Article 63 — Dérogations à certaines exigences applicables aux systèmes d'IA à haut risque pour certains opérateurs (Règlement IA UE)

Article 63 du Règlement (UE) 2024/1689 — Dérogations à certaines exigences applicables aux systèmes d'IA à haut risque pour certains opérateurs. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'Article 63 du Règlement (UE) 2024/1689 (le Règlement IA UE), situé dans le Titre VI — Mesures en faveur de l'innovation, établit des dérogations ciblées à certaines exigences du Chapitre III, Section 2 qui s'appliqueraient autrement intégralement aux fournisseurs et autres opérateurs de systèmes d'IA à haut risque.

Les principaux bénéficiaires sont les microentreprises au sens de la Recommandation de la Commission 2003/361/CE (entreprises de moins de 10 employés et dont le chiffre d'affaires annuel ou le total du bilan n'excède pas 2 millions d'euros). Pour ces fournisseurs, l'Article 63 permet une approche simplifiée des obligations du système de gestion de la qualité prévues à l'Article 17, permettant de mettre en œuvre des procédures et des politiques d'une manière proportionnée à la taille et à la capacité opérationnelle de l'opérateur, plutôt que par le biais du système documenté complet que les fournisseurs plus importants doivent établir.

L'Article 63 aborde en outre les opérateurs qui sont des organismes publics déployant des systèmes d'IA à haut risque, reconnaissant que leurs structures d'acquisition et de gouvernance peuvent différer matériellement de celles des opérateurs commerciaux. Certaines obligations de documentation et de conformité peuvent être adaptées lorsqu'un organisme public agit exclusivement en tant que déployeur et que le système est acquis auprès d'un fournisseur externe qui conserve les obligations principales du fournisseur.

De manière cruciale, l'article préserve le plancher de sécurité substantiel : les dérogations concernent la forme procédurale et l'échelle, et non les exigences sous-jacentes d'exactitude, de robustesse, de cybersécurité, de gouvernance des données, de transparence et de surveillance humaine. Tous les opérateurs, quelle que soit leur taille, doivent toujours s'assurer que les systèmes d'IA à haut risque satisfont aux exigences techniques des Articles 9 à 15 et restent soumis aux obligations de surveillance du marché.

Ce que cela signifie en pratique

L'Article 63 est un instrument de proportionnalité. Son effet pratique est de réduire la charge administrative pesant sur les plus petits acteurs du marché et sur certains déployeurs du secteur public sans compromettre les objectifs de sécurité du Règlement.

Pour les fournisseurs microentreprises, l'allègement le plus significatif concerne les systèmes de gestion de la qualité de l'Article 17. Plutôt que de maintenir un SGQ entièrement documenté avec des rôles désignés, des procédures de gestion des changements, des plans de surveillance post-commercialisation et un contrôle systématique des versions, une microentreprise peut mettre en œuvre une gouvernance équivalente grâce à des procédures internes plus simples — par exemple, un document de politique concis, une personne responsable désignée et un journal d'incidents de base — à condition que ces mesures traitent adéquatement les risques. Les obligations de documentation technique de l'Article 11 et les procédures d'évaluation de la conformité des Articles 43 à 44 continuent de s'appliquer intégralement, tout comme les obligations d'enregistrement dans la base de données de l'UE au titre de l'Article 71.

Pour les déployeurs organismes publics, l'Article 63 reconnaît que lorsqu'un pouvoir adjudicateur acquiert un système d'IA à haut risque, les obligations principales de conformité incombent au fournisseur. Les obligations du déployeur au titre de l'Article 26 — notamment les évaluations de l'impact sur les droits fondamentaux, la désignation de la surveillance humaine et la journalisation — restent intactes, mais l'Article 63 apporte une clarté contextuelle selon laquelle ces organismes ne sont pas censés reproduire la documentation technique côté fournisseur qu'ils ne possèdent pas.

Exemple pratique : Une start-up de deux personnes dans le domaine des technologies juridiques qui met sur le marché un système d'IA d'examen de contrats (Annex III, point 5, lettre a) — accès à l'aide juridictionnelle) doit effectuer une évaluation de la conformité et enregistrer le système, mais peut documenter son processus de gestion des risques par le biais d'une procédure interne simplifiée plutôt que d'un SGQ formel aligné sur les normes ISO. Une grande municipalité déployant le même système d'un fournisseur tiers reste soumise aux obligations du déployeur mais n'est pas censée produire le dossier technique du fournisseur.

Les opérateurs devraient documenter leur éligibilité aux dérogations — notamment leur classification en tant que microentreprise — dans le cadre de leurs dossiers de conformité, puisque les autorités de surveillance du marché peuvent demander des preuves.

Obligations clés

• Établir des procédures de gestion de la qualité proportionnées : Les fournisseurs microentreprises doivent mettre en œuvre des procédures internes couvrant la substance des obligations de l'Article 17 — gestion des risques, gouvernance des données, documentation, surveillance post-commercialisation — adaptées de manière appropriée à leur taille et au profil de risque du système d'IA, même si ce n'est pas par le biais d'un SGQ formel documenté.
• Maintenir une documentation technique complète : Les dérogations de l'Article 63 ne réduisent pas les exigences de documentation technique au titre de l'Article 11 et de l'Annex IV. Les fournisseurs doivent toujours produire, maintenir et mettre à disposition la documentation démontrant la conformité.
• Achever l'évaluation de conformité applicable : Tous les fournisseurs de systèmes d'IA à haut risque, y compris les microentreprises, doivent achever la procédure d'évaluation de la conformité au titre de l'Article 43 avant de mettre un système sur le marché ou de le mettre en service.
• S'enregistrer dans la base de données du Règlement IA UE : Les obligations d'enregistrement au titre de l'Article 71 s'appliquent quelle que soit la taille de l'opérateur ; les microentreprises doivent enregistrer les systèmes d'IA à haut risque dans la base de données publique de l'UE gérée par la Commission.
• Préserver les exigences de surveillance humaine et de sécurité : Les exigences techniques des Articles 9 à 15 (gestion des risques, gouvernance des données, transparence, exactitude, robustesse, cybersécurité et surveillance humaine) ne font pas l'objet de dérogations et doivent être intégralement respectées par tous les fournisseurs, quelle que soit leur taille.
• Documenter l'éligibilité à la dérogation : Les opérateurs s'appuyant sur les dérogations de l'Article 63 devraient conserver des enregistrements démontrant leur statut qualifiant (par exemple, classification en microentreprise ou statut de déployeur organisme public) pour étayer leur approche de conformité auprès des autorités nationales de surveillance du marché.

Relation avec d'autres articles

L'Article 63 fonctionne comme un modificateur de proportionnalité au sein du cadre de conformité plus large des systèmes d'IA à haut risque et doit être lu conjointement avec plusieurs autres dispositions.

L'Article 17 (Systèmes de gestion de la qualité) est l'article principal à partir duquel les dérogations pour microentreprises sont tirées ; l'Article 63 conditionne et limite ces dérogations. Les Articles 9 à 15 fixent le plancher technique non dérogatoire que l'Article 63 préserve explicitement. L'Article 26 régit les obligations des déployeurs et est pertinent pour les dispositions de dérogation relatives aux organismes publics. L'Article 11 et l'Annex IV définissent les exigences de documentation technique qui restent pleinement applicables.

Au sein du Titre VI, l'Article 63 s'inscrit aux côtés des Articles 57 à 62 (bacs à sable réglementaires IA) et des Articles 64 à 68 (mesures de soutien aux PME et aux tests), formant un cadre de soutien aux PME cohérent. L'Article 9 du Titre I (l'obligation générale de proportionnalité applicable à tous les fournisseurs) fournit la justification réglementaire sous-tendant les mesures d'allègement spécifiques de l'Article 63. L'Article 71 (base de données de l'UE) et l'Article 43 (évaluation de la conformité) établissent des obligations que l'Article 63 ne modifie pas.

Calendrier de conformité

Le Règlement IA UE est entré en vigueur le 1er août 2024, vingt jours après publication au Journal officiel.

Le calendrier d'application échelonné pertinent pour l'Article 63 est le suivant :

• 2 février 2025 — Les interdictions portant sur les pratiques d'IA à risque inacceptable (Article 5) sont devenues applicables. L'Article 63 n'est pas pertinent à ce stade.
• 2 août 2025 — Les obligations relatives aux modèles d'IA à usage général (Titre III, Chapitre V) et les dispositions de gouvernance sont devenues applicables. Les dérogations de l'Article 63 ne s'appliquent pas aux fournisseurs de modèles d'IA à usage général.
• 2 décembre 2027 — Le cadre complet des systèmes d'IA à haut risque au titre du Titre III, Chapitre III, Section 2 — y compris les exigences auxquelles l'Article 63 prévoit des dérogations — devient applicable aux systèmes listés en Annex III (systèmes d'IA à haut risque autonomes, notamment dans les domaines de la biométrie, des infrastructures critiques, de l'éducation, de l'emploi, des services essentiels, de l'application de la loi, de la migration et de l'administration de la justice). Les dérogations de l'Article 63 deviennent opérantes à partir de cette date pour les opérateurs qualifiants.
• 2 août 2028 — Les systèmes d'IA à haut risque intégrés dans des produits couverts par la législation harmonisée de l'Annex I (machines, dispositifs médicaux, aviation civile, véhicules à moteur, etc.) deviennent soumis au cadre complet. Les dérogations de l'Article 63 s'étendent aux opérateurs qualifiants dans ces secteurs de produits à partir de cette date.

Les opérateurs cherchant à s'appuyer sur les dérogations de l'Article 63 devraient commencer les évaluations d'éligibilité interne et la planification de conformité proportionnée bien avant la date applicable pour leur catégorie de système.