Article 60 — Test des systèmes d'IA à haut risque dans des conditions réelles en dehors des bacs à sable réglementaires IA (Règlement IA UE)

Article 60 du Règlement (UE) 2024/1689 — Test des systèmes d'IA à haut risque dans des conditions réelles en dehors des bacs à sable réglementaires IA. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'Article 60 du Règlement (UE) 2024/1689 établit les conditions dans lesquelles les fournisseurs et fournisseurs potentiels de systèmes d'IA à haut risque peuvent effectuer des tests en conditions réelles en dehors du cadre structuré des bacs à sable réglementaires IA établis en vertu des Articles 57 à 59. Cette disposition reconnaît qu'une évaluation significative des systèmes d'IA à haut risque nécessite souvent une exposition à de véritables environnements opérationnels, tout en maintenant des garanties proportionnées aux risques en jeu.

L'article exige que les tests en dehors des bacs à sable ne soient effectués que si un ensemble de conditions cumulatives est réuni. Le fournisseur ou fournisseur potentiel doit soumettre une notification à l'autorité nationale compétente au moins 30 jours avant le début des tests. La notification doit inclure un plan de test décrivant la portée, la durée, la zone géographique, les catégories de personnes impliquées et les mesures d'atténuation des risques en place.

Le consentement éclairé des sujets est une exigence centrale. Lorsque le système d'IA interagit avec des personnes physiques identifiables ou prend des décisions les affectant, ces personnes doivent être informées de leur participation et doivent consentir explicitement, sauf si le droit sectoriel applicable en dispose autrement. Les tests ne doivent pas aller au-delà de ce qui est strictement nécessaire pour atteindre les objectifs déclarés, et ne doivent pas exposer les sujets à des risques ou préjudices inacceptables.

L'article exige en outre que les tests soient effectués sous la supervision du fournisseur, que les résultats soient enregistrés et que les incidents graves rencontrés lors des tests soient signalés à l'autorité compétente. Les États membres conservent la capacité d'autoriser ou de refuser des activités de test sur leur territoire et peuvent imposer des conditions supplémentaires.

Ce que cela signifie en pratique

L'Article 60 est principalement pertinent pour les organisations développant ou déployant des systèmes d'IA à haut risque — tels que définis à l'Article 6 et en Annex III du Règlement — qui ont besoin de valider les performances ou les propriétés de sécurité du système dans de véritables environnements opérationnels, avant ou parallèlement à l'évaluation formelle de la conformité. Cela inclut, par exemple, un hôpital pilotant un outil de diagnostic assisté par IA dans un environnement clinique réel, ou un établissement financier testant un modèle de solvabilité avec de vrais demandeurs en dehors d'un bac à sable contrôlé.

En pratique, la conformité implique d'établir un processus interne de gestion des tests en conditions réelles qui reflète les obligations de l'article. Avant le début de tout test, l'organisation doit préparer un plan de test structuré, vérifier que tous les mécanismes de consentement sont en place et déposer la notification requise auprès de l'autorité compétente au moins 30 jours à l'avance — laissant suffisamment de temps à l'autorité pour soulever des objections ou imposer des conditions.

Pendant le test, l'organisation doit maintenir une surveillance humaine active, documenter tous les incidents significatifs et être prête à suspendre immédiatement les tests si les risques dépassent les niveaux anticipés. Les données collectées lors des tests restent soumises aux obligations applicables du RGPD, et le traitement de catégories particulières de données nécessite une base juridique spécifique.

Les organisations doivent également s'assurer que leurs contrats avec les déployeurs ou les opérateurs de tests tiers répartissent clairement la responsabilité du respect des conditions de l'Article 60, puisque l'obligation incombe principalement au fournisseur ou au fournisseur potentiel, quelle que soit la personne qui effectue physiquement le test. Des cadres de gouvernance interne — notamment une personne responsable désignée et un registre des risques documenté pour le test — sont fortement conseillés.

Obligations clés

• Notification préalable : Soumettre un plan de test à l'autorité nationale compétente concernée au moins 30 jours avant le début des tests en conditions réelles, couvrant la portée, la durée, le lieu, les catégories de sujets et les mesures d'atténuation des risques.
• Consentement éclairé : Obtenir le consentement éclairé explicite de toutes les personnes physiques impliquées dans les tests ou affectées par ceux-ci, et les informer de leur droit inconditionnel de se retirer à tout moment sans préjudice.
• Proportionnalité des risques : Veiller à ce que les activités de test ne dépassent pas ce qui est strictement nécessaire pour l'objectif déclaré et n'exposent pas les sujets ou des tiers à des risques qui l'emportent sur les bénéfices attendus.
• Supervision et documentation : Maintenir une surveillance active du test, conserver des enregistrements du plan de test, des résultats et de tout écart ou incident rencontré pendant la période de test.
• Signalement des incidents : Signaler sans retard excessif tout incident grave survenu lors des tests en conditions réelles à l'autorité compétente, et prendre des mesures correctives immédiates pour atténuer le préjudice.
• Enregistrement dans la base de données de l'UE : Enregistrer l'activité de test en conditions réelles dans la base de données de l'UE pour les systèmes d'IA à haut risque établie en vertu de l'Article 71, avant le début des tests.

Relation avec d'autres articles

L'Article 60 fait partie du Titre VI (Mesures en faveur de l'innovation) et doit être lu conjointement avec les Articles 57 à 59, qui établissent le cadre principal des bacs à sable réglementaires IA. L'Article 60 fonctionne comme une voie complémentaire pour les tests qui ne se déroulent pas dans un bac à sable formel, mais il ne remplace ni n'abaisse les obligations substantielles de sécurité et de transparence qui s'appliquent aux systèmes d'IA à haut risque au titre du Titre III (notamment les Articles 8 à 15 sur les obligations des fournisseurs, la gestion des risques et la documentation technique).

Les exigences de consentement et de protection des données de l'Article 60 recoupent directement le Règlement (UE) 2016/679 (RGPD), notamment les Articles 6, 9 et 22 sur le traitement licite et la prise de décision automatisée. L'Article 60 se rattache également à l'Article 71 sur la base de données de l'UE, qui régit les obligations d'enregistrement, et à l'Article 73 sur la surveillance du marché, puisque les autorités compétentes peuvent inspecter les tests en conditions réelles. Les fournisseurs doivent également prendre en compte l'Article 26 sur les obligations des déployeurs, car les tests en conditions réelles impliquent fréquemment une infrastructure et des données côté déployeur.

Calendrier de conformité

Le Règlement IA UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne. Ses dispositions s'appliquent en plusieurs phases :

• 2 février 2025 — Les interdictions portant sur les pratiques d'IA à risque inacceptable (Article 5) sont devenues applicables.
• 2 août 2025 — Les dispositions relatives aux modèles d'IA à usage général (Titre III, Chapitre 3, Articles 51 à 56) et les obligations de gouvernance (Titre VI et VIII en partie) sont devenues applicables. Le cadre des bacs à sable réglementaires au titre des Articles 57 à 59 est également devenu applicable à partir de cette date.
• 2 août 2026 — Date d'application générale de la plupart des dispositions restantes, dont l'Article 60. À partir de cette date, les fournisseurs et fournisseurs potentiels de systèmes d'IA à haut risque souhaitant effectuer des tests en conditions réelles en dehors des bacs à sable doivent se conformer intégralement aux obligations de notification, de consentement, de documentation et de signalement des incidents établies par cet article.
• 2 août 2028 — Délai étendu pour les systèmes d'IA à haut risque relevant de l'Annex III, point 2 (systèmes d'IA dans des produits existants déjà soumis à la législation d'harmonisation de l'Union listée en Annex I), accordant aux secteurs concernés un délai supplémentaire pour s'aligner sur les exigences d'évaluation de la conformité et les exigences opérationnelles.

Les organisations planifiant des programmes de tests en conditions réelles devraient commencer à concevoir des cadres de gouvernance des tests conformes et des procédures de notification bien avant la date du 2 août 2026 pour éviter des retards lorsque l'obligation deviendra exécutoire.