Article 7 — Modifications de l'Annex III (AI Act européen)

Article 7 du Règlement (UE) 2024/1689 — Modifications de l'Annex III. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 7 du Règlement (UE) 2024/1689 confère à la Commission européenne le pouvoir de modifier l'Annex III — la liste des catégories de systèmes d'IA à haut risque — au moyen d'actes délégués adoptés conformément à l'article 97. Ce mécanisme permet au périmètre réglementaire du Titre III de s'étendre ou de se contracter en réponse aux preuves empiriques, sans nécessiter une procédure législative complète.

Lors de l'évaluation de l'opportunité d'ajouter une nouvelle catégorie de système d'IA à l'Annex III, la Commission est tenue d'appliquer un ensemble structuré de critères. Ceux-ci comprennent : la gravité et l'irréversibilité du préjudice que le système peut causer à la santé, à la sécurité ou aux droits fondamentaux ; le nombre de personnes potentiellement affectées et leur degré de vulnérabilité ; la mesure dans laquelle le système a déjà été déployé et les préjudices réels observés ; le degré de supervision humaine maintenu sur les résultats automatisés ; et la question de savoir si la législation applicable de l'Union ou des États membres offre déjà un niveau de protection adéquat contre les risques identifiés.

À l'inverse, la Commission peut retirer une catégorie de l'Annex III lorsque la base de preuves démontre que le risque résiduel ne remplit plus le seuil justifiant une classification à haut risque, ou que des garanties équivalentes ont été établies par d'autres instruments contraignants de l'Union.

Tout acte délégué adopté au titre de l'article 7 est soumis à la procédure de contrôle parlementaire prévue à l'article 97, donnant au Parlement européen et au Conseil le droit de s'opposer avant l'entrée en vigueur de l'acte. Cela garantit un contrôle démocratique de l'évolution réglementaire tout en préservant la souplesse dont la Commission a besoin pour suivre le rythme des capacités d'IA en développement rapide.

Ce que cela signifie en pratique

L'article 7 fonctionne comme le mécanisme adaptatif de l'AI Act européen pour la classification à haut risque. En pratique, cela signifie que la frontière entre les systèmes d'IA soumis au régime de conformité complet à haut risque et ceux qui ne le sont pas n'est pas définitivement fixée à la date d'entrée en vigueur. Les fournisseurs et les déployeurs doivent donc surveiller en continu les actes délégués de la Commission, et pas seulement au moment du développement initial du produit.

Pour les organisations construisant ou déployant des systèmes d'IA dans des secteurs adjacents à l'Annex III — par exemple, des outils d'IA utilisés dans la gestion des effectifs, la notation du crédit ou la prestation de services publics — l'article 7 crée un risque à l'horizon de conformité : un système qui est hors du champ d'application aujourd'hui pourrait relever du champ d'application à la suite d'une modification de la Commission. Les organisations prudentes devraient réaliser une évaluation préliminaire à haut risque même pour les systèmes limites et concevoir leur architecture de gouvernance pour être évolutive.

Pour les organisations opérant déjà dans des catégories de l'Annex III, l'article 7 renforce la nécessité d'une surveillance continue de la conformité. Une modification qui restreint la définition d'une catégorie répertoriée pourrait alléger certaines obligations, mais les organisations ne doivent pas présumer d'un allègement sans analyse juridique formelle du champ de l'acte délégué.

Concrètement, un fournisseur d'un outil assisté par l'IA qui classe les candidats à des postes dans un contexte de recrutement dans le secteur public relève actuellement du point 4 de l'Annex III. Si la Commission, s'appuyant sur les données de surveillance post-commercialisation collectées au titre de l'article 72, détermine que les systèmes d'IA utilisés dans le recrutement dans le secteur privé dans les petites entreprises présentent des risques équivalents, elle pourrait étendre ce point par le biais de l'article 7. La chaîne d'approvisionnement de ce fournisseur, les exigences en matière de documentation technique et les obligations d'évaluation de conformité s'appliqueraient alors à un ensemble plus large de clients.

Obligations clés

• Surveiller les actes délégués de la Commission : Les fournisseurs et les déployeurs doivent suivre tout acte délégué adopté au titre de l'article 7 qui modifie l'Annex III, car les modifications peuvent altérer leur statut de conformité sans périodes de grâce transitoires au-delà de celles spécifiées dans l'acte lui-même.
• Maintenir une documentation des risques adaptable : La documentation technique et les registres d'évaluation de conformité doivent être structurés de manière à pouvoir être mis à jour pour refléter toute reclassification d'un système d'IA de non-haut-risque à haut risque, ou vice versa.
• Réaliser des évaluations prospectives pour les systèmes limites : Les organisations exploitant des systèmes d'IA dans des secteurs adjacents à l'Annex III devraient évaluer périodiquement si les orientations évolutives de la Commission ou les conclusions de la surveillance du marché indiquent une prochaine modification susceptible d'affecter leurs produits.
• Participer aux processus de consultation publique : La procédure d'acte délégué comprend des consultations avec les parties prenantes concernées ; les fournisseurs et les associations industrielles devraient participer pour s'assurer que les preuves spécifiques au secteur sont prises en compte avant que la Commission ne finalise les modifications.
• Examiner les obligations envers les clients et la chaîne d'approvisionnement en cas de modification : Lorsqu'une modification étend l'Annex III, les fournisseurs doivent transmettre les obligations contractuelles et techniques mises à jour aux déployeurs et aux organismes notifiés sans délai injustifié.
• Suivre la suppression des catégories : Lorsque la Commission supprime une catégorie, les organisations doivent évaluer si elles peuvent réduire les charges de conformité, mais doivent conserver les registres démontrant la conformité passée pour les périodes durant lesquelles le statut à haut risque s'appliquait.

Relation avec les autres articles

L'article 7 ne peut être lu isolément de plusieurs autres dispositions. Il est directement subordonné à l'article 97, qui régit l'exercice du pouvoir délégué, y compris la durée de la délégation, les conditions de révocation et la procédure d'opposition parlementaire.

Les critères que l'article 7 prescrit pour l'ajout de catégories à l'Annex III reflètent directement le cadre d'évaluation des risques sous-jacent à l'article 9 (système de gestion des risques), ce qui signifie que les mêmes questions factuelles qui éclairent une modification de la Commission informent également les obligations internes de gestion des risques d'un fournisseur.

L'article 6 définit la règle primaire pour la classification à haut risque, et l'article 7 fonctionne comme son complément dynamique : ensemble, ils déterminent quels systèmes d'IA relèvent des obligations du Titre III prévues aux articles 8 à 49.

Les données de surveillance post-commercialisation collectées au titre de l'article 72 et les rapports d'incidents graves au titre de l'article 73 alimentent directement la base de preuves que la Commission utilise lors de l'examen des modifications au titre de l'article 7, créant une boucle de rétroaction entre la surveillance du marché et la classification réglementaire. Enfin, l'Annex III elle-même est le texte opérationnel que l'article 7 modifie ; toute analyse de conformité doit être effectuée par rapport à la version de l'Annex III en vigueur au moment de l'activité concernée, et non par rapport à la version en vigueur à une date antérieure.

Calendrier de conformité

2 août 2024 — Le Règlement (UE) 2024/1689 est entré en vigueur. L'article 7, y compris le pouvoir délégué de la Commission de modifier l'Annex III, est devenu opérationnel à compter de cette date. La période de délégation court pendant cinq ans à compter de l'entrée en vigueur, renouvelable par extension tacite au titre de l'article 97.

2 février 2025 — Les pratiques d'IA interdites au titre de l'article 5 sont devenues applicables. Les modifications au titre de l'article 7 ne peuvent pas passer outre les interdictions ; tout système relevant de l'article 5 ne peut pas être réhabilité par une reclassification.

2 août 2025 — Les règles relatives aux modèles d'IA à usage général (Titre VIII) sont devenues applicables. L'infrastructure de surveillance post-commercialisation de la Commission a commencé à produire des données susceptibles d'éclairer les futures modifications au titre de l'article 7.

2 août 2028 — Les systèmes d'IA à haut risque couverts par la législation harmonisée de l'Union figurant à l'Annex I, section A sont devenus pleinement soumis au régime du Titre III. Les modifications au titre de l'article 7 affectant ces secteurs interagissent avec la législation existante en matière de sécurité des produits.

2 décembre 2027 — Les systèmes d'IA à haut risque figurant à l'Annex III (autres que ceux déjà soumis à des dates antérieures) deviennent pleinement soumis aux obligations du Titre III. Il s'agit de la principale échéance de conformité pour la plupart des organisations concernées par les classifications de l'Annex III, y compris toute modification future effectuée au titre de l'article 7 avant cette date. Les modifications adoptées après le 2 août 2027 spécifieront leurs propres dates d'application conformément à la procédure d'acte délégué.