Article 39 — Organismes d'évaluation de la conformité de pays tiers (règlement IA de l'UE)

Article 39 du règlement (UE) 2024/1689 — Organismes d'évaluation de la conformité de pays tiers. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 39 du règlement (UE) 2024/1689 (le règlement IA de l'UE) traite des conditions dans lesquelles les organismes d'évaluation de la conformité établis dans des pays tiers — c'est-à-dire des pays situés en dehors de l'Union européenne — peuvent être reconnus et notifiés aux fins de la réalisation d'évaluations de la conformité des systèmes d'IA à haut risque au titre du règlement.

L'article établit une voie étroite mais importante : les organismes d'évaluation de la conformité de pays tiers ne peuvent être notifiés que lorsqu'un accord international bilatéral ou multilatéral entre l'Union et le pays tiers en question prévoit expressément une telle reconnaissance. En l'absence d'un accord international qualifiant, aucun organisme de pays tiers ne peut agir en tant qu'organisme notifié au titre du règlement IA de l'UE.

Lorsqu'un accord international valide existe, les organismes de pays tiers souhaitant être notifiés doivent satisfaire aux mêmes exigences imposées aux organismes d'évaluation de la conformité établis dans l'UE au titre du chapitre 4 du titre III. Cela signifie qu'ils doivent démontrer des compétences techniques, une impartialité organisationnelle et une indépendance opérationnelle équivalentes à celles exigées des organismes notifiés européens. La notification est traitée par l'autorité notifiante compétente d'un État membre, conformément à la procédure de notification standard définie dans les articles précédents du chapitre 4. L'article garantit ainsi que toute extension du cadre d'évaluation de la conformité au-delà des frontières de l'UE préserve l'intégrité, l'équivalence et l'applicabilité du système établi par le règlement.

Ce que cela signifie en pratique

L'article 39 est principalement pertinent pour les fournisseurs de systèmes d'IA à haut risque qui opèrent dans des juridictions couvertes par des accords commerciaux ou de reconnaissance mutuelle de l'UE, et pour les organismes d'évaluation de la conformité établis dans des pays tiers qui cherchent à offrir des services de certification au titre du règlement IA de l'UE.

En pratique, l'article signifie qu'un laboratoire d'essai ou un organisme de certification basé, par exemple, au Royaume-Uni, au Japon ou dans un autre pays avec lequel l'UE a conclu un accord international pertinent pourrait, en principe, être désigné comme organisme notifié aux fins du règlement IA de l'UE — à condition que l'accord couvre expressément les évaluations de la conformité au titre du règlement IA et que l'organisme satisfasse à toutes les exigences applicables. Au moment de l'entrée en vigueur du règlement, aucun accord de reconnaissance mutuelle spécifique au règlement IA n'était encore en place, ce qui signifie que la disposition opère de manière prospective : elle crée la base juridique pour une reconnaissance future sans elle-même activer un organisme spécifique de pays tiers.

Pour les fournisseurs de systèmes d'IA à haut risque, cela a une implication concrète : jusqu'à ce que des accords internationaux qualifiants soient conclus et que des organismes soient formellement notifiés, ils ne peuvent pas s'appuyer sur des évaluations réalisées par un organisme de pays tiers pour satisfaire à leurs obligations d'évaluation de la conformité au titre des articles 43 et 44. Tout certificat ou rapport d'audit délivré par un organisme qui n'a pas été valablement notifié dans le cadre de la voie de l'article 39 ne satisfera pas aux exigences du règlement IA de l'UE, quelle que soit la qualité technique de l'évaluation.

Les équipes de conformité doivent donc surveiller l'évolution des accords commerciaux de l'UE et la base de données NANDO (New Approach Notified and Designated Organisations) pour toute notification future d'organismes de pays tiers au titre de cette disposition.

Obligations clés

• Les organismes d'évaluation de la conformité de pays tiers ne peuvent être notifiés que lorsqu'un accord international entre l'Union européenne et le pays tiers concerné prévoit expressément une telle notification — sans accord, pas de reconnaissance.
• Les organismes demandant une notification au titre de l'article 39 doivent satisfaire à l'ensemble des exigences applicables aux organismes d'évaluation de la conformité établis dans l'UE au titre du chapitre 4 du titre III, y compris les critères de compétence technique, d'impartialité et d'indépendance.
• La notification des organismes de pays tiers doit suivre la procédure de notification standard applicable au titre du règlement, acheminée par une autorité notifiante d'un État membre.
• Les fournisseurs de systèmes d'IA à haut risque doivent vérifier que tout organisme d'évaluation de la conformité qu'ils engagent est valablement notifié — qu'il soit établi dans l'UE ou dans un pays tiers — avant de s'appuyer sur l'évaluation de cet organisme pour démontrer leur conformité.
• Les États membres et la Commission doivent veiller à ce que tout accord international sous-tendant la notification d'organismes de pays tiers maintienne l'équivalence et l'applicabilité du cadre d'évaluation de la conformité du règlement IA de l'UE.

Relation avec d'autres articles

L'article 39 s'inscrit dans le titre III, chapitre 4 (Autorités notifiantes et organismes notifiés) et doit être lu conjointement avec les articles environnants de ce chapitre. Les articles 33 et 34 établissent les exigences générales et les obligations applicables aux organismes notifiés ; l'article 35 régit la procédure de notification elle-même ; et les articles 36 et 37 traitent des modifications apportées aux notifications et des contestations relatives à la compétence des organismes notifiés. Étant donné que l'article 39 applique ces mêmes exigences dans leur intégralité aux organismes de pays tiers, il ne peut pas être interprété isolément.

Au-delà du chapitre 4, l'article 39 est lié à l'article 43, qui précise les procédures d'évaluation de la conformité applicables aux systèmes d'IA à haut risque, et à l'article 44, qui régit les certificats délivrés par les organismes notifiés. Tout organisme de pays tiers notifié au titre de l'article 39 doit délivrer des certificats satisfaisant pleinement à l'article 44. L'article recoupe également le cadre plus large du droit commercial international de l'UE et les compétences de l'Union en matière d'accords bilatéraux et multilatéraux au titre du traité sur le fonctionnement de l'Union européenne.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel. Le règlement s'applique par étapes :

• 2 février 2025 — Les interdictions relatives aux pratiques d'IA présentant un risque inacceptable (titre II) sont devenues applicables.
• 2 août 2025 — Les dispositions relatives aux modèles d'IA à usage général (titre VIII) et aux structures de gouvernance sont devenues applicables.
• 2 décembre 2027 — La majorité des obligations pour les systèmes d'IA à haut risque figurant à l'annexe III, y compris les exigences d'évaluation de la conformité au titre du titre III, devient applicable. Il s'agit de la date d'applicabilité principale de l'article 39 en pratique, car il régit le cadre des organismes notifiés qui sous-tend ces évaluations.
• 2 août 2028 — Délai prolongé pour les systèmes d'IA à haut risque couverts par l'annexe I (systèmes composants de sécurité réglementés par la législation d'harmonisation de l'Union existante) pour se conformer.

L'article 39 est lui-même en vigueur depuis août 2024, mais sa pertinence opérationnelle se cristallise à partir d'août 2026, lorsque les fournisseurs de systèmes d'IA à haut risque devront avoir achevé des évaluations de la conformité par des organismes valablement notifiés. Les organisations devraient commencer à identifier les organismes notifiés appropriés — et surveiller tout accord international qualifiant susceptible d'activer des organismes de pays tiers au titre de l'article 39 — bien avant cette date.