Article 75 — Assistance mutuelle, surveillance du marché et contrôle des modèles d'IA à usage général (règlement IA de l'UE)

Article 75 du règlement (UE) 2024/1689 — Assistance mutuelle, surveillance du marché et contrôle des modèles d'IA à usage général. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 75 du règlement (UE) 2024/1689 établit le cadre de surveillance du marché et d'assistance mutuelle transfrontalière applicable aux systèmes d'IA en général, et introduit des mécanismes de surveillance spécifiques aux modèles d'IA à usage général (MAUG). Cet article s'inscrit dans le titre IX, qui régit la surveillance post-commercialisation et la surveillance du marché tout au long de la chaîne de valeur de l'IA.

Pour les systèmes d'IA autres que les MAUG, l'article 75 exige que les États membres désignent des autorités de surveillance du marché compétentes pour vérifier la conformité au règlement, ainsi que pour se coordonner entre elles et avec la Commission. Ces autorités sont investies des pouvoirs d'enquête et d'exécution prévus par le règlement (UE) 2019/1020 (règlement sur la surveillance du marché), adaptés aux spécificités de l'IA.

Pour les modèles d'IA à usage général — y compris ceux classifiés comme présentant un risque systémique au titre de l'Article 51 — l'article confie la compétence de surveillance principale au Bureau européen de l'IA, agissant sous l'autorité de la Commission. Le Bureau de l'IA est habilité à demander des documents et des informations techniques aux fournisseurs de MAUG, à mener des évaluations, à vérifier la conformité aux obligations énoncées aux Articles 53 et 55, et à prendre ou recommander des mesures correctives. Lorsqu'un MAUG présentant un risque systémique est jugé non conforme, le Bureau de l'IA peut exiger du fournisseur qu'il prenne des mesures correctives, restreindre l'accès au modèle ou engager des procédures de retrait. Les autorités nationales conservent la faculté d'agir en relation avec des systèmes d'IA en aval déployés sur leur territoire, même lorsque le MAUG sous-jacent est supervisé au niveau de l'Union.

Ce que cela signifie en pratique

L'article 75 crée une architecture d'exécution à deux niveaux que les praticiens et les équipes de conformité doivent clairement comprendre.

Pour les fournisseurs et les déployeurs de systèmes d'IA qui ne sont pas des MAUG — notamment les systèmes à haut risque répertoriés aux Annexes I et III — la surveillance du marché est assurée par les autorités nationales désignées au titre de l'Article 70. Ces autorités ont le pouvoir d'inspecter, d'auditer et d'ordonner des mesures correctives. Si un système d'IA non conforme est identifié dans un État membre, l'article 75 impose à cette autorité de notifier les autres États membres et la Commission par le biais du mécanisme RAPEX/Safety Gate, déclenchant une réponse coordonnée. Les entreprises opérant dans plusieurs juridictions de l'UE doivent donc être prêtes à s'engager avec plusieurs autorités nationales et doivent conserver une documentation pouvant être produite rapidement sur demande, partout dans l'Union.

Pour les fournisseurs de MAUG — notamment les développeurs de modèles fondamentaux qui rendent des modèles disponibles via des API, des poids ouverts ou des produits intégrés — les implications pratiques sont plus significatives. Le Bureau européen de l'IA joue le rôle d'interlocuteur principal. Les fournisseurs doivent s'attendre à ce que le Bureau de l'IA demande l'accès à la documentation technique, aux résumés des données d'entraînement, aux méthodologies d'évaluation, aux résultats des tests adversariaux et aux rapports d'incidents. Lorsqu'un risque systémique est constaté au titre de l'Article 51 (actuellement déclenché à partir du seuil de calcul d'entraînement de 10^25 FLOP, ou par désignation de la Commission), l'article 75 habilite le Bureau de l'IA à mener ses propres tests adversariaux ou à commander des évaluations par des tiers.

Les déployeurs en aval intégrant des MAUG dans des applications à haut risque doivent être conscients qu'une constatation à l'encontre du fournisseur en amont au titre de l'article 75 peut affecter le statut de conformité de leur propre produit. Les contrats avec les fournisseurs de MAUG doivent inclure des dispositions relatives aux obligations de notification, aux devoirs de coopération et aux délais de remédiation en cas d'enquête du Bureau de l'IA.

Obligations clés

• Les États membres doivent désigner ou établir une ou plusieurs autorités nationales de surveillance du marché compétentes pour les systèmes d'IA, et notifier ces désignations à la Commission, en veillant à ce que ces autorités disposent de pouvoirs, de ressources et d'une indépendance adéquats.
• Les autorités nationales de surveillance du marché doivent coopérer entre elles et avec le Bureau européen de l'IA, partager des informations sur les systèmes d'IA non conformes par les mécanismes d'échange d'informations de l'Union, et prendre des mesures coordonnées lorsqu'un risque est identifié dans plus d'un État membre.
• Les fournisseurs de MAUG doivent coopérer avec le Bureau européen de l'IA sur demande, fournir l'accès à la documentation technique, aux évaluations des modèles et aux informations pertinentes pour la sécurité, et mettre en œuvre les mesures correctives prescrites par le Bureau de l'IA dans les délais impartis.
• Les fournisseurs de MAUG présentant un risque systémique font l'objet d'une surveillance renforcée par le Bureau de l'IA, incluant la possibilité d'une évaluation directe, d'audits indépendants et de mesures contraignantes pouvant aller jusqu'au retrait du marché.
• Les fournisseurs et déployeurs en aval doivent, sur demande des autorités nationales compétentes, fournir toutes les informations nécessaires pour évaluer la conformité d'un système d'IA, y compris les informations relatives au MAUG ou aux composants fournis par des tiers.
• Le Bureau européen de l'IA doit maintenir la coordination avec les autorités nationales de surveillance du marché dans l'exercice de ses pouvoirs de surveillance sur les MAUG, afin d'éviter les décisions contradictoires et d'assurer une application cohérente du règlement dans l'ensemble du marché unique.

Relation avec d'autres articles

L'article 75 ne peut être lu de manière isolée. Il opérationnalise les obligations énoncées aux Articles 53 et 55 pour les fournisseurs de MAUG, ainsi que les obligations relatives aux systèmes à haut risque prévues aux Articles 9 à 17, en établissant qui les applique et de quelle manière.

L'Article 70 régit la désignation et l'organisation des autorités nationales de surveillance du marché et doit être lu comme la disposition fondamentale à laquelle l'article 75 ajoute des dimensions transfrontalières et spécifiques aux MAUG. L'Article 71 traite des activités de surveillance du marché de manière plus générale, tandis que l'Article 72 couvre la base de données de l'UE pour les systèmes d'IA à haut risque qui soutient les efforts de surveillance.

L'Article 51 est directement pertinent car il définit le seuil de risque systémique qui déclenche la surveillance renforcée du Bureau de l'IA au titre de l'article 75. L'Article 94 confère à la Commission des pouvoirs d'exécution pour adopter des règles procédurales relatives aux enquêtes du Bureau de l'IA. L'Article 80 régit les mesures de protection de l'Union lorsqu'un État membre prend des mesures contre un système non conforme, ce qui interagit avec les obligations d'assistance mutuelle de l'article 75. Les praticiens doivent également consulter le règlement (UE) 2019/1020, qui fournit le cadre procédural de base de la surveillance du marché que l'article 75 intègre et adapte à l'IA.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel. Le règlement s'applique ensuite par phases :

• 2 février 2025 — Les dispositions relatives aux pratiques d'IA interdites (titre II, Article 5) sont devenues applicables.
• 2 août 2025 — Les dispositions relatives aux modèles d'IA à usage général (chapitre V, Articles 51–56) et le cadre de surveillance du marché incluant l'Article 75 sont devenus applicables. Les États membres étaient tenus, à cette date, d'avoir désigné leurs autorités nationales de surveillance du marché et d'en avoir notifié la Commission.
• 2 août 2028 — Les systèmes d'IA à haut risque couverts par l'Annex I (législation sur la sécurité des produits) doivent pleinement se conformer au règlement.
• 2 décembre 2027 — Tous les systèmes d'IA à haut risque restants répertoriés à l'Annex III doivent se conformer, achevant l'application progressive complète du règlement.

Pour les fournisseurs de MAUG, l'article 75 est donc déjà en vigueur. Le Bureau européen de l'IA est opérationnel depuis sa création au sein de la structure de la Commission, et les fournisseurs doivent considérer ses pouvoirs d'enquête comme immédiatement exerçables. Les autorités nationales de surveillance du marché sont également actives pour les systèmes d'IA non-MAUG déjà sur le marché.