation initiale des obligations de coordination au titre de l'article 38.
• Août 2028 — Les obligations d'évaluation de la conformité pour les systèmes d'IA à haut risque répertoriés à l'annexe I (produits régis par la législation d'harmonisation existante de l'Union) commencent à s'appliquer.
• Décembre 2027 — Application complète des obligations relatives aux systèmes d'IA à haut risque au titre de l'annexe III, rendant le cadre de coordination des organismes notifiés au titre de l'article 38 pleinement opérationnel pour tous les cas d'usage couverts.

Les organisations soumises à des évaluations de conformité par des tiers doivent s'engager auprès des organismes notifiés bien avant les échéances de décembre 2026 et d'août 2027, car les résultats du groupe de coordination et les protocoles d'évaluation harmonisés devraient se stabiliser au cours de 2025 et 2026. Il est recommandé de surveiller les actes d'exécution de la Commission relatifs aux arrangements de coordination au titre de l'article 38 à partir de mi-2025.