Article 45 — Obligations d'information des organismes notifiés (règlement IA de l'UE)

Article 45 du règlement (UE) 2024/1689 — Obligations d'information des organismes notifiés. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 45 du règlement (UE) 2024/1689 établit des obligations d'information spécifiques incombant aux organismes notifiés tout au long du cycle de vie de leurs activités d'évaluation de la conformité concernant les systèmes d'IA à haut risque répertoriés à l'annexe III et, le cas échéant, à l'annexe II.

En vertu de l'article 45, les organismes notifiés sont tenus d'informer l'autorité notifiante — l'organisme national chargé de les désigner et de les superviser — de toutes les évaluations de conformité effectuées, y compris celles qui ont été refusées ou retirées avant leur achèvement. Cette obligation de transparence s'étend aux circonstances susceptibles d'affecter la portée, les conditions ou la validité continue de la notification, telles que les modifications apportées à la structure, à la propriété, à la compétence ou aux ressources de l'organisme.

Les organismes notifiés doivent en outre communiquer à leur autorité notifiante toute demande d'information reçue des autorités de surveillance du marché, permettant ainsi une surveillance coordonnée au-delà des frontières nationales. Ils sont également tenus de signaler les plaintes, les recours et toute autre information pertinente concernant les systèmes d'IA à haut risque qu'ils ont évalués, sur demande ou de leur propre initiative lorsque la question revêt une importance pour l'action réglementaire.

L'article 45 prévoit en outre que les organismes notifiés doivent échanger entre eux et avec la Commission des informations sur les résultats négatifs des évaluations de conformité, établissant ainsi un mécanisme collectif de partage des connaissances. Cela empêche les fournisseurs de rechercher des évaluateurs plus indulgents après avoir reçu une évaluation refusée d'un organisme notifié — une pratique parfois appelée le « certificate shopping ».

L'article constitue la pierre angulaire de l'infrastructure de responsabilité du système des organismes notifiés, garantissant que les autorités nationales et la Commission maintiennent une véritable surveillance sur la manière dont les évaluations de conformité sont conduites à travers l'Union.

Ce que cela signifie en pratique

Pour les organismes notifiés, l'article 45 introduit une culture de divulgation proactive et continue qui va bien au-delà de la simple délivrance ou du refus de certificats. Sur le plan opérationnel, un organisme notifié doit établir des procédures internes pour enregistrer et signaler tous les événements significatifs à son autorité notifiante nationale, même lorsque ces événements ne débouchent pas sur un certificat formel.

Considérons un scénario dans lequel un fournisseur d'un système d'IA à haut risque utilisé dans la sélection des candidats à l'emploi soumet une documentation pour une évaluation de la conformité, mais l'organisme notifié identifie des lacunes critiques dans la documentation technique et le système de gestion des risques. Même si le fournisseur retire la demande avant qu'un refus formel ne soit émis, l'article 45 exige que l'organisme notifié signale ce retrait. L'autorité notifiante et, par le biais des mécanismes d'échange d'informations, les autres organismes notifiés sont ainsi alertés qu'un système non conforme pourrait être présenté ailleurs pour évaluation.

De même, si une autorité de surveillance du marché — telle qu'un régulateur national de protection des consommateurs — contacte un organisme notifié pour obtenir des informations sur un système précédemment évalué qui a causé un préjudice, l'organisme notifié doit informer son autorité notifiante de cette demande. Cela crée une piste documentaire permettant une réponse réglementaire coordonnée.

Les organismes notifiés doivent également revoir en permanence leurs dispositions internes en matière de ressources et de compétences. S'ils constatent que leurs effectifs ou leur capacité technique ne couvrent plus certaines catégories de systèmes d'IA, ils doivent notifier ce changement rapidement afin que la portée de leur désignation puisse être ajustée — protégeant ainsi l'intégrité du marché en empêchant les évaluations dans des domaines où l'organisme manque d'expertise réelle.

Pour les fournisseurs, ce cadre signifie qu'une évaluation refusée ou retirée n'est pas un événement confidentiel. La diligence raisonnable avant de s'engager avec un organisme notifié est donc conseillée.

Obligations clés

• Signaler les évaluations refusées et retirées : Les organismes notifiés doivent informer l'autorité notifiante de toute évaluation de la conformité qui a été refusée ou retirée par le fournisseur avant son achèvement, y compris les raisons lorsqu'elles peuvent être établies.
• Divulguer les circonstances affectant la portée : Tout changement dans le statut juridique, la propriété, le personnel supérieur, la structure organisationnelle ou la compétence technique de l'organisme susceptible d'affecter sa notification doit être communiqué à l'autorité notifiante sans retard indu.
• Partager des informations avec les autres organismes notifiés : Les organismes notifiés sont tenus d'échanger des informations sur les résultats négatifs des évaluations et les questions connexes avec leurs pairs et avec la Commission, empêchant ainsi le « certificate shopping » à travers l'Union.
• Signaler les contacts réglementaires : La réception de demandes d'informations des autorités de surveillance du marché, des autorités nationales compétentes ou d'autres organismes réglementaires doit être divulguée à l'autorité notifiante, permettant une surveillance coordonnée.
• Communiquer les plaintes et recours : Les plaintes significatives, les recours contre les décisions d'évaluation et les informations post-commercialisation concernant les systèmes d'IA évalués doivent être signalés sur demande ou de manière proactive lorsque cela est justifié.
• Maintenir une disponibilité pour les audits : Les organismes notifiés doivent mettre à la disposition de l'autorité notifiante toute la documentation, les dossiers et les preuves pertinents de leurs activités d'évaluation pour soutenir le suivi continu de leur désignation.

Relation avec les autres articles

L'article 45 s'inscrit dans un réseau dense de dispositions régissant le cadre des organismes notifiés au titre du titre III, chapitre 5. Il est indissociable de l'article 33, qui établit les obligations générales et les exigences que les organismes notifiés doivent satisfaire pour obtenir et maintenir leur désignation, et de l'article 34, qui fixe les règles relatives aux filiales et à la sous-traitance qui affectent la transparence organisationnelle.

Le processus de notification et de désignation régi par les articles 35 et 36 fournit le contexte institutionnel de l'article 45 : l'autorité notifiante qui reçoit des informations en vertu de l'article 45 est le même organisme qui peut suspendre ou retirer une notification en vertu de l'article 35 si les informations divulguées révèlent une non-conformité.

L'article 44 (certificats de conformité) et l'article 46 (dérogation aux procédures d'évaluation de la conformité) doivent être lus conjointement avec l'article 45, car ils établissent les résultats du processus d'évaluation de la conformité dont l'intégrité est destinée à être protégée par les obligations d'information de l'article 45.

Au niveau de la surveillance du marché, les articles 74 à 76 reposent implicitement sur les flux d'informations créés par l'article 45 pour fonctionner efficacement, tout comme les mécanismes de coordination impliquant le Comité européen de l'intelligence artificielle (EAIB) établi en vertu de l'article 65.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne (JO L 2024/1689, 12 juillet 2024). L'article 45 relève des dispositions applicables aux systèmes d'IA à haut risque relevant du titre III.

Le calendrier d'application échelonné est le suivant :

• 1er août 2024 — Entrée en vigueur ; les obligations préparatoires commencent pour les États membres et la Commission.
• 2 février 2025 — Les pratiques d'IA interdites (titre II, article 5) sont devenues applicables.
• 2 août 2025 — Les obligations relatives aux modèles d'IA à usage général (titre VIII) et les dispositions de gouvernance sont devenues applicables ; les processus de désignation des organismes notifiés devaient être opérationnellement avancés à cette date.
• 2 décembre 2027 — L'article 45, ainsi que l'ensemble des obligations du titre III, chapitre 5, relatives aux organismes notifiés et aux évaluations de la conformité pour les systèmes d'IA à haut risque répertoriés à l'annexe III, devient pleinement applicable. Les organismes notifiés doivent être pleinement conformes à leurs obligations d'information à compter de cette date.
• 2 août 2027 — Délai prolongé pour certains systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union existante répertoriée à l'annexe II, section 1, accordant aux fabricants de ces secteurs réglementés un délai supplémentaire pour adapter leurs processus d'évaluation de la conformité.

Les organisations cherchant à être désignées comme organismes notifiés devraient avoir leurs procédures de gestion de l'information et de divulgation en place bien avant la date limite d'août 2026 pour s'assurer qu'elles peuvent démontrer leur conformité dès le premier jour d'application complète.