Article 74 — Surveillance du marché et contrôle des systèmes d'IA sur le territoire de l'Union (règlement IA)

Article 74 du règlement (UE) 2024/1689 — Surveillance du marché et contrôle des systèmes d'IA sur le territoire de l'Union. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 74 du règlement (UE) 2024/1689 établit le cadre de surveillance du marché et de contrôle des systèmes d'IA sur le territoire de l'UE, formant l'épine dorsale coercitive du titre IX. Il exige des États membres qu'ils désignent des autorités de surveillance du marché conformément au règlement (UE) 2019/1020 relatif à la surveillance du marché et à la conformité des produits, qui s'applique mutatis mutandis aux systèmes d'IA couverts par le règlement IA de l'UE, sauf lorsque le règlement IA prévoit des dérogations spécifiques.

L'article confère aux autorités nationales désignées le pouvoir d'enquêter sur les systèmes d'IA déjà mis sur le marché ou mis en service, qu'ils soient fournis à des fins commerciales ou autrement. Les autorités sont habilitées à accéder à la documentation technique, aux jeux de données d'entraînement, au code source lorsque cela est nécessaire et proportionné, et à toute autre information requise pour évaluer la conformité. Elles peuvent ordonner aux opérateurs — fournisseurs, déployeurs, importateurs et distributeurs — de prendre des mesures correctives, notamment de restreindre ou d'interdire l'utilisation, de retirer un système du marché ou d'organiser un rappel.

Lorsqu'un système d'IA présente un risque grave, les autorités nationales doivent en informer la Commission et tous les autres États membres par les mécanismes d'alerte rapide établis. L'article 74 traite également de la situation où des systèmes d'IA sont intégrés dans des produits réglementés par d'autres législations d'harmonisation de l'Union, en précisant que l'autorité sectorielle compétente de surveillance du marché conserve sa compétence tout en appliquant les exigences du règlement IA en coordination avec le cadre général de surveillance. Pour les modèles d'IA à usage général, le Bureau européen de l'IA exerce des fonctions de supervision équivalentes au niveau de l'Union, garantissant une surveillance cohérente des composants d'IA qui opèrent au-delà des frontières nationales et des catégories de produits.

Ce que cela signifie en pratique

Pour les organisations qui développent, importent, distribuent ou déploient des systèmes d'IA dans l'UE, l'article 74 transforme le processus d'évaluation de la conformité d'une étape unique en une obligation de conformité continue. L'obtention du marquage CE ou l'achèvement d'une évaluation de conformité interne n'immunise pas un système contre un examen post-commercialisation. Les autorités peuvent engager des enquêtes à tout moment au cours de la vie opérationnelle du système, déclenchées par des plaintes, des incidents signalés par le mécanisme de notification des incidents graves en vertu de l'article 73, ou des campagnes de surveillance proactives.

Les fournisseurs doivent veiller à ce que la documentation technique reste à jour, accessible et suffisamment détaillée pour supporter l'audit d'une autorité. Si un système est mis à jour — par un réentraînement du modèle, un affinage ou des modifications significatives de la finalité prévue — la documentation doit refléter ces changements et, si nécessaire, une nouvelle évaluation de la conformité peut être requise.

Les déployeurs de systèmes d'IA à haut risque devraient s'attendre à ce que les autorités les contactent directement pour comprendre comment un système est utilisé dans la pratique, notamment lorsque le contexte de déploiement diffère du cas d'usage initialement envisagé par le fournisseur. Les déployeurs doivent coopérer pleinement et devraient maintenir des journaux opérationnels et des registres de supervision humaine en tant que preuves d'une utilisation conforme.

Les importateurs et les distributeurs sont responsables de vérifier que les produits qu'ils traitent sont accompagnés de documents et de marquages valides avant de les mettre sur le marché de l'UE, car l'article 74 peut aboutir à des ordres correctifs dirigés contre tout acteur de la chaîne d'approvisionnement.

En pratique, les organisations devraient établir des procédures internes pour répondre aux demandes de surveillance du marché, désigner un contact de conformité dédié et effectuer des révisions internes périodiques pour s'assurer que les performances réelles du système continuent de correspondre à la base de référence de son évaluation de la conformité.

Obligations clés

• Désigner des points de coopération : Les fournisseurs, déployeurs, importateurs et distributeurs doivent identifier des contacts internes capables de s'engager rapidement avec les autorités nationales de surveillance du marché et de fournir l'accès à la documentation requise.
• Maintenir une documentation technique accessible : Toute la documentation requise en vertu de l'article 11 et de l'Annex IV doit rester à jour et être mise à la disposition des autorités de surveillance du marché sur demande, y compris pour les systèmes déjà en déploiement.
• Coopérer aux enquêtes : Les opérateurs doivent répondre aux demandes officielles, accorder l'accès aux locaux et aux systèmes lorsque cela est demandé, et ne pas entraver ni retarder les activités de surveillance — la non-coopération peut elle-même constituer une infraction susceptible de sanctions en vertu de l'article 99.
• Signaler les incidents graves : Lorsque les fournisseurs ou les déployeurs ont connaissance d'un incident grave tel que défini à l'article 3, ils doivent en notifier l'autorité de surveillance du marché compétente conformément à l'article 73, ce qui déclenche à son tour une action coordonnée dans le cadre de l'article 74.
• Mettre en œuvre les mesures correctives ordonnées : Dès réception d'un ordre d'une autorité de surveillance du marché — qu'il s'agisse de modifier, de restreindre, de retirer ou de rappeler un système d'IA — les opérateurs doivent agir dans le délai imparti et informer l'autorité des mesures prises.
• Conformité aux notifications transfrontalières : Lorsqu'un système est jugé présenter un risque grave et fait l'objet d'une mesure nationale d'exécution, l'autorité en informe la Commission et les autres États membres ; les opérateurs concernés peuvent être tenus d'étendre les mesures correctives simultanément dans plusieurs juridictions.

Relation avec d'autres articles

L'article 74 fonctionne comme la couche d'exécution qui donne un effet pratique aux exigences substantielles définies ailleurs dans le règlement. Il s'appuie directement sur l'article 73 (surveillance post-commercialisation et signalement des incidents graves), qui génère les données et les notifications déclenchant de nombreuses enquêtes de surveillance. Il est indissociablement lié aux articles 11 et 12 (documentation technique et tenue des registres) ainsi qu'aux articles 16 et 26 (obligations des fournisseurs et des déployeurs), car ceux-ci définissent ce que les autorités sont habilitées à examiner.

L'article s'interface avec l'article 9 (systèmes de gestion des risques) et l'article 72 (plans de surveillance post-commercialisation), les données de performance réelles collectées dans le cadre de ces dispositions devenant des éléments de preuve dans tout examen de surveillance. Pour les scénarios de risque grave, les articles 79 à 83 régissent les mesures correctives et de protection spécifiques que les autorités de surveillance du marché peuvent appliquer à la suite d'une enquête initiée en vertu de l'article 74. L'article s'intègre également horizontalement avec le règlement (UE) 2019/1020, le cadre général de surveillance du marché de l'UE, dont il adopte par renvoi les procédures et les mécanismes de notification.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, à la suite de sa publication au Journal officiel. L'application du règlement est progressive :

• 2 février 2025 : Les interdictions des pratiques d'IA à risque inacceptable (article 5) sont devenues applicables. Les autorités de surveillance du marché ont reçu la compétence pour enquêter sur les systèmes interdits et les faire respecter à compter de cette date.
• 2 août 2025 : Les dispositions relatives aux modèles d'IA à usage général (titre III, chapitre V) et le cadre de gouvernance associé, y compris le rôle de supervision du Bureau européen de l'IA, sont devenus applicables. La surveillance du marché des modèles d'IA à usage général et des systèmes à risque systémique relève de ce régime.
• 2 décembre 2027 : Les règles applicables aux systèmes d'IA à haut risque figurant à l'Annex III (utilisés par les organismes publics) et les obligations de surveillance post-commercialisation et de marché associées au titre du titre IX, y compris le cadre complet de l'article 74 pour ces systèmes, deviennent applicables.
• 2 décembre 2027 / 2 août 2028 : Les autres systèmes d'IA à haut risque de l'Annex III, puis les systèmes d'IA réglementés par la législation d'harmonisation de l'Union figurant à l'Annex I, deviennent soumis au régime complet de conformité et de surveillance.

Les organisations devraient traiter les dates progressives comme des points d'activation — l'infrastructure de surveillance (documentation, signalement des incidents, procédures de coopération) devrait être en place avant la date pertinente, et non après l'arrivée de la première demande d'enquête.