Article 77 — Pouvoirs des autorités chargées de la protection des droits fondamentaux (règlement IA de l'UE)

Article 77 du règlement (UE) 2024/1689 — Pouvoirs des autorités chargées de la protection des droits fondamentaux. Texte officiel, interprétation pratique, obligations clés et implications pour la conformité.

Résumé du texte officiel

L'article 77 du règlement (UE) 2024/1689 établit des pouvoirs spécifiques pour les autorités publiques nationales dont le mandat englobe la protection des droits fondamentaux, leur permettant d'agir comme une couche supplémentaire de surveillance des systèmes d'IA à haut risque déployés dans leur ressort.

En vertu de l'article 77, paragraphe 1, toute autorité ou tout organisme public national compétent pour superviser ou faire respecter les obligations relatives aux droits fondamentaux — notamment les autorités de protection des données au titre du règlement (UE) 2016/679, les organismes de promotion de l'égalité, les autorités de protection des consommateurs et des agences similaires — est habilité à demander aux déployeurs de systèmes d'IA à haut risque l'accès à la documentation générée et conservée conformément au règlement. Ces autorités peuvent en particulier demander l'analyse d'impact sur les droits fondamentaux requise de certains déployeurs au titre de l'Article 27, les journaux générés automatiquement par le système d'IA conservés en vertu de l'Article 26, paragraphe 6, et toute autre documentation pertinente démontrant la conformité.

En vertu de l'article 77, paragraphe 2, lorsqu'une telle autorité a des raisons plausibles de croire qu'un système d'IA à haut risque présente un risque pour les droits fondamentaux ou pour la santé et la sécurité des personnes, elle informe l'autorité de surveillance du marché concernée désignée au titre de l'Article 70 et peut lui communiquer toutes les informations pertinentes dont elle dispose. L'autorité de surveillance du marché est ensuite responsable de prendre les mesures d'enquête et de correction appropriées dans le cadre de ses compétences au titre du chapitre VII.

L'article 77 crée ainsi un mécanisme de coopération structuré entre les organismes sectoriels chargés des droits fondamentaux et l'infrastructure principale de surveillance du marché, sans conférer de pouvoirs d'exécution directs en matière de conformité des systèmes d'IA à ces autorités indépendamment du cadre établi de surveillance du marché.

Ce que cela signifie en pratique

L'article 77 a des conséquences opérationnelles directes pour les déployeurs de systèmes d'IA à haut risque — notamment ceux opérant dans des domaines sensibles tels que l'emploi, l'éducation, l'accès aux services essentiels, l'application de la loi, la migration et l'administration de la justice, où l'exposition aux droits fondamentaux est la plus aiguë.

Les déployeurs doivent être prêts à répondre aux demandes de documentation d'une gamme plus large d'autorités publiques que la seule autorité principale de surveillance du marché. Une autorité de protection des données menant une enquête sur un outil de recrutement assisté par IA, un organisme de promotion de l'égalité enquêtant sur un système automatisé d'éligibilité aux prestations, ou une agence de protection des consommateurs examinant une plateforme de notation de crédit alimentée par l'IA peuvent tous invoquer l'article 77 pour obtenir l'analyse d'impact sur les droits fondamentaux et les journaux du système du déployeur.

En pratique, cela signifie que les déployeurs doivent s'assurer que leur analyse d'impact sur les droits fondamentaux au titre de l'Article 27 est réalisée, à jour et facilement accessible avant le déploiement — et non traitée comme un exercice a posteriori. De même, les obligations de journalisation au titre de l'Article 26 doivent être opérationnellement actives afin que les enregistrements puissent être produits sur demande sans délai.

Pour les fournisseurs, l'article 77 souligne l'importance de produire et de maintenir une documentation technique complète au titre de l'Article 11 et des instructions d'utilisation au titre de l'Article 13 suffisamment détaillées pour soutenir la conformité du déployeur. Si une autorité chargée des droits fondamentaux soulève des préoccupations et en notifie l'autorité de surveillance du marché, la documentation du fournisseur sera centrale pour toute enquête ultérieure.

Les organisations déployant des systèmes d'IA à haut risque doivent cartographier quelles autorités chargées des droits fondamentaux ont juridiction sur leurs activités et évaluer de manière proactive comment ces autorités sont susceptibles d'interpréter leur mandat en relation avec la surveillance de l'IA.

Obligations clés

• Les déployeurs doivent produire la documentation sur demande : Sur demande d'une autorité compétente chargée des droits fondamentaux, les déployeurs de systèmes d'IA à haut risque doivent fournir l'accès à l'analyse d'impact sur les droits fondamentaux (Article 27), aux journaux générés automatiquement (Article 26, paragraphe 6), et à toute autre documentation pertinente pour l'évaluation de l'autorité.
• Les autorités chargées des droits fondamentaux doivent notifier les autorités de surveillance du marché : Lorsqu'une autorité chargée des droits fondamentaux a des raisons plausibles de croire qu'un système d'IA à haut risque présente des risques pour les droits fondamentaux ou pour la santé et la sécurité, elle est tenue d'informer l'autorité de surveillance du marché concernée désignée au titre de l'Article 70 et de lui communiquer toutes les informations pertinentes.
• Les analyses d'impact sur les droits fondamentaux doivent être actuelles et accessibles : Étant donné que l'article 77 crée un droit de demande de documentation immédiate, les déployeurs soumis à l'Article 27 ne peuvent pas reporter ou négliger l'analyse d'impact — elle doit exister et être récupérable lorsqu'une autorité exerce ses pouvoirs.
• La conservation des journaux doit être opérationnelle avant le déploiement : Les déployeurs doivent s'assurer que les mécanismes de journalisation requis au titre de l'Article 26, paragraphe 6, sont actifs et que les enregistrements sont conservés de manière à permettre leur production en temps opportun aux autorités invoquant l'article 77.
• La coopération entre les frontières des autorités est requise : Les déployeurs et les fournisseurs doivent être prêts à s'engager simultanément avec plusieurs organismes compétents — l'autorité chargée des droits fondamentaux qui initie l'enquête et l'autorité de surveillance du marché à laquelle elle rend compte — sans créer de contradictions dans les informations fournies à chacun.

Relation avec d'autres articles

L'article 77 se situe à l'intersection du cadre de surveillance post-commercialisation (chapitre IX) et de l'architecture plus large de surveillance du marché (chapitre VII), et doit être lu conjointement avec plusieurs autres dispositions.

L'Article 26 (Obligations des déployeurs) établit les principales obligations de surveillance et de journalisation qui produisent la documentation à laquelle les autorités au titre de l'article 77 sont habilitées à accéder. L'Article 27 (Analyse d'impact sur les droits fondamentaux pour les systèmes d'IA à haut risque) crée le document principal que les autorités chargées des droits fondamentaux rechercheront ; les deux articles sont opérationnellement couplés.

L'Article 70 (Désignation des autorités nationales compétentes et points de contact uniques) identifie les autorités de surveillance du marché auxquelles les organismes chargés des droits fondamentaux doivent rendre compte au titre de l'article 77, paragraphe 2. Les Articles 74 et 75 définissent les pouvoirs d'enquête et de correction que ces autorités de surveillance du marché peuvent ensuite exercer après notification.

L'Article 13 (Transparence et fourniture d'informations aux déployeurs) et l'Article 11 (Documentation technique) sont pertinents car l'adéquation de la documentation fournie par le fournisseur conditionne directement la capacité du déployeur à répondre aux demandes de l'article 77. L'Article 9 (Système de gestion des risques) fournit le cadre analytique en amont qui devrait informer l'analyse d'impact sur les droits fondamentaux visée à l'article 77.

Pour les organisations soumises au RGPD, l'article 77 doit également être lu conjointement avec les Articles 35 et 51–59 du règlement (UE) 2016/679, qui régissent les analyses d'impact relatives à la protection des données et les pouvoirs des autorités de contrôle — des compétences qui chevauchent substantiellement le cadre de l'article 77 dans les déploiements d'IA impliquant le traitement de données personnelles.

Calendrier de conformité

Le règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne.

Le calendrier d'application progressive est le suivant :

• 2 février 2025 : L'interdiction des pratiques d'IA à risque inacceptable (Article 5) est devenue applicable.
• 2 août 2025 : Les règles relatives aux modèles d'IA à usage général (titre VIII, Articles 51–56) et les obligations de gouvernance (titre VII) sont devenues applicables.
• 2 décembre 2027 : L'article 77, ainsi que le cadre complet pour les systèmes d'IA à haut risque répertoriés à l'Annex III (notamment les applications dans les domaines de l'emploi, de l'éducation, des services essentiels, de l'application de la loi, de la migration et de la justice), devient applicable. Il s'agit de la principale échéance de conformité pour la plupart des déployeurs susceptibles de faire face à des demandes au titre de l'article 77 émanant d'autorités chargées des droits fondamentaux.
• 2 août 2028 : Le cadre de l'article 77 — et les obligations plus larges relatives aux systèmes d'IA à haut risque — devient applicable aux systèmes d'IA régis par la législation d'harmonisation de l'Union répertoriée à l'Annex I (notamment les dispositifs médicaux, les machines, l'aviation civile et les composants de véhicules à moteur).

Les déployeurs exploitant des systèmes d'IA à haut risque dans des domaines sensibles aux droits fondamentaux doivent achever leurs analyses d'impact sur les droits fondamentaux au titre de l'Article 27 et vérifier que leur infrastructure de journalisation au titre de l'Article 26 est opérationnelle bien avant l'échéance du 2 août 2026.