Article 95 — Codes de conduite pour l'application volontaire d'exigences spécifiques (règlement IA UE)

Article 95 du règlement (UE) 2024/1689 — Codes de conduite pour l'application volontaire d'exigences spécifiques. Texte officiel, interprétation pratique, obligations essentielles et implications pour la conformité.

Résumé du texte officiel

L'article 95 du règlement (UE) 2024/1689 (le règlement IA UE), situé dans le titre X (Codes de conduite et lignes directrices), établit un cadre volontaire permettant aux fournisseurs de systèmes d'IA non classés à haut risque de s'engager à respecter des exigences allant au-delà de leur référentiel légal de base.

Plus précisément, l'article 95 invite les fournisseurs de systèmes d'IA non à haut risque à élaborer des codes de conduite destinés à étendre, sur une base volontaire, l'application des exigences énoncées au titre III, chapitre 2 — les obligations obligatoires applicables aux systèmes d'IA à haut risque. Ces exigences comprennent les systèmes de gestion des risques, les pratiques de gouvernance et de gestion des données, la documentation technique, la tenue des registres, la transparence et la communication d'informations aux déployeurs, les mesures de supervision humaine, l'exactitude, la robustesse et la cybersécurité. L'article 95 encourage expressément les codes de conduite à traiter la durabilité environnementale des systèmes d'IA.

L'élaboration de tels codes de conduite peut associer des fournisseurs, des déployeurs, des organisations représentatives et d'autres parties prenantes pertinentes, notamment la société civile et le monde académique. Le Bureau de l'IA et les autorités nationales compétentes sont chargés de faciliter ce processus. La Commission est habilitée à émettre des lignes directrices sur la forme, le contenu et les processus associés aux codes de conduite prévus par cet article. Les engagements volontaires existants et les cadres d'autorégulation industrielle peuvent être pris en compte lors de l'élaboration des codes de conduite en vertu de l'article 95, afin d'éviter une duplication inutile des efforts.

Ce que cela signifie en pratique

L'article 95 crée un espace permettant aux acteurs responsables de l'IA de signaler leur fiabilité en s'alignant volontairement sur les normes plus élevées applicables à l'IA à haut risque — même lorsqu'ils n'y sont pas légalement obligés.

Pour les fournisseurs de systèmes d'IA à risque limité ou minimal, cela signifie qu'au lieu de simplement respecter les obligations allégées applicables à leurs produits (par exemple, les avis de transparence pour les chatbots en vertu de l'article 50), ils peuvent choisir de mettre en œuvre un système complet de gestion des risques, de réaliser des audits de gouvernance des données, de maintenir une documentation technique et d'intégrer des mécanismes de supervision humaine — et de formaliser cet engagement par un code de conduite déclaré publiquement.

En pratique, la participation à un code de conduite en vertu de l'article 95 peut remplir plusieurs fonctions stratégiques. Elle peut différencier un produit sur un marché concurrentiel où les clients d'entreprises ou les équipes d'approvisionnement du secteur public exigent une fiabilité démontrable. Elle peut mettre en place les processus internes et les habitudes de documentation qui facilitent la future conformité si un produit est ultérieurement reclassé à haut risque. Elle peut également renforcer la position de l'organisation dans les dialogues avec les régulateurs et dans le contexte des enquêtes sur les incidents.

Un exemple pratique : un fournisseur d'un outil de présélection des recrutements basé sur l'IA, qui tombe juste en dessous du seuil à haut risque de l'annexe III, peut néanmoins adopter un code de conduite s'engageant à des tests de biais, une documentation transparente du modèle et un examen humain périodique des décisions algorithmiques — des mesures qui renforcent la confiance des utilisateurs et anticipent l'évolution réglementaire.

Les codes de conduite doivent être spécifiques, mesurables et accessibles au public. Les organisations doivent les traiter non comme des instruments de marketing, mais comme des engagements opérationnels soumis à une véritable gouvernance interne.

Obligations essentielles

• Adoption volontaire : Les fournisseurs de systèmes d'IA non à haut risque sont invités mais non obligés à élaborer et appliquer des codes de conduite étendant les exigences du titre III, chapitre 2 à leurs systèmes.
• Champ des exigences volontaires : Les codes de conduite peuvent couvrir la gestion des risques, la gouvernance des données, la documentation technique, la transparence, la supervision humaine, l'exactitude, la robustesse, la cybersécurité et la durabilité environnementale des systèmes d'IA.
• Processus d'élaboration inclusif : Les codes de conduite doivent être élaborés avec la contribution des fournisseurs, des déployeurs, des organisations représentatives et des parties prenantes concernées, notamment la société civile et le monde académique, avec la facilitation du Bureau de l'IA et des autorités nationales compétentes.
• Compatibilité avec les cadres existants : Les codes peuvent s'appuyer sur des engagements volontaires existants ou des initiatives d'autorégulation industrielle pour éviter les doublons, à condition que ces cadres soient compatibles avec les objectifs du règlement.
• Lignes directrices de la Commission : La Commission européenne peut émettre des lignes directrices précisant la forme, le contenu et les processus attendus pour les codes de conduite prévus par cet article, fournissant un cadre de référence aux parties intéressées.
• Durabilité environnementale : Les codes de conduite sont expressément encouragés à inclure des dispositions favorisant la durabilité environnementale des systèmes d'IA tout au long de leur cycle de vie, reflétant les objectifs politiques plus larges du règlement.

Relation avec d'autres articles

L'article 95 doit être lu conjointement avec les obligations de transparence obligatoires de l'article 50, qui représentent le plancher légal réel pour de nombreux systèmes d'IA non à haut risque. Il tire son contenu substantiel par renvoi au titre III, chapitre 2 (articles 9 à 15), qui énonce les exigences — gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, supervision humaine, exactitude, robustesse et cybersécurité — que les fournisseurs de systèmes d'IA à haut risque doivent respecter et que les fournisseurs non à haut risque peuvent adopter volontairement.

L'article 95 est complété par l'article 96, qui habilite la Commission à émettre des lignes directrices sur la mise en œuvre pratique de cet article. Il est également lié à l'article 56, qui établit le Bureau de l'IA en tant qu'organe facilitateur, et au régime plus large de l'article 55 concernant les codes de pratique pour les modèles d'IA à usage général, qui constitue un cadre volontaire parallèle mais distinct pour une catégorie d'acteurs différente. Ensemble, ces dispositions reflètent l'approche en couches du règlement : planchers obligatoires, plafonds volontaires et facilitation institutionnelle.

Calendrier de conformité

L'article 95 est entré en application dans le cadre de la date d'application générale du règlement IA UE. Le règlement est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel. L'application des dispositions du règlement est échelonnée :

• 1er février 2025 : Les interdictions relatives aux pratiques d'IA à risque inacceptable (titre II) sont devenues applicables.
• 2 août 2025 : Les dispositions relatives aux modèles d'IA à usage général (titre VIII) et aux structures de gouvernance (titre III du chapitre de gouvernance) sont devenues applicables.
• 2 août 2028 : La majorité des dispositions du règlement, y compris les obligations pour les systèmes d'IA à haut risque en vertu de l'annexe I (législation sur la sécurité des produits), est devenue applicable.
• 2 décembre 2027 : Les obligations pour les systèmes d'IA à haut risque listés à l'annexe III sont devenues pleinement applicables.

L'article 95, relevant du titre X, est devenu applicable le 2 août 2026 dans le cadre de l'application générale du règlement. Toutefois, compte tenu de sa nature volontaire, les fournisseurs souhaitant utiliser les codes de conduite comme outil de conformité et de renforcement de la confiance sont encouragés à s'engager dans le processus le plus tôt possible — notamment parce que le Bureau de l'IA peut commencer à faciliter l'élaboration des codes bien avant les échéances formelles, et les premiers acteurs bénéficient d'une influence sur le contenu de ces codes.