c) les **catégories particulières de données à caractère personnel** font l'objet de mesures visant à garantir que les **données à caractère personnel** traitées sont sécurisées, protégées et soumises à des garanties appropriées, y compris des contrôles stricts et une documentation de l'accès, afin d'éviter toute mauvaise utilisation et de veiller à ce que seules les personnes autorisées ayant des obligations de confidentialité appropriées aient accès à ces **données à caractère personnel**;

d) les **catégories particulières de données à caractère personnel** ne doivent pas être transmises, transférées ou consultées d'une autre manière par d'autres parties ;

e) les **catégories particulières de données à caractère personnel** sont supprimées une fois que le biais a été corrigé ou que la période de conservation des **données à caractère personnel** a expiré, selon celle de ces deux échéances qui arrive en premier;

f) les registres des activités de traitement visés dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680 comprennent les raisons pour lesquelles le traitement des **catégories particulières de données à caractère personnel** était strictement nécessaire pour détecter et corriger les biais, ainsi que la raison pour laquelle cet objectif n'a pas pu être atteint par le traitement d'autres données.

6. En ce qui concerne le développement de **systèmes d'IA** à haut risque qui ne font pas appel à des techniques qui impliquent l'entraînement de modèles d'IA, les paragraphes 2 à 5 s'appliquent uniquement aux jeux de **données de test**.

## Article 11 - Documentation technique

<figure><img src="image_21.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

Considérant(s), v. not. : (66) et (71)

1. La documentation technique relative à un **système d'IA** à haut risque est établie avant que ce système ne soit mis sur le marché ou mis en service et est tenue à jour.

La documentation technique est établie de manière à démontrer que le **système d'IA** à haut risque satisfait aux exigences énoncées dans la présente section et à fournir aux autorités nationales compétentes et aux organismes notifiés les informations nécessaires sous une forme claire et intelligible pour évaluer la conformité du **système d'IA** avec ces exigences. Elle contient, au minimum, les éléments énoncés à l'**annexe IV**. Les PME, y compris les jeunes pousses, peuvent fournir des éléments de la documentation technique spécifiée à l'**annexe IV** d'une manière simplifiée. À cette fin, la Commission établit un formulaire de documentation technique simplifié ciblant les besoins des petites entreprises et des microentreprises. Lorsqu'une PME, y compris une jeune pousse, choisit de fournir les informations requises à l'**annexe IV** de manière simplifiée, elle utilise le formulaire visé au présent paragraphe. Les **organismes notifiés** acceptent le formulaire aux fins de l'évaluation de la conformité.

2. Lorsqu'un **système d'IA** à haut risque lié à un produit couvert par la législation d'harmonisation de l'Union dont la liste figure à la section A de l'annexe I est mis sur le marché ou mis en service, un seul ensemble de documentation technique est établi, contenant toutes les informations visées au paragraphe 1, ainsi que les informations requises en vertu de ces actes juridiques.

3. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'**annexe IV**, lorsque cela est nécessaire, afin de garantir que, compte tenu du progrès technique, la documentation technique fournit toutes les informations requises pour évaluer la conformité du système avec les exigences énoncées dans la présente section.
## Article 12 - Enregistrement

<figure><img src="image_22.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (66) et (71)

1. Les **systèmes d'IA** à haut risque permettent, techniquement, l'enregistrement automatique des événements (journaux) tout au long de la durée de vie du système.

2. Afin de garantir un degré de traçabilité du fonctionnement d'un système d'IA qui soit adapté à la destination du système, les fonctionnalités de journalisation permettent l'enregistrement des événements pertinents pour :

a) repérer les situations susceptibles d'avoir pour effet que le système d'IA à haut risque présente un risque au sens de l'article 79, paragraphe 1, ou d'entraîner une modification substantielle;

b) faciliter la **système de surveillance après commercialisation** visée à l'article 72 ; et

c) surveiller le fonctionnement du système d'IA à haut risque comme prévu à l'article 26, paragraphe 5.

3. Pour les **systèmes d'IA** à haut risque visés à l'annexe III, point 1 a), les fonctionnalités de journalisation fournissent, au minimum :

a) l'enregistrement de la période de chaque utilisation du système (date et heure de début et de fin pour chaque utilisation);

b) la base de données de référence utilisée par le système pour vérifier les données d'entrée;

c) les données d'entrée pour lesquelles la recherche a abouti à une correspondance;

d) l'identification des personnes physiques participant à la vérification des résultats, visées à l'article 14, paragraphe 5.

## Article 13 - Transparence et fourniture d'informations aux déployeurs

<figure><img src="image_23.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (66) et (72)

1. La conception et le développement des **systèmes d'IA** à haut risque sont tels que le fonctionnement de ces systèmes est suffisamment transparent pour permettre aux **déployeurs** d'interpréter les sorties d'un système et de les utiliser de manière appropriée. Un type et un niveau adéquats de transparence sont garantis afin de veiller au respect des obligations pertinentes incombant au **fournisseur** et au **déployeur** énoncées à la section 3.

2. Les **systèmes d'IA** à haut risque sont accompagnés d'une **notice d'utilisation** dans un format numérique approprié ou autre, contenant des informations concises, complètes, exactes et claires, qui soient pertinentes, accessibles et compréhensibles pour les **déployeurs**.

3. La **notice d'utilisation** contient au moins les informations suivantes :

a) l'identité et les coordonnées du **fournisseur** et, le cas échéant, de son **mandataire**;

b) les caractéristiques, les capacités et les limites de **performance** du système d'IA à haut risque, notamment :

i) sa **destination**;

ii) le niveau d'exactitude, y compris les indicateurs utilisés, de robustesse et de cybersécurité visé à l'article 15 qui a servi de référence pour les tests et la validation du système d'IA à haut risque et qui peut être attendu, ainsi que toutes circonstances connues et prévisibles susceptibles d'avoir une incidence sur le niveau attendu d'exactitude, de robustesse et de cybersécurité;
iii) toutes circonstances connues ou prévisibles liées à l'utilisation du <u>système d'IA</u>
à haut risque conformément à sa <u>destination</u> ou dans des conditions de <u>mauvaise
utilisation raisonnablement prévisible</u>, susceptibles d'entraîner des <u>risques</u> pour
la santé et la sécurité ou pour les droits fondamentaux visés à l'article 9,
paragraphe 2;

iv) le cas échéant, les capacités et caractéristiques techniques du système d'IA à haut risque à fournir des informations pertinentes pour expliquer ses sorties ;

v) le cas échéant, sa performance en ce qui concerne des personnes ou groupes de personnes spécifiques à l'égard desquels le système est destiné à être utilisé ;

vi) le cas échéant, les spécifications relatives aux données d'entrée, ou toute autre information pertinente concernant les jeux de données d'entraînement, jeu de données de validation et de test utilisés, compte tenu de la destination du système d'IA à haut risque ;

vii) le cas échéant, les informations permettant aux déployeurs d'interpréter les sorties du système d'IA à haut risque et de les utiliser de manière appropriée ;

c) les modifications du <u>système d'IA</u> à haut risque et de sa <u>performance</u> qui ont été
prédéterminées par le <u>fournisseur</u> au moment de l'évaluation initiale de la conformité,
le cas échéant ;

d) les mesures de contrôle humain visées à l'article 14, notamment les mesures techniques mises en place pour faciliter l'interprétation des sorties des systèmes d'IA à haut risque par les déployeurs ;

e) les ressources informatiques et matérielles nécessaires, la durée de vie attendue du
système d'IA à haut risque et toutes les mesures de maintenance et de suivi, y compris
leur fréquence, nécessaires pour assurer le bon fonctionnement de ce système d'IA,
notamment en ce qui concerne les mises à jour logicielles ;

f) le cas échéant, une description des mécanismes compris dans le système d'IA à haut risque qui permet aux déployeurs de collecter, stocker et interpréter correctement les journaux, conformément à l'article 12.

**Article 14 - Contrôle humain**

<figure><img src="image_24.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (66) et (73)

1. La conception et le développement des systèmes d’IA à haut risque permettent, notamment au moyen d’interfaces homme-machine appropriées, un contrôle effectif par des personnes physiques pendant leur période d’utilisation.

2. Le contrôle humain vise à prévenir ou à réduire au minimum les risques pour la santé, la sécurité ou les droits fondamentaux qui peuvent apparaître lorsqu'un système d'IA à haut risque est utilisé conformément à sa destination ou dans des conditions de mauvaise utilisation raisonnablement prévisible, en particulier lorsque de tels risques persistent malgré l'application d'autres exigences énoncées dans la présente section.

3. Les mesures de contrôle sont proportionnées aux risques, au niveau d'autonomie et au contexte d'utilisation du système d'IA à haut risque, et sont assurées au moyen d'un ou des deux types de mesures suivants :

a) des mesures identifiées et, lorsque cela est techniquement possible, intégrées par le fournisseur dans le système d'IA à haut risque avant la mise sur le marché ou la mise en service de ce dernier ;
b) des mesures identifiées par le fournisseur avant la mise sur le marché ou la mise en service du système d'IA à haut risque et qui se prêtent à une mise en œuvre par le déployeur.

4. Aux fins de la mise en œuvre des dispositions des paragraphes 1, 2 et 3, le système d'IA à haut risque est fourni au déployeur de telle manière que les personnes physiques chargées d'effectuer un contrôle humain, dans la mesure où cela est approprié et proportionné, ont la possibilité :

a) de comprendre correctement les capacités et les limites pertinentes du système d'IA à haut risque et d'être en mesure de surveiller correctement son fonctionnement, y compris en vue de détecter et de traiter les anomalies, les dysfonctionnements et les performances inattendues ;

b) d'avoir conscience d'une éventuelle tendance à se fier automatiquement ou excessivement aux sorties produites par un système d'IA à haut risque (biais d'automatisation), en particulier pour les systèmes d'IA à haut risque utilisés pour fournir des informations ou des recommandations concernant les décisions à prendre par des personnes physiques ;

c) d'interpréter correctement les sorties du système d'IA à haut risque, compte tenu par exemple des outils et méthodes d'interprétation disponibles ;

d) de décider, dans une situation particulière, de ne pas utiliser le système d'IA à haut risque ou d'ignorer, remplacer ou inverser la sortie du système d'IA à haut risque ;

e) d'intervenir dans le fonctionnement du système d'IA à haut risque ou d'interrompre le système au moyen d'un bouton d'arrêt ou d'une procédure similaire permettant au système de s'arrêter de manière sécurisée.

5. Pour les systèmes d'IA à haut risque visés à l'annexe III, point 1 a), les mesures prévues au paragraphe 3 du présent article sont de nature à garantir que, en outre, aucune mesure ou décision n'est prise par le déployeur sur la base de l'identification résultant du système sans vérification et confirmation distinctes de cette identification par au moins deux personnes physiques disposant des compétences, de la formation et de l'autorité nécessaires.

L'exigence d'une vérification distincte par au moins deux personnes physiques ne s'applique pas aux systèmes d'IA à haut risque utilisés à des fins répressives ou dans les domaines de la migration, des contrôles aux frontières ou de l'asile, lorsque le droit de l'Union ou le droit national considère que l'application de cette exigence est disproportionnée.

## Article 15 - Exactitude, robustesse et cybersécurité

<figure><img src="image_25.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (66), (74), (75), (76), (77) et (78)

1. La conception et le développement des systèmes d'IA à haut risque sont tels qu'ils leur permettent d'atteindre un niveau approprié d'exactitude, de robustesse et de cybersécurité, et de fonctionner de façon constante à cet égard tout au long de leur cycle de vie.

2. Pour examiner les aspects techniques de la manière de mesurer les niveaux appropriés d'exactitude et de robustesse visés au paragraphe 1 et tout autre indicateur de performance pertinent, la Commission, en coopération avec les parties prenantes et organisations concernées, telles que les autorités de métrologie et d'étalonnage des performances, encourage, le cas échéant, l'élaboration de critères de référence et de méthodes de mesure.

3. Les niveaux d'exactitude et les indicateurs de l'exactitude des systèmes d'IA à haut risque sont indiqués dans la notice d'utilisation jointe.

4. Les systèmes d'IA à haut risque font preuve d'autant de résilience que possible en cas d'erreurs, de défaillances ou d'incohérences pouvant survenir au sein des systèmes eux-mêmes
ou de l'environnement dans lequel ils fonctionnent, notamment en raison de leur interaction avec des personnes physiques ou d'autres systèmes. Des mesures techniques et organisationnelles sont prises à cet égard.

Des solutions techniques redondantes, telles que des plans de sauvegarde ou des mesures de sécurité après défaillance, peuvent permettre de garantir la robustesse des **systèmes d'IA** à haut risque.

Les **systèmes d'IA** à haut risque qui continuent leur apprentissage après leur mise sur le marché ou leur mise en service sont développés de manière à éliminer ou à réduire dans la mesure du possible le risque que des sorties éventuellement biaisées n'influencent les entrées pour les opérations futures (boucles de rétroaction) et à veiller à ce que ces boucles de rétroaction fassent l'objet d'un traitement adéquat au moyen de mesures d'atténuation appropriées.

5. Les **systèmes d'IA** à haut risque résistent aux tentatives de tiers non autorisés visant à modifier leur utilisation, leurs sorties ou leur performance en exploitant les vulnérabilités du système.

Les solutions techniques visant à garantir la cybersécurité des **systèmes d'IA** à haut risque sont adaptées aux circonstances pertinentes et aux risques.

Les solutions techniques destinées à remédier aux vulnérabilités spécifiques à l'IA comprennent, au besoin, des mesures ayant pour but de prévenir, de détecter, de contrer, de résoudre et de maîtriser les attaques visant à manipuler le jeu de données d'entraînement (empoisonnement des données) ou les composants préentraînés utilisés en entraînement (empoisonnement de modèle), les entrées destinées à induire le modèle d'IA en erreur (exemples contradictoires ou invasion de modèle), les attaques visant la confidentialité ou les défauts du modèle.

# SECTION 3 - Obligations incombant aux fournisseurs et aux déployeurs de systèmes d'IA à haut risque et à d'autres parties

## Article 16 - Obligations incombant aux fournisseurs de systèmes d'IA à haut risque

<figure><img src="image_26.png" /></figure>

<figure><img src="image_27.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (79), (80), (81) et (145)

Les **fournisseurs de systèmes d'IA** à haut risque :

a) veillent à ce que leurs **systèmes d'IA** à haut risque soient conformes aux exigences énoncées à la section 2 ;

b) indiquent sur le **système d'IA** à haut risque ou, lorsque cela n'est pas possible, sur son emballage ou dans la documentation l'accompagnant, selon le cas, leur nom, raison sociale ou marque déposée, l'adresse à laquelle ils peuvent être contactés ;

c) mettent en place un système de gestion de la qualité conforme à l'article 17 ;

d) assurent la conservation de la documentation visée à l'article 18 ;

e) assurent la tenue des journaux générés automatiquement par leurs **systèmes d'IA** à haut risque, lorsque ces journaux se trouvent sous leur contrôle, conformément à l'article 19 ;

f) veillent à ce que le **système d'IA** à haut risque soit soumis à la procédure d'évaluation de la conformité applicable visée à l'article 43, avant sa mise sur le marché ou sa mise en service ;

g) élaborent une déclaration UE de conformité conformément à l'article 47 ;
h) apposent le marquage CE sur le système d'IA à haut risque ou, lorsque cela n'est pas possible, sur son emballage ou dans la documentation l'accompagnant, selon le cas, afin d'indiquer la conformité avec le présent règlement, conformément à l'article 48 ;

i) respectent les obligations en matière d'enregistrement prévues à l'article 49, paragraphe 1 ;

j) prennent les mesures correctives nécessaires et fournissent les informations requises à l'article 20 ;

k) à la demande motivée d'une autorité nationale compétente, prouvent la conformité du système d'IA à haut risque avec les exigences énoncées à la section 2 ;

l) veillent à ce que le système d'IA à haut risque soit conforme aux exigences en matière d'accessibilité conformément aux directives (UE) 2016/2102 et (UE) 2019/882.

## Article 17 - Système de gestion de la qualité

<figure><img src="image_28.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (81)

1. Les fournisseurs de systèmes d'IA à haut risque mettent en place un système de gestion de la qualité garantissant le respect du présent règlement. Ce système est documenté de manière méthodique et ordonnée sous la forme de politiques, de procédures et d'instructions écrites, et comprend au moins les aspects suivants :

a) une stratégie de respect de la réglementation, notamment le respect des procédures d'évaluation de la conformité et des procédures de gestion des modifications apportées aux systèmes d'IA à haut risque ;

b) des techniques, procédures et actions systématiques destinées à la conception des systèmes d'IA à haut risque ainsi qu'au contrôle et à la vérification de cette conception ;

c) des techniques, procédures et actions systématiques destinées au développement des systèmes d'IA à haut risque ainsi qu'au contrôle et à l'assurance de leur qualité ;

d) des procédures d'examen, de test et de validation à exécuter avant, pendant et après le développement du système d'IA à haut risque, ainsi que la fréquence à laquelle elles doivent être réalisées ;

e) des spécifications techniques, notamment des normes, à appliquer et, lorsque les norme harmonisée pertinentes ne sont pas appliquées intégralement, ou ne couvrent pas toutes les exigences pertinentes énoncées à la section 2, les moyens à utiliser pour faire en sorte que le système d'IA à haut risque satisfasse auxdites exigences ;

f) les systèmes et procédures de gestion des données, notamment l'acquisition, la collecte, l'analyse, l'étiquetage, le stockage, la filtration, l'exploration, l'agrégation, la conservation des données et toute autre opération concernant les données qui est effectuée avant la mise sur le marché ou la mise en service de systèmes d'IA à haut risque et aux fins de celles-ci ;

g) le système de gestion des risques prévu à l'article 9 ;

h) l'élaboration, la mise en œuvre et le fonctionnement d'un système de surveillance après commercialisation conformément à l'article 72 ;

i) les procédures relatives au signalement d'un incident grave conformément à l'article 73 ;
j) la gestion des communications avec les autorités nationales compétentes, les autres autorités compétentes, y compris celles fournissant ou facilitant l'accès aux données, les organismes notifiés, les autres opérateurs, les clients ou d'autres parties intéressées ;

k) les systèmes et procédures de conservation de tous les documents et informations pertinents ;

l) la gestion des ressources, y compris les mesures liées à la sécurité d'approvisionnement ;

m) un cadre de responsabilisation définissant les responsabilités de l'encadrement et des autres membres du personnel en ce qui concerne tous les aspects énumérés dans le présent paragraphe.

2. La mise en œuvre des aspects visés au paragraphe 1 est proportionnée à la taille de l'organisation du fournisseur. Les fournisseurs respectent, en tout état de cause, le degré de rigueur et le niveau de protection requis afin de garantir que leurs systèmes d'IA à haut risque sont conformes au présent règlement.

3. Les fournisseurs de systèmes d'IA à haut risque qui sont soumis à des obligations relatives aux systèmes de gestion de la qualité, ou liées à l'exercice d'une fonction équivalente en vertu de la législation sectorielle pertinente de l'Union peuvent inclure les aspects énumérés au paragraphe 1 dans les systèmes de gestion de la qualité conformément à ladite législation.

4. Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers, la conformité avec les règles relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues dans la législation pertinente de l'Union sur les services financiers vaut respect de l'obligation de mettre en place un système de gestion de la qualité, à l'exception du paragraphe 1, points g), h) et i) du présent article. À cette fin, toute norme harmonisée visée à l'article 40 est prise en considération.

## Article 18 - Conservation des documents

<figure><img src="image_29.png" /></figure>

<figure><img src="image_30.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (81)

1. Pendant une période prenant fin 10 ans après la mise sur le marché ou la mise en service du système d'IA à haut risque, le fournisseur tient à la disposition des autorités nationales compétentes :

a) la documentation technique visée à l'article 11 ;

b) la documentation concernant le système de gestion de la qualité visé à l'article 17 ;

c) la documentation concernant les modifications approuvées par les organismes notifiés, le cas échéant ;

d) les décisions et autres documents émis par les organismes notifiés, le cas échéant ;

e) la déclaration UE de conformité visée à l'article 47.

2. Chaque État membre détermine les conditions dans lesquelles la documentation visée au paragraphe 1 reste à la disposition des autorités nationales compétentes pendant la période indiquée audit paragraphe dans le cas où un fournisseur ou son mandataire établi sur son territoire fait faillite ou met un terme à ses activités avant la fin de cette période.

3. Si les fournisseurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers, ils tiennent à jour la documentation technique dans le cadre de la documentation conservée en vertu de la législation pertinente de l'Union sur les services financiers.
## Article 19 - Journaux générés automatiquement

<figure><img src="image_31.png" /></figure>

<figure><img src="image_32.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (81)

1. Les **fournisseurs de systèmes d'IA** à haut risque assurent la tenue des journaux générés automatiquement par leurs **systèmes d'IA** à haut risque, visés à l'article 12, paragraphe 1, dans la mesure où ces journaux se trouvent sous leur contrôle. Sans préjudice du droit de l'Union ou du droit national applicable, les journaux sont conservés pendant une période adaptée à la **destination du système d'IA** à haut risque, d'au moins six mois, sauf disposition contraire dans le droit de l'Union ou le droit national applicable, en particulier dans le droit de l'Union sur la protection des **données à caractère personnel**.

2. Si les **fournisseurs** sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers, ils tiennent à jour les journaux générés automatiquement par leurs **systèmes d'IA** à haut risque dans le cadre de la documentation conservée en vertu de la législation pertinente sur les services financiers.

## Article 20 - Mesures corrective et devoir d'information

<figure><img src="image_33.png" /></figure>

<figure><img src="image_34.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (81)

1. Les **fournisseurs de systèmes d'IA** à haut risque qui considèrent ou ont des raisons de considérer qu'un **système d'IA** à haut risque qu'ils ont mis sur le marché ou mis en service n'est pas conforme au présent règlement prennent immédiatement les mesures correctives nécessaires pour le mettre en conformité, le retirer, le désactiver ou le rappeler, selon le cas. Ils informent les **distributeurs du système d'IA** à haut risque concerné et, le cas échéant, les **déployeurs**, le **mandataire** et les **importateurs** en conséquence.

2. Lorsque le **système d'IA** à haut risque présente un **risque** au sens de l'article 79, paragraphe 1, et que le **fournisseur** prend conscience de ce **risque**, celui-ci recherche immédiatement les causes, en collaboration avec le **déployeur** à l'origine du signalement, le cas échéant, et informe les **autorités de surveillance du marché** compétentes pour le **système d'IA** à haut risque concerné et, le cas échéant, l'**organisme notifié** qui a délivré un certificat pour ce **système d'IA** à haut risque, conformément à l'article 44, en précisant en particulier la nature du cas de non-conformité et les éventuelles mesures correctives pertinentes prises.

## Article 21 - Coopération avec les autorités compétentes

<figure><img src="image_35.png" /></figure>

<figure><img src="image_36.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (81)

1. À la demande motivée d'une autorité compétente, les **fournisseurs de systèmes d'IA** à haut risque fournissent à ladite autorité toutes les informations et tous les documents nécessaires pour démontrer la conformité du **système d'IA** à haut risque avec les exigences énoncées à la section 2, dans une langue aisément compréhensible par l'autorité dans l'une des langues officielles des institutions de l'Union, telle qu'indiquée par l'État membre concerné.

2. À la demande motivée d'une autorité compétente, les **fournisseurs** accordent également à l'autorité compétente à l'origine de la demande, le cas échéant, l'accès aux journaux générés automatiquement par le **système d'IA** à haut risque visés à l'article 12, paragraphe 1, dans la mesure où ces journaux sont sous leur contrôle.

3. Les informations obtenues par une autorité compétente en application du présent article sont traitées conformément aux obligations de confidentialité énoncées à l'article 78.
## Article 22 - Mandataires des fournisseurs de systèmes d'IA à haut risque

<figure><img src="image_37.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (82) et (83)

1. Avant de mettre leurs **systèmes d'IA** à haut risque à disposition sur le marché de l'Union, les **fournisseurs** établis dans des pays tiers désignent, par mandat écrit, un **mandataire** établi dans l'Union.

2. Le **fournisseur** autorise son **mandataire** à exécuter les tâches indiquées dans le mandat que lui a confié le **fournisseur**.

3. Le **mandataire** exécute les tâches indiquées dans le mandat que lui a confié le **fournisseur**. Il fournit une copie du mandat aux **autorités de surveillance du marché** à leur demande, dans l'une des langues officielles des institutions de l'Union, indiquée par l'autorité compétente. Aux fins du présent règlement, le mandat habilite le **mandataire** à exécuter les tâches suivantes :

a) vérifier que la déclaration UE de conformité visée à l'article 47 et la documentation technique visée à l'article 11 ont été établies et que le **fournisseur** a suivi une procédure appropriée d'évaluation de la conformité;

b) tenir à la disposition des autorités compétentes et des autorités ou organismes nationaux visés à l'article 74, paragraphe 10, pendant une période de dix ans après la mise sur le marché ou la mise en service du système d'IA à haut risque, les coordonnées du **fournisseur** ayant désigné le **mandataire**, une copie de la déclaration UE de conformité visée à l'article 47, la documentation technique et, le cas échéant, le certificat délivré par l'organisme notifié;

c) à la demande motivée d'une autorité compétente, communiquer à cette dernière toutes les informations et tous les documents, y compris ceux visés au point b) du présent alinéa, nécessaires pour démontrer la conformité d'un système d'IA à haut risque avec les exigences énoncées à la section 2, et notamment lui donner accès aux journaux générés automatiquement par le système d'IA à haut risque, visés à l'article 12, paragraphe 1, dans la mesure où ces journaux se trouvent sous le contrôle du **fournisseur**;

d) à la demande motivée des autorités compétentes, coopérer avec elles à toute mesure prise par ces dernières à l'égard du système d'IA à haut risque, en particulier pour réduire et atténuer les risques posés par le système d'IA à haut risque;

e) le cas échéant, respecter les obligations en matière d'enregistrement visées à l'article 49, paragraphe 1, ou, si l'enregistrement est effectué par le **fournisseur** lui-même, vérifier que les informations visées à l'annexe VIII, section A, point 3, sont correctes.

Le mandat habilite le **mandataire** à servir d'interlocuteur, en plus ou à la place du **fournisseur**, aux autorités compétentes, pour toutes les questions liées au respect du présent règlement.

4. Le **mandataire** met fin au mandat s'il considère ou a des raisons de considérer que le **fournisseur** agit de manière contraire aux obligations qui lui incombent en vertu du présent règlement. Dans ce cas, il informe immédiatement l'autorité de surveillance du marché concernée et, selon le cas, l'organisme notifié pertinent de la cessation du mandat et des motifs qui la sous-tendent.

## Article 23 - Obligations des importateurs

<figure><img src="image_38.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (83)

1. Avant de mettre sur le marché un système d'IA à haut risque, les importateurs s'assurent que le système est conforme au présent règlement en vérifiant que :
a) le fournisseur du système d'IA à haut risque a suivi la procédure pertinente d'évaluation de la conformité visée à l'article 43 ;

b) le fournisseur a établi la documentation technique conformément à l'article 11 et à l'annexe IV ;

c) le système porte le marquage CE requis et est accompagné de la déclaration UE de conformité visée à l'article 47 et de la notice d'utilisation ;

d) le fournisseur a désigné un mandataire conformément à l'article 22, paragraphe 1.

2. Lorsqu'un importateur a des raisons suffisantes de considérer qu'un système d'IA à haut risque n'est pas conforme au présent règlement, ou a été falsifié ou s'accompagne de documents falsifiés, il ne met le système sur le marché qu'après sa mise en conformité. Lorsque le système d'IA à haut risque présente un risque au sens de l'article 79, paragraphe 1, l'importateur en informe le fournisseur du système, les mandataires et les autorités de surveillance du marché.

3. Les importateurs indiquent leur nom, raison sociale ou marque déposée, ainsi que l'adresse à laquelle ils peuvent être contactés, sur le système d'IA à haut risque et sur son emballage ou dans la documentation l'accompagnant, selon le cas.

4. Les importateurs s'assurent, lorsqu'un système d'IA à haut risque est sous leur responsabilité, que les conditions de stockage ou de transport, le cas échéant, ne compromettent pas sa conformité avec les exigences énoncées à la section 2.

5. Pendant une période de dix ans après la mise sur le marché ou la mise en service du système d'IA à haut risque, les importateurs conservent une copie du certificat délivré par l'organisme notifié, selon le cas, de la notice d'utilisation et de la déclaration UE de conformité visée à l'article 47.

6. À la demande motivée des autorités compétentes concernées, les importateurs communiquent à ces dernières toutes les informations et tous les documents nécessaires, y compris ceux visés au paragraphe 5, pour démontrer la conformité d'un système d'IA à haut risque avec les exigences énoncées à la section 2, dans une langue aisément compréhensible par les autorités nationales compétentes. À cette fin, ils veillent également à ce que la documentation technique puisse être mise à la disposition de ces autorités.

7. Les importateurs coopèrent avec les autorités compétentes concernées à toute mesure prise par ces autorités à l'égard d'un système d'IA à haut risque mis sur le marché par les importateurs, en particulier pour réduire et atténuer les risques qu'il présente.

## Article 24 - Obligations des distributeurs

<figure><img src="image_39.png" /></figure>

<figure><img src="image_40.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (83)

1. Avant de mettre en système d'IA à haut risque à disposition sur le marché, les distributeurs vérifient qu'il porte le marquage CE requis, qu'il est accompagné d'une copie de la déclaration UE de conformité visée à l'article 47 et de la notice d'utilisation, et que le fournisseur et l'importateur dudit système, selon le cas, ont respecté leurs obligations respectives en vertu de l'article 16, points b) et c), et de l'article 23, paragraphe 3.

2. Lorsqu'un distributeur considère ou a des raisons de considérer, sur la base des informations en sa possession, qu'un système d'IA à haut risque n'est pas conforme aux exigences énoncées à la section 2, il ne met le système à disposition sur le marché qu'après la mise en conformité de celui-ci avec lesdites exigences. De plus, lorsque le système d'IA à haut risque présente un risque au sens de l'article 79, paragraphe 1, le distributeur en informe le fournisseur ou l'importateur du système, selon le cas.
3. Les distributeurs s'assurent, lorsqu'un système d'IA à haut risque est sous leur responsabilité, que les conditions de stockage ou de transport, le cas échéant, ne compromettent pas sa conformité avec les exigences énoncées à la section 2.

4. Lorsqu'un distributeur considère ou a des raisons de considérer, sur la base des informations en sa possession, qu'un système d'IA à haut risque qu'il a mis à disposition sur le marché n'est pas conforme aux exigences énoncées à la section 2, il prend les mesures correctives nécessaires pour mettre ce système en conformité avec les dites exigences, le retirer ou le rappeler ou veiller à ce que le fournisseur, l'importateur ou tout opérateur concerné, selon le cas, prenne ces mesures correctives. Lorsque le système d'IA à haut risque présente un risque au sens de l'article 79, paragraphe 1, le distributeur en informe immédiatement le fournisseur ou l'importateur du système ainsi que les autorités compétentes pour le système d'IA à haut risque concerné et précise, notamment, le cas de non-conformité et les éventuelles mesures correctives prises.

5. À la demande motivée d'une autorité compétente concernée, les distributeurs d'un système d'IA à haut risque communiquent à cette autorité toutes les informations et tous les documents concernant les mesures qu'ils ont prises en vertu des paragraphes 1 à 4, nécessaires pour démontrer la conformité de ce système avec les exigences énoncées à la section 2.

6. Les distributeurs coopèrent avec les autorités compétentes concernées à toute mesure prise par ces autorités à l'égard d'un système d'IA à haut risque mis à disposition sur le marché par les distributeurs, en particulier pour réduire et atténuer les risques qu'il présente.

## Article 25 - Responsabilités tout au long de la chaîne de valeur de l'IA

<figure><img src="image_41.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

Considérant(s), v. not. : (83), (84), (85), (86), (87), (88), (89) et (90)

1. Tout distributeur, importateur, déployeur ou autre tiers est considéré comme un fournisseur d'un système d'IA à haut risque aux fins du présent règlement et est soumis aux obligations incombant au fournisseur au titre de l'article 16 dans toutes les circonstances suivantes (84) :

a) il commercialise sous son propre nom ou sa propre marque un système d'IA à haut risque déjà mis sur le marché ou mis en service, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations ;

b) il apporte une modification substantielle à un système d'IA à haut risque qui a déjà été mis sur le marché ou a déjà été mis en service de telle manière qu'il reste un système d'IA à haut risque en application de l'article 6 ;

c) il modifie la destination d'un système d'IA, y compris un système d'IA à usage général, qui n'a pas été classé à haut risque et a déjà été mis sur le marché ou mis en service de telle manière que le système d'IA concerné devient un système d'IA à haut risque conformément l'article 6 (85).

2. Lorsque les circonstances visées au paragraphe 1, se produisent, le fournisseur qui a initialement mis sur le marché ou mis en service le système d'IA n'est plus considéré comme un fournisseur de ce système d'IA spécifique aux fins du présent règlement. Ce fournisseur initial coopère étroitement avec les nouveaux fournisseurs et met à disposition les informations nécessaires et fournit l'accès technique raisonnablement attendu et toute autre assistance nécessaire au respect des obligations énoncées dans le présent règlement, en particulier en ce qui concerne la conformité avec l'évaluation de la conformité des systèmes d'IA à haut risque. Le présent paragraphe ne s'applique pas dans les cas où le fournisseur initial a clairement précisé que son système d'IA ne doit pas être transformé en un système d'IA à haut risque et ne relève donc pas de l'obligation relative à la remise de la documentation (86).
3. Lorsque des **systèmes d'IA** à haut risque constituent des composants de sécurité de produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fabricant de ces produits Ⓟ (87) est considéré comme étant le **fournisseur** du système d'IA à haut risque et est soumis aux obligations visées à l'article 16 dans l'un des deux cas suivants Ⓟ (87) :

a) le système d'IA à haut risque est mis sur le marché avec le produit sous le nom ou la marque du fabricant du produit Ⓟ (87) ;

b) le système d'IA à haut risque est mis en service sous le nom ou la marque du fabricant du produit Ⓟ (87) après que le produit a été mis sur le marché.

4. Le fournisseur d'un système d'IA à haut risque et le tiers qui fournit un système d'IA, des outils, services, composants ou processus qui sont utilisés ou intégrés dans un système d'IA à haut risque précisent, par accord écrit, les informations, les capacités, l'accès technique et toute autre assistance nécessaire, sur la base de l'état de la technique généralement reconnu, pour permettre au fournisseur du système d'IA à haut risque de se conformer pleinement aux obligations prévues dans le présent règlement. Le présent paragraphe ne s'applique pas aux tiers qui rendent accessibles au public des outils, services, processus ou composants, autres que des modèles d'IA à usage général, dans le cadre d'une licence libre et ouverte Ⓟ (88).

Le Bureau de l'IA peut élaborer et recommander des clauses types volontaires pour les contrats entre les fournisseurs de systèmes d'IA à haut risque et les tiers qui fournissent des outils, des services, des composants ou des processus qui sont utilisés ou intégrés dans les systèmes d'IA à haut risque. Lorsqu'il élabore des clauses types volontaires, le Bureau de l'IA tient compte des éventuelles exigences contractuelles applicables dans des secteurs ou des activités spécifiques. Les clauses types volontaires sont publiées et mises à disposition gratuitement dans un format électronique facile d'utilisation Ⓟ (89).

5. Les paragraphes 2 et 3 sont sans préjudice de la nécessité de respecter et de protéger les droits de propriété intellectuelle, les informations confidentielles de nature commerciale et les secrets d'affaires conformément au droit de l'Union et au droit national Ⓟ (90).

**Article 26 - Obligations incombant aux déployeurs de systèmes d'IA à haut risque**

<figure><img src="image_42.png" /></figure>

<figure><img src="image_43.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (91), (92), (93), (94) et (95)

1. Les **déployeurs** de **systèmes d'IA** à haut risque prennent des mesures techniques et organisationnelles appropriées afin de garantir qu'ils utilisent ces systèmes conformément aux notices d'utilisation accompagnant les systèmes, conformément aux paragraphes 3 et 6.

2. Les **déployeurs** confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires ainsi que du soutien nécessaire.

3. Les obligations énoncées aux paragraphes 1 et 2 sont sans préjudice des autres obligations du **déployeur** prévues par le droit de l'Union ou le droit national et de la faculté du **déployeur** d'organiser ses propres ressources et activités aux fins de la mise en œuvre des mesures de contrôle humain indiquées par le **fournisseur**.

4. Sans préjudice des paragraphes 1 et 2, pour autant que le **déployeur** exerce un contrôle sur les données d'entrée, il veille à ce que ces dernières soient pertinentes et suffisamment représentatives au regard de la **destination** du système d'IA à haut risque.

5. Les **déployeurs** surveillent le fonctionnement du système d'IA à haut risque sur la base de la notice d'utilisation et, le cas échéant, informent les **fournisseurs** conformément à l'article 72. Lorsque les **déployeurs** ont des raisons de considérer que l'utilisation du système d'IA à haut risque conformément à la notice d'utilisation pourrait conduire à ce que le système d'IA présente un risque au sens de l'article 79, paragraphe 1, ils en informent, sans retard injustifié,
le fournisseur ou le distributeur ainsi que l'autorité de surveillance du marché concernée, et suspendent l'utilisation de ce système. Lorsque les déployeurs ont détecté un incident grave, ils informent également immédiatement d'abord le fournisseur, puis l'importateur ou le distributeur et les autorités de surveillance du marché concernées de cet incident. Si le déployeur n'est pas en mesure de joindre le fournisseur, l'article 73 s'applique mutatis mutandis. Cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs de systèmes d'IA qui sont des autorités répressives.

Si les déployeurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers, la conformité avec les règles relatives à la gouvernance, aux dispositifs, aux processus et aux mécanismes internes prévues dans la législation sur les services financiers vaut respect de l'obligation de surveillance énoncée au premier alinéa.

6. Les déployeurs de systèmes d'IA à haut risque assurent la tenue des journaux générés automatiquement par ce système d'IA à haut risque dans la mesure où ces journaux se trouvent sous leur contrôle, pendant une période adaptée à la destination du système d'IA à haut risque, d'au moins six mois, sauf disposition contraire dans le droit de l'Union ou le droit national applicable, en particulier dans le droit de l'Union sur la protection des données à caractère personnel.

Si les déployeurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers, ils tiennent à jour les journaux dans le cadre de la documentation conservée en vertu de la législation pertinente de l'Union sur les services financiers.

7. Avant de mettre en service ou d'utiliser un système d'IA à haut risque sur le lieu de travail, les déployeurs qui sont des employeurs informent les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à l'utilisation du système d'IA à haut risque. Ces informations sont fournies, le cas échéant, conformément aux règles et procédures prévues par le droit de l'Union et le droit national et aux pratiques en matière d'information des travailleurs et de leurs représentants [1]<fnref n="92" />.

8. Les déployeurs de systèmes d'IA à haut risque qui sont des autorités publiques ou des institutions, organes ou organismes de l'Union, respectent les obligations en matière d'enregistrement prévues à l'article 49. Dans le cas où ces déployeurs constatent que le système d'IA à haut risque qu'ils envisagent d'utiliser n'a pas été enregistré dans la base de données de l'UE visée à l'article 71, ils n'utilisent pas ce système et informent le fournisseur ou le distributeur.

9. Le cas échéant, les déployeurs de systèmes d'IA à haut risque utilisent les informations fournies en application de l'article 13 du présent règlement pour se conformer à leur obligation de procéder à une analyse d'impact relative à la protection des données en vertu de l'article 35 du règlement (UE) 2016/679 ou de l'article 27 de la directive (UE) 2016/680⁹³.

10. Sans préjudice de la directive (UE) 2016/680, dans le cadre d'une enquête en vue de la recherche ciblée d'une personne soupçonnée d'avoir commis une infraction pénale ou condamnée pour avoir commis une infraction pénale, le déployeur d'un système d'IA à haut risque pour l'identification biométrique à distance a posteriori demande l'autorisation, ex ante ou sans retard injustifié et au plus tard dans les 48 heures, d'une autorité judiciaire ou administrative dont la décision est contraignante et soumise à un contrôle juridictionnel, pour l'utilisation de ce système, sauf lorsqu'il est utilisé pour l'identification initiale d'un suspect

<footnote n="92">⁹² Le responsable du traitement doit effectuer une analyse d'impact relative à la protection des données lorsqu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, notamment en cas de recours à de nouvelles technologies.</footnote>
potentiel sur la base de faits objectifs et vérifiables directement liés à l'infraction. Chaque
utilisation est limitée à ce qui est strictement nécessaire pour enquêter sur une infraction
pénale spécifique (94) et (95).

Si l'autorisation demandée en application du premier alinéa est rejetée, l'utilisation du système d'identification biométrique à distance a posteriori lié à l'autorisation demandée est interrompue avec effet immédiat et les données à caractère personnel liées à l'utilisation du système d'IA à haut risque pour lequel l'autorisation a été demandée sont supprimées.

En aucun cas, ce système d'IA à haut risque pour l'identification biométrique à distance a posteriori ne peut être utilisé à des fins répressives de manière non ciblée, sans aucun lien avec une infraction pénale, une procédure pénale, une menace réelle et actuelle ou réelle et prévisible d'une infraction pénale, ou la recherche d'une personne disparue spécifique. Il convient d'assurer qu'aucune décision produisant des effets juridiques défavorables à l'égard d'une personne ne puisse être prise par les autorités répressives sur la seule base des sorties de tels systèmes d'identification biométrique à distance a posteriori.

Le présent paragraphe est sans préjudice de l'article 9 du règlement (UE) 2016/679 et de l'article 10 de la directive (UE) 2016/680 pour le traitement des données biométriques<sup>78</sup>.

Indépendamment de la finalité ou du **déployeur**, chaque utilisation de ces **systèmes d'IA** à haut risque est documentée dans le dossier de police pertinent et est mise à la disposition de l'**autorité de surveillance du marché** concernée et de l'**autorité nationale chargée de la protection des données** sur demande, à l'exclusion de la divulgation de **données opérationnelles sensibles** liées aux services répressifs. Le présent alinéa est sans préjudice des pouvoirs conférés par la directive (UE) 2016/680 aux autorités de contrôle.

Les **déployeurs** soumettent aux **autorités de surveillance du marché** concernées et aux autorités nationales chargées de la protection des données des rapports annuels sur leur utilisation de **systèmes d'identification biométrique à distance a posteriori**, à l'exclusion de la divulgation de **données opérationnelles sensibles** liées aux services répressifs. Les rapports peuvent être agrégés pour couvrir plus d'un déploiement.

Les États membres peuvent adopter, conformément au droit de l'Union, des lois plus restrictives sur l'utilisation de *systèmes d'identification biométrique à distance a posteriori*.

11. Sans préjudice de l'article 50 du présent règlement, les **déployeurs** de **système d'IA** à haut risque visés à l'**annexe III** qui prennent des décisions ou facilitent les prises de décision concernant des personnes physiques, informent lesdites personnes physiques qu'elles sont soumises à l'utilisation du **système d'IA** à haut risque. Pour les **systèmes d'IA** à haut risque utilisés à des fins répressives, l'article 13 de la directive (UE) 2016/680<sup>79</sup> s'applique.

12. Les **déployeurs** coopèrent avec les autorités compétentes concernées à toute mesure prise par ces autorités à l'égard du système d'IA à haut risque en vue de mettre en œuvre le présent règlement.

**Article 27 - Analyse d'impact des systèmes d'IA à haut risque sur les droits fondamentaux**

<figure><img src="image_44.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (93), (96)

1. Avant le déploiement d'un système d'IA à haut risque visé à l'article 6, paragraphe 2, à l'exception des systèmes d'IA à haut risque destinés à être utilisés dans le domaine visé à l'annexe III, point 2, les déployeur qui sont des organismes de droit public ou des entités

<footnote n="78">78 Le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3.</footnote>

<footnote n="79">⁷⁹ Le responsable du traitement doit fournir à la personne concernée des informations telles que son identité, les finalités du traitement, et les droits de la personne concernée, y compris le droit de réclamation auprès d'une autorité de contrôle.</footnote>
privées fournissant des services publics et les **déployeurs** de **système d'IA** à haut risque visés à l'annexe III, points 5), b) et c), effectuent une analyse de l'impact sur les droits fondamentaux que l'utilisation de ce système peut produire. À cette fin, les **déployeurs** effectuent une analyse comprenant :

a) une description des processus du **déployeur** dans lesquels le **système d'IA** à haut risque sera utilisé conformément à sa **destination**;

b) une description de la période pendant laquelle et de la fréquence à laquelle chaque **système d'IA** à haut risque est destiné à être utilisé ;

c) les catégories de personnes physiques et les groupes susceptibles d'être concernés par son utilisation dans le contexte spécifique ;

d) les **risques** spécifiques de préjudice susceptibles d'avoir une incidence sur les catégories de personnes physiques ou groupes de personnes identifiés en vertu du point c) du présent paragraphe, compte tenu des informations fournies par le **fournisseur** conformément à l'article 13 ;

e) une description de la mise en œuvre des mesures de contrôle humain, conformément à la **notice d'utilisation** ;

f) les mesures à prendre en cas de matérialisation de ces **risques**, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes.

2. L'obligation établie au paragraphe 1 s'applique à la première utilisation du système d'IA à haut risque. Le **déployeur** peut, dans des cas similaires, s'appuyer sur des analyses d'impact sur les droits fondamentaux effectuées précédemment ou sur des analyses d'impact existantes réalisées par le **fournisseur**. Si, au cours de l'utilisation du système d'IA à haut risque, le **déployeur** estime qu'un des éléments énumérés au paragraphe 1 a changé ou n'est plus à jour, il prend les mesures nécessaires pour mettre à jour les informations.

3. Une fois l'analyse visée au paragraphe 1 du présent article effectuée, le **déployeur** en notifie les résultats à l'autorité de surveillance du marché, et soumet le modèle visé au paragraphe 5 du présent article, rempli, dans le cadre de la notification. Dans le cas visé à l'article 46, paragraphe 1, les **déployeurs** peuvent être exemptés de cette obligation de notification.

4. Si l'une des obligations prévues au présent article est déjà remplie au moyen de l'analyse d'impact relative à la protection des données réalisée en application de l'article 35 du règlement (UE) 2016/679 ou de l'article 27 de la directive (UE) 2016/680⁸⁰, l'analyse d'impact sur les droits fondamentaux visée au paragraphe 1 du présent article complète ladite analyse d'impact relative à la protection des données.

5. Le Bureau de l'IA élabore un modèle de questionnaire, y compris au moyen d'un outil automatisé, afin d'aider les **déployeurs** à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article.

# SECTION 4 - Autorités notifiantes et organismes notifiés

## Article 28 - Autorités notifiantes

<figure><img src="image_45.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. Chaque État membre désigne ou établit au moins une **autorité notifiante** chargée de mettre en place et d'accomplir les procédures nécessaires à l'évaluation, à la désignation et à la notification des **organismes d'évaluation de la conformité** et à leur contrôle. Ces procédures sont élaborées en coopération entre les **autorités notifiantes** de tous les États membres.

<footnote n="80">⁸⁰ Le responsable du traitement doit effectuer une analyse d'impact relative à la protection des données lorsqu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, notamment en cas de recours à de nouvelles technologies.</footnote>
2. Les États membres peuvent décider que l'évaluation et le contrôle visés au paragraphe 1 doivent être effectués par un organisme national d'accréditation au sens du règlement (CE) n° 765/2008 et conformément à ses dispositions.

3. Les autorités notifiantes sont établies, organisées et gérées de manière à éviter tout conflit d'intérêts avec les organismes d'évaluation de la conformité et à garantir l'objectivité et l'impartialité de leurs activités.

4. Les autorités notifiantes sont organisées de telle sorte que les décisions concernant la notification des organismes d'évaluation de la conformité soient prises par des personnes compétentes différentes de celles qui ont réalisé l'évaluation de ces organismes.

5. Les autorités notifiantes ne proposent ni ne fournissent aucune des activités réalisées par les organismes d'évaluation de la conformité, ni aucun service de conseil sur une base commerciale ou concurrentielle.

6. Les autorités notifiantes garantissent la confidentialité des informations qu'elles obtiennent conformément à l'article 78.

7. Les autorités notifiantes disposent d'un personnel compétent en nombre suffisant pour la bonne exécution de leurs tâches. Le personnel compétent possède l'expertise nécessaire, le cas échéant, pour sa fonction, dans des domaines tels que les technologies de l'information, l'IA et le droit, y compris le contrôle du respect des droits fondamentaux.

## Article 29 - Demande de notification d'un organisme d'évaluation de la conformité

<figure><img src="image_46.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

<figure><img src="image_47.png" /></figure>

1. Les organismes d'évaluation de la conformité soumettent une demande de notification à l'autorité notifiante de l'État membre dans lequel ils sont établis.

2. La demande de notification est accompagnée d'une description des activités d'évaluation de la conformité, du ou des modules d'évaluation de la conformité et des types de système d'IA pour lesquels l'organisme d'évaluation de la conformité se déclare compétent, ainsi que d'un certificat d'accréditation, lorsqu'il existe, délivré par un organisme national d'accréditation qui atteste que l'organisme d'évaluation de la conformité remplit les exigences énoncées à l'article 31.

Tout document en cours de validité relatif à des désignations existantes de l'organisme notifié demandeur en vertu de toute autre législation d'harmonisation de l'Union est ajouté.

3. Lorsque l'organisme d'évaluation de la conformité ne peut pas produire de certificat d'accréditation, il présente à l'autorité notifiante toutes les preuves documentaires nécessaires à la vérification, à la reconnaissance et au contrôle régulier de sa conformité avec les exigences définies à l'article 31.

4. Quant aux organismes notifiés désignés en vertu de toute autre législation d'harmonisation de l'Union, tous les documents et certificats liés à ces désignations peuvent être utilisés à l'appui de leur procédure de désignation au titre du présent règlement, le cas échéant. L'organisme notifié met à jour la documentation visée aux paragraphes 2 et 3 du présent article dès que des changements pertinents interviennent afin de permettre à l'autorité responsable des organismes notifiés de contrôler et de vérifier que toutes les exigences énoncées à l'article 31 demeurent observées.

## Article 30 - Procédure de notification

<figure><img src="image_48.png" /></figure>

<figure><img src="image_49.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. Les autorités notifiantes ne peuvent notifier que les organismes d'évaluation de la conformité qui ont satisfait aux exigences énoncées à l'article 31.
2. Les autorités notifiantes informent la Commission et les autres États membres à l'aide de l'outil de notification électronique mis au point et géré par la Commission quant à chaque organisme d'évaluation de la conformité visé au paragraphe 1.

3. La notification visée au paragraphe 2 du présent article comprend des informations complètes sur les activités d'évaluation de la conformité, le ou les modules d'évaluation de la conformité et les types de système d'IA concernés, ainsi que l'attestation de compétence correspondante. Lorsqu'une notification n'est pas fondée sur le certificat d'accréditation visé à l'article 29, paragraphe 2, l'autorité notifiante fournit à la Commission et aux autres États membres les preuves documentaires attestant de la compétence de l'organisme d'évaluation de la conformité et des dispositions prises pour faire en sorte que cet organisme soit régulièrement contrôlé et continue à satisfaire aux exigences énoncées à l'article 31.

4. L'organisme d'évaluation de la conformité concerné ne peut effectuer les activités propres à un organisme notifié que si aucune objection n'est émise par la Commission ou les autres États membres dans les deux semaines suivant la notification par une autorité notifiante, si cette notification comprend le certificat d'accréditation visé à l'article 29, paragraphe 2, ou dans les deux mois suivant la notification par une autorité notifiante si cette notification comprend les preuves documentaires visées à l'article 29, paragraphe 3.

5. En cas d'objections, la Commission entame sans tarder des consultations avec les États membres et l'organisme d'évaluation de la conformité concernés. Au vu de ces consultations, la Commission décide si l'autorisation est justifiée ou non. La Commission adresse sa décision à l'État membre et à l'organisme d'évaluation de la conformité concernés.

## Article 31 - Exigences concernant les organismes notifiés

<figure><img src="image_50.png" /></figure>

<figure><img src="image_51.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (145)

1. Un organisme notifié est constitué en vertu du droit national d'un État membre et a la personnalité juridique.

2. Les organismes notifiés se conforment aux exigences en matière d'organisation, de gestion de la qualité, de ressources et de procédures qui sont nécessaires à l'exécution de leurs tâches, ainsi qu'aux exigences appropriées en matière de cybersécurité.

3. La structure organisationnelle, la répartition des responsabilités, les liens hiérarchiques et le fonctionnement des organismes notifiés garantissent la confiance dans leurs activités et la fiabilité des résultats des activités d'évaluation de la conformité menées par les organismes notifiés.

4. Les organismes notifiés sont indépendants du fournisseur du système d'IA à haut risque pour lequel ils mènent les activités d'évaluation de la conformité. Les organismes notifiés sont également indépendants de tout autre opérateur ayant un intérêt économique dans les systèmes d'IA à haut risque qui font l'objet de l'évaluation, ainsi que de tout concurrent du fournisseur. Cela n'exclut pas l'utilisation de systèmes d'IA à haut risque évalués qui sont nécessaires au fonctionnement de l'organisme d'évaluation de la conformité ou l'utilisation de ces systèmes d'IA à haut risque à des fins personnelles.

5. L'organisme d'évaluation de la conformité, ses cadres supérieurs et le personnel chargé d'exécuter ses tâches d'évaluation de la conformité ne participent pas directement à la conception, au développement, à la commercialisation ou à l'utilisation de systèmes d'IA à haut risque, pas plus qu'ils ne représentent les parties engagées dans ces activités. Ils n'exercent aucune activité susceptible d'entrer en conflit avec leur indépendance de jugement ou leur intégrité en ce qui concerne les activités d'évaluation de la conformité pour lesquelles ils sont notifiés. Cela s'applique en particulier aux services de conseil.
6. Les **organismes notifiés** sont organisés et fonctionnent de façon à garantir l'indépendance, l'objectivité et l'impartialité de leurs activités. Les **organismes notifiés** documentent et appliquent une structure et des procédures visant à garantir l'impartialité et à encourager et appliquer les principes d'impartialité dans l'ensemble de leur organisation, du personnel et des activités d'évaluation.

7. Les **organismes notifiés** disposent de procédures documentées pour veiller à ce que leur personnel, leurs comités, leurs filiales, leurs sous-traitants et tout organisme associé ou le personnel d'organismes externes préservent, conformément à l'article 78, la confidentialité des informations auxquelles ils accèdent durant l'exercice de leurs activités d'évaluation de la conformité, sauf lorsque leur divulgation est requise par la loi. Le personnel des **organismes notifiés** est lié par le secret professionnel pour toutes les informations dont il a connaissance dans l'exercice de ses fonctions au titre du présent règlement, sauf à l'égard des **autorités notifiantes** de l'État membre où il exerce ses activités.

8. Les **organismes notifiés** disposent de procédures pour accomplir leurs activités qui tiennent dûment compte de la taille des **fournisseurs**, du secteur dans lequel ils exercent leurs activités, de leur structure et du degré de complexité du **système d'IA** concerné.

9. Les **organismes notifiés** souscrivent, pour leurs activités d'évaluation de la conformité, une assurance de responsabilité civile appropriée à moins que cette responsabilité ne soit couverte par l'État membre dans lequel ils sont établis sur la base du droit national ou que l'État membre soit lui-même responsable de l'évaluation de la conformité.

10. Les **organismes notifiés** sont en mesure d'accomplir toutes leurs tâches au titre du présent règlement avec la plus haute intégrité professionnelle et la compétence requise dans le domaine spécifique, qu'ils exécutent eux-mêmes ces tâches ou que celles-ci soient exécutées pour leur compte et sous leur responsabilité.

11. Les **organismes notifiés** disposent de compétences internes suffisantes pour pouvoir évaluer efficacement les tâches effectuées pour leur compte par des parties extérieures. L'**organisme notifié** dispose en permanence d'un personnel administratif, technique, juridique et scientifique en nombre suffisant et doté d'une expérience et de connaissances liées aux données, au traitement des données et aux types de **systèmes d'IA** en cause et aux exigences énoncées à la section 2.

12. Les **organismes notifiés** prennent part aux activités de coordination visées à l'article 38. Ils participent également, directement ou par l'intermédiaire d'un représentant, aux activités des organisations européennes de normalisation, ou font en sorte de se tenir informés des normes applicables et de leur état.

**Article 32 - Présomption de conformité avec les exigences concernant les organismes notifiés**

<figure><img src="image_52.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Lorsqu'un **organisme d'évaluation de la conformité** démontre sa conformité avec les critères énoncés dans les **normes harmonisées** concernées, ou dans des parties de ces normes, dont les références ont été publiées au Journal officiel de l'Union européenne, il est présumé répondre aux exigences énoncées à l'article 31 dans la mesure où les **normes harmonisées** applicables couvrent ces exigences.

**Article 33 - Filiales des organismes notifiés et sous-traitance**

<figure><img src="image_53.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (126)

1. Lorsqu'un **organisme notifié** sous-traitre des tâches spécifiques dans le cadre de l'évaluation de la conformité ou a recours à une filiale, il s'assure que le sous-traitant ou la filiale répond aux exigences fixées à l'article 31 et en informe l'autorité notifiante.
2. Les **organismes notifiés** assument l'entière responsabilité des tâches effectuées par tout sous-traitants ou toute filiale.

3. Des activités ne peuvent être sous-traitées ou réalisées par une filiale qu'avec l'accord du **fournisseur**. Les **organismes notifiés** rendent publique une liste de leurs filiales.

4. Les documents pertinents concernant l'évaluation des qualifications du sous-traitant ou de la filiale et le travail exécuté par celui-ci ou celle-ci en vertu du présent règlement sont tenus à la disposition de l'**autorité notifiante** pendant une période de cinq ans à compter de la date de cessation de la sous-traitance.

## Article 34 - Obligations opérationnelles des organismes notifiés ⚙️

<figure><img src="image_54.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. Les **organismes notifiés** vérifient la conformité du système d'IA à haut risque conformément aux procédures d'évaluation de la conformité visées à l'article 43.

2. Les **organismes notifiés** évitent les charges inutiles pour les **fournisseurs** dans l'exercice de leurs activités et tiennent dûment compte de la taille du **fournisseur**, du secteur dans lequel il exerce ses activités, de sa structure et du degré de complexité du système d'IA à haut risque concerné, en particulier en vue de réduire au minimum les charges administratives et les coûts de mise en conformité pour les microentreprises et les petites entreprises au sens de la recommandation 2003/361/CE. L'**organisme notifié** respecte néanmoins le degré de rigueur et le niveau de protection requis afin de garantir la conformité du système d'IA à haut risque avec les exigences du présent règlement.

3. Les **organismes notifiés** mettent à la disposition de l'**autorité notifiante** visée à l'article 28 et lui soumettent sur demande toute la documentation pertinente, y compris celle des **fournisseurs**, afin de permettre à cette autorité de réaliser ses activités d'évaluation, de désignation, de notification et de surveillance et pour faciliter les évaluations décrites à la présente section.

## Article 35 - Numéros d'identification et listes des organismes notifiés ⚙️

<figure><img src="image_55.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. La Commission attribue un numéro d'identification unique à chaque **organisme notifié**, même lorsqu'un organisme est notifié au titre de plus d'un acte de l'Union.

2. La Commission rend publique la liste des **organismes notifiés** au titre du présent règlement et y mentionne leurs numéros d'identification et les activités pour lesquelles ils ont été notifiés. La Commission veille à ce que cette liste soit tenue à jour.

## Article 36 - Modifications apportées aux notifications ⚙️

<figure><img src="image_56.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. L'**autorité notifiante** notifie à la Commission et aux autres États membres toute modification pertinente apportée à la notification d'un **organisme notifié** au moyen de l'outil de notification électronique visé à l'article 30, paragraphe 2.

2. Les procédures établies aux articles 29 et 30 s'appliquent en cas d'extension de la portée de la notification.

En cas de modification de la notification autre qu'une extension de sa portée, les procédures prévues aux paragraphes 3 à 9 s'appliquent.

3. Lorsqu'un **organisme notifié** décide de cesser ses activités d'évaluation de la conformité, il informe l'**autorité notifiante** et les **fournisseurs** concernés dès que possible et, dans le cas d'un arrêt prévu de ses activités, au moins un an avant de mettre un terme à ses activités. Les certificats de l'**organisme notifié** peuvent rester valables pendant une période de neuf mois
après l'arrêt des activités de l'organisme notifié, à condition qu'un autre organisme notifié confirme par écrit qu'il assumera la responsabilité des systèmes d'IA à haut risque concernés par ces certificats. Cet autre organisme notifié procède à une évaluation complète des systèmes d'IA à haut risque concernés avant la fin de cette période de neuf mois, avant de délivrer de nouveaux certificats pour les systèmes en question. Lorsque l'organisme notifié a mis un terme à ses activités, l'autorité notifiante retire la désignation.

4. Lorsqu'une autorité notifiante a des raisons suffisantes de considérer qu'un organisme notifié ne répond plus aux exigences définies à l'article 31, ou qu'il ne s'acquitte pas de ses obligations, l'autorité notifiante procède sans retard à une enquête avec la plus grande diligence. Dans ce contexte, elle informe l'organisme notifié concerné des objections soulevées et lui donne la possibilité de faire connaître son point de vue. Si l'autorité notifiante conclut que l'organisme notifié ne répond plus aux exigences définies à l'article 31, ou qu'il ne s'acquitte pas de ses obligations, elle soumet la désignation à des restrictions, la suspend ou la retire, selon le cas, en fonction de la gravité du manquement. Elle en informe immédiatement la Commission et les autres États membres.

5. Lorsque sa désignation a été suspendue, restreinte ou révoquée en tout ou en partie, l'organisme notifié en informe les fournisseurs concernés dans un délai de dix jours.

6. En cas de restriction, de suspension ou de retrait d'une désignation, l'autorité notifiante prend les mesures nécessaires pour que les dossiers de l'organisme notifié en question soient conservés et pour qu'ils soient mis à la disposition des autorités notifiantes d'autres États membres et des autorités de surveillance du marché, à leur demande.

7. En cas de restriction, de suspension ou de retrait d'une désignation, l'autorité notifiante :

a) évalue l'incidence sur les certificats délivrés par l'organisme notifié ;

b) transmet un rapport sur ses conclusions à la Commission et aux autres États membres dans un délai de trois mois après avoir signalé les modifications apportées à la désignation ;

c) exige de l'organisme notifié qu'il suspende ou retire, dans un délai raisonnable qu'elle détermine, tous les certificats délivrés à tort afin d'assurer la conformité constante des systèmes d'IA à haut risque sur le marché ;

d) informe la Commission et les États membres des certificats dont elle a demandé la suspension ou le retrait ;

e) fournit aux autorités nationales compétentes de l'État membre dans lequel le fournisseur a son siège social toutes les informations pertinentes sur les certificats dont elle a demandé la suspension ou le retrait; cette autorité prend les mesures appropriées si cela est nécessaire pour éviter un risque potentiel pour la santé, la sécurité ou les droits fondamentaux.

8. À l'exception des certificats délivrés à tort, et lorsqu'une désignation a été suspendue ou restreinte, les certificats restent valables dans l'un des cas suivants :

a) l'autorité notifiante a confirmé, dans un délai d'un mois suivant la suspension ou la restriction, qu'il n'y a pas de risque pour la santé, la sécurité ou les droits fondamentaux en lien avec les certificats concernés par la suspension ou la restriction, et l'autorité notifiante a défini un calendrier de mesures pour remédier à la suspension ou à la restriction; ou

b) l'autorité notifiante a confirmé qu'aucun certificat ayant trait à la suspension ne sera délivré, modifié ou délivré à nouveau pendant la période de suspension ou de restriction et elle indique si l'organisme notifié est en mesure de continuer à contrôler les certificats existants délivrés et à en être responsable pour la durée de la suspension
ou de la restriction. Si l'**autorité notifiante** considère que l'**organisme notifié** n'est pas en mesure de se charger des certificats existants délivrés, le **fournisseur** du système faisant l'objet du certificat confirme par écrit aux **autorités nationales compétentes** de l'État membre dans lequel il a son siège social, dans un délai de trois mois suivant la suspension ou la restriction, qu'un autre **organisme notifié** qualifié assume temporairement les fonctions de surveillance de l'**organisme notifié** et continue d'assumer la responsabilité des certificats pour la durée de la suspension ou de la restriction.

9. À l'exception des certificats délivrés à tort, et lorsqu'une désignation a été retirée, les certificats restent valables pendant une durée de neuf mois dans les cas suivants :

a) l'**autorité nationale compétente** de l'État membre dans lequel le **fournisseur** du système d'IA à haut risque faisant l'objet du certificat a son siège social a confirmé que les systèmes d'IA à haut risque en question ne présentent pas de risque pour la santé, la sécurité ou les droits fondamentaux ; et

b) un autre **organisme notifié** a confirmé par écrit qu'il assumera la responsabilité immédiate de ces systèmes d'IA et achèvera son évaluation dans un délai de douze mois à compter du retrait de la désignation.

Dans le cas visé au premier alinéa, l'**autorité nationale compétente** de l'État membre dans lequel le **fournisseur** du système faisant l'objet du certificat a son siège peut prolonger à plusieurs reprises la durée de validité provisoire des certificats de trois mois supplémentaires, pour une durée totale maximale de douze mois.

L'**autorité nationale compétente** ou l'**organisme notifié** assumant les fonctions de l'**organisme notifié** concerné par la modification de la désignation en informe immédiatement la Commission, les autres États membres et les autres **organismes notifiés**.

## Article 37 - Contestation de la compétence des organismes notifiés 🤷

<figure><img src="image_57.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. La Commission enquête, s'il y a lieu, sur tous les cas où il existe des raisons de douter de la compétence d'un **organisme notifié** ou du respect continu, par un **organisme notifié**, des exigences établies à l'article 31 et de ses responsabilités applicables.

2. L'**autorité notifiante** fournit à la Commission, sur demande, toutes les informations utiles relatives à la notification ou au maintien de la compétence de l'**organisme notifié** concerné.

3. La Commission veille à ce que toutes les informations sensibles obtenues au cours des enquêtes qu'elle mène au titre du présent article soient traitées de manière confidentielle conformément à l'article 78.

4. Lorsque la Commission établit qu'un **organisme notifié** ne répond pas ou ne répond plus aux exigences relatives à sa notification, elle informe l'État membre notifiant en conséquence et lui demande de prendre les mesures correctives qui s'imposent, y compris la suspension ou le retrait de la notification si nécessaire. Si l'État membre ne prend pas les mesures correctives qui s'imposent, la Commission peut, au moyen d'un acte d'exécution, suspendre, restreindre ou retirer la désignation. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

## Article 38 - Coordination des organismes notifiés 🤷

<figure><img src="image_58.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. La Commission veille à ce que, en ce qui concerne les systèmes d'IA à haut risque, une coordination et une coopération appropriées entre les **organismes notifiés** intervenant dans les procédures d'évaluation de la conformité conformément au présent règlement soient mises
en place et gérées de manière adéquate dans le cadre d'un groupe sectoriel d'organismes notifiés.

2. Chaque autorité notifiante veille à ce que les organismes qu'elle a notifiés participent aux travaux d'un groupe visé au paragraphe 1, directement ou par l'intermédiaire de représentants désignés.

3. La Commission veille à l'échange des connaissances et des bonnes pratiques entre les autorités notifiantes.

## Article 39 - Organismes d'évaluation de la conformité de pays tiers 🔒

<figure><img src="image_59.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (127)

Les organismes d'évaluation de la conformité établis conformément à la législation d'un pays tiers avec lequel l'Union a conclu un accord peuvent être autorisés à exercer les activités d'organismes notifiés au titre du présent règlement, pour autant qu'ils répondent aux exigences prévues à l'article 31 ou qu'ils veillent à un niveau équivalent de respect.

# SECTION 5 - Normes, évaluation de la conformité, certificats, enregistrement

## Article 40 - Normes harmonisées et travaux de normalisation 🔒

<figure><img src="image_60.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

Considérant(s), v. not. : (121)

1. Les systèmes d'IA à haut risque ou les modèles d'IA à usage général conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l'Union européenne conformément au règlement (UE) n° 1025/2012 sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, du présent règlement, dans la mesure où ces exigences ou obligations sont couvertes par ces normes.

2. Conformément à l'article 10 du règlement (UE) n° 1025/2012⁸¹, la Commission présente sans retard injustifié des demandes de normalisation couvrant toutes les exigences énoncées à la section 2 du présent chapitre et, le cas échéant, les demandes de normalisation couvrant les obligations énoncées au chapitre V, sections 2 et 3, du présent règlement. La demande de normalisation inclut également une demande de livrables sur les processus de déclaration et de documentation afin d'améliorer les performances des systèmes d'IA en matière de ressources, telles que la réduction de la consommation d'énergie et d'autres ressources par le système d'IA à haut risque au cours de son cycle de vie, et sur le développement économique en énergie de modèles d'IA à usage général. Lors de la préparation d'une demande de normalisation, la Commission consulte le Comité IA et les parties prenantes concernées, y compris le forum consultatif.

Lorsqu'elle présente une demande de normalisation aux organisations européennes de normalisation, la Commission précise que les normes doivent être claires, cohérentes, y compris avec les normes développées dans les différents secteurs pour les produits relevant de la législation d'harmonisation de l'Union existante dont la liste figure à l'annexe I, et visant à veiller à ce que les systèmes d'IA à haut risque ou les modèles d'IA à usage général mis sur le marché ou mis en service dans l'Union satisfont aux exigences ou obligations pertinentes énoncées dans le présent règlement.

<footnote n="81">⁸¹ La Commission peut demander aux organisations européennes de normalisation d'élaborer des normes ou publications en matière de normalisation européenne dans un délai déterminé, en fixant les critères de contenu et une échéance pour leur adoption.</footnote>
La Commission demande aux organisations européennes de normalisation de fournir la preuve qu'elles mettent tout en œuvre pour atteindre les objectifs visés aux premier et deuxième alinéas du présent paragraphe, conformément à l'article 24 du règlement (UE) n° 1025/2012.

3. Les participants au processus de normalisation s'efforcent de favoriser les investissements et l'innovation dans le domaine de l'IA, y compris en renforçant la sécurité juridique, ainsi que la compétitivité et la croissance du marché de l'Union, de contribuer à renforcer la coopération mondiale en faveur d'une normalisation en tenant compte des normes internationales existantes dans le domaine de l'IA qui sont conformes aux valeurs et aux intérêts de l'Union et aux droits fondamentaux, et de renforcer la gouvernance multipartite en veillant à une représentation équilibrée des intérêts et à la participation effective de toutes les parties prenantes concernées conformément aux articles 5, 6 et 7 du règlement (UE) n° 1025/2012⁸².

## Article 41 - Spécifications communes

<figure><img src="image_61.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (121)

1. La Commission peut adopter des actes d'exécution établissant des spécifications communes pour les exigences énoncées à la section 2 du présent chapitre ou, le cas échéant, pour les obligations énoncées au chapitre V, sections 2 et 3, lorsque les conditions suivantes sont remplies :

a) la Commission, en vertu de l'article 10, paragraphe 1, du règlement (UE) n° 1025/2012⁸³, a demandé à une ou plusieurs organisations européennes de normalisation d'élaborer une norme harmonisée pour les exigences énoncées à la section 2 du présent chapitre ou, le cas échéant, pour les obligations énoncées au chapitre V, sections 2 et 3, et :

i) la demande n'a été acceptée par aucune des organisations européennes de normalisation ; ou

ii) les normes harmonisées faisant l'objet de cette demande n'ont pas été présentées dans le délai fixé conformément à l'article 10, paragraphe 1, du règlement (UE) n° 1025/2012⁸³ ; ou

iii) les normes harmonisées pertinentes ne répondent pas suffisamment aux préoccupations en matière de droits fondamentaux ; ou

iv) les normes harmonisées ne sont pas conformes à la demande ; et

b) aucune référence à des normes harmonisées couvrant les exigences visées à la section 2 du chapitre ou, le cas échéant, les obligations énoncées au chapitre V, sections 2 et 3, n'a été publiée au Journal officiel de l'Union européenne conformément au règlement (UE) n° 1025/2012, et aucune référence de ce type ne devrait être publiée dans un délai raisonnable.

Lors de la rédaction des spécifications communes, la Commission consulte le forum consultatif visé à l'article 67.

Les actes d'exécution visés au premier alinéa du présent paragraphe sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

<footnote n="82">⁸² Ces trois articles visent à promouvoir la participation inclusive et l'accès facilité des parties prenantes, en particulier les PME, au processus de normalisation européenne.</footnote>

<footnote n="83">⁸³ La Commission européenne peut demander aux organisations européennes de normalisation d'élaborer des normes ou publications en matière de normalisation européenne dans un délai déterminé, en fixant les critères de contenu et une échéance pour leur adoption.</footnote>
2. Avant d'élaborer un projet d'acte d'exécution, la Commission informe le comité visé à l'article 22 du règlement (UE) n° 1025/2012⁸⁴ qu'elle considère que les conditions énoncées au paragraphe 1 du présent article sont remplies.

3. Les **systèmes d'IA** à haut risque ou les **modèles d'IA à usage général** conformes aux **spécifications communes** visées au paragraphe 1, ou à des parties de ces spécifications, sont présumés conformes aux exigences visées à la **section 2** du présent chapitre ou, le cas échéant pour se conformer aux obligations visées au chapitre V, **sections 2** et 3, dans la mesure où ces exigences ou obligations sont couvertes par ces **spécifications communes**.

4. Lorsqu'une **norme harmonisée** est adoptée par une organisation européenne de normalisation et proposée à la Commission en vue de la publication de sa référence au Journal officiel de l'Union européenne, la Commission procède à l'évaluation de cette **norme harmonisée** conformément au règlement (UE) n° 1025/2012. Lorsque la référence à une **norme harmonisée** est publiée au Journal officiel de l'Union européenne, la Commission abroge les actes d'exécution visés au paragraphe 1, ou les parties de ces actes qui couvrent les mêmes exigences que celles énoncées à la **section 2** du présent chapitre ou, le cas échéant les mêmes obligations que celles énoncées au chapitre V, **sections 2** et 3.

5. Lorsque les **fournisseurs de systèmes d'IA** à haut risque ou de **modèles d'IA à usage général** ne respectent pas les **spécifications communes** visées au paragraphe 1, ils justifient dûment avoir adopté des solutions techniques qui satisfont aux exigences visées à la **section 2** du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, **sections 2** et 3, à un niveau au moins équivalent auxdites spécifications.

6. Lorsqu'un État membre considère qu'une **spécification commune** ne satisfait pas entièrement aux exigences énoncées à la **section 2** ou, le cas échéant aux obligations énoncées au chapitre V, **sections 2** et 3, il en informe la Commission au moyen d'une explication détaillée. La Commission évalue ces informations et, le cas échéant, modifie l'acte d'exécution établissant la **spécification commune** concernée.

## Article 42 - Présomption de conformité avec certaines exigences

<figure><img src="image_62.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (77), (78) et (122)

1. Les **systèmes d'IA** à haut risque qui ont été entraînés et testés avec des données tenant compte du cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel ils sont destinés à être utilisés sont présumés conformes aux exigences pertinentes établies à l'article 10, paragraphe 4.

2. Les **systèmes d'IA** à haut risque qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d'un schéma de cybersécurité conformément au règlement (UE) 2019/881 et dont les références ont été publiées au Journal officiel de l'Union européenne sont présumés conformes aux exigences de cybersécurité énoncées à l'article 15 du présent règlement, dans la mesure où ces dernières sont couvertes par tout ou partie du certificat de cybersécurité ou de la déclaration de conformité.

## Article 43 - Évaluation de la conformité

<figure><img src="image_63.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

Considérant(s), v. not. : (78), (123), (124), (125), (126), (128) et (147)

1. Pour les **systèmes d'IA** à haut risque énumérés à l'**annexe III**, point 1, lorsque, pour démontrer la conformité d'un **système d'IA** à haut risque avec les exigences énoncées à la **section 2**, le **fournisseur** a appliqué les **normes harmonisées** visées à l'article 40 ou, le cas

<footnote n="84">⁸⁴ La Commission est assistée par un comité, et les procédures de consultation de ce comité sont régies par le règlement (UE) no 182/2011.</footnote>
échéant, les spécifications communes visées à l'article 41, il choisit l'une des procédures d'évaluation de la conformité suivantes sur la base :

a) du contrôle interne visé à l'annexe VI ; ou

b) de l'évaluation du système de gestion de la qualité et de l'évaluation de la documentation technique, avec l'intervention d'un organisme notifié, visée à l'annexe VII.

Pour démontrer la conformité d'un système d'IA à haut risque avec les exigences énoncées à la section 2, le fournisseur suit la procédure d'évaluation de la conformité prévue à l'annexe VII dans les cas suivants :

a) les normes harmonisées visées à l'article 40 n'existent pas et les spécifications communes visées à l'article 41 font défaut ;

b) le fournisseur n'a pas appliqué la norme harmonisée ou ne l'a appliquée que partiellement ;

c) les spécifications communes visées au point a) existent, mais le fournisseur ne les a pas appliquées ;

d) une ou plusieurs des normes harmonisées visées au point a), ont été publiées assorties d'une restriction et seulement sur la partie de la norme qui a été soumise à une restriction.

Aux fins de la procédure d'évaluation de la conformité visée à l'annexe VII, le fournisseur peut choisir n'importe lequel des organismes notifiés. Toutefois, lorsque le système d'IA à haut risque est destiné à être mis en service par les autorités répressives, les services de l'immigration ou les autorités compétentes en matière d'asile ou par les institutions, organes ou organismes de l'UE, l'autorité de surveillance du marché visée à l'article 74, paragraphe 8 ou 9, selon le cas, agit en tant qu'organisme notifié.

2. Pour les systèmes d'IA à haut risque visés à l'annexe III, points 2 à 8, les fournisseurs suivent la procédure d'évaluation de la conformité fondée sur le contrôle interne visée à l'annexe VI, qui ne prévoit pas d'intervention d'un organisme notifié.

3. Pour les systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fournisseur suit la procédure d'évaluation de la conformité pertinente selon les modalités requises par ces actes juridiques. Les exigences énoncées à la section 2 du présent chapitre s'appliquent à ces systèmes d'IA à haut risque et font partie de cette évaluation. Les points 4.3, 4.4 et 4.5 de l'annexe VII ainsi que le point 4.6, cinquième alinéa, de ladite annexe s'appliquent également.

Aux fins de ces évaluations, les organismes notifiés qui ont été notifiés en vertu de ces actes juridiques sont habilités à contrôler la conformité des systèmes d'IA à haut risque avec les exigences énoncées à la section 2, à condition que le respect, par ces organismes notifiés, des exigences énoncées à l'article 31, paragraphes 4, 5, 10 et 11, ait été évalué dans le cadre de la procédure de notification prévue par ces actes juridiques.

Lorsqu'un acte juridique énuméré à l'annexe I, section A, confère au fabricant du produit (87) la faculté de ne pas faire procéder à une évaluation de la conformité par un tiers, à condition que ce fabricant ait appliqué toutes les normes harmonisées couvrant toutes les exigences pertinentes, ce fabricant ne peut faire usage de cette faculté que s'il a également appliqué les normes harmonisées ou, le cas échéant, les spécifications communes visées à l'article 41 couvrant toutes les exigences énoncées à la section 2 du présent chapitre.

4. Les systèmes d'IA à haut risque qui ont déjà été soumis à une procédure d'évaluation de la conformité sont soumis à une nouvelle procédure d'évaluation de la conformité lorsqu'ils font
l'objet de modifications substantielles, que le système modifié soit destiné à être distribué plus largement ou reste utilisé par le **déployeur** actuel.

Pour les systèmes d'IA à haut risque qui continuent leur apprentissage après avoir été mis sur le marché ou mis en service, les modifications apportées au système d'IA à haut risque et à sa performance qui ont été déterminées au préalable par le fournisseur au moment de l'évaluation initiale de la conformité et font partie des informations contenues dans la documentation technique visée à l'annexe IV, point 2), f), ne constituent pas une modification substantielle.

5. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier les annexes VI et VII afin de les mettre à jour compte tenu du progrès technique.

6. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier les paragraphes 1 et 2 du présent article afin de soumettre les systèmes d'IA à haut risque visés à l'annexe III, points 2 à 8, à tout ou partie de la procédure d'évaluation de la conformité visée à l'annexe VII. La Commission adopte ces actes délégués en tenant compte de l'efficacité de la procédure d'évaluation de la conformité fondée sur le contrôle interne visée à l'annexe VI pour prévenir ou réduire au minimum les risques que ces systèmes font peser sur la santé et la sécurité et sur la protection des droits fondamentaux, ainsi que de la disponibilité de capacités et de ressources suffisantes au sein des organismes notifiés.

## Article 44 - Certificats ⚙️

<figure><img src="image_64.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

1. Les certificats délivrés par les organismes notifiés conformément à l'annexe VII sont établis dans une langue aisément compréhensible par les autorités compétentes de l'État membre dans lequel l'organisme notifié est établi.

2. Les certificats sont valables pendant la période indiquée sur ceux-ci, qui n'excède pas cinq ans pour les systèmes d'IA relevant de l'annexe I, et quatre ans pour les systèmes d'IA relevant de l'annexe III. À la demande du fournisseur, la durée de validité d'un certificat peut être prolongée d'une durée maximale de cinq ans à chaque fois pour les systèmes d'IA relevant de l'annexe I, et de quatre ans pour les systèmes d'IA relevant de l'annexe III, sur la base d'une nouvelle évaluation suivant les procédures d'évaluation de la conformité applicables. Tout document complémentaire à un certificat reste valable, à condition que le certificat qu'il complète le soit.

3. Lorsqu'un organisme notifié constate qu'un système d'IA ne répond plus aux exigences énoncées à la section 2, il suspend ou retire le certificat délivré ou l'assortit de restrictions, en tenant compte du principe de proportionnalité, sauf si le fournisseur applique, en vue du respect de ces exigences, des mesures correctives appropriées dans le délai imparti à cet effet par l'organisme notifié. L'organisme notifié motive sa décision.

Une procédure de recours contre les décisions des organismes notifiés, y compris concernant des certificats de conformité délivrés, est disponible.

## Article 45 - Obligations d'information des organismes notifiés ⚙️

<figure><img src="image_65.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

1. Les organismes notifiés communiquent à l'autorité notifiante :

a) tout certificat d'évaluation UE de la documentation technique, tout document complémentaire afférent à ce certificat, et toute approbation d'un système de gestion de la qualité délivrée conformément aux exigences de l'annexe VII ;
b) tout refus, restriction, suspension ou retrait d'un certificat d'évaluation UE de la documentation technique ou d'une approbation d'un système de gestion de la qualité délivrée conformément aux exigences de l'annexe VII;

c) toute circonstance ayant une incidence sur la portée ou les conditions de la notification;

d) toute demande d'information reçue des autorités de surveillance du marché concernant les activités d'évaluation de la conformité;

e) sur demande, les activités d'évaluation de la conformité réalisées dans le cadre de leur notification et toute autre activité réalisée, y compris les activités transfrontières et sous-traitées.

2. Chaque organisme notifié porte à la connaissance des autres organismes notifiés :

a) les approbations de systèmes de gestion de la qualité qu'il a refusées, suspendues ou retirées et, sur demande, les approbations qu'il a délivrées;

b) les certificats d'évaluation UE de la documentation technique ou les documents complémentaires y afférents qu'il a refusés, retirés, suspendus ou soumis à d'autres restrictions et, sur demande, les certificats et/ou documents complémentaires y afférents qu'il a délivrés.

3. Chaque organisme notifié fournit aux autres organismes notifiés qui accomplissent des activités similaires d'évaluation de la conformité portant sur les mêmes types de système d'IA des informations pertinentes sur les aspects liés à des résultats négatifs et, sur demande, à des résultats positifs d'évaluation de la conformité.

4. Les autorités notifiantes garantissent la confidentialité des informations qu'elles obtiennent conformément à l'article 78.

## Article 46 - Dérogation à la procédure d'évaluation de la conformité 🔧

<figure><img src="image_66.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

Considérant(s), v. not. : (130)

1. Par dérogation à l'article 43 et sur demande dûment justifiée, toute autorité de surveillance du marché peut, pour des raisons exceptionnelles de sécurité publique ou pour assurer la protection de la vie et de la santé humaines, la protection de l'environnement ou la protection d'actifs industriels et d'infrastructures d'importance majeure, autoriser la mise sur le marché ou la mise en service de systèmes d'IA à haut risque spécifiques sur le territoire de l'État membre concerné. Cette autorisation est accordée pour une période limitée pendant la durée des procédures d'évaluation de la conformité nécessaires, en tenant compte des raisons exceptionnelles justifiant la dérogation. Ces procédures sont menées à bien sans retard injustifié.

2. Dans une situation d'urgence dûment justifiée pour des raisons exceptionnelles de sécurité publique ou en cas de menace spécifique, substantielle et imminente pour la vie ou la sécurité physique des personnes physiques, les autorités répressives ou les autorités de protection civile peuvent mis en service un service d'IA à haut risque spécifique sans avoir obtenu l'autorisation visée au paragraphe 1, à condition que cette autorisation soit demandée sans retard injustifié pendant ou après l'utilisation. Si l'autorisation visée au paragraphe 1 est refusée, l'utilisation du système d'IA à haut risque cesse immédiatement et tous les résultats et sorties de cette utilisation sont immédiatement mis au rebut.

3. L'autorisation visée au paragraphe 1 n'est délivrée que si l'autorité de surveillance du marché conclut que le système d'IA à haut risque satisfait aux exigences de la section 2. L'autorité de surveillance du marché informe la Commission et les autres États membres de
toute autorisation délivrée conformément aux paragraphes 1 et 2. Cette obligation ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives.

4. Si aucune objection n'est émise, dans un délai de quinze jours civils suivant la réception des informations visées au paragraphe 3, par un État membre ou par la Commission à l'encontre d'une autorisation délivrée par une autorité de surveillance du marché d'un État membre conformément au paragraphe 1, cette autorisation est réputée justifiée.

5. Si, dans un délai de quinze jours civils suivant la réception de la notification visée au paragraphe 3, un État membre soulève des objections à l'encontre d'une autorisation délivrée par une autorité de surveillance du marché d'un autre État membre, ou si la Commission estime que l'autorisation est contraire au droit de l'Union ou que la conclusion des États membres quant à la conformité du système visée au paragraphe 3 n'est pas fondée, la Commission entame sans retard des consultations avec l'État membre concerné. Les opérateurs concernés sont consultés et ont la possibilité de présenter leur point de vue. Sur cette base, la Commission décide si l'autorisation est justifiée ou non. La Commission communique sa décision à l'État membre concerné ainsi qu'aux opérateurs concernés.

6. Si la Commission estime que l'autorisation est injustifiée, elle est retirée par l'autorité de surveillance du marché de l'État membre concerné.

7. Pour les systèmes d'IA à haut risque liés à des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, seules les dérogations à l'évaluation de la conformité établies dans ladite législation d'harmonisation de l'Union s'appliquent.

## Article 47 - Déclaration UE de conformité

<figure><img src="image_67.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

<figure><img src="image_68.png" /></figure>

1. Le fournisseur établit une déclaration UE de conformité écrite, lisible par machine, signée à la main ou électroniquement concernant chaque système d'IA à haut risque et la tient à la disposition des autorités nationales compétentes pendant une durée de dix ans à partir du moment où le système d'IA à haut risque a été mis sur le marché ou mis en service. La déclaration UE de conformité identifie le système d'IA à haut risque pour lequel elle a été établie. Une copie de la déclaration UE de conformité est communiquée, sur demande, aux autorités nationales compétentes concernées.

2. La déclaration UE de conformité atteste que le système d'IA à haut risque concerné satisfait aux exigences énoncées à la section 2. La déclaration UE de conformité contient les informations qui figurent à l'annexe V et est traduite dans une langue aisément compréhensible par les autorités nationales compétentes des États membres dans lesquels le système d'IA à haut risque est mis sur le marché ou mis à disposition.

3. Si des systèmes d'IA à haut risque sont soumis à d'autres actes législatifs d'harmonisation de l'Union qui exigent également une déclaration UE de conformité, une seule déclaration UE de conformité est établie au titre de tous les actes législatifs de l'Union applicables au système d'IA à haut risque. La déclaration contient toutes les informations nécessaires à l'identification de la législation d'harmonisation de l'Union à laquelle la déclaration se rapporte.

4. Lors de l'établissement de la déclaration UE de conformité, le fournisseur assume la responsabilité du respect des exigences énoncées à la section 2. Le fournisseur tient à jour la déclaration UE de conformité, le cas échéant.

5. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'annexe V en mettant à jour le contenu de la déclaration UE de conformité prévu à ladite annexe afin d'y introduire les éléments devenus nécessaires compte tenu du progrès technique.
## Article 48 - Marquage CE

<figure><img src="image_69.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (129)

1. Le marquage CE est soumis aux principes généraux énoncés à l'article 30 du règlement (CE) n° 765/2008⁸⁵.

2. Pour les **systèmes d'IA** à haut risque fournis numériquement, un **marquage CE** numérique n'est utilisé que s'il est facile d'y accéder par l'interface à partir de laquelle l'accès à ce système s'effectue ou au moyen d'un code facilement accessible lisible par machine ou d'autres moyens électroniques.

3. Le marquage CE est apposé de façon visible, lisible et indélébile sur les **systèmes d'IA** à haut risque. Si cela est impossible ou injustifié étant donné la nature du **système d'IA** à haut risque, il est apposé sur l'emballage ou sur les documents d'accompagnement, selon le cas.

4. Le cas échéant, le **marquage CE** est suivi du numéro d'identification de l'**organisme notifié** responsable des procédures d'évaluation de la conformité prévues à l'article 43. Le numéro d'identification de l'**organisme notifié** est apposé par l'organisme lui-même ou, sur instruction de celui-ci, par le **fournisseur** ou par le **mandataire** du **fournisseur**. Le numéro d'identification est également indiqué dans tous les documents publicitaires mentionnant que le **système d'IA** à haut risque est conforme aux exigences applicables au **marquage CE**.

5. Lorsque des **systèmes d'IA** à haut risque sont soumis à d'autres actes législatifs de l'Union qui prévoient aussi l'apposition du **marquage CE**, ce marquage indique que les **systèmes d'IA** à haut risque satisfont également aux exigences de ces autres actes législatifs.

## Article 49 - Enregistrement

<figure><img src="image_70.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (131)

1. Avant de mettre sur le marché ou mettre en service un système d'IA à haut risque énuméré à l'annexe III, à l'exception des systèmes d'IA à haut risque visés à l'annexe III, point 2, le fournisseur ou, selon le cas, le mandataire s'enregistre dans la base de données de l'UE visée à l'article 71 et y enregistre aussi son système.

2. Avant de mettre sur le marché ou mettre en service un système d'IA à propos duquel le fournisseur a conclu qu'il ne s'agissait pas d'un système à haut risque au titre de l'article 6, paragraphe 3, ce fournisseur ou, selon le cas, le mandataire s'enregistre dans la base de données de l'UE visée à l'article 71 et y enregistre aussi ce système.

3. Avant de mettre en service ou d'utiliser un système d'IA à haut risque énuméré à l'annexe III, à l'exception des systèmes d'IA à haut risque énumérés à l'annexe III, point 2, les déployeurs qui sont des autorités publiques, des institutions organes ou organismes de l'Union ou des personnes agissant en leur nom s'enregistrent, sélectionnent le système et enregistrent son utilisation dans la base de données de l'UE visée à l'article 71.

4. Pour les systèmes d'IA à haut risque visés à l'annexe III, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, l'enregistrement visé aux paragraphes 1, 2 et 3 du présent article figure dans une section sécurisée non publique de la base de données de l'UE visée à l'article 71 et comprend uniquement les informations suivantes, selon le cas, visées :

a) à l'annexe VIII, section A, points 1 à 10, à l'exception des points 6, 8 et 9;

b) à l'annexe VIII, section B, points 1 à 5, et points 8 et 9;

<footnote n="85">⁸⁵ Le marquage CE, apposé par le fabricant ou son mandataire, atteste de la conformité du produit aux exigences de la législation communautaire d'harmonisation, et ne doit pas induire en erreur sur sa signification ou son graphisme.</footnote>
c) à l'annexe VIII, section C, points 1 à 3 ;

d) à l'annexe IX, points 1, 2, 3 et 5.

Seules la Commission et les autorités nationales visées à l'article 74, paragraphe 8, ont accès aux différentes sections restreintes de la base de données de l'UE énumérées au premier alinéa du présent paragraphe.

5. Les systèmes d'IA à haut risque visés à l'annexe III, point 2, sont enregistrés au niveau national.

# CHAPITRE IV - OBLIGATIONS DE TRANSPARENCE POUR LES FOURNISSEURS ET LES DÉPLOYEURS DE CERTAINS SYSTÈMES D'IA

## Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA

<figure><img src="image_71.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (132), (133), (134), (135), (136) et (137)

1. Les fournisseurs veillent à ce que les systèmes d'IA destinés à interagir directement avec des personnes physiques soient conçus et développés de manière que les personnes physiques concernées soient informées qu'elles interagissent avec un système d'IA, sauf si cela ressort clairement du point de vue d'une personne physique normalement informée et raisonnablement attentive et avisée, compte tenu des circonstances et du contexte d'utilisation. Cette obligation ne s'applique pas aux systèmes d'IA dont la loi autorise l'utilisation à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière, sous réserve de garanties appropriées pour les droits et libertés des tiers, sauf si ces systèmes sont mis à la disposition du public pour permettre le signalement d'une infraction pénale (132).

2. Les fournisseurs de systèmes d'IA, y compris de systèmes d'IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, veillent à ce que les sorties des systèmes d'IA soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA. Les fournisseurs veillent à ce que leurs solutions techniques soient aussi efficaces, interopérables, solides et fiables que la technologie le permet, compte tenu des spécificités et des limites des différents types de contenus, des coûts de mise en œuvre et de l'état de la technique généralement reconnu, comme cela peut ressortir des normes techniques pertinentes. Cette obligation ne s'applique pas dans la mesure où les systèmes d'IA remplissent une fonction d'assistance pour la mise en forme standard ou ne modifient pas de manière substantielle les données d'entrée fournies par le déployeur ou leur sémantique, ou lorsque leur utilisation est autorisée par la loi à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière (133).

3. Les déployeurs d'un système de reconnaissance des émotions ou d'un système de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel conformément au règlement (UE) 2016/679, au règlement (UE) 2018/1725 et à la directive (UE) 2016/680, selon le cas. Cette obligation ne s'applique pas aux systèmes d'IA utilisés pour la catégorisation biométrique et la reconnaissance des émotions dont la loi autorise l'utilisation à des fins de prévention ou de détection des infractions pénales ou d'enquêtes en la matière, sous réserve de garanties appropriées pour les droits et libertés des tiers et conformément au droit de l'Union (132).

4. Les déployeurs d'un système d'IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage indiquent que les contenus ont été générés ou
manipulés par une IA. Cette obligation ne s'applique pas lorsque l'utilisation est autorisée par la loi à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière. Lorsque le contenu fait partie d'une œuvre ou d'un programme manifestement artistique, créatif, satirique, fictif ou analogue, les obligations de transparence énoncées au présent paragraphe se limitent à la divulgation de l'existence de tels contenus générés ou manipulés d'une manière appropriée qui n'entrave pas l'affichage ou la jouissance de l'œuvre [134].

Les déployeurs d'un système d'IA qui génère ou manipule des textes publiés dans le but d'informer le public sur des questions d'intérêt public indiquent que le texte a été généré ou manipulé par une IA. Cette obligation ne s'applique pas lorsque l'utilisation est autorisée par la loi à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière, ou lorsque le contenu généré par l'IA a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu.

5. Les informations visées aux paragraphes 1 à 4 sont fournies aux personnes physiques concernées de manière claire et reconnaissable au plus tard au moment de la première interaction ou de la première exposition. Les informations sont conformes aux exigences applicables en matière d'accessibilité.

6. Les paragraphes 1 à 4 n'ont pas d'incidence sur les exigences et obligations énoncées au chapitre III et sont sans préjudice des autres obligations de transparence prévues par le droit de l'Union ou le droit national pour les déployeurs de systèmes d'IA.

7. Le Bureau de l'IA encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union afin de faciliter la mise en œuvre effective des obligations relatives à la détection et à l'étiquetage des contenus générés ou manipulés par une IA. La Commission peut adopter des actes d'exécution pour approuver ces codes de bonne pratique conformément à la procédure prévue à l'article 56, paragraphe 6. Si elle estime que le code n'est pas approprié, la Commission peut adopter un acte d'exécution précisant des règles communes pour la mise en œuvre de ces obligations conformément à la procédure d'examen prévue à l'article 98, paragraphe 2 [135].

# CHAPITRE V - MODÈLES D'IA À USAGE GÉNÉRAL

## SECTION 1 - Règles de classification

### Article 51 - Classification de modèles d'IA à usage général en tant que modèles d'IA à usage général présentant un risque systémique 🔒

<figure><img src="image_72.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (110) et (111)

1. Un modèle d'IA à usage général est classé comme modèle d'IA à usage général présentant un risque systémique s'il remplit l'une des conditions suivantes :

a) il dispose de capacités à fort impact évaluées sur la base de méthodologies et d'outils techniques appropriés, y compris des indicateurs et des critères de référence ;

b) sur la base d'une décision de la Commission, d'office ou à la suite d'une alerte qualifiée du groupe scientifique, il possède des capacités ou un impact équivalents à ceux énoncés au point a), compte tenu des critères définis à l'annexe XIII.

2. Un modèle d'IA à usage général est présumé avoir des capacités à fort impact conformément au paragraphe 1, point a), lorsque la quantité cumulée de calcul utilisée pour son entraînement mesurée en opération en virgule flottante est supérieure à 10²⁵.
3. La Commission adopte des actes délégués conformément à l'article 97 pour modifier les seuils énumérés aux paragraphes 1 et 2 du présent article, ainsi que pour compléter les critères de référence et les indicateurs à la lumière des évolutions technologiques, telles que les améliorations algorithmiques ou l'efficacité accrue du matériel informatique, si nécessaire, afin que ces seuils reflètent l'état de la technique.

## Article 52 - Procédure

<figure><img src="image_73.png" /></figure>

<figure><img src="image_74.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (112) et (113)

1. Lorsqu'un modèle d'IA à usage général remplit la condition visée à l'article 51, paragraphe 1, point a), le fournisseur concerné en informe la Commission sans tarder et, en tout état de cause, dans un délai de deux semaines après la date à laquelle ce critère est rempli ou après qu'il a été établi qu'il le sera. Cette notification comprend les informations nécessaires pour démontrer que le critère pertinent a été rempli. Si la Commission apprend l'existence d'un modèle d'IA à usage général présentant un risque systémique dont elle n'a pas été informée, elle peut décider de le désigner comme modèle présentant un risque systémique.

2. Le fournisseur d'un modèle d'IA à usage général qui remplit la condition visée à l'article 51, paragraphe 1, point a), peut présenter, avec sa notification, des arguments suffisamment étayés pour démontrer que, exceptionnellement, bien qu'il remplisse ce critère, le modèle d'IA à usage général ne présente pas, en raison de ses caractéristiques spécifiques, de risque systémique et ne devrait donc pas être classé comme modèle d'IA à usage général présentant un risque systémique.

3. Lorsque la Commission conclut que les arguments présentés conformément au paragraphe 2 ne sont pas suffisamment étayés et que le fournisseur concerné n'a pas été en mesure de démontrer que le modèle d'IA à usage général ne présente pas, en raison de ses caractéristiques spécifiques, de risque systémique, elle rejette ces arguments, et le modèle d'IA à usage général est considéré comme un modèle d'IA à usage général présentant un risque systémique.

4. La Commission peut désigner un modèle d'IA à usage général comme présentant un risque systémique, d'office ou à la suite d'une alerte qualifiée du groupe scientifique conformément à l'article 90, paragraphe 1, point a), sur la base des critères énoncés à l'annexe XIII.

La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'annexe XIII en précisant et mettant à jour les critères énoncés à ladite annexe.

5. Sur demande motivée d'un fournisseur dont le modèle a été désigné comme modèle d'IA à usage général présentant un risque systémique en vertu du paragraphe 4, la Commission tient compte de la demande et peut décider de réévaluer si le modèle d'IA à usage général peut encore être considéré comme présentant un risque systémique sur la base des critères énoncés à l'annexe XIII. Une telle demande contient les éléments objectifs, détaillés et nouveaux qui sont apparus depuis la décision de désignation. Les fournisseurs peuvent demander une réévaluation au plus tôt six mois après la décision de désignation. Lorsque la Commission, à la suite de sa réévaluation, décide de maintenir la désignation en tant que modèle d'IA à usage général présentant un risque systémique, les fournisseur peuvent demander une réévaluation au plus tôt six mois après cette décision.

6. La Commission veille à ce qu'une liste des modèles d'IA à usage général présentant un risque systémique soit publiée et tient cette liste à jour, sans préjudice de la nécessité de respecter et de protéger les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d'affaires conformément au droit de l'Union et au droit national.
# SECTION 2 - Obligations incombant aux fournisseurs de modèles d'IA à usage général

## **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

<figure><img src="image_75.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (101), (102), (103), (104), (105), (106), (107), (108) et (109)

1. Les fournisseurs de modèles d'IA à usage général :

a) élaborent et tiennent à jour la documentation technique du modèle, y compris son processus d'entraînement et d'essai et les résultats de son évaluation, qui contient, au minimum, les informations énoncées à l'annexe XI aux fins de la fournir, sur demande, au Bureau de l'IA et aux autorités nationales compétentes ;

b) élaborent, tiennent à jour et mettent à disposition des informations et de la documentation à l'intention des fournisseurs de systèmes d'IA qui envisagent d'intégrer le modèle d'IA à usage général dans leurs systèmes d'IA. Sans préjudice de la nécessité d'observer et de protéger les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d'affaires conformément au droit de l'Union et au droit national, ces informations et cette documentation :

i) permettent aux fournisseurs de systèmes d'IA d'avoir une bonne compréhension des capacités et des limites du modèle d'IA à usage général et de se conformer aux obligations qui leur incombent en vertu du présent règlement ; et

ii) contiennent, au minimum, les éléments énoncés à l'annexe XII ;

c) mettent en place une politique visant à se conformer au droit de l'Union en matière de droit d'auteur et droits voisins, et notamment à identifier et à respecter, y compris au moyen de technologies de pointe, une réservation de droits exprimée conformément à l'article 4, paragraphe 3, de la directive (UE) 2019/790⁸⁶ ;

d) élaborent et mettent à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle d'IA à usage général, conformément à un modèle fourni par le Bureau de l'IA.

2. Les obligations énoncées au paragraphe 1, points a) et b), ne s'appliquent pas aux fournisseurs de modèles d'IA qui sont publiés dans le cadre d'une licence libre et ouverte permettant de consulter, d'utiliser, de modifier et de distribuer le modèle, et dont les paramètres, y compris les poids, les informations sur l'architecture du modèle et les informations sur l'utilisation du modèle, sont rendus publics. Cette exception ne s'applique pas aux modèles d'IA à usage général présentant un risque systémique.

3. Les fournisseurs de modèles d'IA à usage général coopèrent, en tant que de besoin, avec la Commission et les autorités nationales compétentes dans l'exercice de leurs compétences et pouvoirs en vertu du présent règlement.

4. Les fournisseurs de modèles d'IA à usage général peuvent s'appuyer sur des codes de bonne pratique au sens de l'article 56 pour démontrer qu'ils respectent les obligations énoncées au paragraphe 1 du présent article, jusqu'à la publication d'une norme harmonisée. Le respect des normes européennes harmonisées confère au fournisseur une présomption de conformité dans la mesure où lesdites normes couvrent ces obligations. Les fournisseurs de modèles d'IA à usage général qui n'adhèrent pas à un code de bonnes pratiques approuvé ou ne respectent

<footnote n="86">⁸⁶ L'article prévoit une exception ou limitation aux droits de reproduction et d'extraction d'œuvres protégées pour la fouille de textes et de données, à condition que cette utilisation n'ait pas été expressément réservée par les titulaires de droits, notamment par des procédés lisibles par machine pour les contenus en ligne.</footnote>
pas une norme européenne harmonisée démontrent qu'ils disposent d'autres moyens appropriés de mise en conformité et les soumettent à l'appréciation de la Commission.

5. Afin de faciliter le respect de l'*annexe XI*, et notamment du point 2, points d) et e), la Commission est habilitée à adopter des actes délégués conformément à l'*article 97* pour préciser les méthodes de mesure et de calcul en vue de permettre l'élaboration d'une documentation comparable et vérifiable.

6. La Commission est habilitée à adopter des actes délégués conformément à l'*article 97*, paragraphe 2, pour modifier les *annexes XI* et *XII* à la lumière des évolutions technologiques.

7. Toute information ou documentation obtenue en vertu du présent article, y compris les secrets d'affaires, est traitée conformément aux obligations de confidentialité énoncées à l'*article 78*.

## Article 54 - Mandataires des fournisseurs de modèles d'IA à usage général 🔑

<figure><img src="image_76.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

1. Avant de mettre un *modèle d'IA à usage général sur le marché* de l'Union, les *fournisseurs* établis dans des pays tiers désignent, par mandat écrit, un *mandataire* établi dans l'Union.

2. Le *fournisseur* autorise son *mandataire* à exécuter les tâches indiquées dans le mandat que lui a confié le *fournisseur*.

3. Le *mandataire* exécute les tâches indiquées dans le mandat que lui a confié le *fournisseur*. Il fournit une copie du mandat au *Bureau de l'IA* à la demande de ce dernier, dans l'une des langues officielles des institutions de l'Union. Aux fins du présent règlement, le mandat habilite le *mandataire* à exécuter les tâches suivantes :

a) vérifier que la documentation technique prévue à l'*annexe XI* a été rédigée et que toutes les obligations visées à l'*article 53* et, le cas échéant, à l'*article 55* ont été remplies par le *fournisseur*;

b) tenir à la disposition du *Bureau de l'IA* et des *autorités nationales compétentes* une copie de la documentation technique prévue à l'*annexe XI*, pendant une période de dix ans après la *mise sur le marché* du *modèle d'IA à usage général*, et les coordonnées du *fournisseur* ayant désigné le *mandataire*;

c) communiquer au *Bureau de l'IA*, sur demande motivée de sa part, toutes les informations et tous les documents, y compris ceux visés au point b), nécessaires pour démontrer qu'il respecte les obligations du présent *chapitre*;

d) coopérer avec le *Bureau de l'IA* et les autorités compétentes, sur demande motivée de leur part, à toute mesure qu'ils prennent à l'égard d'un *modèle d'IA à usage général*, y compris lorsque le modèle est intégré dans des *systèmes d'IA mis sur le marché* ou mis en service dans l'Union.

4. Le mandat habilite le *mandataire* à servir d'interlocuteur, en plus ou à la place du *fournisseur*, au *Bureau de l'IA* ou aux autorités compétentes, pour toutes les questions liées au respect du présent règlement.

5. Le *mandataire* met fin au mandat s'il considère ou a des raisons de considérer que le *fournisseur* agit de manière contraire aux obligations qui lui incombent en vertu du présent règlement. Dans ce cas, il informe en outre immédiatement le *Bureau de l'IA* de la cessation du mandat et des motifs qui la sous-tendent.

6. L'obligation énoncée au présent article ne s'applique pas aux *fournisseurs* de *modèles d'IA à usage général* qui sont publiés dans le cadre d'une licence libre et ouverte permettant de consulter, d'utiliser, de modifier et de distribuer le modèle, et dont les paramètres, y compris les poids, les informations sur l'architecture du modèle et les informations sur l'utilisation du
modèle, sont rendus publics, à moins que les modèles d'IA à usage général présentent un risque
systémique.

SECTION 3 - Obligations incombant aux fournisseurs de modèles d'IA à usage général présentant un risque systémique

Article 55 - Obligations incombant aux fournisseurs de modèles d'IA à usage général présentant un risque systémique

Accéder au résumé de l'article ~ 2 août 2025
Considérant(s), v. not. : (114) et (115)

1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d'IA à usage général présentant un risque systémique :

a) effectuent une évaluation des modèles sur la base de protocoles et d'outils normalisés reflétant l'état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d'identifier et d'atténuer les risque systémique ;

b) évaluent et atténuent les risques systémiques éventuels au niveau de l'Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l'utilisation de modèles d'IA à usage général présentant un risque systémique ;

c) suivent, documentent et communiquent sans retard injustifié au Bureau de l'IA et, le cas échéant, aux autorités nationales compétentes les informations pertinentes concernant les incidents graves ainsi que les éventuelles mesures correctives pour y remédier ;

d) garantissent un niveau approprié de protection en matière de cybersécurité pour le
modèle d'IA à usage général présentant un risque systémique et l'infrastructure
physique du modèle.

2. Les fournisseurs de modèles d'IA à usage général présentant un risque systémique peuvent s'appuyer sur des codes de bonne pratique au sens de l'article 56 pour démontrer qu'ils respectent les obligations énoncées au paragraphe 1 du présent article, jusqu'à la publication d'une norme harmonisée. Le respect des normes européennes harmonisées confère au fournisseur une présomption de conformité dans la mesure où lesdites normes couvrent ces obligations. Les fournisseurs de modèles d'IA à usage général présentant un risque systémique qui n'adhèrent pas à un code de bonnes pratiques approuvé ou ne respectent pas une norme européenne harmonisée démontrent qu'ils disposent d'autres moyens appropriés de mise en conformité et les soumettent à l'appréciation de la Commission.

3. Toute information ou documentation obtenue en vertu du présent article, y compris les secrets d'affaires, est traitée conformément aux obligations de confidentialité énoncées à l'article 78.

SECTION 4 - Codes de bonnes pratiques

Article 56 - Codes de bonne pratique

Accéder au résumé de l'article ~ 2 août 2025
Considérant(s), v. not. : (116) et (117)

1. Le Bureau de l'IA encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union afin de contribuer à la bonne application du présent règlement, en tenant compte des approches internationales.

2. Le Bureau de l'IA et le Comité IA s'efforcent de veiller à ce que les codes de bonne pratique couvrent au moins les obligations prévues aux articles 53 et 55, y compris les questions suivantes :
a) les moyens de s'assurer que les informations visées à l'article 53, paragraphe 1, points a) et b), sont mises à jour à la lumière des évolutions du marché et des technologies ;

b) le niveau approprié de détail pour le résumé du contenu utilisé pour l'entraînement ;

c) l'identification du type et de la nature des risques systémiques au niveau de l'Union, y compris leurs origines, le cas échéant ;

d) les mesures, procédures et modalités d'évaluation et de gestion des risques systémiques au niveau de l'Union, y compris la documentation y afférente, qui sont proportionnées aux risques, prennent en considération leur gravité et leur probabilité et tiennent compte des défis spécifiques que pose la maîtrise de ces risques à la lumière des différentes façons dont ils peuvent apparaître ou se concrétiser tout au long de la chaîne de valeur de l'IA.

3. Le Bureau de l'IA peut inviter tous les fournisseurs de modèles d'IA à usage général, ainsi que les autorités nationales compétentes concernées, à participer à l'élaboration de codes de bonne pratique. Les organisations de la société civile, l'industrie, le monde universitaire et d'autres parties prenantes concernées, telles que les fournisseurs en aval et les experts indépendants, peuvent apporter leur soutien au processus.

4. Le Bureau de l'IA et le Comité IA s'efforcent de veiller à ce que les codes de bonne pratique définissent clairement leurs objectifs spécifiques et contiennent des engagements ou des mesures, y compris, le cas échéant, des indicateurs de performance clés, afin de garantir la réalisation de ces objectifs, et à ce qu'ils tiennent dûment compte des besoins et des intérêts de l'ensemble des parties intéressées, y compris les personnes concernées, au niveau de l'Union.

5. Le Bureau de l'IA veille à ce que les participants aux codes de bonne pratique fassent régulièrement rapport au Bureau de l'IA sur la mise en œuvre des engagements ainsi que sur les mesures qu'ils adoptent et leurs résultats, y compris mesurés par rapport aux indicateurs de performance clés, le cas échéant. Les indicateurs de performance clés et l'obligation de présenter des rapports reflètent les différences de taille et de capacité entre les différents participants.

6. Le Bureau de l'IA et le Comité IA contrôlent et évaluent régulièrement la réalisation des objectifs des codes de bonne pratique par les participants et leur contribution à la bonne application du présent règlement. Le Bureau de l'IA et le Comité IA évaluent si les codes de bonne pratique couvrent les obligations prévues aux articles 53 et 55, et contrôlent et évaluent régulièrement la réalisation de leurs objectifs. Ils publient leur évaluation de l'adéquation des codes de bonne pratique.

La Commission peut, au moyen d'un acte d'exécution, approuver un code de bonnes pratiques et lui conférer une validité générale au sein de l'Union. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

7. Le Bureau de l'IA peut inviter tous les fournisseurs de modèles d'IA à usage général à adhérer aux codes de bonne pratique. Pour les fournisseurs de modèles d'IA à usage général ne présentant pas de risques systémiques, cette adhésion peut se limiter aux obligations prévues à l'article 53, à moins qu'ils ne déclarent explicitement leur intérêt à respecter le code complet.

8. Le Bureau de l'IA encourage et facilite également, le cas échéant, le réexamen et l'adaptation des codes de bonne pratique, en particulier à la lumière des normes émergentes. Le Bureau de l'IA participe à l'évaluation des normes disponibles.

9. Les codes de bonne pratique sont prêts au plus tard le 2 mai 2025. Le Bureau de l'IA prend les mesures nécessaires, y compris inviter les fournisseurs en vertu du paragraphe 7.
Si, à la date du 2 août 2025, un code de bonnes pratiques n'a pas pu être mis au point, ou si le Bureau de l'IA estime qu'il n'est pas approprié à la suite de son évaluation au titre du paragraphe 6 du présent article, la Commission peut prévoir, au moyen d'actes d'exécution, des règles communes pour la mise en œuvre des obligations prévues aux articles 53 et 55, y compris les questions énoncées au paragraphe 2 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

# CHAPITRE VI - MESURES DE SOUTIEN À L'INNOVATION

## Article 57 - Bacs à sable réglementaires de l'IA

<figure><img src="image_77.png" /></figure>

<figure><img src="image_78.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (138), (139), (142), (144) et (145)

1. Les États membres veillent à ce que leurs autorités compétentes mettent en place au moins un bac à sable réglementaire de l'IA au niveau national, qui est opérationnel au plus tard le 2 août 2026. Ce bac à sable peut également être établi conjointement avec les autorités compétentes d'autres États membres. La Commission peut fournir un soutien technique, des conseils et des outils pour la mise en place et l'exploitation de bacs à sable réglementaires de l'IA.

L'obligation visée au premier alinéa peut également être remplie en participant à un bac à sable existant, pour autant que cette participation offre un niveau de couverture nationale équivalent pour les États membres participants.

2. Des bacs à sable réglementaires de l'IA supplémentaires au niveau régional ou au niveau local, ou établis conjointement avec les autorités compétentes d'autres États membres peuvent également être mis en place.

3. Le Contrôleur européen de la protection des données peut également créer un bac à sable réglementaire de l'IA pour les institutions, organes et organismes de l'Union, et peut exercer les rôles et les tâches des autorités nationales compétentes conformément au présent chapitre.

4. Les États membres veillent à ce que les autorités compétentes visées aux paragraphes 1 et 2 allouent des ressources suffisantes pour se conformer au présent article de manière efficace et en temps utile. Lorsqu'il y a lieu, les autorités nationales compétentes coopèrent avec d'autres autorités concernées et peuvent permettre la participation d'autres acteurs de l'écosystème de l'IA. Le présent article n'a pas d'incidence sur d'autres bacs à sable réglementaires établis en vertu du droit de l'Union ou du droit national. Les États membres assurent un niveau approprié de coopération entre les autorités chargées de la surveillance de ces autres bacs à sable et les autorités nationales compétentes.

5. Les bacs à sable réglementaires de l'IA établis en vertu du paragraphe 1 offrent un environnement contrôlé qui favorise l'innovation et facilite le développement, l'entraînement, la mise à l'essai et la validation de systèmes d'IA innovants pendant une durée limitée avant leur mise sur le marché ou leur mise en service conformément à un plan spécifique de bac à sable convenu entre les fournisseurs ou fournisseurs potentiels et l'autorité compétente. Ces bacs à sable peuvent comprendre des essais en conditions réelles qui y sont supervisés.

6. Les autorités compétentes fournissent, s'il y a lieu, des orientations, une surveillance et un soutien dans le cadre du bac à sable réglementaire de l'IA en ce qui concerne l'identification des risques, en particulier pour les droits fondamentaux, la santé et la sécurité, les essais, les mesures d'atténuation et leur efficacité par rapport aux obligations et exigences du présent règlement et, le cas échéant, d'autres dispositions du droit de l'Union et du droit national dont le respect est suivi dans le cadre du bac à sable.
7. Les autorités compétentes donnent aux fournisseurs et aux fournisseurs potentiels participant au bac à sable réglementaire de l'IA des orientations sur les attentes réglementaires et la manière de satisfaire aux exigences et obligations énoncées dans le présent règlement.

À la demande du fournisseur ou du fournisseur potentiel du système d'IA, l'autorité compétente fournit une preuve écrite des activités menées avec succès dans le bac à sable. L'autorité compétente fournit également un rapport de sortie détaillant les activités menées dans le bac à sable ainsi que les résultats et acquis d'apprentissage correspondants. Les fournisseurs peuvent utiliser ces documents pour démontrer leur conformité avec le présent règlement au moyen de la procédure d'évaluation de la conformité ou d'activités pertinentes de surveillance du marché. À cet égard, les rapports de sortie et la preuve écrite fournie par l'autorité nationale compétente sont évalués de manière positive par les autorités de surveillance du marché et les organismes notifiés, en vue d'accélérer les procédures d'évaluation de la conformité dans une mesure raisonnable.

8. Sous réserve des dispositions relatives à la confidentialité énoncées à l'article 78 et avec l'accord du fournisseur ou du fournisseur potentiel, la Commission et le Comité IA sont autorisés à accéder aux rapports de sortie et en tiennent compte, le cas échéant, dans l'exercice des tâches qui leur incombent en vertu du présent règlement. Si le fournisseur ou le fournisseur potentiel et l'autorité nationale compétente y consentent explicitement, le rapport de sortie peut être mis à la disposition du public par l'intermédiaire de la plateforme d'information unique visée au présent article.

9. La mise en place de bacs à sable réglementaires de l'IA vise à contribuer aux objectifs suivants :

a) améliorer la sécurité juridique afin d'assurer le respect réglementaire du présent règlement ou, le cas échéant, d'autres dispositions applicables du droit de l'Union et du droit national ;

b) soutenir le partage des bonnes pratiques par la coopération avec les autorités participant au bac à sable réglementaire de l'IA ;

c) favoriser l'innovation et la compétitivité et faciliter la mise en place d'un écosystème d'IA ;

d) contribuer à l'apprentissage réglementaire fondé sur des données probantes ;

e) faciliter et accélérer l'accès au marché de l'Union pour les systèmes d'IA, en particulier lorsqu'ils sont fournis par des PME, y compris des jeunes pousses.

10. Les autorités nationales compétentes veillent à ce que, dans la mesure où les systèmes d'IA innovants impliquent le traitement de données à caractère personnel ou relèvent à d'autres titres de la surveillance d'autres autorités nationales ou autorités compétentes assurant ou encadrant l'accès aux données, les autorités nationales chargées de la protection des données et ces autres autorités nationales ou autorités compétentes soient associées à l'exploitation du bac à sable réglementaire de l'IA et participent au contrôle des aspects qui relèvent de leurs tâches et pouvoirs respectifs.

11. Les bacs à sable réglementaires de l'IA n'ont pas d'incidence sur les pouvoirs en matière de contrôle ou de mesures correctives des autorités compétentes chargées de la surveillance des bacs à sable, y compris au niveau régional ou local. Tout risque substantiel pour la santé, la sécurité et les droits fondamentaux constaté lors du développement et des tests de ces système d'IA donne lieu à des mesures d'atténuation appropriées. Les autorités nationales compétentes sont habilitées à suspendre temporairement ou définitivement le processus d'essai ou la participation au bac à sable si aucune atténuation efficace n'est possible, et elles informent le Bureau de l'IA de cette décision. Les autorités nationales compétentes exercent leurs pouvoirs de surveillance, dans les limites de la législation applicable, en faisant usage de
leurs pouvoirs discrétionnaires lorsqu'elles mettent en œuvre des dispositions juridiques relatives à un projet spécifique de *bac à sable réglementaire de l'IA*, dans le but de soutenir l'innovation dans le domaine de l'IA au sein de l'Union.

12. Les fournisseurs et les fournisseurs potentiels participant au *bac à sable réglementaire de l'IA* demeurent responsables, en vertu du droit de l'Union et du droit national applicable en matière de responsabilité, de tout préjudice infligé à des tiers en raison de l'expérimentation menée dans le bac à sable. Toutefois, sous réserve du respect par les fournisseurs potentiels du plan spécifique ainsi que des modalités de leur participation et de leur disposition à suivre de bonne foi les orientations fournies par l' *autorité nationale compétente*, aucune amende administrative n'est infligée par les autorités en cas de violation du présent règlement. Lorsque d'autres autorités compétentes chargées d'autres dispositions du droit de l'Union et du droit national ont participé activement à la surveillance du *système d'IA* dans le bac à sable et ont fourni des orientations en matière de conformité, aucune amende administrative n'est infligée en ce qui concerne ces dispositions.

13. Les bacs à sable réglementaires de l'IA sont conçus et mis en œuvre de manière à faciliter, le cas échéant, la coopération transfrontière entre les autorités nationales compétentes.

14. Les autorités nationales compétentes coordonnent leurs activités et coopèrent dans le cadre du Comité IA.

15. Les autorités nationales compétentes informent le Bureau de l'IA et le Comité IA de la mise en place d'un bac à sable et peuvent leur demander un soutien et des orientations. Le Bureau de l'IA publie une liste des bacs à sable prévus et existants et la tient à jour afin d'encourager une plus grande interaction dans les bacs à sable réglementaires de l'IA et la coopération transfrontière.

16. Les autorités nationales compétentes présentent des rapports annuels au Bureau de l'IA et au Comité IA, dont le premier est élaboré dans un délai d'un an à compter de la mise en place du bac à sable réglementaire de l'IA, puis tous les ans jusqu'à son terme, et un rapport final. Ces rapports fournissent des informations sur les progrès et les résultats de la mise en œuvre de ces bacs à sable, y compris les bonnes pratiques, les incidents, les enseignements et les recommandations concernant leur mise en place et, le cas échéant, sur l'application et la révision éventuelle du présent règlement, y compris ses actes délégués et actes d'exécution, et sur l'application d'autres dispositions législatives de l'Union contrôlés par les autorités compétentes dans le cadre du bac à sable. Les autorités nationales compétentes publient ces rapports annuels ou des résumés de ceux-ci en ligne. La Commission tient compte, s'il y a lieu, des rapports annuels dans l'exercice de ses tâches au titre du présent règlement.

17. La Commission développe une interface unique et spécifique contenant toutes les informations pertinentes relatives aux bacs à sable réglementaires de l'IA pour permettre aux parties prenantes d'interagir avec les bacs à sable réglementaires de l'IA et de s'informer auprès des autorités compétentes, ainsi que de demander des orientations non contraignantes sur la conformité de produits, services et modèles commerciaux innovants intégrant les technologies de l'IA, conformément à l'article 62, paragraphe 1, point c). La Commission assure une coordination proactive avec les autorités nationales compétentes, le cas échéant.

**Article 58 - Modalités détaillées pour les bacs à sable réglementaires de l'IA et fonctionnement de ceux-ci**

<figure><img src="image_79.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (139), (142), (144) et (145)

1. Afin d'éviter une fragmentation à travers l'Union, la Commission adopte des actes d'exécution précisant les modalités détaillées de mise en place, de développement, de mise en œuvre, d'exploitation et de surveillance des bacs à sable réglementaires de l'IA. Les actes d'exécution contiennent des principes communs sur les questions suivantes :
a) les critères d'éligibilité et de sélection pour la participation au _bac à sable réglementaire de l'IA_ ;

b) les procédures de demande, de surveillance, de sortie et d'expiration du _bac à sable réglementaire de l'IA_, ainsi que de participation à celui-ci, y compris le _plan du bac à sable_ et le rapport de sortie ;

c) les conditions applicables aux participants.

Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

2. Les actes d'exécution visés au paragraphe 1 garantissent que :

a) les bacs à sable réglementaires de l'IA sont ouverts à tout _fournisseur_ ou _fournisseur_ potentiel d'un système d'IA qui remplit les critères d'éligibilité et de sélection, lesquels sont transparents et équitables, et que les _autorités nationales compétentes_ informent les demandeurs de leur décision dans un délai de trois mois à compter de la demande ;

b) que les bacs à sable réglementaires de l'IA permettent un accès étendu et égal et suivent la demande de participation ; les _fournisseurs_ et _fournisseurs_ potentiels peuvent également soumettre des demandes en partenariat avec des _déployeurs_ et d'autre tiers concernés ;

c) que les modalités détaillées pour les bacs à sable réglementaires de l'IA et les conditions relatives à ces derniers favorisent, dans toute la mesure du possible, la flexibilité permettant aux _autorités nationales compétentes_ de mettre en place et d'exploiter leurs bacs à sable réglementaires de l'IA ;

d) que l'accès aux bacs à sable réglementaires de l'IA est gratuit pour les PME, y compris les jeunes pousses, sans préjudice des coûts exceptionnels que les _autorités nationales compétentes_ peuvent recouvrer de manière équitable et proportionnée ;

e) qu'ils aident les _fournisseurs_ et les _fournisseurs_ potentiels, au moyen des acquis d'apprentissage des bacs à sable réglementaires de l'IA, à se conformer aux obligations d'évaluation de la conformité prévues par le présent règlement et à l'application volontaire des codes de conduite visés à l'article 95 ;

f) que les bacs à sable réglementaires de l'IA facilitent la participation d'autres acteurs pertinents au sein de l'écosystème de l'IA, tels que les _organismes notifiés_ et les organisations de normalisation, les PME, y compris les jeunes pousses, les entreprises, les innovateurs, les installations d'expérimentation et d'essai, les laboratoires de recherche et d'expérimentation et les pôles européens d'innovation numérique, les centres d'excellence, les chercheurs individuels, afin de permettre et de faciliter la coopération avec les secteurs public et privé ;

g) que les procédures, processus et exigences administratives applicables en matière de demande, de sélection, de participation et de sortie dans le cadre du _bac à sable réglementaire de l'IA_ sont simples, facilement compréhensibles et clairement communiqués afin de faciliter la participation des PME, y compris des jeunes pousses, disposant de capacités juridiques et administratives limitées, et sont rationalisés dans toute l'Union, afin d'éviter la fragmentation et de permettre que la participation à un _bac à sable réglementaire de l'IA_ mis en place par un État membre ou par le Contrôleur européen de la protection des données soit mutuellement et uniformément reconnue et produise les mêmes effets juridiques dans l'ensemble de l'Union ;

h) que la participation au _bac à sable réglementaire de l'IA_ est limitée à une période adaptée à la complexité et à l'envergure du projet, qui peut être prolongée par l'autorité nationale compétente ;
i) que les bacs à sable réglementaire de l'IA facilitent le développement d'outils et d'infrastructures pour la mise à l'essai, l'étalonnage des performances, l'évaluation et l'explication des aspects des **systèmes d'IA** pertinents pour l'apprentissage réglementaire, tels que la précision, la solidité et la cybersécurité, ainsi que les mesures d'atténuation des **risques** d'atteinte aux droits fondamentaux et à la société au sens large.

3. Les **fournisseurs** potentiels dans les bacs à sable réglementaires de l'IA, en particulier les PME et les jeunes pousses, sont dirigés, le cas échéant, vers des services préalables au déploiement, tels que des orientations sur la mise en œuvre du présent règlement, et vers d'autres services à valeur ajoutée, tels que l'aide avec les documents de normalisation et la certification, les installations d'essai et d'expérimentation, les pôles européens d'innovation numérique et les centres d'excellence.

4. Lorsque les **autorités nationales compétentes** envisagent d'autoriser des **essais en conditions réelles** supervisés dans le cadre d'un **bac à sable réglementaire de l'IA** établi en vertu du présent article, elles conviennent spécifiquement des conditions de ces essais et, en particulier, des garanties appropriées avec les participants en vue de protéger les droits fondamentaux, la santé et la sécurité. Le cas échéant, elles coopèrent avec d'autres **autorités nationales compétentes** en vue d'assurer la cohérence des pratiques dans l'ensemble de l'Union.

**Article 59 - Traitement ultérieur de données à caractère personnel en vue du développement de certains systèmes d'IA dans l'intérêt public dans le cadre du bac à sable réglementaire de l'IA**

<figure><img src="image_80.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (140), (142), (144) et (145)

1. Dans le **bac à sable réglementaire de l'IA**, les **données à caractère personnel** collectées légalement à d'autres fins peuvent être traitées uniquement aux fins du développement, de l'entraînement et de la mise à l'essai de certains **systèmes d'IA** dans le bac à sable, lorsque l'ensemble des conditions suivantes sont remplies :

a) les **systèmes d'IA** sont développés pour préserver des intérêts publics importants par une autorité publique ou une autre personne physique ou morale et dans un ou plusieurs des domaines suivants :

i) la sécurité publique et la santé publique, y compris la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies ainsi que l'amélioration des systèmes de soins de santé ;

ii) un niveau élevé de protection et d'amélioration de la qualité de l'environnement, la protection de la biodiversité, la protection contre la pollution, les mesures de transition écologique et les mesures d'atténuation du changement climatique et d'adaptation à celui-ci ;

iii) la durabilité énergétique ;

iv) la sécurité et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux de transport ;

v) l'efficacité et la qualité de l'administration publique et des services publics ;

b) les données traitées sont nécessaires pour satisfaire à une ou plusieurs des exigences visées au chapitre III, section 2, lorsque ces exigences ne peuvent être satisfaites de manière efficace en traitant des données anonymisées, synthétiques ou autres à caractère non personnel ;
c) il existe des mécanismes de suivi efficaces pour déterminer si des risques élevés pour les droits et les libertés des personnes concernées, visés à l'article 35 du règlement (UE) 2016/679 et à l'article 39 du règlement (UE) 2018/1725<sup>87</sup>, sont susceptibles de survenir lors de l'expérimentation menée dans le cadre du bac à sable, ainsi que des mécanismes de réponse permettant d'atténuer rapidement ces risques et, au besoin, de faire cesser le traitement des données ;

d) les données à caractère personnel à traiter dans le cadre du bac à sable se trouvent dans un environnement de traitement des données séparé, isolé et protégé sur le plan fonctionnel, placé sous le contrôle du fournisseur potentiel, et seules les personnes autorisées ont accès à ces données ;

e) les fournisseurs ne peuvent en outre partager les données initialement collectées que conformément au droit de l'Union en matière de protection des données ; aucune donnée à caractère personnel créée dans le bac à sable ne peut être partagée en dehors du bac à sable ;

f) aucun traitement de données à caractère personnel effectué dans le cadre du bac à sable ne débouche sur des mesures ou des décisions affectant les personnes concernées ni n'a d'incidence sur l'application des droits que leur confère le droit de l'Union en matière de protection des données à caractère personnel ;

g) les données à caractère personnel traitées dans le cadre du bac à sable sont protégées par des mesures techniques et organisationnelles appropriées et supprimées une fois que la participation au bac à sable a cessé ou que la période de conservation de ces données à caractère personnel a expiré ;

h) les registres du traitement des données à caractère personnel dans le cadre du bac à sable sont conservés pendant la durée de la participation au bac à sable, sauf disposition contraire du droit de l'Union ou du droit national ;

i) une description complète et détaillée du processus et de la justification de l'entraînement, de la mise à l'essai et de la validation du système d'IA est conservée avec les résultats des essais, et fait partie de la documentation technique visée à l'annexe IV ;

j) un résumé succinct du projet d'IA développé dans le cadre du bac à sable, de ses objectifs et des résultats escomptés est publié sur le site web des autorités compétentes ; cette obligation ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives, des autorités chargées des contrôles aux frontières, des services de l'immigration ou des autorités compétentes en matière d'asile.

2. Aux fins de la prévention et de la détection d'infractions pénales, ainsi que des enquêtes et des poursuites en la matière ou de l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, sous le contrôle et la responsabilité des autorités répressives, le traitement des données à caractère personnel dans les bacs à sable réglementaires de l'IA est fondé sur une disposition spécifique du droit de l'Union ou du droit national et soumis aux mêmes conditions cumulatives que celles visées au paragraphe 1.

3. Le paragraphe 1 est sans préjudice du droit de l'Union ou du droit national excluant le traitement des données à caractère personnel à des fins autres que celles expressément mentionnées dans ce droit, ainsi que sans préjudice du droit de l'Union ou du droit national établissant le fondement du traitement des données à caractère personnel qui est nécessaire

<footnote n="87"><sup>87</sup> Le responsable du traitement doit effectuer une analyse d'impact relative à la protection des données lorsqu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, notamment en cas de recours à de nouvelles technologies.</footnote>
aux fins du développement, de la mise à l'essai et de l'entraînement de l'**système d'IA** innovants, ou de toute autre base juridique, dans le respect du droit de l'Union relatif à la protection des **données à caractère personnel**.

**Article 60 - Essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA**

<figure><img src="image_81.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (141), (142), (144) et (145)

1. Les essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA peuvent être effectués par les fournisseurs ou fournisseurs potentiels de systèmes d'IA à haut risque énumérés à l'**annexe III** conformément au présent article et au plan d'essais en conditions réelles visé au présent article, sans préjudice des interdictions prévues à l'article 5.

La Commission précise, par voie d'actes d'exécution, les éléments détaillés du plan d'essais en conditions réelles. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

Le présent paragraphe est sans préjudice du droit de l'Union ou du droit national relatif aux essais en conditions réelles de systèmes d'IA à haut risque liés aux produits qui relèvent de la législation d'harmonisation de l'Union dont la liste figure à l'**annexe I**.

2. Les fournisseurs ou fournisseurs potentiels peuvent effectuer, seuls ou en partenariat avec un ou plusieurs déployeurs ou déployeurs potentiels, des essais des systèmes d'IA à haut risque visés à l'**annexe III**, en conditions réelles, à tout moment avant la mise sur le marché ou la mise en service du système d'IA concerné.

3. Les essais de systèmes d'IA à haut risque en conditions réelles au titre du présent article sont sans préjudice de tout examen éthique exigé par le droit de l'Union ou le droit national.

4. Les fournisseurs ou fournisseurs potentiels ne peuvent effectuer les essais en conditions réelles que si toutes les conditions suivantes sont remplies :

a) le fournisseur ou le fournisseur potentiel a établi un plan d'essais en conditions réelles et l'a soumis à l'autorité de surveillance du marché dans l'État membre où les essais en conditions réelles doivent être réalisés ;

b) l'autorité de surveillance du marché de l'État membre où les essais en conditions réelles doivent être réalisés a approuvé les essais en conditions réelles et le plan d'essais en conditions réelles ; lorsque l'autorité de surveillance du marché n'a pas fourni de réponse dans un délai de 30 jours, les essais en conditions réelles et le plan d'essais en conditions réelles sont réputés approuvés ; lorsque le droit national ne prévoit pas d'approbation tacite, les essais en conditions réelles restent soumis à autorisation ;

c) le fournisseur ou fournisseur potentiel, à l'exception des fournisseurs ou fournisseurs potentiels de systèmes d'IA à haut risque visés à l'**annexe III**, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, ainsi que des systèmes d'IA à haut risque visés à l'**annexe III**, point 2, a enregistré les essais en conditions réelles dans la partie non publique de la base de données de l'UE visée à l'article 71, paragraphe 4, avec un numéro d'identification unique à l'échelle de l'Union et les informations indiquées à l'**annexe IX** ; le fournisseur ou fournisseur potentiel de systèmes d'IA à haut risque visé à l'**annexe III**, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, a enregistré les essais en conditions réelles dans la partie non publique de la base de données de l'UE visée à l'article 49, paragraphe 4, point d), avec un numéro d'identification unique à l'échelle de l'Union et les informations y indiquées ; le fournisseur ou fournisseur potentiel de
systèmes d'IA à haut risque visé à l'annexe III, point 2, a enregistré les essais en conditions réelles conformément à l'article 49, paragraphe 5.

d) le fournisseur ou fournisseur potentiel effectuant les essais en conditions réelles est établi dans l'Union ou a désigné un représentant légal établi dans l'Union ;

e) les données collectées et traitées aux fins des essais en conditions réelles ne sont transférées vers des pays tiers qu'à condition que des garanties appropriées et applicables en vertu du droit de l'Union soient en place ;

f) les essais en conditions réelles ne durent pas plus longtemps que nécessaire pour atteindre leurs objectifs et, en tout état de cause, pas plus de six mois, qui peuvent être prolongés pour une période supplémentaire de six mois, sous réserve d'une notification préalable par le fournisseur ou fournisseur potentiel à l'autorité de surveillance du marché, accompagnée d'une explication des raisons qui motivent une telle prolongation ;

g) les participants aux essais en conditions réelles qui sont des personnes appartenant à des groupes vulnérables en raison de leur âge ou de leur handicap sont dûment protégées ;

h) lorsqu'un fournisseur ou un fournisseur potentiel organise les essais en conditions réelles en coopération avec un ou plusieurs déployeurs ou déployeurs potentiels, ces derniers ont été préalablement informés de tous les aspects des essais qui sont pertinents pour leur décision de participer et ont reçu les instructions d'utilisation adéquates pour le système d'IA visé à l'article 13 ; le fournisseur ou fournisseur potentiel et le déployeur ou déployeur potentiel concluent un accord précisant leurs rôles et responsabilités en vue d'assurer le respect des dispositions relatives aux essais en conditions réelles prévues par le présent règlement et en vertu d'autres dispositions applicables du droit de l'Union et du droit national ;

i) les participants aux essais en conditions réelles ont donné leur consentement éclairé conformément à l'article 61 ou, dans le cas des services répressifs, lorsque la recherche d'un consentement éclairé empêcherait de réaliser les essais du système d'IA, les essais proprement dits et les résultats des essais en conditions réelles n'ont pas d'effet négatif sur les participants, et leurs données à caractère personnel sont supprimées une fois les essais réalisés ;

j) le fournisseur ou le fournisseur potentiel ainsi que les déployeurs ou les déployeurs potentiels effectuent un contrôle effectif des essais en conditions réelles, par des personnes dûment qualifiées dans le domaine concerné et disposant des capacités, de la formation et de l'autorité nécessaires pour accomplir leurs tâches ;

k) les prévisions, recommandations ou décisions du système d'IA peuvent effectivement être infirmées et ignorées.

5. Tout participant aux essais en conditions réelles, ou son représentant légal, selon le cas, peut, sans encourir de préjudice et sans devoir se justifier, se retirer des essais à tout moment, en révoquant son consentement éclairé et peut demander la suppression immédiate et définitive de ses données à caractère personnel. Le retrait du consentement éclairé n'affecte pas les activités déjà menées.

6. Conformément à l'article 75, les États membres confèrent à leurs autorités de surveillance du marché le pouvoir d'exiger des fournisseurs et des fournisseurs potentiels qu'ils fournissent des informations, de procéder à des inspections inopinées à distance ou sur place et d'effectuer des vérifications concernant la réalisation des essais en conditions réelles et des systèmes d'IA à haut risque connexes. Les autorités de surveillance du marché utilisent ces pouvoirs pour veiller au développement sûr des essais en conditions réelles.
7. Tout incident grave constaté au cours des essais en conditions réelles est signalé à l'autorité nationale de surveillance du marché, conformément à l'article 73. Le fournisseur ou fournisseur potentiel adopte des mesures d'atténuation immédiates ou, à défaut, suspend les essais en conditions réelles jusqu'à ce que cette atténuation soit effective ou y met fin en l'absence d'atténuation. Le fournisseur ou fournisseur potentiel établit une procédure pour le rappel rapide du système d'IA lors de la cessation des essais en conditions réelles.

8. Les fournisseurs ou fournisseurs potentiels informent l'autorité nationale de surveillance du marché de l'État membre où les essais en conditions réelles doivent être réalisés de la suspension ou de la cessation des essais en conditions réelles et des résultats finaux.

9. Le fournisseur ou le fournisseur potentiel sont responsables, en vertu du droit de l'Union et du droit national applicable en matière de responsabilité, de tout préjudice causé durant les essais en conditions réelles.

## Article 61 - Consentement éclairé à participer aux essais en conditions réelles en dehors des bacs à sable réglementaires de l'IA 🏠

<figure><img src="image_82.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (141), (142), (144) et (145)

1. Aux fins des essais en conditions réelles visés à l'article 60, le consentement éclairé donné librement est obtenu des participant aux essais avant que ceux-ci ne prennent part à ces essais et après qu'ils ont été dûment informés au moyen d'informations concises, claires, pertinentes et compréhensibles concernant :

a) la nature et les objectifs des essais en conditions réelles ainsi que les désagréments éventuels pouvant être liés à sa participation ;

b) les conditions dans lesquelles les essais en conditions réelles doivent être réalisés, y compris la durée prévue de la participation ;

c) les droits et garanties concernant leur participation, en particulier leur droit de refuser de participer aux essais en conditions réelles et leur droit de s'en retirer à tout moment sans encourir de préjudice et sans devoir se justifier ;

d) les modalités selon lesquelles il peut être demandé que des prévisions, recommandations ou décisions du système d'IA soient infirmées ou ignorées ;

e) le numéro d'identification unique à l'échelle de l'Union des essais en conditions réelles conformément à l'article 60, paragraphe 4, point c), et les coordonnées du fournisseur ou de son représentant légal auprès duquel des informations complémentaires peuvent être obtenues.

2. Le consentement éclairé est daté et documenté et une copie en est remise aux participant aux essais ou à leur représentant légal.

## Article 62 - Mesures en faveur des fournisseurs et déployeurs, en particulier les PME, y compris les jeunes pousses 🏠

<figure><img src="image_83.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (142), (143), (144) et (145)

1. Les États membres :

a) accordent aux PME, y compris les jeunes pousses, qui ont leur siège social ou une succursale dans l'Union, un accès prioritaire aux bacs à sable réglementaires de l'IA, dans la mesure où elles remplissent les conditions d'éligibilité et les critères de sélection ; l'accès prioritaire n'empêche pas d'autres PME, y compris les jeunes pousses, autres que celles visées au présent alinéa, d'accéder au bac à sable réglementaire de
l'IA, pour autant qu'elles remplissent également les conditions d'éligibilité et les critères de sélection ;

b) organisent des activités spécifiques de sensibilisation et de formation à l'application du présent règlement, adaptées aux besoins des PME, y compris les jeunes pousses, les déployeurs et, si nécessaire, les pouvoirs publics locaux ;

c) utilisent des canaux privilégiés existants et, s'il y a lieu, en établissent de nouveaux avec les PME, y compris les jeunes pousses, les déployeurs, d'autres innovateurs et, si nécessaire, les pouvoirs publics locaux, afin de fournir des conseils et de répondre aux questions relatives à la mise en œuvre du présent règlement, y compris en ce qui concerne la participation à des bacs à sable réglementaires de l'IA ;

d) facilitent la participation des PME et d'autres parties concernées au processus d'élaboration de la normalisation.

2. Les intérêts et les besoins spécifiques des PME fournisseuses, y compris les jeunes pousses, sont pris en considération lors de la fixation des frais liés à l'évaluation de la conformité visée à l'article 43, ces frais étant réduits proportionnellement à leur taille, à la taille de leur marché et à d'autres indicateurs pertinents.

3. Le Bureau de l'IA :

a) fournit des modèles normalisés pour les domaines qui relèvent du présent règlement, comme précisé par le Comité IA dans sa demande ;

b) met au point et tient à jour une plateforme d'information unique fournissant des informations faciles à utiliser en rapport avec le présent règlement pour tous les opérateurs dans l'ensemble de l'Union ;

c) organise des campagnes de communication appropriées pour sensibiliser aux obligations découlant du présent règlement ;

d) évalue et promeut la convergence des bonnes pratiques en matière de procédures de passation de marchés publics en ce qui concerne les systèmes d'IA.

## Article 63 - Dérogations pour des opérateurs spécifiques

<figure><img src="image_84.png" /></figure>

<figure><img src="image_85.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (142), (144), (145) et (146)

1. Les microentreprises au sens de la recommandation [2003/361/CE](<https://www.legislation.gov.uk/id/uksi/2003/361>) peuvent se conformer de manière simplifiée à certains éléments du système de gestion de la qualité requis par l'article 17 du présent règlement, pour autant qu'elles n'aient pas d'entreprises partenaires ou d'entreprises liées au sens de ladite recommandation. À cette fin, la Commission élabore des lignes directrices sur les éléments du système de gestion de la qualité qui peuvent être respectés de manière simplifiée en tenant compte des besoins des microentreprises, sans affecter le niveau de protection ni la nécessité de se conformer aux exigences relatives aux systèmes d'IA à haut risque.

2. Le paragraphe 1 du présent article ne peut être interprété comme dispensant ces opérateurs de satisfaire à d'autres exigences ou obligations prévues par le présent règlement, y compris celles établies aux articles 9, 10, 11, 12, 13, 14, 15, 72 et 73.
# CHAPITRE VII - GOUVERNANCE

## SECTION 1 - Gouvernance au niveau de l'Union

### Article 64 - Bureau de l'IA 🔒

<figure><img src="image_86.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (148)

1. La Commission développe l'expertise et les capacités de l'Union dans le domaine de l'IA par l'intermédiaire du Bureau de l'IA.

2. Les États membres facilitent l'accomplissement des tâches confiées au Bureau de l'IA, telles qu'elles sont définies dans le présent règlement.

### Article 65 - Création et structure du Comité européen de l'intelligence artificielle 🔒

<figure><img src="image_87.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (148) et (149)

1. Un **Comité européen de l'intelligence artificielle** (ci-après dénommé « Comité IA ») est créé.

2. Le Comité IA est composé d'un représentant par État membre. Le Contrôleur européen de la protection des données participe en qualité d'observateur. Le Bureau de l'IA assiste également aux réunions du Comité IA sans toutefois prendre part aux votes. D'autres autorités, organes ou experts nationaux et de l'Union peuvent être invités aux réunions par le Comité IA au cas par cas, lorsque les questions examinées relèvent de leurs compétences.

3. Chaque représentant est désigné par son État membre pour une période de trois ans, renouvelable une fois.

4. Les États membres veillent à ce que leurs représentants au sein du Comité IA :

a) disposent des compétences et pouvoirs pertinents dans leur État membre afin de contribuer activement à l'accomplissement des tâches du Comité IA visées à l'article 66;

b) soient désignés comme point de contact unique vis-à-vis du Comité IA et, lorsqu'il y a lieu, compte tenu des besoins des États membres, comme point de contact unique pour les parties prenantes;

c) soient habilités à faciliter la cohérence et la coordination entre les autorités nationales compétentes de leur État membre en ce qui concerne la mise en œuvre du présent règlement, y compris par la collecte de données et d'informations pertinentes aux fins de l'accomplissement de leurs tâches au sein du Comité IA.

5. Les représentants désignés des États membres adoptent le règlement intérieur du Comité IA à la majorité des deux tiers. Le règlement intérieur établit, en particulier, les procédures de sélection, la durée du mandat et les spécifications des missions du président, les modalités de vote détaillées et l'organisation des activités du Comité IA et de celles de ses sous-groupes.

6. Le Comité IA établit deux sous-groupes permanents chargés de fournir une plateforme de coopération et d'échange entre les autorités de surveillance du marché et les autorités notifiantes au sujet des questions liées à la surveillance du marché et aux organismes notifiés respectivement.
Le sous-groupe permanent pour la surveillance du marché devrait agir au titre de groupe de coopération administrative (ADCO) pour le présent règlement au sens de l'article 30 du règlement (UE) 2019/1020⁸⁸.

Le Comité IA peut créer d'autres sous-groupes permanents ou temporaires, s'il y a lieu, afin d'examiner des questions spécifiques. Le cas échéant, des représentants du forum consultatif visé à l'article 67 peuvent être invités à ces sous-groupes ou à des réunions spécifiques de ces sous-groupes en qualité d'observateurs.

7. Le Comité IA est organisé et fonctionne de façon à garantir l'objectivité et l'impartialité de ses activités.

8. Le Comité IA est présidé par l'un des représentants des États membres. Le Bureau de l'IA assure le secrétariat du Comité IA, convoque les réunions à la demande du président et prépare l'ordre du jour conformément aux tâches du Comité IA au titre du présent règlement et à son règlement intérieur.

## Article 66 - Tâches du Comité IA

<figure><img src="image_88.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (148), (149) et (160)

Le Comité IA conseille et assiste la Commission et les États membres afin de faciliter l'application cohérente et efficace du présent règlement. À cette fin, le Comité IA peut notamment :

a) contribuer à la coordination entre les autorités nationales compétentes chargées de l'application du présent règlement et, en coopération avec les autorités de surveillance du marché concernées et sous réserve de leur accord, soutenir les activités conjointes des autorités de surveillance du marché visées à l'article 74, paragraphe 11;

b) recueillir l'expertise technique et réglementaire ainsi que les bonnes pratiques et les partager entre les États membres;

c) fournir des conseils sur la mise en œuvre du présent règlement, en particulier en ce qui concerne le contrôle de l'application des règles relatives aux modèles d'IA à usage général;

d) contribuer à l'harmonisation des pratiques administratives dans les États membres, y compris en ce qui concerne la dérogation à la procédure d'évaluation de la conformité visée à l'article 46, le fonctionnement des bacs à sable réglementaires de l'IA et les essais en conditions réelles visés aux articles 57, 59 et 60;

e) à la demande de la Commission ou de sa propre initiative, émettre des recommandations et des avis écrits sur toute question pertinente liée à la mise en œuvre du présent règlement et à son application cohérente et efficace, y compris :

i) sur l'élaboration et l'application de codes de conduite et de codes de bonne pratique conformément au présent règlement, ainsi que des lignes directrices de la Commission;

ii) sur l'évaluation et le réexamen du présent règlement conformément à l'article 112, y compris en ce qui concerne les signalements d'incidents graves visés à l'article 73, le fonctionnement de la base de données de l'UE visée à l'article 71, l'élaboration des actes délégués ou des actes d'exécution, ainsi que

<footnote n="88">⁸⁸ Le sous-groupe permanent pour la surveillance du marché devrait agir en tant que groupe de coopération administrative (ADCO) pour assurer l'application uniforme de la législation d'harmonisation de l'Union, en réunissant des représentants des autorités de surveillance du marché nationales et, si nécessaire, des bureaux de liaison uniques, avec la possibilité d'inviter des parties prenantes concernées en fonction de l'objet de la discussion.</footnote>
les alignements éventuels du présent règlement sur les dispositions d'harmonisation de la législation de l'Union figurant à l'annexe I;

iii) sur les spécifications techniques ou les normes existantes se rapportant aux exigences énoncées au chapitre III, section 2;

iv) sur l'utilisation des **normes harmonisées** ou des **spécifications communes** visées aux articles 40 et 41;

v) sur les tendances, telles que la compétitivité mondiale de l'Europe dans le domaine de l'IA, l'adoption de l'IA dans l'Union et le développement des compétences numériques;

vi) sur les tendances concernant l'évolution de la typologie des chaînes de valeur de l'IA, en particulier en ce qui concerne les conséquences qui en découlent en termes de responsabilité;

vii) sur la nécessité éventuelle de modifier l'annexe III conformément à l'article 7, et sur la nécessité éventuelle d'une révision de l'article 5 conformément à l'article 112, en tenant compte des éléments probants pertinents disponibles et des dernières évolutions technologiques;

f) soutenir la Commission afin de promouvoir la maîtrise de l'IA, la sensibilisation du public et la compréhension des avantages, des risques, des garanties, des droits et des obligations liés à l'utilisation des systèmes d'IA;

g) faciliter l'élaboration de critères communs et d'une interprétation commune, entre les opérateurs du marché et les autorités compétentes, des concepts pertinents prévus par le présent règlement, y compris en contribuant au développement de critères de référence;

h) coopérer, lorsqu'il y a lieu, avec d'autres institutions, organes et organismes de l'Union, ainsi que des groupes d'experts et réseaux compétents de l'Union, en particulier dans les domaines de la sécurité des produits, de la cybersécurité, de la concurrence, des services numériques et des services de médias, des services financiers, de la protection des consommateurs, de la protection des données et des droits fondamentaux;

i) contribuer à une coopération efficace avec les autorités compétentes de pays tiers et des organisations internationales;

j) aider les autorités nationales compétentes et la Commission à développer l'expertise organisationnelle et technique nécessaire à la mise en œuvre du présent règlement, y compris en contribuant à l'évaluation des besoins de formation du personnel des États membres participant à la mise en œuvre du présent règlement;

k) aider le Bureau de l'IA à soutenir les autorités nationales compétentes dans la mise en place et le développement de bacs à sable réglementaires de l'IA, et faciliter la coopération et le partage d'informations entre les bacs à sable réglementaires de l'IA;

l) contribuer à l'élaboration de documents d'orientation et fournir des conseils pertinents en la matière;

m) conseiller la Commission sur les questions internationales en matière d'IA;

n) fournir des avis à la Commission sur les alertes qualifiées concernant les modèles d'IA à usage général;

o) recevoir des avis des États membres sur les alertes qualifiées concernant les modèles d'IA à usage général, ainsi que sur les expériences et pratiques nationales en matière de suivi et de contrôle de l'application des systèmes d'IA, en particulier des systèmes intégrant les modèles d'IA à usage général.
## **Article 67 - Forum consultatif**

<figure><img src="image_89.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (148) et (150)

1. Un forum consultatif est créé pour fournir une expertise technique et conseiller le Comité IA et la Commission, ainsi que pour contribuer à l'accomplissement des tâches qui leur incombent en vertu du présent règlement.

2. La composition du forum consultatif est équilibrée en ce qui concerne la représentation des parties prenantes, y compris l'industrie, les jeunes pousses, les PME, la société civile et le monde universitaire. La composition du forum consultatif est équilibrée sur le plan des intérêts commerciaux et non commerciaux et, dans la catégorie des intérêts commerciaux, en ce qui concerne les PME et les autres entreprises.

3. La Commission nomme les membres du forum consultatif, conformément aux critères énoncés au paragraphe 2, parmi les parties prenantes possédant une expertise reconnue dans le domaine de l'IA.

4. La durée du mandat des membres du forum consultatif est de deux ans et peut être prolongée au maximum de quatre ans.

5. L'Agence des droits fondamentaux, l'ENISA, le Comité européen de normalisation (CEN), le Comité européen de normalisation électrotechnique (CENELEC) et l'Institut européen de normalisation des télécommunications (ETSI) sont membres permanents du forum consultatif.

6. Le forum consultatif établit son règlement intérieur. Il élit parmi ses membres deux coprésidents, conformément aux critères énoncés au paragraphe 2. Leur mandat est d'une durée de deux ans, renouvelable une fois.

7. Le forum consultatif tient des réunions régulières au moins deux fois par an. Il peut inviter des experts et d'autres parties prenantes à ses réunions.

8. Le forum consultatif peut préparer des avis, des recommandations et des contributions écrites à la demande du Comité IA ou de la Commission.

9. Le forum consultatif peut créer des sous-groupes permanents ou temporaires, s'il y a lieu, afin d'examiner des questions spécifiques liées aux objectifs du présent règlement.

10. Le forum consultatif prépare un rapport annuel sur ses activités. Ce rapport est rendu public.

## **Article 68 - Groupe scientifique d'experts indépendants**

<figure><img src="image_90.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (148) et (151)

1. La Commission adopte, au moyen d'un acte d'exécution, des dispositions relatives à la constitution d'un groupe scientifique d'experts indépendants (ci-après dénommé « groupe scientifique ») destiné à soutenir les activités de contrôle de l'application du présent règlement. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

2. Le groupe scientifique est composé d'experts sélectionnés par la Commission en fonction de leur expertise à la pointe des connaissances scientifiques ou techniques dans le domaine de l'IA, nécessaire pour s'acquitter des tâches énoncées au paragraphe 3, et est en mesure de démontrer qu'ils remplissent toutes les conditions suivantes :

a) disposer d'une expertise et d'une compétence particulières ainsi que d'une expertise scientifique ou technique dans le domaine de l'IA;

b) être indépendant vis-à-vis de tout fournisseur de systèmes d'IA ou de modèles d'IA à usage général;
c) être capable de mener des activités avec diligence, précision et objectivité.

La Commission, en consultation avec le Comité IA, détermine le nombre d'experts au sein du groupe scientifique en fonction des besoins et veille à une représentation équitable entre les hommes et les femmes ainsi que sur le plan géographique.

3. Le groupe scientifique conseille et soutient le Bureau de l'IA, notamment en ce qui concerne les tâches suivantes :

a) soutenir la mise en œuvre et le contrôle de l'application du présent règlement en ce qui concerne les modèles et systèmes d'IA à usage général, en particulier :

i) en alertant le Bureau de l'IA au sujet d'éventuels risques systémiques posés au niveau de l'Union par des modèles d'IA à usage général, conformément à l'article 90 ;

ii) en contribuant à la mise au point d'outils et de méthodologies destinés à évaluer les capacités des modèles et systèmes d'IA à usage général, y compris au moyen de critères de référence ;

iii) en fournissant des conseils quant à la classification des modèles d'IA à usage général présentant un risque systémique ;

iv) en fournissant des conseils quant à la classification de différents modèles et systèmes d'IA à usage général ;

v) en contribuant à la mise au point d'outils et de modèles ;

b) soutenir, à leur demande, les autorités de surveillance du marché dans leur travail ;

c) soutenir les activités transfrontières de surveillance du marché visées à l'article 74, paragraphe 11, sans préjudice des pouvoirs des autorités de surveillance du marché ;

d) soutenir le Bureau de l'IA dans l'exercice de ses fonctions dans le cadre de la procédure de sauvegarde de l'Union prévue à l'article 81.

4. Les experts du groupe scientifique s'acquittent de leurs tâches avec impartialité et objectivité, et garantissent la confidentialité des informations et des données obtenues dans l'exercice de leurs tâches et activités. Ils ne sollicitent ni n'acceptent d'instructions de quiconque dans l'exercice des tâches qui leur incombent en vertu du paragraphe 3. Chaque expert établit une déclaration d'intérêts qui est rendue publique. Le Bureau de l'IA met en place des systèmes et des procédures visant à prévenir et gérer efficacement les conflits d'intérêts potentiels.

5. L'acte d'exécution visé au paragraphe 1 comprend des dispositions sur les conditions, les procédures et les modalités détaillées permettant au groupe scientifique et à ses membres d'émettre des alertes et de demander l'assistance du Bureau de l'IA pour l'exécution des tâches du groupe scientifique.

## Article 69 - Accès des États membres au groupe scientifique

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (148) et (151)

1. Les États membres peuvent faire appel à des experts du groupe scientifique pour soutenir leurs activités de contrôle de l'application du présent règlement.

2. Les États membres peuvent être tenus de payer des honoraires pour les conseils et le soutien fournis par les experts. La structure et le niveau des honoraires ainsi que le barème et la structure des dépens récupérables sont définis dans l'acte d'exécution visé à l'article 68, paragraphe 1, en tenant compte des objectifs consistant à mettre en œuvre le présent
règlement de façon appropriée, à assurer un bon rapport coût-efficacité et à garantir que tous
les États membres aient un accès effectif à des experts.

3. La Commission facilite l'accès en temps utile des États membres aux experts, en fonction des besoins, et veille à ce que la combinaison des activités de soutien menées par les structures de soutien de l'Union pour les essais en matière d'IA conformément à l'article 84 et par les experts au titre du présent article soit organisée de manière efficace et apporte la meilleure valeur ajoutée possible.

SECTION 2 - Autorités nationales compétentes

Article 70 - Désignation des autorités nationales compétentes et des points de contact uniques

<figure><img src="image_91.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2025

Considérant(s), v. not. : (153) et (154)

1. Chaque État membre établit ou désigne en tant qu'autorité nationale compétente au moins une autorité notifiante et au moins une autorité de surveillance du marché aux fins du présent règlement. Ces autorités nationales compétentes exercent leurs pouvoirs de manière indépendante, impartiale et sans parti pris, afin de préserver l'objectivité de leurs activités et de leurs tâches et d'assurer l'application et la mise en œuvre du présent règlement. Les membres de ces autorités s'abstiennent de tout acte incompatible avec leurs fonctions. Pour autant que ces principes soient respectés, les activités et tâches précitées peuvent être exécutées par une ou plusieurs autorités désignées, en fonction des besoins organisationnels de l'État membre.

2. Les États membres communiquent à la Commission les autorités notifiantes et les autorités de surveillance du marché désignées et les tâches incombant à ces autorités, ainsi que toute modification ultérieure y afférente. Les États membres rendent publiques des informations sur la manière dont les autorités compétentes et les points de contact uniques peuvent être contactés, par voie électronique, au plus tard le 2 août 2025. Les États membres désignent une autorité de surveillance du marché pour faire office de point de contact unique pour le présent règlement et communiquent à la Commission l'identité du point de contact unique. La Commission publie une liste des points de contact uniques.

3. Les États membres veillent à ce que leurs autorités nationales compétentes disposent de ressources techniques, financières et humaines suffisantes, ainsi que d'infrastructures pour mener à bien efficacement les tâches qui leur sont confiées en vertu du présent règlement. En particulier, les autorités nationales compétentes disposent en permanence d'un personnel en nombre suffisant, qui possède, parmi ses compétences et son expertise, une compréhension approfondie des technologies de l'IA, des données et du traitement de données, de la protection des données à caractère personnel, de la cybersécurité, des droits fondamentaux, des risques pour la santé et la sécurité, et une connaissance des normes et exigences légales en vigueur. Chaque année, les États membres évaluent et, si nécessaire, mettent à jour les exigences portant sur les compétences et les ressources visées au présent paragraphe.

4. Les autorités nationales compétentes prennent des mesures appropriées pour garantir un niveau adapté de cybersécurité.

5. Dans le cadre de l'accomplissement de leurs tâches, les autorités nationales compétentes agissent conformément aux obligations de confidentialité énoncées à l'article 78.

6. Au plus tard le 2 août 2025, et tous les deux ans par la suite, les États membres font rapport à la Commission sur l'état des ressources financières et humaines des autorités nationales compétentes, et lui présentent une évaluation de l'adéquation de ces ressources. La Commission transmet ces informations au Comité IA pour discussion et recommandations éventuelles.
7. La Commission facilite les échanges d'expériences entre les autorités nationales compétentes.

8. Les autorités nationales compétentes peuvent fournir des orientations et des conseils sur la mise en œuvre du présent règlement, en particulier aux PME, y compris les jeunes pousses, en tenant compte des orientations et conseils du Comité IA et de la Commission, selon le cas. Chaque fois que les autorités nationales compétentes envisagent de fournir des orientations et des conseils concernant un système d'IA dans des domaines relevant d'autres actes législatifs de l'Union, les autorités compétentes nationales en vertu de ces actes législatifs de l'Union sont consultées, le cas échéant.

9. Lorsque les institutions, organes ou organismes de l'Union relèvent du champ d'application du présent règlement, le Contrôleur européen de la protection des données agit en tant qu'autorité compétente responsable de leur surveillance.

# CHAPITRE VIII - BASE DE DONNÉES DE L'UE POUR LES SYSTÈMES D'IA À HAUT RISQUE

## Article 71 - Base de données de l'UE pour les systèmes d'IA à haut risque énumérés à l'annexe III

<figure><img src="image_92.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (131)

1. La Commission, en collaboration avec les États membres, crée et tient à jour une base de données de l'UE contenant les informations visées aux paragraphes 2 et 3 du présent article en ce qui concerne les systèmes d'IA à haut risque visés à l'article 6, paragraphe 2, qui sont enregistrés conformément aux articles 49 et 60 et les systèmes d'IA qui ne sont pas considérés à haut risque en vertu de l'article 6, paragraphe 3, et qui sont enregistrés conformément à l'article 6, paragraphe 4, et à l'article 49. Lorsqu'elle définit les spécifications fonctionnelles de cette base de données, la Commission consulte les experts compétents et, lorsqu'elle les met à jour, elle consulte le Comité IA.

2. Les données énumérées à l'annexe VIII, sections A et B, sont introduites dans la base de données de l'UE par le fournisseur ou, le cas échéant, par le mandataire.

3. Les données énumérées à la section C de l'annexe VIII sont introduites dans la base de données de l'UE par le déployeur qui est ou agit pour le compte d'une autorité, d'une agence ou d'un organisme public, conformément à l'article 49, paragraphes 3 et 4.

4. À l'exception de la section visée à l'article 49, paragraphe 4, et à l'article 60, paragraphe 4, point c), les informations contenues dans la base de données de l'UE enregistrées conformément à l'article 49 sont accessibles et mises à la disposition du public d'une manière conviviale. Ces informations devraient être consultables grâce à une navigation aisée et lisibles par machine. Les informations enregistrées conformément à l'article 60 ne sont accessibles qu'aux autorités de surveillance du marché et à la Commission, sauf si le fournisseur ou fournisseur potentiel a donné son consentement pour que ces informations soient également accessibles au public.

5. La base de données de l'UE ne contient des données à caractère personnel que dans la mesure où celles-ci sont nécessaires à la collecte et au traitement d'informations conformément au présent règlement. Ces informations incluent les noms et les coordonnées des personnes physiques qui sont responsables de l'enregistrement du système et légalement autorisées à représenter le fournisseur ou le déployeur, selon le cas.

6. La Commission est la responsable du traitement pour la base de données de l'UE. Elle met à la disposition des fournisseurs, des fournisseurs potentiels et des déployeurs un soutien
technique et administratif approprié. La base de données de l'UE est conforme aux exigences applicables en matière d'accessibilité.

# CHAPITRE IX - SURVEILLANCE APRÈS COMMERCIALISATION, PARTAGE D'INFORMATIONS ET SURVEILLANCE DU MARCHÉ

## SECTION 1 - Surveillance après commercialisation

**Article 72 - Surveillance après commercialisation par les fournisseurs et plan de surveillance après commercialisation pour les systèmes d'IA à haut risque**

<figure><img src="image_93.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann.I)

Considérant(s), v. not. : (155)

1. Les fournisseurs établissent et documentent un système de surveillance après commercialisation d'une manière qui soit proportionnée à la nature des technologies d'IA et des risques du système d'IA à haut risque.

2. Le système de surveillance après commercialisation collecte, documente et analyse, de manière active et systématique, les données pertinentes qui peuvent être fournies par les déployeur ou qui peuvent être collectées via d'autres sources sur les performances des systèmes d'IA à haut risque tout au long de leur cycle de vie, et qui permettent au fournisseur d'évaluer si les systèmes d'IA respectent en permanence les exigences énoncées au chapitre III, section 2. Le cas échéant, la surveillance après commercialisation comprend une analyse de l'interaction avec d'autres systèmes d'IA. Cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs qui sont des autorités répressives.

3. Le système de surveillance après commercialisation repose sur un plan de surveillance après commercialisation. Le plan de surveillance après commercialisation fait partie de la documentation technique visée à l'annexe IV. La Commission adopte un acte d'exécution fixant des dispositions détaillées établissant un modèle pour le plan de surveillance après commercialisation et la liste des éléments à inclure dans le plan au plus tard le 2 février 2026. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

4. Pour les systèmes d'IA à haut risque relevant de la législation d'harmonisation de l'Union énumérés à la section A de l'annexe I, lorsqu'un système et un plan de surveillance après commercialisation sont déjà établis en vertu de ces actes, afin d'assurer la cohérence, d'éviter les doubles emplois et de réduire au minimum les charges supplémentaires, les fournisseurs ont le choix d'intégrer, le cas échéant, les éléments nécessaires décrits aux paragraphes 1, 2 et 3 en utilisant le modèle visé au paragraphe 3 dans les systèmes et plans existants au titre desdits actes, pour autant que cela donne lieu à un niveau de protection équivalent.

Le premier alinéa du présent paragraphe s'applique également aux systèmes d'IA à haut risque visés à l'annexe III, point 5, mis sur le marché ou mis en service par des établissements financiers qui sont soumis à des exigences en vertu de la législation de l'Union sur les services financiers concernant leur gouvernance, leurs dispositifs ou leurs processus internes.