Article 71 — Base de données de l'UE pour les systèmes d'IA à haut risque (règlement IA)

Article 71 du règlement (UE) 2024/1689 — Base de données de l'UE pour les systèmes d'IA à haut risque. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 71 du règlement (UE) 2024/1689 établit la base de données de l'UE pour les systèmes d'IA à haut risque, confiant la responsabilité de sa mise en place et de sa maintenance à la Commission européenne. La base de données est conçue pour servir de référentiel centralisé et accessible au public, accroissant la transparence concernant les systèmes d'IA à haut risque avant qu'ils ne soient mis sur le marché de l'UE ou mis en service.

En vertu de l'article 71, les fournisseurs de systèmes d'IA à haut risque entrant dans le champ d'application de l'Annex III sont tenus d'enregistrer leurs systèmes dans la base de données avant leur mise sur le marché ou leur mise en service. Dans des cas spécifiques, les déployeurs de systèmes relevant de l'Annex III sont également soumis à des obligations d'enregistrement. Les informations à soumettre sont définies à l'Annex VIII et couvrent les éléments essentiels d'identification et les détails techniques du système, sa finalité prévue, l'approche d'évaluation de la conformité adoptée, ainsi que les références à la déclaration de conformité de l'UE.

L'article établit deux sections distinctes au sein de la base de données : une section accessible au public pour la majorité des systèmes d'IA à haut risque, et une section restreinte accessible uniquement aux autorités de surveillance du marché compétentes, à la Commission et au Bureau de l'IA, couvrant les systèmes déployés par les autorités publiques dans des domaines sensibles tels que le maintien de l'ordre, la gestion des frontières, l'immigration et l'asile. Cette structure à double voie équilibre l'intérêt public pour la transparence avec les préoccupations légitimes de confidentialité dans les opérations sensibles du secteur public. La Commission est chargée de veiller à ce que la base de données soit fonctionnelle, conviviale et interopérable avec d'autres registres nationaux et à l'échelle de l'UE.

Ce que cela signifie en pratique

Pour les fournisseurs de systèmes d'IA à haut risque couverts par l'Annex III, la conséquence pratique la plus immédiate de l'article 71 est l'étape d'enregistrement obligatoire qui doit être complétée avant tout déploiement commercial ou opérationnel. L'enregistrement n'est pas une formalité secondaire — c'est une obligation préalable qui doit être satisfaite en amont de l'entrée sur le marché, ce qui signifie que les processus de conformité doivent être structurés de manière à compléter l'enregistrement dans le cadre de la liste de contrôle pré-lancement.

Les fournisseurs doivent créer un compte sur la plateforme de base de données de l'UE gérée par la Commission et soumettre les informations prescrites à l'Annex VIII. Cela comprend une description structurée du système d'IA, sa finalité prévue, la procédure d'évaluation de la conformité qui a été suivie, une référence à la déclaration de conformité de l'UE et, le cas échéant, le certificat d'examen UE de type délivré par un organisme notifié. Les références au plan de suivi post-commercialisation sont également requises.

À titre d'exemple, un fournisseur développant un outil de sélection de CV alimenté par l'IA utilisé dans le recrutement (une catégorie relevant de l'Annex III, titre IV) doit enregistrer le système dans la section publique de la base de données avant de le mettre à la disposition des services RH dans les États membres de l'UE. À l'inverse, une force de police nationale déployant un système d'IA pour la reconnaissance faciale en temps réel dans les espaces publics s'enregistrerait dans la section restreinte, avec un accès limité aux autorités de surveillance.

Les déployeurs de certains systèmes d'IA à haut risque relevant de l'Annex III — notamment ceux opérant dans le secteur public ou déployant des systèmes ayant un impact sociétal significatif — doivent également vérifier que les systèmes qu'ils mettent en service sont correctement enregistrés et peuvent eux-mêmes avoir des obligations d'enregistrement supplémentaires selon la catégorie du système. Les organisations doivent cartographier leurs portefeuilles d'IA par rapport aux catégories de l'Annex III et intégrer les flux de travail d'enregistrement dans leurs procédures générales de gouvernance de l'IA.

Obligations clés

• Enregistrement du fournisseur avant la mise sur le marché : Les fournisseurs de systèmes d'IA à haut risque relevant de l'Annex III doivent enregistrer le système dans la base de données de l'UE avant de le mettre sur le marché ou de le mettre en service dans l'UE.
• Soumission des informations de l'Annex VIII : L'enregistrement requiert la soumission complète et exacte de tous les champs d'information prescrits à l'Annex VIII, notamment la description du système, la finalité prévue, les détails de l'évaluation de la conformité et les références à la déclaration de conformité.
• Enregistrement du déployeur dans les cas spécifiés : Les déployeurs de certains systèmes d'IA à haut risque relevant de l'Annex III (en particulier les déployeurs du secteur public) ont leurs propres obligations d'enregistrement et doivent saisir les informations pertinentes avant la mise en service du système.
• Enregistrement en section restreinte pour les domaines sensibles : Les systèmes d'IA utilisés par les autorités publiques dans le domaine répressif, le contrôle aux frontières, l'immigration et l'asile doivent être enregistrés dans la section non publique et restreinte de la base de données plutôt que dans la section publique générale, avec un accès contrôlé en conséquence.
• Maintien de l'exactitude des informations d'enregistrement : Les fournisseurs et les déployeurs doivent veiller à ce que les informations enregistrées restent exactes et à jour tout au long du cycle de vie du système, en mettant à jour les entrées lorsque des modifications pertinentes surviennent (par exemple, des modifications substantielles déclenchant une nouvelle évaluation de la conformité).
• Maintenance et interopérabilité par la Commission : La Commission européenne est tenue d'établir, de maintenir et de garantir le fonctionnement de la base de données, sa convivialité et son interopérabilité avec d'autres registres pertinents, assurant son accessibilité à long terme au public et aux autorités compétentes.

Relation avec d'autres articles

L'article 71 constitue l'instrument pratique par lequel les obligations de documentation et de transparence établies ailleurs dans le règlement sont rendues publiquement visibles. Il est étroitement lié à l'article 48 (déclaration de conformité de l'UE) et à l'article 47 (mandataires autorisés), car la référence à la déclaration de conformité est un champ obligatoire de la base de données. Les procédures d'évaluation de la conformité définies aux articles 43 et 44 alimentent directement ce que les fournisseurs doivent divulguer lors de l'enregistrement.

L'article 71 fonctionne également en tandem avec l'article 49 (obligations d'enregistrement en tant qu'article autonome dans le titre VI), qui renvoie à la base de données comme mécanisme d'accomplissement de ces obligations. Les exigences d'information de l'Annex VIII sont indissociables des obligations de documentation technique de l'Annex IV (articles 11 et 12). Pour la surveillance post-commercialisation, l'article 71 soutient le cadre de surveillance du marché des articles 74 et 75, car les autorités nationales et le Bureau de l'IA peuvent utiliser les entrées de la base de données comme point de départ pour les activités de surveillance et d'exécution. Enfin, l'article 78 (confidentialité) régit la manière dont les informations sensibles soumises à la base de données, en particulier dans la section restreinte, doivent être traitées par les autorités compétentes.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, déclenchant le calendrier d'application par phases défini à l'article 113.

• 1er août 2024 — Le règlement entre en vigueur ; la Commission commence les travaux préparatoires pour établir l'infrastructure de la base de données de l'UE.
• 2 février 2025 — Les pratiques d'IA interdites (article 5) deviennent applicables ; aucune obligation d'enregistrement au titre de l'article 71 n'est encore active.
• 2 août 2025 — Les obligations relatives aux modèles d'IA à usage général et les dispositions de gouvernance (titre III, chapitre III et titre V) deviennent applicables ; la base de données de l'article 71 n'est pas encore opérationnelle pour ces catégories.
• 2 décembre 2027 — Les obligations d'enregistrement de l'article 71 deviennent applicables aux fournisseurs et déployeurs de systèmes d'IA à haut risque relevant de l'Annex III (à l'exclusion de ceux déjà couverts par la législation d'harmonisation de l'Union figurant à l'Annex I). Il s'agit de la date d'activation principale de la base de données de l'UE pour la majorité des systèmes concernés.
• 2 août 2028 — Les systèmes d'IA à haut risque couverts par la législation de sécurité des produits de l'Annex I (par exemple, dispositifs médicaux, machines) qui étaient déjà sur le marché avant le 2 août 2024 doivent se conformer à toutes les obligations applicables, y compris l'enregistrement, à condition qu'ils aient subi une modification substantielle.

Les organisations qui développent ou déploient des systèmes d'IA relevant de l'Annex III devraient traiter la date limite du 2 décembre 2027 comme l'objectif opérationnel ferme pour la préparation à l'enregistrement dans la base de données, en intégrant les flux de travail d'enregistrement dans leurs programmes de conformité bien à l'avance.