Article 44 — Certificats (Règlement UE sur l'IA)

Article 44 du Règlement (UE) 2024/1689 — Certificats. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 44 du Règlement (UE) 2024/1689 établit les règles régissant les certificats délivrés par les organismes notifiés dans le cadre de l'évaluation de la conformité des systèmes d'IA à haut risque. En vertu de cet article, les certificats délivrés par les organismes notifiés doivent être rédigés dans l'une des langues officielles de l'État membre de l'UE dans lequel l'organisme notifié est établi, ou dans une langue acceptable pour cet organisme.

L'article fixe une durée de validité maximale de quatre ans pour tout certificat délivré, avec la possibilité de renouvellement à la suite d'une nouvelle évaluation de la conformité. Les organismes notifiés sont tenus de tenir des registres de tous les certificats qu'ils délivrent, y compris ceux qui ont été refusés, suspendus ou retirés. Ces registres doivent être mis à la disposition des autorités nationales compétentes sur demande.

L'article 44 impose en outre que lorsqu'un organisme notifié suspend, restreint ou retire un certificat, il doit en notifier l'autorité de surveillance du marché compétente de l'État membre dans lequel le fournisseur est établi, ainsi que les autres organismes notifiés opérant dans le cadre des mêmes procédures d'évaluation de la conformité. La Commission européenne doit également être informée lorsque les certificats concernent des systèmes ayant des implications transfrontalières.

L'article établit, de manière importante, un principe de reconnaissance mutuelle : les certificats délivrés par les organismes notifiés dans un État membre sont valables dans toute l'Union européenne sans nécessiter de recertification, ce qui sous-tend le fonctionnement du marché unique européen pour les systèmes d'IA à haut risque.

Ce que cela signifie en pratique

L'article 44 est central pour l'administration pratique de l'évaluation de la conformité par tierce partie pour les systèmes d'IA à haut risque couverts par l'annexe III du règlement UE sur l'IA. Il concerne directement les fournisseurs de systèmes d'IA à haut risque qui sont tenus de soumettre leurs systèmes à une évaluation de la conformité par un organisme notifié plutôt qu'à une auto-évaluation.

Pour les fournisseurs, le plafond de validité de quatre ans signifie que l'accès continu au marché dépend d'une recertification périodique. Les fournisseurs doivent suivre les dates d'expiration des certificats et engager les procédures de renouvellement à l'avance pour éviter les lacunes dans le statut de conformité qui empêcheraient la mise sur le marché légale. Un certificat suspendu ou retiré exige une action immédiate : le système ne peut être mis sur le marché ou mis en service jusqu'à ce que la situation soit résolue.

Pour les organismes notifiés, l'article impose des obligations strictes de tenue de registres et de notification. Toute décision défavorable — refus, restriction, suspension ou retrait — doit être communiquée systématiquement aux autorités nationales et aux organismes notifiés homologues, assurant une application coordonnée dans l'ensemble de l'UE.

Exemple concret : Un fournisseur d'un système d'IA d'identification biométrique certifié en Allemagne par un organisme notifié allemand peut légalement commercialiser ce système en France, en Espagne et dans tous les autres États membres de l'UE sans avoir à obtenir de certificats nationaux distincts. Toutefois, si l'organisme notifié constate lors d'une surveillance que le système ne satisfait plus aux exigences des articles 9 à 15 et suspend le certificat, le fournisseur doit immédiatement interrompre la distribution dans l'ensemble de l'UE et informer les déployeurs en aval.

Le principe de reconnaissance mutuelle est une mesure pratique de facilitation du commerce, mais il place des enjeux commerciaux considérables sur le maintien de la validité d'un seul certificat.

Obligations clés

• Les certificats doivent avoir une durée de validité définie ne dépassant pas quatre ans ; le renouvellement exige une nouvelle évaluation de la conformité démontrant le maintien de la conformité aux exigences applicables.
• Les organismes notifiés doivent tenir des registres complets de tous les certificats délivrés, refusés, suspendus, restreints ou retirés, et rendre ces registres accessibles aux autorités nationales compétentes sur demande.
• Les décisions défavorables relatives aux certificats doivent être notifiées immédiatement à l'autorité nationale de surveillance du marché compétente, aux autres organismes notifiés opérant dans le cadre des mêmes procédures, et, le cas échéant, à la Commission européenne.
• Les fournisseurs doivent cesser leurs activités sur le marché si un certificat est suspendu ou retiré, jusqu'à ce que la conformité soit rétablie et qu'un certificat valide soit obtenu.
• La reconnaissance mutuelle s'applique dans toute l'UE : un certificat délivré par tout organisme notifié dûment désigné dans un État membre est valable dans tous les États membres, sans exigence de recertification.
• Les certificats doivent être rédigés dans une langue de l'État membre de l'organisme notifié émetteur ou dans une autre langue officielle de l'UE mutuellement convenue, afin d'en assurer l'accessibilité aux autorités nationales.

Relation avec d'autres articles

L'article 44 s'inscrit dans le titre III, chapitre 5 (Normes, évaluation de la conformité, certificats et enregistrement) et doit être lu en étroite conjonction avec les dispositions environnantes. L'article 43 définit les procédures d'évaluation de la conformité applicables — y compris les conditions dans lesquelles l'intervention d'un organisme notifié tiers est obligatoire plutôt qu'optionnelle — établissant le processus en amont que l'article 44 régit en termes de gestion des certificats.

Les articles 31 à 39 définissent les exigences que les organismes notifiés eux-mêmes doivent satisfaire pour être désignés, ainsi que les obligations qu'ils assument en tant qu'organismes d'évaluation de la conformité accrédités. L'intégrité du régime de certification de l'article 44 dépend entièrement de la compétence de ces organismes.

Les articles 9 à 15 énoncent les exigences de fond applicables aux systèmes d'IA à haut risque — gestion des risques, gouvernance des données, transparence, surveillance humaine, précision et robustesse — par rapport auxquelles les certificats sont évalués. Un certificat au titre de l'article 44 est essentiellement l'attestation par un organisme notifié que ces dispositions sont respectées.

L'article 45 traite des procédures de recours disponibles pour les fournisseurs lorsqu'un organisme notifié refuse, suspend ou retire un certificat, fournissant le complément procédural aux règles de fond de l'article 44. L'article 51 régit les obligations d'enregistrement qui suivent la certification, reliant les certificats à la base de données de l'UE sur les systèmes d'IA à haut risque.

Calendrier de conformité

L'article 44 est devenu partie intégrante du droit de l'UE lors de l'entrée en vigueur du Règlement (UE) 2024/1689 le 2 août 2024. Toutefois, son application pratique est régie par le calendrier de mise en œuvre par phases :

• 2 février 2025 — Les dispositions sur les pratiques d'IA interdites (titre II) ont commencé à s'appliquer. L'article 44 n'était pas encore opérationnel.
• 2 août 2025 — Les règles sur les modèles d'IA à usage général (titre VIII) et les obligations de gouvernance ont commencé à s'appliquer.
• 2 décembre 2027 — L'article 44 devient pleinement opérationnel pour la majorité des systèmes d'IA à haut risque énumérés à l'annexe III, y compris ceux dans des domaines tels que l'éducation, l'emploi, les services essentiels, l'application de la loi et la gestion des frontières. Les fournisseurs qui mettent de tels systèmes sur le marché ou en service doivent détenir un certificat valide lorsque l'évaluation de la conformité par tierce partie est requise.
• 2 août 2028 — Délai prolongé pour les systèmes d'IA à haut risque couverts par la législation existante de l'UE sur la sécurité des produits (systèmes de l'annexe I), donnant à ces secteurs un délai supplémentaire pour aligner les relations existantes avec les organismes notifiés et les cadres de conformité avec le nouveau régime de certification de la loi sur l'IA.

Les fournisseurs qui anticipent avoir besoin d'un certificat au titre de l'article 44 devraient s'engager avec des organismes notifiés bien avant la date limite de décembre 2026, compte tenu de la demande attendue sur la capacité d'évaluation et du temps nécessaire pour mener une évaluation de la conformité approfondie au titre des articles 9 à 15.