Systèmes d'IA et modèles d'IA à usage général

• Regulation (EU) 2024/1689 — Artificial Intelligence Act, Articles 22 and 54
• Regulation (EU) 2019/1020 — market surveillance

Qui doit le désigner

Les fournisseurs établis en dehors de l'Union qui mettent des systèmes d'IA à haut risque sur le marché de l'UE ou les mettent en service doivent nommer un représentant autorisé dans l'Union par mandat écrit avant de le faire. Il en va de même en vertu de l'article 54 pour les fournisseurs de modèles d'IA à usage général placés sur le marché de l'Union. Les déployeurs établis dans l'Union ont leurs propres obligations, plus légères. Un déployeur devient un fournisseur — avec l'ensemble des obligations — s'il appose son nom sur un système à haut risque, le modifie substantiellement ou change son objectif prévu de sorte qu'il devienne à haut risque.

Seuils et exemptions

Les pratiques interdites à l'article 5 s'appliquent à tout le monde sans seuil. L'obligation de représentation s'attache aux systèmes à haut risque, qui sont ceux relevant de la législation sur les produits de l'annexe I ou listés dans l'annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels y compris l'évaluation de crédit, application de la loi, migration et contrôle des frontières, et administration de la justice. Les modèles à usage général ont leur propre régime, avec des obligations supplémentaires pour les modèles présentant un risque systémique au-dessus du seuil de calcul.

Ce qui doit figurer sur l’étiquette

Pas d'étiquette physique pour la plupart des systèmes. Le nom du fournisseur, la dénomination commerciale ou la marque et l'adresse, ainsi que ceux du représentant autorisé, doivent apparaître sur le système, son emballage ou sa documentation accompagnante, et dans les instructions d'utilisation. Les systèmes à haut risque qui sont des produits selon l'annexe I portent le marquage CE. Les systèmes interagissant avec des personnes doivent divulguer qu'ils sont de l'IA, et le contenu synthétique doit être marqué dans un format lisible par machine.

Champs des marketplaces

Pas encore de champ de marché, mais les questionnaires de passation de marchés de l'UE demandent déjà qui est le représentant de l'article 22, si le système est classé comme à haut risque, et comment les obligations de transparence sont respectées. Les acheteurs d'entreprise exigent de plus en plus cela avant de contracter, avant la date limite d'août 2026.

Documents à conserver

Documentation technique selon l'annexe IV, conservée pendant dix ans. Un système de gestion des risques fonctionnant tout au long du cycle de vie. Documentation de gouvernance des données couvrant les ensembles de données d'entraînement, de validation et de test. Journaux générés automatiquement. Instructions d'utilisation permettant aux déployeurs de se conformer à leurs propres obligations. Un système de gestion de la qualité. La déclaration de conformité de l'UE et l'enregistrement dans la base de données de l'UE pour les systèmes de l'annexe III. Pour les modèles à usage général, documentation technique pour le Bureau de l'IA et pour les fournisseurs en aval, une politique de droits d'auteur, et un résumé public suffisamment détaillé du contenu de l'entraînement.

Normes et essais

Évaluation de la conformité basée sur le contrôle interne pour la plupart des systèmes de l'annexe III, ou par un organisme notifié pour les systèmes biométriques où des normes harmonisées ne sont pas appliquées. Les systèmes intégrés dans des produits de l'annexe I suivent la voie d'évaluation de ce produit. La précision, la robustesse et la cybersécurité doivent être testées et les niveaux déclarés. La surveillance post-commercialisation se poursuit après la mise sur le marché.

Exigences linguistiques

Instructions d'utilisation dans une langue facilement compréhensible par les déployeurs dans l'État membre concerné, tel que cet État le détermine. Divulgations de transparence aux individus dans la langue qu'ils comprendraient raisonnablement.

À partir de quand

Interdictions et obligations de littératie en IA depuis le 2 février 2025. Obligations des modèles à usage général depuis le 2 août 2025, avec des modèles déjà sur le marché avant cette date ayant jusqu'en août 2027. Obligations à haut risque selon l'annexe III depuis le 2 août 2026. Systèmes à haut risque intégrés dans des produits réglementés de l'annexe I depuis le 2 août 2027.

Durée de conservation

Documentation technique, déclaration de conformité et documentation de gestion de la qualité pendant dix ans après la mise sur le marché du système. Journaux pendant au moins six mois, sauf si une autre loi exige plus longtemps. Le représentant autorisé conserve une copie du mandat et de la documentation pendant les mêmes dix ans et doit la produire sur demande.

En cas de manquement

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total pour les pratiques interdites. Jusqu'à 15 millions d'euros ou 3 % pour les violations de la plupart des autres obligations, y compris celles des fournisseurs et des représentants autorisés. Jusqu'à 7,5 millions d'euros ou 1 % pour avoir fourni des informations incorrectes, incomplètes ou trompeuses. Les autorités de surveillance du marché peuvent également exiger le retrait ou le rappel d'un système.

Qui contrôle

Autorités nationales de surveillance du marché désignées par chaque État membre, le Bureau de l'IA pour les modèles à usage général, le Conseil européen de l'intelligence artificielle, et les organismes notifiés lorsque l'évaluation par un tiers s'applique.

Où se situe la limite

La plupart des logiciels d'entreprise ne sont pas à haut risque, et la classification dépend de l'utilisation plutôt que de la technologie : le même modèle peut être à faible risque dans un déploiement et à haut risque selon l'annexe III dans un autre. Un chatbot a uniquement des obligations de transparence. Mais une IA utilisée pour filtrer les candidats à un emploi, évaluer la solvabilité ou attribuer l'accès à des services publics est à haut risque, peu importe la simplicité du modèle. Le représentant autorisé peut mettre fin au mandat s'il estime que le fournisseur agit en contradiction avec le règlement, et doit alors informer l'autorité — un devoir sans équivalent dans l'article 27 du RGPD.

Les questions qu’on nous pose

Nous utilisons l'IA mais ne la construisons pas — sommes-nous un fournisseur ?

Normalement, vous êtes un déployeur, avec des obligations plus légères. Vous devenez un fournisseur si vous apposez votre nom sur un système à haut risque, le modifiez substantiellement, ou changez son objectif prévu de sorte qu'il devienne à haut risque.

La loi sur l'IA s'applique-t-elle à un modèle que nous hébergeons en dehors de l'UE ?

Oui, si la sortie est utilisée dans l'Union, ou si le système ou le modèle est placé sur le marché de l'Union. La localisation physique des serveurs n'est pas le critère.

Un représentant selon l'article 27 du RGPD est-il suffisant ?

Non. Ce sont des nominations distinctes selon des règlements distincts, avec des devoirs et une documentation différents, même lorsqu'un fournisseur détient les deux.