Article 41 — Spécifications communes (règlement IA de l'UE)

Article 41 du règlement (UE) 2024/1689 — Spécifications communes. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 41 du règlement (UE) 2024/1689 établit un mécanisme par lequel la Commission européenne peut adopter des actes d'exécution fixant des spécifications communes pour les systèmes d'IA à haut risque figurant à l'annexe III, ainsi que pour les systèmes d'IA couverts par la législation visée à l'annexe I. Ce mécanisme est activé dans des conditions spécifiques : lorsque des normes harmonisées n'existent pas encore, lorsque les normes harmonisées existantes sont jugées insuffisantes pour couvrir les exigences du chapitre 2 du titre III, ou lorsque la Commission constate que les normes harmonisées publiées ne satisfont pas aux obligations du règlement.

Les spécifications communes adoptées au titre de l'article 41 ont le même poids juridique que les normes harmonisées aux fins de la démonstration de la conformité. Les systèmes d'IA à haut risque qui respectent les spécifications communes applicables bénéficient d'une présomption de conformité avec les exigences couvertes par ces spécifications. La Commission doit consulter les parties prenantes concernées — notamment les autorités nationales compétentes, les organismes notifiés et les organismes de normalisation — avant d'adopter des spécifications communes, afin de garantir que le contenu technique reflète les réalités pratiques de la mise en œuvre.

Les fournisseurs conservent le droit de s'écarter des spécifications communes, à condition qu'ils documentent dans leur documentation technique que les solutions techniques alternatives adoptées atteignent au moins un niveau de protection équivalent. Cela garantit que les spécifications communes fonctionnent comme un refuge sûr plutôt qu'un plafond rigide, préservant l'innovation technique dans un cadre conforme. L'article 41 est une disposition habilitante qui répond à la réalité pratique selon laquelle les processus de normalisation peuvent prendre du retard sur le rythme de l'application réglementaire.

Ce que cela signifie en pratique

L'article 41 concerne principalement les fournisseurs et les développeurs de systèmes d'IA à haut risque opérant dans des domaines où les organismes européens de normalisation — CEN, CENELEC et ETSI — n'ont pas encore publié de normes harmonisées, ou dans lesquels les normes publiées sont incomplètes ou contestées par la Commission. En pratique, cela signifie que durant la phase initiale critique de l'application du règlement IA de l'UE aux systèmes à haut risque, les spécifications communes peuvent servir de référence technique principale pour la conformité.

Pour les fournisseurs de systèmes d'IA à haut risque dans des secteurs tels que l'emploi, l'éducation, les infrastructures critiques ou l'application de la loi, l'article 41 signifie qu'ils doivent surveiller le Journal officiel de l'UE pour y déceler les actes d'exécution de la Commission établissant des spécifications communes dans leur domaine. Lorsque de tels actes sont publiés, les fournisseurs doivent vérifier si leur documentation technique existante, leurs systèmes de gestion des risques, leurs pratiques de gouvernance des données et leurs référentiels de précision satisfont aux exigences spécifiées.

Par exemple, un fournisseur d'un outil de recrutement assisté par IA couvert par l'annexe III, point 4, devrait vérifier si les spécifications communes portent sur les tests de biais, les obligations de transparence et les mécanismes de surveillance humaine. Si la solution existante du fournisseur satisfait à ces exigences par une approche technique différente, il doit documenter l'équivalence de manière explicite. Les importateurs et les représentants autorisés doivent vérifier que les systèmes qu'ils mettent sur le marché de l'UE font référence aux spécifications communes applicables dans leur documentation de conformité. Les organismes notifiés réalisant des évaluations de conformité par des tiers doivent utiliser les spécifications communes applicables comme référence technique de base en l'absence de normes harmonisées.

Obligations clés

• Surveiller et appliquer les actes d'exécution : Les fournisseurs de systèmes d'IA à haut risque doivent identifier et appliquer tout acte d'exécution de la Commission établissant des spécifications communes pertinentes pour leur catégorie de système, tel que publié au Journal officiel de l'UE.
• Mettre à jour la documentation technique : Lorsque des spécifications communes existent, les fournisseurs doivent refléter la conformité à ces spécifications dans leur documentation technique conformément à l'article 11 et à l'annexe IV.
• Présomption de conformité : Les fournisseurs qui respectent les spécifications communes applicables peuvent s'appuyer sur la présomption de conformité avec les exigences du chapitre 2 du titre III couvertes par ces spécifications, ce qui simplifie le processus d'évaluation de la conformité.
• Documenter les écarts avec une justification équivalente : Les fournisseurs qui choisissent des solutions techniques différentes des spécifications communes doivent démontrer et documenter, dans leur dossier technique, que leur approche atteint au moins un niveau de protection équivalent des exigences applicables.
• Participation des parties prenantes : Les organismes de normalisation, les organismes notifiés et les autorités nationales compétentes doivent être consultés par la Commission avant l'adoption des spécifications communes, créant des obligations pour ces entités de s'engager de manière constructive dans le processus de rédaction.
• Respect de la hiérarchie procédurale : Les spécifications communes fonctionnent de manière subordonnée aux normes harmonisées ; les fournisseurs doivent d'abord évaluer si des normes harmonisées applicables existent avant de recourir aux spécifications communes comme référence de conformité.

Relation avec d'autres articles

L'article 41 s'inscrit dans le chapitre 5 du titre III aux côtés des articles 40 (normes harmonisées), 42 (présomption de conformité), 43 (procédures d'évaluation de la conformité), 44 (certificats de conformité) et 47 (déclaration de conformité UE). Il doit être lu en étroite conjonction avec l'article 40, qui régit la voie principale vers la conformité par les normes harmonisées — l'article 41 est expressément subsidiaire à cette voie.

La présomption de conformité créée par le respect des spécifications communes alimente directement l'article 42, qui précise les conditions dans lesquelles la présomption naît. L'article 43 détermine quelle procédure d'évaluation de la conformité s'applique, et les spécifications communes influeront sur la question de savoir si l'auto-évaluation ou l'évaluation par un tiers par un organisme notifié est requise. Les exigences de documentation technique de l'article 11 et de l'annexe IV régissent la manière dont la conformité aux spécifications communes doit être enregistrée. L'article 9 (système de gestion des risques) et l'article 17 (système de gestion de la qualité) doivent également être lus conjointement avec l'article 41, car les spécifications communes peuvent fixer des paramètres concrets pour la mise en œuvre de ces systèmes pour des catégories particulières de systèmes d'IA.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024. Son application est progressive :

• 2 février 2025 — Les interdictions des pratiques d'IA à risque inacceptable (article 5) sont devenues applicables.
• 2 août 2025 — Les dispositions relatives aux modèles d'IA à usage général (titre VIII) et les obligations de gouvernance sont devenues applicables. La demande de normalisation de la Commission adressée au CEN-CENELEC a été émise en 2023, mais les normes harmonisées pertinentes pour les systèmes à haut risque ne devraient pas être entièrement publiées avant mi-2026 à fin 2026.
• 2 décembre 2027 — Les systèmes d'IA à haut risque couverts par l'annexe III (autonomes) deviennent soumis à l'intégralité des obligations de conformité en vertu du chapitre 2, y compris l'obligation de respecter les normes harmonisées applicables ou les spécifications communes.
• 2 août 2028 — Les systèmes d'IA à haut risque intégrés dans des produits couverts par l'annexe I (par exemple, machines, dispositifs médicaux) deviennent soumis à l'intégralité des obligations.

L'article 41 revêt donc une pertinence pratique immédiate à partir de mi-2025, alors que les fournisseurs préparent la documentation technique pour l'échéance de 2026. Étant donné que les normes harmonisées pourraient ne pas être disponibles ou complètes à temps, la Commission pourrait adopter des spécifications communes pour combler le vide, ce qui rend essentiel pour les fournisseurs de suivre activement les actes d'exécution au cours de 2025 et 2026.