Article 49 — Enregistrement (Règlement IA de l'UE)

Article 49 du Règlement (UE) 2024/1689 — Enregistrement. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'Article 49 du Règlement (UE) 2024/1689 établit un régime d'enregistrement obligatoire pour les systèmes d'IA à haut risque avant qu'ils puissent être mis sur le marché de l'Union ou mis en service. L'article impose une obligation principale aux fournisseurs : préalablement à la mise sur le marché, ils doivent s'enregistrer eux-mêmes et enregistrer leurs systèmes d'IA à haut risque dans la base de données de l'UE établie au titre de l'Article 71. Les fournisseurs établis en dehors de l'Union doivent s'assurer que leur représentant autorisé effectue cet enregistrement en leur nom.

Pour la catégorie spécifique des systèmes d'IA à haut risque couverts par l'Annex III, point 8 — les systèmes utilisés pour la catégorisation biométrique et la reconnaissance des émotions déployés par les autorités chargées de l'application des lois, de la gestion des frontières, de l'immigration et de l'asile —, l'obligation s'étend également aux déployeurs. Ces déployeurs doivent enregistrer leur utilisation de tels systèmes avant le déploiement.

Les informations à soumettre lors de l'enregistrement sont définies à l'Annex VIII, parties I et II, et doivent être maintenues exactes et à jour. En cas de mise à jour — par exemple, à la suite d'une modification substantielle —, l'entrée enregistrée doit être révisée en conséquence. Les systèmes utilisés exclusivement par les institutions, organes, bureaux ou agences de l'Union sont enregistrés dans une section dédiée et restreinte de la base de données, garantissant que les informations opérationnelles sensibles sont protégées de manière appropriée tout en maintenant la responsabilité. L'article crée ainsi un mécanisme de transparence structuré et conscient du cycle de vie, permettant aux autorités de surveillance du marché et au public d'identifier et de surveiller les déploiements d'IA à haut risque dans le marché unique.

Ce que cela signifie en pratique

L'Article 49 exige de toute entreprise qui développe ou met sur le marché un système d'IA à haut risque dans le périmètre de l'Annex III de compléter une étape d'enregistrement fonctionnellement comparable au dépôt d'un produit auprès d'un régulateur. En pratique, cela signifie qu'avant le lancement, l'équipe juridique ou de conformité d'un fournisseur doit :

1. Créer ou mettre à jour un compte sur le portail de la base de données du Règlement IA de l'UE (géré par la Commission européenne au titre de l'Article 71).
2. Soumettre des informations structurées conformément à l'Annex VIII — couvrant l'identité de l'entreprise, la description du système, la destination prévue, le résumé de la gestion des risques, la référence de la déclaration de conformité et tout numéro de certificat d'organisme notifié.
3. Obtenir un numéro d'enregistrement qui doit ensuite figurer dans la déclaration UE de conformité et accompagner la documentation du système.

Pour les fournisseurs établis hors UE, le représentant autorisé établi dans l'Union est le point de contact responsable de la soumission de l'enregistrement. Cela reprend le modèle utilisé dans d'autres cadres de sécurité des produits de l'UE.

Pour les déployeurs exploitant des systèmes biométriques à haut risque ou de reconnaissance des émotions dans des contextes de maintien de l'ordre ou de gestion des frontières (Annex III, point 8), un enregistrement distinct côté déployeur est obligatoire avant l'activation du système dans un environnement opérationnel.

Exemple pratique : une entreprise fournissant un outil de notation de la solvabilité assisté par IA (Annex III, point 5b) doit enregistrer le système dans la base de données de l'UE, obtenir son numéro d'enregistrement, inclure ce numéro dans la déclaration de conformité et mettre à jour l'entrée si le modèle subit une modification substantielle — comme un changement significatif des données d'entraînement ou de la logique de sortie — validée par le processus d'évaluation de la conformité.

L'enregistrement n'est pas une démarche administrative ponctuelle ; c'est un dossier vivant qui suit le système tout au long de sa vie commerciale.

Obligations clés

• Enregistrement avant la mise sur le marché : Les fournisseurs doivent s'enregistrer eux-mêmes et enregistrer leurs systèmes d'IA à haut risque dans la base de données de l'UE au titre de l'Article 71 avant que le système ne soit mis sur le marché ou mis en service dans l'Union.
• Le représentant autorisé en tant qu'auteur de l'enregistrement : Lorsque le fournisseur est établi en dehors de l'UE, le représentant autorisé établi dans un État membre doit compléter et soumettre l'enregistrement.
• Enregistrement du déployeur pour les systèmes du point 8 : Les déployeurs de systèmes d'IA à haut risque relevant de l'Annex III, point 8 (catégorisation biométrique, reconnaissance des émotions) dans les contextes des forces de l'ordre et des frontières doivent enregistrer leur utilisation prévue avant le déploiement.
• Exigences d'information de l'Annex VIII : Les enregistrements doivent contenir toutes les informations spécifiées à l'Annex VIII, parties I et II, notamment l'identité du système, les capacités, les limitations, la documentation de conformité et les références de certificats.
• Obligation d'exactitude continue : Les informations enregistrées doivent être tenues à jour ; toute modification substantielle déclenchant une nouvelle évaluation de la conformité nécessite une mise à jour correspondante de l'entrée d'enregistrement.
• Entrées restreintes pour les utilisations sensibles par les autorités publiques : Les systèmes utilisés exclusivement par les autorités chargées de l'application des lois, de la gestion des frontières, de l'immigration et de l'asile au titre des points 1 à 7 de l'Annex III sont enregistrés dans une section non publique de la base de données, conciliant transparence et sécurité opérationnelle.

Relation avec d'autres articles

L'Article 49 se situe à l'intersection de plusieurs obligations fondamentales et ne peut être lu isolément.

L'Article 71 établit et régit la base de données de l'UE dans laquelle les enregistrements sont consignés ; il définit les responsabilités de la Commission en tant qu'administrateur et les règles d'accessibilité publique auxquelles l'Article 49 fait référence.

L'Annex VIII précise les champs d'information exacts qui doivent être soumis, la rendant opérationnellement indissociable du processus d'enregistrement.

L'Article 47 (déclaration UE de conformité) et l'Article 48 (marquage CE) précèdent logiquement l'enregistrement : le numéro de référence de la déclaration de conformité doit être disponible au moment de l'enregistrement, et le numéro d'enregistrement est renvoyé dans la déclaration. Ensemble, les Articles 47, 48 et 49 forment la dernière barrière de conformité avant l'accès au marché.

L'Article 43 (évaluation de la conformité) alimente l'enregistrement car le certificat de l'organisme notifié obtenu lors de cette évaluation est un champ de données obligatoire à l'Annex VIII lorsqu'une évaluation par des tiers est requise.

L'Article 111 (dispositions transitoires) régit la manière dont les délais d'enregistrement interagissent avec les systèmes déjà sur le marché avant l'entrée en vigueur des obligations, et doit être consulté conjointement avec l'Article 49 pour toute analyse de système existant.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel. Toutefois, les obligations d'enregistrement de l'Article 49 ne s'appliquent pas immédiatement à l'entrée en vigueur ; elles suivent le calendrier d'application échelonné du Règlement :

• 2 février 2025 — Les pratiques d'IA interdites (Article 5) sont devenues applicables. Aucun impact direct sur l'Article 49, mais pertinent pour les exercices de délimitation du périmètre.
• 2 août 2025 — Les obligations relatives aux modèles d'IA à usage général (Titre VIII) et le cadre de gouvernance sont devenus applicables. L'enregistrement au titre de l'Article 49 n'est pas déclenché à ce stade pour les modèles d'IA à usage général qui ne sont pas séparément classifiés comme à haut risque.
• 2 décembre 2027 — Les obligations d'enregistrement au titre de l'Article 49 s'appliquent aux systèmes d'IA à haut risque couverts par l'Annex III, points 1 à 7. Il s'agit de l'échéance de conformité principale pour la plupart des fournisseurs d'IA en entreprise.
• 2 août 2027 — Les obligations d'enregistrement s'étendent aux systèmes d'IA à haut risque régis par l'Annex II (législation harmonisée sur la sécurité des produits), tels que les dispositifs médicaux et les machines.

Les fournisseurs et les déployeurs devraient planifier les flux de travail d'enregistrement — y compris la collecte des données de l'Annex VIII, l'accès au portail de la base de données de l'UE et les arrangements relatifs au représentant autorisé — bien avant l'échéance d'août 2026 pour éviter les goulets d'étranglement de dernière minute. Les systèmes mis sur le marché avant ces dates dans le cadre de régimes antérieurs bénéficient des dispositions transitoires de l'Article 111, mais les fournisseurs sont fortement conseillés d'évaluer si ces dispositions s'appliquent à leur catégorie de produit spécifique.