Article 70 — Autorité nationale compétente (règlement européen sur l'IA)

Article 70 du règlement (UE) 2024/1689 — Autorité nationale compétente. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'article 70 du règlement (UE) 2024/1689 impose à chaque État membre de l'UE de désigner une ou plusieurs autorités nationales compétentes aux fins de superviser l'application et l'exécution du règlement sur l'IA. Chaque autorité désignée doit être notifiée à la Commission européenne, qui rend ensuite cette information publiquement accessible.

L'article distingue deux rôles fonctionnels qui peuvent être remplis par les mêmes organismes nationaux ou par des organismes différents : l'autorité de surveillance du marché, chargée de superviser les systèmes d'IA mis sur le marché ou mis en service, et l'autorité notifiante, chargée d'établir et de conduire le processus de désignation des organismes d'évaluation de la conformité.

Les États membres doivent veiller à ce que l'autorité ou les autorités désignées disposent de pouvoirs, de ressources, d'effectifs techniques et de moyens financiers suffisants pour s'acquitter efficacement de leurs missions. Lorsqu'un État membre désigne plusieurs autorités compétentes, il doit délimiter clairement leurs responsabilités respectives et établir des mécanismes de coordination appropriés.

L'article 70 impose également aux États membres de désigner une autorité compétente chargée de superviser les systèmes d'IA déployés par les organismes et institutions publics. Cela reconnaît la sensibilité particulière de l'utilisation de l'IA dans les contextes gouvernementaux et la nécessité d'une surveillance dédiée, indépendante de la surveillance commerciale du marché.

Les États membres doivent communiquer leurs désignations, ainsi que toute modification ultérieure, à la Commission sans retard injustifié.

Ce que cela signifie en pratique

Pour les gouvernements nationaux, l'article 70 constitue une obligation organisationnelle et institutionnelle : chaque État membre doit prendre une décision gouvernementale concrète quant à l'organisme de réglementation existant — ou à l'institution nouvellement créée — qui détiendra les pouvoirs de surveillance au titre du règlement sur l'IA.

En pratique, de nombreux États membres élargissent soit le mandat des autorités de protection des données existantes ou des régulateurs du numérique, soit créent de nouveaux organismes dédiés à la surveillance de l'IA. Des pays tels que la France (avec la CNIL et l'Arcom jouant un rôle), l'Allemagne (avec la Bundesnetzagentur) et l'Espagne (avec l'AESIA) ont pris des mesures pour identifier ou créer des autorités compétentes avant les échéances applicables.

Pour les opérateurs — fournisseurs, déployeurs, importateurs et distributeurs de systèmes d'IA à haut risque — la désignation de l'autorité nationale compétente détermine quel organisme mènera les audits, les enquêtes et les actions d'exécution à leur égard. Il est donc essentiel d'identifier l'autorité compétente dans chaque État membre où un système d'IA est mis sur le marché ou mis en service.

Pour les déployeurs de systèmes d'IA au sein des administrations publiques, l'autorité de surveillance désignée pour les organismes publics peut être distincte de l'autorité générale de surveillance du marché. Les organisations du secteur public doivent donc identifier quel organisme supervise leur contexte spécifique.

Exemple concret : une entreprise fournissant un système d'identification biométrique à une agence nationale de contrôle aux frontières doit interagir avec deux autorités nationales compétentes potentiellement distinctes — l'autorité de surveillance du marché (supervisant le produit en tant que système à haut risque) et l'autorité désignée pour les déploiements dans les organismes publics (supervisant l'utilisation finale).

Les opérateurs doivent surveiller le registre public du Bureau européen de l'IA relatif aux désignations des autorités nationales compétentes et établir des points de contact directs avec l'organisme national compétent.

Obligations clés

• Désignation par les États membres : Chaque État membre de l'UE doit désigner au moins une autorité nationale compétente chargée de superviser l'application du règlement européen sur l'IA et notifier sa désignation à la Commission européenne.
• Couverture à double fonction : Les États membres doivent assurer la couverture à la fois de la fonction de surveillance du marché (pour les systèmes d'IA commercialement mis sur le marché) et de la fonction d'autorité notifiante (pour l'accréditation des organismes d'évaluation de la conformité), que ce soit par un seul organisme ou par plusieurs organismes coordonnés.
• Supervision du secteur public : Une autorité compétente doit être spécifiquement désignée pour superviser les systèmes d'IA utilisés par les autorités et organismes publics, reconnaissant ainsi les exigences particulières en matière de responsabilité dans le déploiement gouvernemental de l'IA.
• Ressources adéquates : Les autorités désignées doivent disposer d'une expertise technique, de ressources humaines et de moyens financiers suffisants pour exercer efficacement leurs fonctions de surveillance et d'exécution.
• Coordination en cas de pluralité d'autorités : Lorsque plusieurs autorités nationales sont désignées, les États membres doivent délimiter clairement les responsabilités et établir des mécanismes de coordination formels pour éviter les lacunes ou les conflits dans la surveillance.
• Notification et transparence : Les États membres doivent communiquer leurs désignations à la Commission sans retard injustifié, et la Commission doit rendre ces informations publiquement accessibles.

Relation avec d'autres articles

L'article 70 constitue le fondement institutionnel de l'ensemble de l'architecture d'exécution et de surveillance du marché du titre IX. Il doit être lu conjointement avec l'article 74 (surveillance du marché et contrôle des systèmes d'IA sur le marché de l'Union), qui définit les pouvoirs et procédures substantiels exercés par les autorités nationales compétentes. Les articles 75 et 76 portent sur la coopération transfrontalière et l'échange d'informations entre les autorités nationales, qui dépendent directement des désignations effectuées au titre de l'article 70.

L'article 77 régit les pouvoirs des autorités pour accéder aux données et à la documentation des opérateurs, pouvoirs qui reviennent à l'autorité désignée au titre de l'article 70. L'article 80 prévoit le point de contact unique que les autorités nationales compétentes doivent établir pour la coordination transfrontalière avec le Bureau européen de l'IA institué par l'article 64.

Au niveau de l'Union, le Comité européen de l'IA (article 65) et le Bureau européen de l'IA opèrent aux côtés des autorités nationales compétentes, faisant de l'article 70 un nœud critique dans la structure de gouvernance à plusieurs niveaux du règlement.

Calendrier de conformité

Le règlement européen sur l'IA est entré en vigueur le 1er août 2024, après sa publication au Journal officiel. Ses obligations s'appliquent de manière progressive :

• Février 2025 : Les interdictions relatives aux pratiques d'IA présentant un risque inacceptable (titre II) sont devenues applicables.
• Août 2025 : Les obligations relatives aux modèles d'IA à usage général (titre VIII), les structures de gouvernance incluant le Bureau européen de l'IA, et — de manière critique pour l'article 70 — les obligations de désignation des autorités nationales compétentes sont devenues applicables. Les États membres auraient dû communiquer leurs désignations à la Commission à cette date.
• Août 2028 : Les obligations relatives aux systèmes d'IA à haut risque au titre de l'annexe I (législation sur la sécurité des produits) s'appliquent.
• Décembre 2027 : Application complète des obligations pour les systèmes d'IA à haut risque figurant à l'annexe III, achevant le déploiement progressif.

Pour les opérateurs, la portée pratique de l'article 70 devient aiguë à partir d'août 2025, lorsque les autorités nationales compétentes désignées acquièrent des pouvoirs actifs de surveillance et d'exécution. Le recensement de l'autorité nationale qui supervise vos systèmes d'IA dans chaque État membre concerné doit être traité comme une action de conformité à accomplir avant le T3 2025.