parties prenantes concernées, y compris les représentants de groupes de personnes susceptibles d'être concernés par le système d'IA, les experts indépendants et les organisations de la société civile, à la réalisation de cette analyse d'impact et à la conception des mesures à prendre en cas de matérialisation des risques. Le Bureau européen de l'intelligence artificielle (ci-après dénommé « Bureau de l'IA ») devrait élaborer un modèle de questionnaire afin de faciliter la mise en conformité et de réduire la charge administrative pesant sur les déployeurs.

* en lien avec : **Article 27 - Analyse d'impact des systèmes d'IA à haut risque sur les droits fondamentaux**

(97) La notion de **modèle d'IA à usage général** devrait être clairement définie et distincte de la notion de **système d'IA** afin de garantir la sécurité juridique. La définition devrait se fonder sur les principales caractéristiques fonctionnelles d'un **modèle d'IA à usage général**, en particulier la généralité et la capacité d'exécuter de manière compétente un large éventail de tâches distinctes. Ces modèles sont généralement entraînés avec de grandes quantités de données, au moyen de diverses méthodes, telles que l'**apprentissage auto-supervisé**<fnref n="35" />, non **supervisé**<fnref n="36" /> ou **par renforcement**<fnref n="37" />. Les **modèles d'IA à usage général** peuvent être mis sur le marché de différentes manières, notamment au moyen de bibliothèques, d'**interfaces de programmation d'applications**<fnref n="38" /> (API), de téléchargements directs ou de copies physiques. Ces modèles peuvent être modifiés ou affinés et ainsi se transformer en nouveaux modèles. Bien que les modèles d'IA soient des composants essentiels des **systèmes d'IA**, ils ne constituent pas en soi des **systèmes d'IA**. Les modèles d'IA nécessitent l'ajout d'autres composants, tels qu'une interface utilisateur, pour devenir des **systèmes d'IA**. Les modèles d'IA sont généralement intégrés dans les **systèmes d'IA** et en font partie. Le présent règlement prévoit des règles spécifiques pour les **modèles d'IA à usage général** et pour les **modèles d'IA à usage général** qui présentent des **risques systémique**, lesquelles devraient également s'appliquer lorsque ces modèles sont intégrés dans un **système d'IA** ou en font partie. Il convient de considérer que les obligations incombant aux **fournisseurs** de **modèles d'IA à usage général** devraient s'appliquer une fois que ces modèles sont mis sur le marché. Lorsque le **fournisseur** d'un **modèle d'IA à usage général** intègre un propre modèle dans son propre **système d'IA** qui est mis mis à disposition sur le marché ou mis en service, ce modèle devrait être considéré comme étant mis sur le marché et, par conséquent, les obligations prévues par le présent règlement pour les modèles devraient continuer de s'appliquer en plus de celles applicables aux **systèmes d'IA**. Les obligations prévues pour les modèles ne devraient en aucun cas s'appliquer lorsqu'un propre modèle est utilisé pour des processus purement internes qui ne sont pas essentiels à la fourniture d'un produit ou d'un service à des tiers et que les droits des personnes physiques ne sont pas affectés. Compte tenu de leurs effets potentiellement très négatifs, les **modèles d'IA à usage général** présentant un **risque systémique** devraient toujours être soumis aux obligations pertinentes prévues par le présent règlement. La définition ne devrait pas couvrir les modèles d'IA utilisés avant leur mise sur le marché aux seules fins d'activités de recherche, de développement et de prototypage. Cela est sans préjudice de l'obligation de se conformer au présent règlement lorsque, à la suite de telles activités, un modèle est mis sur le marché.

* en lien avec : **le 63) de l'Article 3 - Définitions**

(98) Alors que la généralité d'un modèle pourrait, entre autres, également être déterminée par un nombre de paramètres, les modèles comptant au moins un milliard de paramètres et entraînés à l'aide d'un grand nombre de données utilisant l'auto-supervision à grande échelle devraient

<footnote n="35">³⁵ **Apprentissage supervisé** : Apprentissage automatique dans lequel l'algorithme s'entraîne à une tâche déterminée en utilisant un jeu de données assorties chacune d'une annotation indiquant le résultat attendu</footnote>

<footnote n="36">³⁶ **Apprentissage non supervisé** : Apprentissage automatique dans lequel l'algorithme utilise un jeu de données brutes et obtient un résultat en se fondant sur la détection de similarités entre certaines de ces données.</footnote>

<footnote n="37">³⁷ **Apprentissage par renforcement** : Apprentissage automatique dans lequel un programme extérieur évalue positivement ou négativement les résultats successifs de l'algorithme, l'accumulation des résultats permettant à l'algorithme d'améliorer ses performances jusqu'à ce qu'il atteigne un objectif préalablement fixé.</footnote>

<footnote n="38">³⁸ **Interfaces de programmation d'applications** : Interface logicielle qui permet à un programmeur d'accéder aux fonctions d'une application et de développer de nouvelles applications utilisant ces fonctions.</footnote>
être considérés comme présentant une généralité significative et exécutant de manière compétente un large éventail de tâches distinctes.

* en lien avec : le 63) de l'Article 3 - Définitions

(99) Les grands modèles d'IA **génératifs** sont un exemple typique d'un modèle d'IA à usage général, étant donné qu'ils permettent la production flexible de contenus, tels que du texte, de l'audio, des images ou de la vidéo, qui peuvent aisément s'adapter à un large éventail de tâches distinctes.

* en lien avec : le 63) de l'Article 3 - Définitions

(100) Lorsqu'un modèle d'IA à usage général est intégré dans un système d'IA ou en fait partie, ce système devrait être considéré comme un système d'IA à usage général lorsque, en raison de cette intégration, ce système a la capacité de répondre à divers usages. Un système d'IA à usage général peut être utilisé directement ou être intégré dans d'autres systèmes d'IA.

* en lien avec : le 66) de l'Article 3 - Définitions

(101) Les fournisseurs de modèles d'IA à usage général ont un rôle et une responsabilité particuliers tout au long de la chaîne de valeur de l'IA, étant donné que les modèles qu'ils fournissent peuvent constituer la base d'une série de systèmes en aval, souvent fournis par des fournisseurs en aval, qui nécessitent une bonne compréhension des modèles et de leurs capacités, à la fois pour permettre l'intégration de ces modèles dans leurs produits et pour remplir les obligations qui leur incombent en vertu du présent règlement ou d'autres règlements. Par conséquent, des mesures de transparence proportionnées devraient être prévues, y compris l'élaboration et la tenue à jour de la documentation, et la fourniture d'informations sur le modèle d'IA à usage général en vue de son utilisation par les fournisseurs en aval. La documentation technique devrait être élaborée et tenue à jour par le fournisseur de modèles d'IA à usage général afin qu'elle puisse être mise, sur demande, à la disposition du Bureau de l'IA et des autorités nationales compétentes. L'ensemble minimal d'éléments à inclure dans cette documentation devrait figurer dans des annexes spécifiques du présent règlement (cf. en lien avec, ci-dessous). La Commission devrait être habilitée à modifier ces annexes par voie d'actes délégués à la lumière des évolutions technologiques.

* en lien avec : Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général, ANNEXE XI et ANNEXE XII

(102) Les logiciels et les données, y compris les modèles, publiés dans le cadre d'une licence libre et ouverte grâce à laquelle ils peuvent être partagés librement et qui permet aux utilisateurs de librement consulter, utiliser, modifier et redistribuer ces logiciels et données ou leurs versions modifiées peuvent contribuer à la recherche et à l'innovation sur le marché et offrir d'importantes possibilités de croissance pour l'économie de l'Union. Les modèles d'IA à usage général publiés sous licence libre et ouverte devraient être considérés comme garantissant des niveaux élevés de transparence et d'ouverture si leurs paramètres, y compris les poids, les informations sur l'architecture du modèle et les informations sur l'utilisation du modèle, sont rendus publics. La licence devrait également être considérée comme libre et ouverte lorsqu'elle permet aux utilisateurs d'exploiter, de copier, de distribuer, d'étudier, de modifier et d'améliorer les logiciels et les données, y compris les modèles, à condition que le fournisseur initial du modèle soit crédité et que les conditions de distribution identiques ou comparables soient respectées.

* en lien avec : Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général

(103) Les composants d'IA libres et ouverts couvrent les logiciels et les données, y compris les modèles et les modèles d'IA à usage général, outils, services ou processus d'un système d'IA. Les composants d'IA libres et ouverts peuvent être fournis par différents canaux, y compris leur développement dans des référentiels ouverts. Aux fins du présent règlement, les composants d'IA qui sont fournis contre paiement ou monétisés, y compris par la fourniture
d'un soutien technique ou d'autres services, notamment au moyen d'une plateforme logicielle, liés au composant d'IA, ou l'utilisation de données à caractère personnel pour des raisons autres qu'aux fins exclusives de l'amélioration de la sécurité, de la compatibilité ou de l'interopérabilité des logiciels, à l'exception des transactions entre micro-entreprises, ne devraient pas bénéficier des exceptions prévues pour les composants d'IA libres et ouverts. La mise à disposition de composants d'IA au moyen de référentiels ouverts ne devrait pas, en soi, constituer une monétisation.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

(104) Les fournisseurs de modèles d'IA à usage général qui sont publiés sous licence libre et ouverte et dont les paramètres, y compris les poids, les informations sur l'architecture des modèles et les informations sur l'utilisation des modèles, sont rendus publics devraient faire l'objet d'exceptions en ce qui concerne les exigences en matière de transparence imposées pour les modèles d'IA à usage général, à moins que les modèles ne puissent être considérés comme présentant un risque systémique, auquel cas le fait que les modèles soient transparents et accompagnés d'une licence ouverte ne devrait pas être considéré comme une raison suffisante pour exclure le respect des obligations prévues par le présent règlement. En tout état de cause, étant donné que la publication de modèles d'IA à usage général sous licence libre et ouverte ne révèle pas nécessairement des informations importantes sur le jeu de données utilisé pour l'entraînement ou de réglage fin<fnref n="39" /> du modèle et sur la manière dont le respect de la législation sur le droit d'auteur a été assuré, l'exception prévue pour les modèles d'IA à usage général en ce qui concerne les exigences en matière de transparence ne devrait pas concerner l'obligation de produire un résumé du contenu utilisé pour l'entraînement des modèles ni l'obligation de mettre en place une politique visant à respecter la législation de l'Union sur le droit d'auteur, en particulier pour identifier et respecter la réservation de droits au titre de l'article 4, paragraphe 3, de la directive (UE) 2019/790⁴⁰ du Parlement européen et du Conseil.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

(105) Les modèles d'IA à usage général, en particulier les grands modèles d'IA génératifs, capables de générer du texte, des images et d'autres contenus, présentent des possibilités d'innovation uniques mais aussi des défis pour les artistes, les auteurs et les autres créateurs, et la manière dont leur contenu créatif est créé, distribué, utilisé et consommé. Le développement et l'entraînement de ces modèles requièrent un accès à de grandes quantités de texte, d'images, de vidéos et d'autres données. Les techniques de fouille de textes et de données peuvent être largement utilisées dans ce contexte pour extraire et analyser ces contenus, qui peuvent être protégés par le droit d'auteur et les droits voisins. Toute utilisation d'un contenu protégé par le droit d'auteur nécessite l'autorisation du titulaire de droits concerné, à moins que des exceptions et limitations pertinentes en matière de droit d'auteur ne s'appliquent. La directive (UE) 2019/790 a introduit des exceptions et des limitations autorisant les reproductions et extractions d'œuvres ou d'autres objets protégés aux fins de la fouille de textes et de données, sous certaines conditions. En vertu de ces règles, les titulaires de droits peuvent choisir de réserver leurs droits sur leurs œuvres ou autres objets protégés afin d'empêcher la fouille de textes et de données, à moins que celle-ci ne soit effectuée à des fins de recherche scientifique. Lorsque les droits d'exclusion ont été expressément réservés de manière appropriée, les

<footnote n="39">³⁹ Le réglage fin (fine-tuning) en ce qui concerne un système d'IA désigne le processus d'ajustement d'un modèle pré-entraîné sur un ensemble de données spécifiques pour améliorer ses performances sur une tâche particulière, en modifiant légèrement ses paramètres tout en conservant les connaissances acquises lors de l'entraînement initial.</footnote>

<footnote n="40">⁴⁰ Les États membres peuvent prévoir des exceptions ou limitations aux droits d'auteur pour permettre la fouille de textes et de données, à condition que les titulaires de droits n'aient pas expressément réservé l'utilisation de leurs œuvres de manière appropriée. L'exception ou la limitation pour la fouille de textes et de données ne s'applique que si les titulaires de droits n'ont pas expressément réservé l'utilisation de leurs œuvres de manière appropriée, notamment par des procédés lisibles par machine pour les contenus en ligne.</footnote>
fournisseurs de modèles d'IA à usage général doivent obtenir une autorisation des titulaires de droits s'ils souhaitent procéder à une fouille de textes et de données sur ces œuvres.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

(106) Les fournisseurs qui mettent des modèles d'IA à usage général sur le marché de l'Union devraient veiller au respect des obligations pertinentes prévues par le présent règlement. À cette fin, les fournisseurs de modèles d'IA à usage général devraient mettre en place une politique visant à respecter la législation de l'Union sur le droit d'auteur et les droits voisins, en particulier pour identifier et respecter la réservation de droits exprimées par les titulaires de droits conformément à l'article 4, paragraphe 3, de la directive (UE) 2019/790⁴¹. Tout fournisseur qui met un modèle d'IA à usage général sur le marché de l'Union devrait se conformer à cette obligation, quelle que soit la juridiction dans laquelle se déroulent les actes pertinents au titre du droit d'auteur qui sous-tendent l'entraînement de ces modèles d'IA à usage général. Cela est nécessaire pour garantir des conditions de concurrence équitables entre les fournisseurs de modèles d'IA à usage général, lorsqu'aucun fournisseur ne devrait pouvoir obtenir un avantage concurrentiel sur le marché de l'Union en appliquant des normes en matière de droit d'auteur moins élevées que celles prévues dans l'Union.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

(107) Afin d'accroître la transparence concernant les données utilisées dans le cadre de l'entraînement préalable et de l'entraînement des modèles d'IA à usage général, y compris le texte et les données protégés par la législation sur le droit d'auteur, il convient que les fournisseurs de ces modèles élaborent et mettent à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner les modèles d'IA à usage général. Tout en tenant dûment compte de la nécessité de protéger les secrets d'affaires et les informations commerciales confidentielles<fnref n="42" />, ce résumé devrait être généralement complet en termes de contenu plutôt que détaillé sur le plan technique afin d'aider les parties ayant des intérêts légitimes, y compris les titulaires de droits d'auteur, à exercer et à faire respecter les droits que leur confère la législation de l'Union, par exemple en énumérant les principaux jeux ou collections de données utilisés pour entraîner le modèle, tels que les archives de données ou bases de données publiques ou privées de grande ampleur, et en fournissant un texte explicatif sur les autres sources de données utilisées. Il convient que le Bureau de l'IA fournisse un modèle de résumé, qui devrait être simple et utile et permettre au fournisseur de fournir le résumé requis sous forme descriptive.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

(108) En ce qui concerne l'obligation imposée aux fournisseurs de modèles d'IA à usage général de mettre en place une politique visant à respecter la législation de l'Union sur le droit d'auteur et de mettre à la disposition du public un résumé du contenu utilisé pour l'entraînement, le Bureau de l'IA devrait vérifier si le fournisseur a rempli cette obligation sans vérifier ou évaluer œuvre par œuvre les données d'entraînement en ce qui concerne le respect du droit d'auteur. Le présent règlement n'affecte pas l'application des règles en matière de droit d'auteur prévues par la législation de l'Union.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

<footnote n="41">⁴¹ Les États membres peuvent prévoir des exceptions ou limitations aux droits d'auteur pour permettre la fouille de textes et de données, à condition que les titulaires de droits n'aient pas expressément réservé l'utilisation de leurs œuvres de manière appropriée. L'exception ou la limitation pour la fouille de textes et de données ne s'applique que si les titulaires de droits n'ont pas expressément réservé l'utilisation de leurs œuvres de manière appropriée, notamment par des procédés lisibles par machine pour les contenus en ligne.</footnote>

<footnote n="42">⁴² v. not. : Directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d'affaires) contre l'obtention, l'utilisation et la divulgation illicites (Texte présentant de l'intérêt pour l'EEE) (JO L 157 du 15.6.2016, p. 1, 32016L0943)</footnote>
(109) Le respect des obligations applicables aux fournisseurs de modèles d'IA à usage général devrait correspondre et être proportionné au type de fournisseur de modèles, excluant la nécessité de se conformer pour les personnes qui développent ou utilisent des modèles à des fins non professionnelles ou de recherche scientifique, lesquelles devraient néanmoins être encouragées à se conformer volontairement à ces exigences. Sans préjudice de la législation de l'Union sur le droit d'auteur, le respect de ces obligations devrait tenir dûment compte de la taille du fournisseur et permettre aux PME, y compris aux jeunes pousses, de recourir à des méthodes simplifiées de mise en conformité qui ne devraient pas représenter un coût excessif et décourager l'utilisation de tels modèles. En cas de modification ou de réglage fin d'un modèle, les obligations incombant aux fournisseurs de modèles d'IA à usage général devraient se limiter à cette modification ou à ce réglage fin, par exemple en complétant la documentation technique existante avec des informations sur les modifications, y compris les nouvelles sources de données d'entraînement, aux fins de conformité avec les obligations relatives à la chaîne de valeur prévues par le présent règlement.

* en lien avec : **Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général**

(110) Les modèles d'IA à usage général pourraient présenter des risques systémiques qui comprennent, sans s'y limiter, tout effet négatif réel ou raisonnablement prévisible en rapport avec des accidents majeurs, des perturbations de secteurs critiques et des conséquences graves pour la santé et la sécurité publiques, tout effet négatif réel ou raisonnablement prévisible sur les processus démocratiques, la sécurité publique et la sécurité économique, et la diffusion de contenus illicites, faux ou discriminatoires. Les risques systémiques devraient être perçus comme augmentant avec les capacités et la portée du modèle, peuvent survenir tout au long du cycle de vie du modèle et sont influencés par les conditions de mauvaise utilisation, la fiabilité du modèle, l'équité et la sécurité du modèle, le niveau d'autonomie du modèle, son accès aux outils, les modalités nouvelles ou combinées, les stratégies de publication et de distribution, le potentiel de suppression des garde-fous et d'autres facteurs. En particulier, les approches internationales ont jusqu'à présent mis en évidence la nécessité de prêter attention aux risques liés à une potentielle mauvaise utilisation intentionnelle ou à des problèmes non intentionnels de contrôle liés à l'alignement sur l'intention humaine, aux risques chimiques, biologiques, radiologiques et nucléaires, tels que les moyens d'abaisser les barrières à l'entrée, y compris pour la mise au point, l'acquisition ou l'utilisation d'armes, aux cybercapacités offensives, tels que les moyens permettant la découverte, l'exploitation ou l'utilisation opérationnelle de vulnérabilités, aux effets de l'interaction et de l'utilisation des outils, y compris, par exemple, la capacité de contrôler les systèmes physiques et d'interférer avec les infrastructures critiques, aux risques liés à la possibilité que les modèles fassent des copies d'eux-mêmes ou « s'auto-reproduisent » ou qu'ils entraînent d'autres modèles, à la manière dont les modèles peuvent donner lieu à des préjugés et des discriminations préjudiciables présentant des risques pour les individus, les communautés ou les sociétés, à la facilitation de la désinformation ou au préjudice porté à la vie privée par des menaces pour les valeurs démocratiques et les droits de l'homme, et au risque qu'un événement particulier entraîne une réaction en chaîne s'accompagnant d'effets négatifs considérables qui pourraient aller jusqu'à affecter toute une ville, tout un secteur d'activité ou toute une communauté.

* en lien avec : **le 64), 65) et 67) de l'Article 3 - Définitions et l'Article 51 - Classification de modèles d'IA à usage général en tant que modèles d'IA à usage général présentant un risque systémique**

(111) Il convient d'établir une méthode de classification des modèles d'IA à usage général en tant que modèle d'IA à usage général présentant des risques systémiques. Étant donné que les risques systémiques résultent de capacités particulièrement élevées, un modèle d'IA à usage général devrait être considéré comme présentant des risques systémiques s'il a des capacités à fort impact, évaluées sur la base de méthodologies et d'outils techniques appropriés, ou une incidence significative sur le marché intérieur en raison de sa portée. Les capacités à fort
impact des modèles d'IA à usage général sont des capacités égales ou supérieures aux capacités des modèles d'IA à usage général les plus avancés. L'éventail complet des capacités d'un modèle pourrait être mieux compris après sa mise sur le marché ou lorsque les déployeurs interagissent avec le modèle. Selon l'état de la technique au moment de l'entrée en vigueur du présent règlement, la quantité cumulée de calculs utilisée pour l'entraînement du modèle d'IA à usage général mesurée en opération en virgule flottante est l'une des approximations pertinentes pour les capacités du modèle. La quantité cumulée de calculs utilisée pour l'entraînement inclut les calculs utilisés pour l'ensemble des activités et méthodes destinées à renforcer les capacités du modèle avant le déploiement, telles que l'entraînement préalable, la production de données synthétiques43 et le réglage fin. Par conséquent, il convient de fixer un seuil initial d'opération en virgule flottante, qui, s'il est atteint par un modèle d'IA à usage général, conduit à présumer qu'il s'agit d'un modèle d'IA à usage général présentant des risques systémiques. Ce seuil devrait être ajusté au fil du temps pour tenir compte des évolutions technologiques et industrielles, telles que les améliorations algorithmiques ou l'amélioration de l'efficacité des matériels, et être complété par des critères de référence et des indicateurs pour la capacité du modèle. À cette fin, le Bureau de l'IA devrait coopérer avec la communauté scientifique, l'industrie, la société civile et d'autres experts. Les seuils, ainsi que les outils et les critères de référence pour l'évaluation des capacités à fort impact, devraient être de bons indicateurs de la généralité et des capacités des modèles d'IA à usage général ainsi que du risque systémique qui y est associé, et pourraient tenir compte de la manière dont le modèle sera mis sur le marché ou du nombre d'utilisateurs qu'il pourrait affecter. Afin de compléter ce système, la Commission devrait avoir la possibilité de prendre des décisions individuelles désignant un modèle d'IA à usage général comme modèle d'IA à usage général présentant un risque systémique s'il est constaté que ce modèle a des capacités ou une incidence équivalentes à celles relevant du seuil fixé. Ces décisions devraient être prises sur la base d'une évaluation globale des critères de désignation des modèles d'IA à usage général présentant un risque systémique énoncés dans une annexe du présent règlement, tels que la qualité ou la taille du jeu de données d'entraînement, le nombre d'utilisateurs professionnels et finaux du modèle, ses modalités d'entrée et de sortie, son niveau d'autonomie et d'évolutivité, ou les outils auxquels il a accès. Sur demande motivée d'un fournisseur dont le modèle a été désigné comme modèle d'IA à usage général présentant un risque systémique, la Commission devrait tenir compte de la demande et peut décider de réévaluer si le modèle d'IA à usage général peut encore être considéré comme présentant un risque systémique.

* en lien avec : **Article 51 - Classification de modèles d'IA à usage général en tant que modèles d'IA à usage général présentant un risque systémique et ANNEXE XIII**

(112) Il convient également d'établir de façon précise une procédure de classification d'un modèle d'IA à usage général présentant un risque systémique. Il convient de présumer qu'un modèle d'IA à usage général qui atteint le seuil applicable pour les capacités à fort impact est un modèle d'IA à usage général présentant un risque systémique. Le fournisseur devrait informer le Bureau de l'IA au plus tard deux semaines après que les exigences ont été remplies ou qu'il a été établi qu'un modèle d'IA à usage général répondra aux exigences qui conduisent à la présomption. Cela est particulièrement important en ce qui concerne le seuil d'opération en virgule flottante, car l'entraînement des modèles d'IA à usage général nécessite une planification considérable qui inclut l'allocation préalable des ressources de calcul, et, par conséquent, les fournisseurs de modèles d'IA à usage général sont en mesure de savoir si leur modèle atteindra le seuil avant l'achèvement de l'entraînement. Dans le cadre de cette information, le fournisseur devrait pouvoir démontrer que, en raison de ses caractéristiques spécifiques, un modèle d'IA à usage général ne présente pas, exceptionnellement, de risque systémique et qu'il ne devrait donc pas être classé comme modèle d'IA à usage général

<footnote n="43">43 Les données synthétiques, en ce qui concerne un système d'IA, sont des données artificiellement générées par des algorithmes pour imiter les caractéristiques des données réelles, tout en évitant les problèmes de confidentialité et de protection des données personnelles.</footnote>
présentant des risques systémiques. Ces éléments d'information sont utiles pour le Bureau de l'IA en ce qu'ils lui permettent d'anticiper la mise sur le marché de modèles d'IA à usage général présentant des risques systémiques, et les fournisseurs peuvent ainsi commencer à coopérer avec le Bureau de l'IA à un stade précoce. Ils sont particulièrement importants en ce qui concerne les modèles d'IA à usage général qu'il est prévu de publier en tant que source ouverte, étant donné que, après la publication des modèles de source ouverte, les mesures nécessaires pour garantir le respect des obligations prévues par le présent règlement peuvent être plus difficiles à mettre en œuvre.

* en lien avec : **Article 52 - Procédure**

(113) Si la Commission prend connaissance du fait qu'un modèle d'IA à usage général satisfait aux exigences de classification en tant que modèle d'IA à usage général présentant un risque systémique, qui n'était pas connu auparavant ou dont le fournisseur concerné n'avait pas informé la Commission, celle-ci devrait être habilitée à désigner ce modèle comme tel. Un système d'alertes qualifiées devrait garantir que le Bureau de l'IA est informé par le panel scientifique des modèles d'IA à usage général qui devraient éventuellement être classés comme modèle d'IA à usage général présentant un risque systémique, en plus des activités de suivi du Bureau de l'IA.

* en lien avec : **Article 52 - Procédure**

(114) Les fournisseurs de modèles d'IA à usage général présentant des risques systémiques devraient être soumis non seulement aux obligations prévues pour les fournisseurs de modèles d'IA à usage général mais aussi à des obligations visant à identifier et à atténuer ces risques et à garantir un niveau adéquat de protection de la cybersécurité, que les modèles en question soient fournis en tant que modèles autonomes ou qu'ils soient intégrés dans un système ou un produit d'IA. Pour atteindre ces objectifs, le présent règlement devrait exiger des fournisseurs qu'ils effectuent les évaluations nécessaires des modèles, en particulier avant leur première mise sur le marché, y compris la réalisation et la documentation d'essais contradictoires des modèles, ainsi que, le cas échéant, au moyen d'essais internes ou externes indépendants. En outre, les fournisseurs de modèles d'IA à usage général présentant des risques systémiques devraient évaluer et atténuer en permanence les risques systémiques, y compris, par exemple, en mettant en place des politiques de gestion des risques, telles que des processus de responsabilité et de gouvernance, en mettant en œuvre une surveillance après commercialisation, en prenant des mesures appropriées tout au long du cycle de vie du modèle et en coopérant avec les acteurs pertinents tout au long de la chaîne de valeur de l'IA.

* en lien avec : **Article 55 - Obligations incombant aux fournisseurs de modèles d'IA à usage général présentant un risque systémique**

(115) Les fournisseurs de modèles d'IA à usage général présentant des risques systémiques devraient évaluer et atténuer les éventuels risques systémiques. Si, malgré les efforts déployés pour recenser et prévenir les risques liés à un modèle d'IA à usage général susceptible de présenter des risques systémiques, le développement ou l'utilisation du modèle cause un incident grave, le fournisseur de modèles d'IA à usage général devrait, sans retard injustifié, réaliser un suivi de l'incident et communiquer toute information pertinente et toute mesure corrective éventuelle à la Commission et aux autorités nationales compétentes. En outre, les fournisseurs devraient garantir un niveau approprié de protection en matière de cybersécurité en ce qui concerne le modèle et son infrastructure physique, le cas échéant, tout au long du cycle de vie du modèle. La protection en matière de cybersécurité contre les risques systémiques associés à une utilisation malveillante ou à des attaques devrait tenir dûment compte des fuites accidentelles du modèle, des publications non autorisées, du contournement des mesures de sécurité ainsi que de la défense contre les cyberattaques, l'accès non autorisé ou le vol de modèle. Une telle protection pourrait être facilitée par la sécurisation des poids du modèle, des algorithmes, des serveurs et des jeux de données, notamment au moyen de mesures de sécurité opérationnelle relatives à la sécurité de l'information, de politiques spécifiques en matière de cybersécurité,
de solutions techniques établies adéquates, et de contrôles de l'accès physique ou informatique, qui soient adaptés aux circonstances particulières et aux risques encourus.

* en lien avec : **Article 55 - Obligations incombant aux fournisseurs de modèles d'IA à usage général présentant un risque systémique**

(116) Le Bureau de l'IA devrait encourager et faciliter l'élaboration, le réexamen et l'adaptation des codes de bonne pratique, en tenant compte des approches internationales. Tous les fournisseurs de modèles d'IA à usage général pourraient être invités à participer. Afin de veiller à ce que les codes de bonne pratique correspondent à l'état de la technique et prennent dûment en compte un ensemble divers de perspectives, le Bureau de l'IA devrait collaborer avec les autorités nationales compétentes concernées et pourrait, selon qu'il convient, consulter les organisations de la société civile et d'autres parties prenantes et experts pertinents, notamment le groupe scientifique, pour l'élaboration de ces codes. Les codes de bonne pratique devraient traiter des obligations incombant aux fournisseurs de modèles d'IA à usage général, et de modèles d'IA à usage général présentant des risques systémiques. En outre, en ce qui concerne les risques systémiques, les codes de bonne pratique devraient contribuer à établir une taxinomie des risques reprenant le type et la nature des risques systémiques au niveau de l'Union, ainsi que leur source. Les codes de bonne pratique devraient également mettre l'accent sur une évaluation des risques et des mesures d'atténuation spécifiques.

* en lien avec : **Article 56 - Codes de bonne pratique**

(117) Les codes de bonne pratique devraient constituer un outil central pour assurer le bon respect des obligations qui incombent aux fournisseurs de modèles d'IA à usage général au titre du présent règlement. Les fournisseurs devraient pouvoir s'appuyer sur des codes de bonne pratique pour démontrer qu'ils respectent leurs obligations. Par voie d'actes d'exécution, la Commission pourrait décider d'approuver un code de bonnes pratiques et de lui conférer une validité générale au sein de l'Union ou, à défaut, de fixer des règles communes pour la mise en œuvre des obligations pertinentes si un code de bonnes pratiques ne peut pas être mis au point avant que le présent règlement ne devienne applicable, ou si un tel code n'est pas considéré comme adéquat par le Bureau de l'IA. Dès lors qu'une norme harmonisée est publiée et jugée appropriée par le Bureau de l'IA au regard des obligations pertinentes, les fournisseurs devraient bénéficier de la présomption de conformité lorsqu'ils respectent une norme harmonisée. En outre, les fournisseurs de modèles d'IA à usage général devraient être en mesure de démontrer la conformité en utilisant d'autres moyens adéquats en l'absence de codes de bonne pratique ou de normes harmonisées ou s'ils choisissent de ne pas s'appuyer sur ceux-ci.

* en lien avec : **Article 56 - Codes de bonne pratique**

(118) Le présent règlement régit les systèmes et modèles d'IA en instituant certaines exigences et obligations visant les acteurs du marché concernés qui les mettent sur le marché, les mettent en service ou les utilisent dans l'Union, complétant ainsi les obligations incombant aux fournisseurs de services intermédiaires qui intègrent de tels systèmes ou modèles dans leurs services relevant du règlement (UE) 2022/2065. Dans la mesure où ces systèmes ou modèles sont intégrés dans des très grandes plateformes en ligne ou des très grands moteurs de recherche en ligne, ils sont soumis au cadre de gestion des risques établi par le règlement (UE) 2022/2065. Par conséquent, il devrait être présumé que les obligations correspondantes du présent règlement sont remplies, à moins que des risques systémiques importants non couverts par le règlement (UE) 2022/2065 n'apparaissent et ne soient recensés dans de tels modèles. Dans ce contexte, les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne sont tenus d'évaluer les risques systémiques découlant de la conception, du fonctionnement et de l'utilisation de leurs services, y compris la manière dont la conception des systèmes algorithmiques utilisés dans un service pourrait contribuer à ces risques, ainsi que les risques systémiques découlant de mauvaises utilisations éventuelles.
Ces fournisseurs sont également tenus de prendre les mesures d'atténuation appropriées pour assurer le respect des droits fondamentaux.

* en lien avec : Règlement (UE) 2022/2065

(119) Compte tenu du rythme rapide de l'innovation et de l'évolution technologique des services numériques relevant du champ d'application de différents instruments du droit de l'Union, en particulier à la lumière de l'utilisation et de la perception de leurs destinataires, les systèmes d'IA régis par le présent règlement pourraient être fournis en tant que services intermédiaires ou parties de ceux-ci au sens du règlement (UE) 2022/2065⁴⁴, qui devrait être interprété de manière neutre sur le plan technologique. Par exemple, les systèmes d'IA pourraient être utilisés pour fournir des moteurs de recherche en ligne, en particulier, dans la mesure où un système d'IA tel qu'un dialogueur<fnref n="45" /> réalise des recherches sur, en principe, tous les sites web, puis en intègre les résultats dans ses connaissances existantes et utilise les connaissances mises à jour pour générer une sortie unique qui combine différentes sources d'information.

* en lien avec : Règlement (UE) 2022/2065

(120) En outre, les obligations imposées aux fournisseurs et aux déployeurs de certains systèmes d'IA au titre du présent règlement afin de permettre la détection et la mention du fait que les sorties produites par ces systèmes sont générées ou manipulées par une IA revêtent une importance particulière pour faciliter la mise en œuvre effective du règlement (UE) 2022/2065. Cela vaut en particulier pour les obligations incombant aux fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne consistant à recenser et à atténuer les risques systémiques susceptibles de découler de la diffusion de contenus qui ont été générés ou manipulés par une IA, en particulier le risque d'effets négatifs réels ou prévisibles sur les processus démocratiques, le débat public et les processus électoraux, notamment par le biais de la désinformation.

* en lien avec : Règlement (UE) 2022/2065

(121) La normalisation devrait jouer un rôle essentiel pour fournir des solutions techniques aux fournisseurs afin de garantir la conformité avec le présent règlement, suivant les technologies les plus récentes, et de promouvoir l'innovation ainsi que la compétitivité et la croissance dans le marché unique. Le respect des normes harmonisées telles que définies à l'article 2, point 1) c), du règlement (UE) n° 1025/2012⁴⁶ du Parlement européen et du Conseil, qui doivent normalement tenir compte des évolutions technologiques les plus récentes, devrait être un moyen pour les fournisseurs de démontrer la conformité avec les exigences du présent règlement. Il convient donc d'encourager une représentation équilibrée des intérêts en associant toutes les parties prenantes concernées à l'élaboration des normes, en particulier les PME, les organisations de consommateurs et les acteurs environnementaux et sociaux, conformément aux articles 5 et 6 du règlement (UE) n° 1025/2012⁴⁷. Afin de faciliter le respect de la législation, les demandes de normalisation devraient être formulées par la Commission sans retard injustifié. Lorsqu'elle élabore les demandes de normalisation, la Commission devrait consulter le forum consultatif et le Comité IA afin de recueillir l'expertise pertinente. Toutefois, en l'absence de références pertinentes à des norme harmonisée, la Commission devrait être en mesure d'établir, au moyen d'actes d'exécution, et après consultation du forum consultatif, des spécifications communes pour certaines exigences au titre du présent règlement. Les spécifications communes devraient être une solution de repli exceptionnelle pour faciliter

<footnote n="44">⁴⁴ Un "service intermédiaire" désigne un service de la société de l'information qui peut consister en la transmission d'informations sur un réseau de communication (simple transport), le stockage temporaire pour une transmission plus efficace (mise en cache), ou le stockage d'informations à la demande d'un utilisateur (hébergement).</footnote>

<footnote n="45">⁴⁵ Dialogueur : Logiciel spécialisé dans le dialogue en langage naturel avec un humain, qui est capable notamment de répondre à des questions ou de déclencher l'exécution de tâches.</footnote>

<footnote n="46">⁴⁶ « norme harmonisée », une norme européenne adoptée sur la base d'une demande formulée par la Commission pour l'application de la législation d'harmonisation de l'Union;</footnote>

<footnote n="47">⁴⁷ Les organisations européennes de normalisation doivent encourager et faciliter la participation de toutes les parties prenantes, y compris les PME et les associations de consommateurs, à leurs activités de normalisation. De plus, les organismes nationaux de normalisation doivent faciliter l'accès des PME aux normes et aux processus d'élaboration des normes pour augmenter leur participation.</footnote>
l'obligation du fournisseur de se conformer aux exigences du présent règlement, lorsque la demande de normalisation n'a été acceptée par aucune des organisations européennes de normalisation, ou lorsque les normes harmonisées pertinentes ne répondent pas suffisamment aux préoccupations en matière de droits fondamentaux, ou lorsque les normes harmonisées ne sont pas conformes à la demande, ou lorsque l'adoption d'une norme harmonisée appropriée accuse des retards. Lorsqu'un tel retard dans l'adoption d'une norme harmonisée est dû à la complexité technique de ladite norme, la Commission devrait en tenir compte avant d'envisager l'établissement de spécifications communes. Lorsqu'elle élabore des spécifications communes, la Commission est encouragée à coopérer avec des partenaires internationaux et des organismes internationaux de normalisation.

* en lien avec : **Article 40 - Normes harmonisées et travaux de normalisation et Article 41 - Spécifications communes**

(122) Il convient que, sans préjudice de l'utilisation de normes harmonisées et de spécifications communes, les fournisseurs d'un système d'IA à haut risque qui a été entraîné et testé avec des données reflétant le cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel il est destiné à être utilisé soient présumés comme se conformant à la mesure pertinente prévue au titre de l'exigence en matière de gouvernance des données énoncée dans le présent règlement. Sans préjudice des exigences liées à la robustesse et à l'exactitude énoncées dans le présent règlement, conformément à l'article 54, paragraphe 3, du règlement (UE) 2019/881⁴⁸, les systèmes d'IA à haut risque qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d'un schéma de cybersécurité en vertu dudit règlement et dont les références ont été publiées au Journal officiel de l'Union européenne devraient être présumés conformes aux exigences de cybersécurité du présent règlement dans la mesure où le certificat de cybersécurité ou la déclaration de conformité, ou des parties de ceux-ci, couvrent l'exigence de cybersécurité du présent règlement. Cet aspect demeure sans préjudice du caractère volontaire dudit schéma de cybersécurité.

* en lien avec : **Article 42 - Présomption de conformité avec certaines exigences**

(123) Afin de garantir un niveau élevé de fiabilité des systèmes d'IA à haut risque, ces systèmes devraient être soumis à une évaluation de la conformité avant leur mise sur le marché ou leur mise en service.

* en lien avec : **Article 43 - Évaluation de la conformité**

(124) Afin de réduire au minimum la charge pesant sur les opérateurs et d'éviter les éventuels doubles emplois, la conformité avec les exigences du présent règlement des systèmes d'IA à haut risque liés à des produits couverts par la législation d'harmonisation existante de l'Union fondée sur le Nouveau cadre législatif devrait être évaluée dans le cadre de l'évaluation de la conformité déjà prévue en vertu de cette législation. L'applicabilité des exigences du présent règlement ne devrait donc pas avoir d'incidence sur la logique, la méthode ou la structure générale propres à l'évaluation de la conformité au titre de la législation d'harmonisation de l'Union pertinente.

* en lien avec : **Article 43 - Évaluation de la conformité**

(125) Compte tenu de la complexité des systèmes d'IA à haut risque et des risques qui y sont associés, il importe d'élaborer une procédure d'évaluation de la conformité adéquat faisant intervenir les organismes notifiés pour ces systèmes, dite « évaluation de conformité par un tiers ». Toutefois, étant donné l'expérience actuelle des organismes professionnels de certification avant mise sur le marché dans le domaine de la sécurité des produits et de la nature différente des risques encourus, il convient de limiter, au moins dans une phase initiale d'application du présent règlement, le champ d'application des évaluations de la conformité

<footnote n="48">⁴⁸ Un certificat ou une déclaration de conformité de l'Union européenne délivré(e) dans le cadre d'un schéma européen de certification de cybersécurité peut être utilisé(e) pour démontrer la présomption de conformité aux exigences d'un acte juridique spécifique de l'Union.</footnote>
réalisées par un tiers aux **systèmes d'IA** à haut risque autres que ceux liés à des produits. Par conséquent, l'évaluation de la conformité de ces systèmes devrait en règle générale être réalisée par le **fournisseur** sous sa propre responsabilité, à la seule exception des **systèmes d'IA** destinés à être utilisés à des fins de biométrie.

* en lien avec : **Article 43 - Évaluation de la conformité**

(126) Afin de procéder à des évaluations de la conformité par un tiers lorsque cela est nécessaire, les **organismes notifiés** devraient être notifiés en vertu du présent règlement par les **autorités nationales compétentes**, sous réserve qu'ils satisfassent à un ensemble d'exigences portant en particulier sur leur indépendance, leur compétence, l'absence de conflits d'intérêts et les exigences appropriées en matière de cybersécurité. La notification de ces organismes devrait être envoyée par les **autorités nationales compétentes** à la Commission et aux autres États membres à l'aide de l'outil de notification électronique mis au point et géré par la Commission, conformément à l'annexe I, article R23, de la décision n° 768/2008/CE<fnref n="49" />.

* en lien avec : **Article 33 - Filiales des organismes notifiés et sous-traitance et Article 43 - Évaluation de la conformité**

(127) Conformément aux engagements pris par l'Union au titre de l'accord de l'Organisation mondiale du commerce sur les obstacles techniques au commerce, il convient de faciliter la reconnaissance mutuelle des résultats des évaluations de la conformité produits par les **organismes d'évaluation de la conformité** compétents, indépendamment du territoire sur lequel ils sont établis, à condition que ces **organismes d'évaluation de la conformité** établis en vertu du droit d'un pays tiers satisfassent aux exigences applicables en vertu du présent règlement et que l'Union ait conclu un accord en ce sens. Dans ce contexte, la Commission devrait étudier activement d'éventuels instruments internationaux à cette fin et, en particulier, œuvrer à la conclusion d'accords de reconnaissance mutuelle avec des pays tiers.

* en lien avec : **Article 39 - Organismes d'évaluation de la conformité de pays tiers**

(128) Conformément à la notion communément établie de **modification substantielle** pour les produits réglementés par la législation d'harmonisation de l'Union, chaque fois que survient une modification susceptible d'avoir une incidence sur la conformité d'un système d'IA à haut risque avec le présent règlement (par exemple, un changement de système d'exploitation ou d'architecture logicielle) ou que la **destination** du système change, il convient de considérer ledit système d'IA comme un nouveau système d'IA devant être soumis à nouvelle procédure d'évaluation de la conformité. Cependant, les changements intervenant sur l'algorithme et la performance de systèmes d'IA qui continuent à « apprendre » après avoir été mis sur le marché ou mis en service, à savoir l'adaptation automatique de la façon dont les fonctions sont exécutées, ne devraient pas constituer une modification substantielle, à condition que ces changements aient été prédéterminés par le fournisseur et évalués au moment de l'évaluation de la conformité.

* en lien avec : le 23) de l'Article 3 - Définitions et l'Article 43 - Évaluation de la conformité

(129) Le marquage « CE » devrait être apposé sur les **systèmes d'IA** à haut risque pour indiquer leur conformité avec le présent règlement afin qu'ils puissent circuler librement dans le marché intérieur. Pour les **systèmes d'IA** à haut risque intégrés à un produit, un marquage « CE » physique devrait être apposé, éventuellement complété par un marquage « CE » numérique. Pour les **systèmes d'IA** à haut risque fournis uniquement sous forme numérique, il convient d'utiliser un marquage « CE » numérique. Les États membres devraient s'abstenir de créer des entraves injustifiées à la mise sur le marché ou à la mise en service de systèmes d'IA à haut risque.

<footnote n="49">⁴⁹ Les autorités notifiantes ne peuvent notifier que les organismes d'évaluation de la conformité qui ont satisfait aux exigences, en utilisant un outil électronique géré par la Commission, et doivent fournir des informations complètes sur les activités et la compétence de l'organisme.</footnote>
risque qui satisfont aux exigences fixées dans le présent règlement et portent le marquage
« CE ».

➤ en lien avec : Article 48 - Marquage CE

(130) Dans certaines conditions, la disponibilité rapide de technologies innovantes peut être cruciale pour la santé et la sécurité des personnes, pour la protection de l'environnement et la lutte contre le changement climatique et pour la société dans son ensemble. Il convient donc que, pour des motifs exceptionnels liés à la sécurité publique ou à la protection de la vie et de la santé des personnes physiques, à la protection de l'environnement et à la protection d'actifs industriels et d'infrastructures d'importance majeure, les autorités de surveillance du marché puissent autoriser la mise sur le marché ou la mise en service de systèmes d'IA qui n'ont pas fait l'objet d'une évaluation de la conformité. Dans des situations dûment justifiées, prévues dans le présent règlement, les autorités répressives ou les autorités de protection civile peuvent mettre en service un système d'IA à haut risque spécifique sans avoir obtenu l'autorisation de l'autorité de surveillance du marché, à condition que cette autorisation soit demandée sans retard injustifié pendant ou après l'utilisation.

➤ en lien avec : Article 46 - Dérogation à la procédure d'évaluation de la conformité

(131) Afin de faciliter les travaux de la Commission et des États membres dans le domaine de l'IA et d'accroître la transparence à l'égard du public, les fournisseurs de systèmes d'IA à haut risque autres que ceux liés à des produits relevant du champ d'application de la législation d'harmonisation existante de l'Union en la matière, ainsi que les fournisseurs qui considèrent qu'un système d'IA inscrit sur la liste des cas d'utilisation à haut risque dans une annexe du présent règlement n'est pas à haut risque sur la base d'une dérogation, devraient être tenus de s'enregistrer eux-mêmes et d'enregistrer les informations relatives à leur système d'IA dans une base de données de l'UE, qui sera établie et gérée par la Commission. Avant d'utiliser un système d'IA inscrit sur la liste des cas d'utilisation à haut risque dans une annexe du présent règlement, les déployeurs de systèmes d'IA à haut risque qui sont des autorités, des agences ou des organismes publics devraient s'enregistrer dans une telle base de données et sélectionner le système qu'ils envisagent d'utiliser. Les autres déployeurs devraient être autorisés à le faire volontairement. Cette section de la base de données de l'UE devrait être accessible au public sans frais, et les informations qu'elle contient devraient être consultables grâce à une navigation aisée et être facilement compréhensibles et lisibles par machine. La base de données de l'UE devrait également être conviviale, par exemple en offrant des fonctionnalités de recherche, y compris par mots-clés, afin de permettre au grand public de trouver les informations pertinentes devant être transmises au moment de l'enregistrement des systèmes d'IA à haut risque et les informations sur le cas d'utilisation de systèmes d'IA à haut risque, énoncés dans une annexe du présent règlement, auquel les systèmes d'IA à haut risque correspondent. Toute modification substantielle de systèmes d'IA à haut risque devrait également être enregistrée dans la base de données de l'UE. En ce qui concerne les systèmes d'IA à haut risque dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, les obligations en matière d'enregistrement devraient être remplies dans une section non publique sécurisée de la base de données de l'UE. L'accès à la section non publique sécurisée devrait être strictement réservé à la Commission, ainsi qu'aux autorités de surveillance du marché pour ce qui est de la section nationale de cette base de données les concernant. Les systèmes d'IA à haut risque dans le domaine des infrastructures critiques ne devraient être enregistrés qu'au niveau national. La Commission devrait faire fonction de responsable du traitement pour la base de données de l'UE, conformément au règlement (UE) 2018/1725. Afin de garantir que la base de données de l'UE soit pleinement opérationnelle une fois déployée, la procédure de création de la base de données devrait prévoir le développement de spécifications fonctionnelles par la Commission et un rapport d'audit indépendant. La Commission devrait tenir compte des risques liés à la cybersécurité dans l'accomplissement de ses missions en tant que responsable du traitement des données dans la base de données de l'UE. Afin de maximiser la disponibilité et l'utilisation
de la base de données de l'UE, y compris les informations mises à disposition par son
intermédiaire, la base de données de l'UE devrait être conforme aux exigences prévues par la
directive (UE) 2019/882.

* en lien avec : **Article 49 - Enregistrement et Article 71 - Base de données de l'UE pour les systèmes d'IA à haut risque énumérés à l'annexe III**

(132) Certains **systèmes d'IA** destinés à interagir avec des personnes physiques ou à générer du contenu peuvent présenter des **risques** spécifiques d'usurpation d'identité ou de tromperie, qu'ils soient ou non considérés comme étant à haut risque. Dans certaines circonstances, l'utilisation de ces systèmes devrait donc être soumise à des obligations de transparence spécifiques sans préjudice des exigences et obligations relatives aux **systèmes d'IA** à haut risque et sous réserve d'exemptions ciblées destinées à tenir compte des besoins spécifiques des **activités répressives**. En particulier, les personnes physiques devraient être avisées qu'elles interagissent avec un **système d'IA**, sauf si cela ressort clairement du point de vue d'une personne physique normalement informée et raisonnablement attentive et avisée, compte tenu des circonstances et du contexte d'utilisation. Lors de la mise en œuvre de cette obligation, les caractéristiques des personnes physiques appartenant à des groupes vulnérables en raison de leur âge ou d'un handicap devraient être prises en compte dans la mesure où le **système d'IA** est destiné à interagir également avec ces groupes. En outre, les personnes physiques devraient être mises au courant lorsqu'elles sont exposées à des **systèmes d'IA** qui, en traitant leurs **données biométriques**, peuvent identifier ou déduire les émotions ou intentions de ces personnes ou les affecter à des catégories spécifiques. Ces catégories spécifiques peuvent avoir trait à des aspects tels que le sexe, l'âge, la couleur des cheveux, la couleur des yeux, les tatouages, les traits personnels, l'origine ethnique, les préférences et les intérêts personnels. Ces informations et notifications devraient être fournies dans des formats accessibles aux personnes handicapées.

* en lien avec : **du 1 à 3 de l'Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA**

(133) Divers **systèmes d'IA** peuvent générer de grandes quantités de contenu de synthèse qu'il devient de plus en plus difficile pour les êtres humains de distinguer du contenu authentique généré par des humains. La large disponibilité et les capacités croissantes de ces systèmes ont des conséquences importantes sur l'intégrité de l'écosystème informationnel et la confiance en celui-ci, ce qui pose de nouveaux **risques** de désinformation et de manipulation à grande échelle, de fraude, d'usurpation d'identité et de tromperie des consommateurs. Compte tenu de ces effets, du rythme rapide de l'évolution technologique et de la nécessité de nouvelles méthodes et techniques pour déterminer l'origine des informations, il convient d'exiger que les **fournisseurs** de ces systèmes intègrent des solutions techniques permettant le marquage dans un format lisible par machine et la détection du fait que les sorties ont été générées ou manipulées par un **système d'IA**, et non par un être humain. De telles techniques et méthodes devraient être aussi fiables, interopérables, efficaces et solides que la technologie le permet, et tenir compte des techniques disponibles ou d'une combinaison de ces techniques, telles que les filigranes, les identifications de métadonnées, les méthodes cryptographiques permettant de prouver la provenance et l'authenticité du contenu, les méthodes d'enregistrement, les empreintes digitales ou d'autres techniques, selon qu'il convient. Lorsqu'ils mettent en œuvre cette obligation, les **fournisseurs** devraient également tenir compte des spécificités et des limites des différents types de contenu, ainsi que des évolutions technologiques et du marché pertinentes dans le domaine, tels qu'elles ressortent de l'état de la technique généralement reconnu. Ces techniques et méthodes peuvent être mises en œuvre au niveau du **système d'IA** ou au niveau du modèle d'IA, y compris pour les **modèles d'IA à usage général** qui génèrent du contenu, ce qui facilitera l'accomplissement de cette obligation par le **fournisseur en aval** du **système d'IA**. Dans un souci de proportionnalité, il convient d'envisager que cette obligation de marquage ne s'applique pas aux **systèmes d'IA** qui remplissent une fonction d'assistance pour la mise en forme standard ou les **systèmes d'IA**
qui ne modifient pas de manière **substantielle** les données d'entrée fournies par le **déployeur** ou leur sémantique.

* en lien avec : le 2 de l'Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA

(134) Outre les solutions techniques utilisées par les **fournisseurs** du système, les **déployeurs** qui se servent d'un **système d'IA** pour générer ou manipuler des images ou des contenus audio ou vidéo présentant une ressemblance sensible avec des personnes, des objets, des lieux, des entités ou des événements existants et pouvant être perçu à tort par une personne comme authentiques ou véridiques (**hypertrucage**), devraient aussi déclarer de manière claire et reconnaissable que le contenu a été créé ou manipulé par une IA en étiquetant les sorties d'IA en conséquence et en mentionnant son origine artificielle. Le respect de cette obligation de transparence ne devrait pas être interprété comme indiquant que l'utilisation du **système d'IA** ou des sorties qu'il génère entrave le droit à la liberté d'expression et le droit à la liberté des arts et des sciences garantis par la **Charte**, en particulier lorsque le contenu fait partie d'un travail ou d'un programme manifestement créatif, satirique, artistique ; de fiction ou analogue, sous réserve de garanties appropriées pour les droits et libertés de tiers. Dans ces cas, l'obligation de transparence s'appliquant aux **hypertrucages** au titre du présent règlement se limite à la divulgation de l'existence de tels contenus générés ou manipulés, d'une manière appropriée qui n'entrave pas l'affichage ou la jouissance de l'œuvre, y compris son exploitation et son utilisation normales, tout en préservant l'utilité et la qualité de l'œuvre. En outre, il convient d'envisager une obligation d'information similaire en ce qui concerne le texte généré ou manipulé par l'IA dans la mesure où celui-ci est publié dans le but d'informer le public sur des questions d'intérêt public, à moins que le contenu généré par l'IA n'ait fait l'objet d'un processus d'examen humain ou de contrôle éditorial et qu'une personne physique ou morale assume la responsabilité éditoriale pour la publication du contenu.

* en lien avec : le 4 de l'Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA

(135) Sans préjudice de la nature obligatoire et de la pleine applicabilité des obligations de transparence, la Commission peut également encourager et faciliter l'élaboration de codes de bonne pratique au niveau de l'Union afin de faciliter la mise en œuvre effective des obligations relatives à la détection et à l'étiquetage des contenus générés ou manipulés par une IA, y compris pour favoriser des modalités pratiques visant, selon qu'il convient, à rendre les mécanismes de détection accessibles et à faciliter la coopération avec d'autres acteurs tout au long de la chaîne de valeur, à diffuser les contenus ou à vérifier leur authenticité et leur provenance pour permettre au public de reconnaître efficacement les contenus générés par l'IA.

* en lien avec : le 7 de l'Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA

(136) Les obligations incombant aux **fournisseurs** et aux **déployeurs** de certains **systèmes d'IA** au titre du présent règlement afin de permettre la détection et la mention du fait que les sorties de ces systèmes sont générées ou manipulées par une IA revêtent une importance particulière pour faciliter la mise en œuvre effective du règlement (UE) 2022/2065. Cela vaut en particulier pour les obligations incombant aux **fournisseurs** de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne consistant à recenser et à atténuer les **risques systémiques** susceptibles de découler de la diffusion de contenus qui ont été générés ou manipulés par une IA, en particulier le **risque** d'effets négatifs réels ou prévisibles sur les processus démocratiques, le débat public et les processus électoraux, notamment par le biais de la désinformation. L'exigence relative à l'étiquetage des contenus générés par des **systèmes d'IA** au titre du présent règlement est sans préjudice de l'obligation prévue à l'article 16,
paragraphe 6, du règlement (UE) 2022/2065⁵⁰ imposant aux fournisseurs de services d'hébergement de traiter les signalements de contenus illégaux qu'ils reçoivent au titre de l'article 16, paragraphe 1⁵¹, dudit règlement, et elle ne devrait pas influencer l'évaluation et la décision quant à l'ilégalité du contenu en question. Cette évaluation ne devrait être effectuée qu'au regard des règles régissant la légalité du contenu.

* en lien avec : **Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA et Règlement (UE) 2022/2065**

(137) Le respect des obligations de transparence applicables aux systèmes d'IA relevant du présent règlement ne devrait pas être interprété comme indiquant que l'utilisation du système d'IA ou de ses sorties est licite en vertu du présent règlement ou d'autres actes législatifs de l'Union et des États membres et devrait être sans préjudice d'autres obligations de transparence pour les déployeurs de systèmes d'IA prévues par le droit de l'Union ou le droit national.

* en lien avec : **Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA**

(138) L'IA est une famille de technologies en évolution rapide qui nécessite la mise en place d'un contrôle réglementaire et d'un espace sûr et contrôlé pour l'expérimentation, garantissant également une innovation responsable et l'intégration de garanties et de mesures d'atténuation des risques appropriées. Pour garantir un cadre juridique favorable à l'innovation, à l'épreuve du temps et résilient face aux perturbations, les États membres devraient veiller à ce que leurs autorités nationales compétentes mettent en place au moins un bac à sable réglementaire de l'IA au niveau national pour faciliter le développement et la mise à l'essai de système d'IA innovants sous un contrôle réglementaire strict avant que ces systèmes ne soient mis sur le marché ou mis en service d'une autre manière. Les États membres pourraient également satisfaire à cette obligation en participant à des bacs à sable réglementaires déjà existants ou en établissant conjointement un bac à sable avec les autorités compétentes d'un ou de plusieurs États membres, pour autant que cette participation offre un niveau de couverture nationale équivalent pour les États membres participants. Les bacs à sable réglementaires de l'IA pourraient être mis en place sous forme physique, numérique ou hybride et admettre des produits tant physiques que numériques. Les autorités chargées de les mettre en place devraient également veiller à ce que les bacs à sable réglementaires de l'IA disposent des ressources appropriées pour assurer leur fonctionnement, y compris les ressources financières et humaines.

* en lien avec : **Article 57 - Bacs à sable réglementaires de l'IA**

(139) Les bacs à sable réglementaires de l'IA devraient avoir pour objectif de favoriser l'innovation dans le domaine de l'IA en créant un environnement contrôlé d'expérimentation et d'essai au stade du développement et de la précommercialisation afin de garantir la conformité des systèmes d'IA innovants avec le présent règlement et d'autres dispositions pertinentes du droit de l'Union et du droit national. De plus, les bacs à sable réglementaires de l'IA devraient viser à renforcer la sécurité juridique pour les innovateurs ainsi que le contrôle et la compréhension, par les autorités compétentes, des possibilités, des risques émergents et des conséquences de l'utilisation de l'IA, de faciliter l'apprentissage réglementaire pour les autorités et les entreprises, y compris en vue d'ajustements futurs du cadre juridique, de soutenir la coopération et l'échange de bonnes pratiques avec les autorités participant au bac à sable réglementaire de l'IA, et d'accélérer l'accès aux marchés, notamment en supprimant les obstacles pour les PME, y compris les jeunes pousses. Les bacs à sable réglementaires de l'IA devraient être largement disponibles dans toute l'Union, et il convient de prêter une attention particulière à leur accessibilité pour les PME, y compris les jeunes pousses. La participation au

<footnote n="50">⁵⁰ Les fournisseurs de services d'hébergement doivent notifier rapidement les particuliers ou entités de leurs décisions concernant les informations signalées, en traitant ces notifications de manière diligente, non arbitraire et objective, et en informant sur l'utilisation de moyens automatisés si applicable.</footnote>

<footnote n="51">⁵¹ Les fournisseurs de services d'hébergement doivent mettre en place des mécanismes accessibles et faciles à utiliser permettant aux particuliers ou entités de signaler électroniquement des contenus qu'ils considèrent comme illicites.</footnote>
bac à sable réglementaire de l'IA devrait se concentrer sur les questions qui créent une
insécurité juridique pour les fournisseurs et les fournisseurs potentiels avant d'innover,
d'expérimenter l'IA dans l'Union et de contribuer à un apprentissage réglementaire fondé sur
des données probantes. La surveillance des systèmes d'IA dans le bac à sable réglementaire de
l'IA devrait donc porter sur leur développement, leur entraînement, leur mise à l'essai et leur
validation avant que les systèmes ne soient mis sur le marché ou mis en service, ainsi que sur la
notion et la survenance de modifications substantielles susceptibles de nécessiter une nouvelle
procédure d'évaluation de la conformité. Tout risque important recensé lors du
développement et de la mise à l'essai de ces systèmes d'IA devrait donner lieu à des mesures
d'atténuation adéquates et, à défaut, à la suspension du processus de développement et
d'essai. Au besoin, les autorités nationales compétentes mettant en place des bacs à sable
réglementaires de l'IA devraient coopérer avec d'autres autorités concernées, y compris celles
qui supervisent la protection des droits fondamentaux, et pourraient permettre la
participation d'autres acteurs de l'écosystème de l'IA, tels que les organisations nationales ou
européennes de normalisation, les organismes notifiés, les installations d'essai et
d'expérimentation, les laboratoires de recherche et d'expérimentation, les pôles européens
d'innovation numérique, ainsi que les parties prenantes et les organisations de la société civile
concernées. Pour assurer une mise en œuvre uniforme dans toute l'Union et des économies
d'échelle, il convient d'établir des règles communes pour la mise en place des bacs à sable
réglementaires de l'IA ainsi qu'un cadre de coopération entre les autorités compétentes
intervenant dans la surveillance des bacs à sable. Les bacs à sable réglementaires de l'IA établis
en vertu du présent règlement devraient être sans préjudice d'autres actes législatifs autorisant
la création d'autres bacs à sable en vue de garantir le respect de dispositions de droit autres
que le présent règlement. Le cas échéant, les autorités compétentes concernées chargées de
ces autres bacs à sable réglementaires devraient prendre en considération les avantages de
l'utilisation de ces bacs à sable également aux fins d'assurer la conformité des systèmes d'IA
avec le présent règlement. Sous réserve d'un accord entre les autorités nationales
compétentes et les participants au bac à sable réglementaire de l'IA, il peut également être
procédé à des essais en conditions réelles supervisés dans le cadre du bac à sable réglementaire
de l'IA.

* en lien avec : **Article 57 - Bacs à sable réglementaires de l'IA et Article 58 - Modalités détaillées pour les bacs à sable réglementaires de l'IA et fonctionnement de ceux-ci**

(140) Le présent règlement devrait constituer la base juridique pour l'utilisation, par les fournisseurs et fournisseurs potentiels du bac à sable réglementaire de l'IA, des données à caractère personnel collectées à d'autres fins pour le développement de certains systèmes d'IA d'intérêt public dans le cadre du bac à sable réglementaire de l'IA, uniquement dans des conditions déterminées, conformément à l'article 6, paragraphe 4, et à l'article 9, paragraphe 2, point g), du règlement (UE) 2016/679 et aux articles 5, 6 et 10 du règlement (UE) 2018/1725, et sans préjudice de l'article 4, paragraphe 2, et de l'article 10 de la directive (UE) 2016/680⁵². Toutes les autres obligations des responsables du traitement et tous les autres droits des personnes concernées en vertu des règlements (UE) 2016/679 et (UE) 2018/1725 et de la directive (UE) 2016/680 restent applicables. En particulier, le présent règlement ne devrait pas constituer une base juridique au sens de l'article 22, paragraphe 2, point b), du règlement (UE) 2016/679 et de l'article 24, paragraphe 2, point b), du règlement (UE) 2018/1725⁵³. Les fournisseurs et fournisseurs potentiels participant au bac à sable réglementaire de l'IA devraient prévoir des garanties appropriées et coopérer avec les autorités compétentes, notamment en suivant leurs

<footnote n="52">⁵² Le responsable du traitement doit évaluer la compatibilité d'un traitement ultérieur de données à caractère personnel avec la finalité initiale en tenant compte de divers critères, sauf si ce traitement est nécessaire pour des motifs d'intérêt public important et proportionné. De plus, le traitement des données sensibles est interdit, sauf si certaines conditions spécifiques sont remplies, et cette évaluation est faite sans préjudice des articles autorisant le traitement pour une autre finalité si nécessaire et proportionné.</footnote>

<footnote n="53">⁵³ La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (y compris le profilage), sauf si cette décision est autorisée par le droit de l'Union ou de l'État membre et prévoit des mesures appropriées pour sauvegarder ses droits et libertés.</footnote>
orientations et en agissant rapidement et de bonne foi pour atténuer adéquatement tout risque important recensé pour la sécurité, la santé et les droits fondamentaux susceptible de survenir au cours du développement, de la mise à l'essai et de l'expérimentation dans ledit bac à sable.

* en lien avec : **Article 59 - Traitement ultérieur de données à caractère personnel en vue du développement de certains systèmes d'IA dans l'intérêt public dans le cadre du bac à sable réglementaire de l'IA**

(141) Afin d'accélérer le processus de développement et la mise sur le marché des systèmes d'IA à haut risque énumérés dans une annexe du présent règlement, il importe que les fournisseurs ou fournisseurs potentiels de ces systèmes puissent également bénéficier d'un régime particulier pour soumettre ces systèmes à des essais en conditions réelles sans participer à un bac à sable réglementaire de l'IA. Toutefois, dans de tels cas, compte tenu des conséquences possibles de ces essais sur des personnes physiques, il convient de veiller à ce que le présent règlement introduise des garanties et des conditions appropriées et suffisantes pour les fournisseurs ou fournisseurs potentiels. Ces garanties devraient comprendre, entre autres, une demande de consentement éclairé de la part des personnes physiques pour participer à des essais en conditions réelles, sauf en ce qui concerne les services répressifs lorsque la recherche d'un consentement éclairé empêcherait que le système d'IA ne soit mis à l'essai. Le consentement des participants à la participation à ces essais au titre du présent règlement est distinct et sans préjudice du consentement des personnes concernées au traitement de leurs données à caractère personnel en vertu de la législation applicable en matière de protection des données. Il importe également important de réduire les risques au minimum et de permettre aux autorités compétentes d'exercer un contrôle et, par conséquent, d'exiger des fournisseurs potentiels qu'ils disposent d'un plan d'essais en conditions réelles présenté à l'autorité de surveillance du marché compétente, d'enregistrer les essais dans des sections spécifiques de la base de données de l'UE, sous réserve de quelques exceptions limitées, de fixer des limitations de la période pendant laquelle les essais peuvent être menés et d'exiger des garanties supplémentaires pour les personnes appartenant à certains groupes vulnérables, ainsi qu'un accord écrit définissant les rôles et les responsabilités des fournisseurs potentiels et des déployeurs et établissant un contrôle effectif par le personnel compétent participant aux essais en conditions réelles. En outre, il convient d'envisager des garanties supplémentaires pour veiller à ce que les prédictions, recommandations ou décisions d'un système d'IA puissent être infirmées et ignorées de manière effective et à ce que les données à caractère personnel soient protégées et supprimées lorsque les personnes concernées ont retiré leur consentement à participer aux essais, sans qu'il soit porté atteinte aux droits dont elles disposent en tant que personnes concernées en vertu du droit de l'Union en matière de protection des données. En ce qui concerne le transfert de données, il convient en outre d'envisager que les données collectées et traitées aux fins des essais en conditions réelles ne soient transférées vers des pays tiers que lorsque des garanties appropriées et applicables en vertu du droit de l'Union sont en place, en particulier conformément aux bases pour le transfert de données à caractère personnel prévues par le droit de l'Union en matière de protection des données, et que des garanties appropriées soient mises en place pour les données à caractère non personnel conformément au droit de l'Union, notamment les règlements (UE) 2022/868 et (UE) 2023/2854 du Parlement européen et du Conseil.

* en lien avec : **Article 60 - Essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA** et **Article 61 - Consentement éclairé à participer aux essais en conditions réelles en dehors des bacs à sable réglementaires de l'IA**

(142) Afin de veiller à ce que l'IA engendre des résultats bénéfiques sur le plan social et environnemental, les États membres sont encouragés à soutenir et à promouvoir la recherche et le développement de solutions d'IA propices à tels résultats, telles que des solutions fondées sur l'IA destinées à renforcer l'accessibilité pour les personnes handicapées, à réduire les
inégalités socio-économiques ou à atteindre les objectifs environnementaux, en y affectant
des ressources suffisantes, y compris des financements publics et de l'Union, et, lorsqu'il
convient et pour autant que les critères d'éligibilité et de sélection soient remplis, en
envisageant des projets spécifiques qui poursuivent ces objectifs. Ces projets devraient être
fondés sur le principe d'une coopération interdisciplinaire entre les développeurs d'IA, les
experts en matière d'inégalité et de non-discrimination, d'accessibilité, de droits des
consommateurs, de droits environnementaux et numériques, ainsi que les universitaires.

➤ en lien avec : CHAPITRE VI - MESURES DE SOUTIEN À L'INNOVATION

(143) Afin de promouvoir et de protéger l'innovation, il est important que les intérêts des PME, y compris les jeunes pousses, qui sont des fournisseurs ou des déployeurs de systèmes d'IA bénéficient d'une attention particulière. À cette fin, les États membres devraient prendre des initiatives à l'intention de ces opérateurs, notamment en matière de sensibilisation et de communication d'informations. Les États membres devraient fournir aux PME, y compris les jeunes pousses, qui ont leur siège social ou une succursale dans l'Union un accès prioritaire aux bacs à sable réglementaires de l'IA, à condition qu'elles remplissent les conditions d'éligibilité et les critères de sélection et sans exclure que d'autres fournisseurs et fournisseurs potentiels accèdent aux bacs à sable pour autant que les mêmes conditions et critères soient remplis. Les États membres devraient utiliser les canaux de communication existants, et en établissent de nouveaux s'il y a lieu, avec les PME, y compris les jeunes pousses, les déployeurs, d'autres innovateurs et, le cas échéant, les autorités publiques locales afin de soutenir les PME tout au long de leur trajectoire de développement en leur fournissant des orientations et en répondant à leurs questions concernant la mise en œuvre du présent règlement. Le cas échéant, ces canaux devraient collaborer pour créer des synergies et assurer la cohérence des orientations fournies aux PME, y compris les jeunes pousses, et aux déployeurs. En outre, les États membres devraient faciliter la participation des PME et d'autres parties concernées aux processus d'élaboration de la normalisation. Par ailleurs, les intérêts et les besoins spécifiques des fournisseurs qui sont des PME, y compris des jeunes pousses, devraient être pris en considération lorsque les organismes notifiés fixent les redevances d'évaluation de la conformité. La Commission devrait évaluer régulièrement les coûts de certification et de mise en conformité pour les PME, y compris les jeunes pousses, en menant des consultations transparentes, et devrait collaborer avec les États membres pour réduire ces coûts. Par exemple, les frais de traduction liés à la documentation obligatoire et à la communication avec les autorités peuvent représenter un coût important pour les fournisseurs et d'autres opérateurs, en particulier pour ceux de plus petite envergure. Les États membres devraient éventuellement veiller à ce qu'une des langues qu'ils choisissent et acceptent pour la documentation pertinente des fournisseurs et pour la communication avec les opérateurs soit une langue comprise par le plus grand nombre possible de déployeurs transfrontières. Afin de répondre aux besoins spécifiques des PME, y compris les jeunes pousses, la Commission devrait fournir des modèles normalisés pour les domaines qui relèvent du présent règlement, sur demande du Comité IA. En outre, la Commission devrait compléter les efforts déployés par les États membres en mettant en place une plateforme d'information unique présentant des informations facilement exploitables concernant le présent règlement à l'intention de tous les fournisseurs et déployeurs, en organisant des campagnes de communication appropriées pour faire connaître les obligations découlant du présent règlement, et en évaluant et en promouvant la convergence des bonnes pratiques dans les procédures de passation de marchés publics relatifs aux systèmes d'IA. Les entreprises qui jusqu'à récemment relevaient des « petites entreprises » au sens de l'annexe à la recommandation 2003/361/CE de la Commission devraient avoir accès à ces mesures de soutien, étant donné que ces nouvelles moyennes entreprises peuvent parfois manquer des ressources juridiques et de la formation
nécessaires pour avoir une bonne compréhension du présent règlement et en respecter les dispositions.

* en lien avec : **Article 62 - Mesures en faveur des fournisseurs et déployeurs, en particulier les PME, y compris les jeunes pousses**

(144) Afin de promouvoir et de protéger l'innovation, la plateforme d'IA à la demande, ainsi que l'ensemble des programmes et projets de financement pertinents de l'Union, tels que le programme pour une **Europe numérique** et **Horizon Europe**, mis en œuvre par la Commission et les États membres au niveau national ou de l'Union, selon qu'il convient, devraient contribuer à la réalisation des objectifs du présent règlement.

* en lien avec : **CHAPITRE VI - MESURES DE SOUTIEN À L'INNOVATION**

(145) Afin de réduire au minimum les **risques** pour la mise en œuvre résultant du manque de connaissances et d'expertise sur le marché, ainsi que de faciliter la mise en conformité des **fournisseurs**, en particulier des PME, y compris les jeunes pousses, et des **organismes notifiés** avec les obligations qui leur incombent au titre du présent règlement, la plateforme d'IA à la demande, les pôles européens d'innovation numérique et les installations d'expérimentation et d'essai mis en place par la Commission et les États membres au niveau de l'Union ou au niveau national devraient contribuer à la mise en œuvre du présent règlement. Dans le cadre de leurs missions et domaines de compétence respectifs, la plateforme d'IA à la demande, les pôles européens d'innovation numérique et les installations d'expérimentation et d'essai sont notamment en mesure d'apporter un soutien technique et scientifique aux **fournisseurs** et aux **organismes notifiés**.

* en lien avec : **Article 16 - Obligations incombant aux fournisseurs de systèmes d'IA à haut risque, Article 31 - Exigences concernant les organismes notifiés et CHAPITRE VI - MESURES DE SOUTIEN À L'INNOVATION**

(146) En outre, au vu de la très petite taille de certains **opérateurs** et afin d'assurer la proportionnalité en ce qui concerne les coûts de l'innovation, il convient de permettre aux microentreprises de satisfaire à l'une des obligations les plus coûteuses, à savoir celle de mettre en place un système de gestion de la qualité, d'une manière simplifiée qui réduirait la charge administrative et les coûts pour ces entreprises sans affecter le niveau de protection et la nécessité de se conformer aux exigences applicables aux **systèmes d'IA** à haut risque. La Commission devrait élaborer des lignes directrices pour préciser quels éléments du système de gestion de la qualité les microentreprises doivent respecter dans le système simplifié.

* en lien avec : **Article 63 - Dérogations pour des opérateurs spécifiques**

(147) Il convient que la Commission facilite, dans la mesure du possible, l'accès aux installations d'expérimentation et d'essai pour les organismes, groupes ou laboratoires qui ont été créés ou accrédités en vertu d'une législation d'harmonisation de l'Union pertinente et qui accomplissent des tâches dans le cadre de l'évaluation de la conformité des produits ou dispositifs couverts par la législation d'harmonisation de l'Union en question. C'est en particulier le cas en ce qui concerne les groupes d'experts, les laboratoires spécialisés et les laboratoires de référence dans le domaine des dispositifs médicaux conformément aux règlements (UE) 2017/745 et (UE) 2017/746.

* en lien avec : **Article 43 - Évaluation de la conformité**

(148) Le présent règlement devrait établir un cadre de gouvernance qui permette à la fois de coordonner et de soutenir l'application du présent règlement au niveau national, ainsi que de renforcer les capacités au niveau de l'Union et d'intégrer les parties prenantes dans le domaine de l'IA. La mise en œuvre et le contrôle de l'application effectifs du présent règlement requièrent un cadre de gouvernance qui permette de coordonner et de renforcer l'expertise centrale au niveau de l'Union. Le **Bureau de l'IA** a été créé par voie d'une **décision de la Commission** et a pour mission d'approfondir l'expertise et de renforcer les capacités de l'Union dans le domaine de l'IA ainsi que de contribuer à la mise en œuvre de la législation de l'Union
sur l'IA. Les États membres devraient faciliter l'accomplissement des missions du Bureau de l'IA en vue de soutenir le développement de l'expertise de l'Union et des capacités au niveau de l'Union et de renforcer le fonctionnement du marché unique numérique. En outre, il convient d'établir un Comité IA composé de représentants des États membres, un groupe scientifique visant à intégrer la communauté scientifique et un forum consultatif visant à recueillir les contributions des parties concernées en vue de la mise en œuvre du présent règlement, au niveau de l'Union et au niveau national. Le développement de l'expertise et des capacités de l'Union devrait également consister à utiliser les ressources et l'expertise existantes<sup>54</sup>, en particulier grâce à des synergies avec les structures établies dans le contexte de l'application au niveau de l'Union d'autres dispositions législatives et à des synergies avec des initiatives connexes au niveau de l'Union, telles que l'entreprise commune EuroHPC<sup>55</sup> et les installations de mise à l'essai de l'IA et d'expérimentations relevant du programme pour une Europe numérique.

* en lien avec : **CHAPITRE VII - GOUVERNANCE, Règlement (UE) 2024/1732 et Communication COM/2024/28 final**

(149) Afin de faciliter une mise en œuvre aisée, efficace et harmonisée du présent règlement, il convient de créer un Comité IA. Ce Comité IA devrait tenir compte des différents intérêts de l'écosystème de l'IA et être composé de représentants des États membres. Le Comité IA devrait être chargé d'un certain nombre de tâches consultatives, parmi lesquelles la formulation d'avis, de recommandations, de conseils ou la contribution à des orientations sur des questions liées à la mise en œuvre du présent règlement, y compris sur les questions relatives à l'exécution, les spécifications techniques ou les normes existantes concernant les exigences établies dans le présent règlement, et la fourniture de conseils à la Commission et aux États membres ainsi qu'à leurs autorités nationales compétentes sur des questions spécifiques liées à l'IA. Afin d'offrir une certaine souplesse aux États membres dans la désignation de leurs représentants au sein du Comité IA, ces représentants peuvent être toute personne appartenant à des entités publiques qui devraient avoir les compétences et les pouvoirs nécessaires pour faciliter la coordination au niveau national et contribuer à l'accomplissement des tâches du Comité IA. Le Comité IA devrait établir deux sous-groupes permanents chargés de fournir une plateforme de coopération et d'échange entre les autorités de surveillance du marché et les autorités notifiantes sur des questions liées respectivement à la surveillance du marché et aux organismes notifiés. Le sous-groupe permanent pour la surveillance du marché devrait agir au titre de groupe de coopération administrative (ADCO) pour le présent règlement au sens de l'article 30 du règlement (UE) 2019/1020<sup>56</sup>. Conformément à l'article 33 dudit règlement<sup>57</sup>, la Commission devrait apporter son soutien aux activités du sous-groupe permanent en procédant à des évaluations ou à des études du marché, en particulier en vue de recenser les aspects du présent règlement appelant une coordination particulière urgente entre les autorités de surveillance du marché. Le Comité IA peut créer d'autres sous-groupes permanents ou temporaires, s'il y a lieu, afin d'examiner des questions spécifiques. Le Comité IA devrait également coopérer, lorsqu'il y a lieu, avec les organes, groupes d'experts et réseaux compétents de l'Union actifs dans le contexte de dispositions législatives pertinentes de l'Union, notamment ceux qui agissent au titre de la législation applicable de l'Union en matière de données, et de produits et services numériques.

<footnote n="54">54 Com. n° COM/2024/28 final, 24 janv. 2024, Stimuler les start-up et l'innovation dans le domaine de l'intelligence artificielle digne de confiance</footnote>

<footnote n="55">55 règl. (UE) n° 2024/1732 du PE et du Cons. UE, 17 juin. 2024, modifiant le règlement (UE) 2021/1173 en ce qui concerne une initiative EuroHPC en faveur des start-up afin de renforcer le rôle moteur de l'Europe dans une intelligence artificielle digne de confiance</footnote>

<footnote n="56">56 Le sous-groupe permanent pour la surveillance du marché devrait agir en tant que groupe de coopération administrative (ADCO) pour assurer l'application uniforme de la législation d'harmonisation de l'Union, en réunissant des représentants des autorités de surveillance du marché nationales et, si nécessaire, des bureaux de liaison uniques, avec la possibilité d'inviter des parties prenantes concernées en fonction de l'objet de la discussion.</footnote>

<footnote n="57">57 La Commission européenne aide les pays à surveiller les produits vendus en Europe en organisant des réunions et des formations, en tenant à jour les listes de contacts, en aidant à faire des tests sur les produits, en créant des outils informatiques pour partager les informations, et en donnant des conseils pour bien appliquer les règles, afin de s'assurer que les produits respectent les lois et sont sûrs.</footnote>
* en lien avec : **Article 65** - Création et structure du Comité européen de l'intelligence artificielle et **Article 66** - Tâches du Comité IA

(150) En vue d'assurer la participation des parties prenantes à la mise en œuvre et à l'application du présent règlement, il convient d'établir un forum consultatif chargé de conseiller le Comité IA et la Commission et de leur fournir une expertise technique. Afin d'assurer une représentation diversifiée et équilibrée des parties prenantes tenant compte des différents intérêts commerciaux et non commerciaux et, au sein de la catégorie des intérêts commerciaux, eu égard aux PME et autres entreprises, le forum consultatif devrait être composé, entre autres, de représentants du secteur, des jeunes pousses, des PME, du milieu universitaire, de la société civile, y compris les partenaires sociaux, ainsi que de l'Agence des droits fondamentaux, de l'ENISA, du Comité européen de normalisation (CEN), du Comité européen de normalisation électrotechnique (CENELEC) et de l'Institut européen de normalisation des télécommunications (ETSI).

* en lien avec : **Article 67** - Forum consultatif

(151) Afin de soutenir la mise en œuvre et le contrôle du respect du présent règlement, en particulier les activités de suivi du Bureau de l'IA concernant les modèles d'IA à usage général, il convient d'établir un groupe scientifique composé d'experts indépendants. Les experts indépendants constituant le groupe scientifique devraient être choisis en fonction de leur expertise à la pointe des connaissances scientifiques ou techniques dans le domaine de l'IA. Ils devraient s'acquitter de leurs tâches avec impartialité et objectivité et veiller à la confidentialité des informations et des données obtenues dans l'exercice de leurs tâches et activités. Afin de permettre le renforcement des capacités nationales nécessaires au contrôle effectif du respect du présent règlement, les États membres devraient être en mesure de solliciter l'aide de la réserve d'experts constituant le groupe scientifique pour leurs activités répressives.

* en lien avec : **Article 68** - Groupe scientifique d'experts indépendants et **Article 69** - Accès des États membres au groupe scientifique

(152) Afin de soutenir un contrôle de l'application adéquat en ce qui concerne les systèmes d'IA et de renforcer les capacités des États membres, il convient de créer et de mettre à la disposition des États membres des structures de soutien de l'Union pour les essais en matière d'IA.

* en lien avec : **Article 84** - Structures de soutien de l'Union pour les essais en matière d'IA

(153) Les États membres jouent un rôle clé dans l'application et le contrôle du respect du présent règlement. À cet égard, chaque État membre devrait désigner au moins une autorité notifiante et au moins une autorité de surveillance du marché en tant qu'autorité nationale compétente chargées de contrôler l'application et la mise en œuvre du présent règlement. Les États membres peuvent décider de désigner une entité publique, quel qu'en soit le type, qui soit chargée d'exécuter les tâches des autorités nationales compétentes au sens du présent règlement, en fonction de leurs caractéristiques et besoins organisationnels nationaux spécifiques. Afin d'accroître l'efficacité de l'organisation du côté des États membres et de définir un point de contact unique avec le public et les homologues au niveau des États membres et de l'Union, chaque État membre devrait désigner une autorité de surveillance du marché pour tenir le rôle de point de contact unique.

* en lien avec : **Article 70** - Désignation des autorités nationales compétentes et des points de contact uniques

(154) Les autorités nationales compétentes devraient exercer leurs pouvoirs de manière indépendante, impartiale et sans parti pris, afin de préserver les principes d'objectivité de leurs activités et de leurs tâches et d'assurer l'application et la mise en œuvre du présent règlement. Les membres de ces autorités devraient s'abstenir de toute action incompatible avec leurs
fonctions et devraient être soumis aux règles de confidentialité prévues par le présent règlement.

* en lien avec : **Article 70 - Désignation des autorités nationales compétentes et des points de contact uniques**

(155) Afin de veiller à ce que les **fournisseurs de systèmes d'IA** à haut risque puissent prendre en considération l'expérience acquise dans l'utilisation de **systèmes d'IA** à haut risque pour améliorer leurs systèmes et le processus de conception et de développement, ou qu'ils puissent prendre d'éventuelles mesures correctives en temps utile, tous les **fournisseurs** devraient avoir mis en place un **système de surveillance après commercialisation**. Le cas échéant, la surveillance après commercialisation devrait comprendre une analyse de l'interaction avec d'autres **systèmes d'IA**, y compris d'autres dispositifs et logiciels. La surveillance après commercialisation ne devrait pas couvrir les **données opérationnelles sensibles** des utilisateurs de **systèmes d'IA** qui sont des **autorités répressives**. Ce système est aussi essentiel pour garantir que les **risques** potentiels découlant des **système d'IA** qui continuent à « apprendre » après avoir été mis sur le marché ou mis en service** puissent être traités plus efficacement et en temps utile. Dans ce contexte, les **fournisseurs** devraient également être tenus de mettre en place un système pour signaler aux autorités compétentes tout **incident grave** résultant de l'utilisation de leurs **systèmes d'IA**, à savoir un incident ou un dysfonctionnement entraînant la mort ou une atteinte grave à la santé, une perturbation grave et irréversible de la gestion et de l'exploitation des **infrastructures critiques**, des infractions aux obligations découlant du droit de l'Union visant à protéger les droits fondamentaux ou une atteinte grave aux biens ou à l'environnement.

* en lien avec : **Article 72 - Surveillance après commercialisation par les fournisseurs et plan de surveillance après commercialisation pour les systèmes d'IA à haut risque et Article 73 - Signalement d'incidents graves**

(156) Afin de garantir un contrôle approprié et efficace du respect des exigences et obligations énoncées par le présent règlement, qui fait partie de la législation d'harmonisation de l'Union, le système de surveillance du marché et de mise en conformité des produits établi par le règlement (UE) 2019/1020 devrait s'appliquer dans son intégralité. Les **autorités de surveillance du marché** désignées en vertu du présent règlement devraient disposer de tous les pouvoirs d'exécution prévus par le présent règlement et par le règlement (UE) 2019/1020, et elles devraient exercer leurs pouvoirs et s'acquitter de leurs tâches de manière indépendante, impartiale et sans parti pris. Bien que la majorité des **systèmes d'IA** ne fassent pas l'objet d'exigences et obligations particulières au titre du présent règlement, les **autorités de surveillance du marché** peuvent prendre des mesures à l'égard de tous les **systèmes d'IA** lorsqu'ils présentent un **risque** conformément au présent règlement. En raison de la nature spécifique des institutions, agences et organes de l'Union relevant du champ d'application du présent règlement, il convient de désigner le **Contrôleur européen de la protection des données** comme autorité compétente pour la surveillance du marché en ce qui les concerne. Cela devrait être sans préjudice de la désignation des **autorités nationales compétentes** par les États membres. Les activités de surveillance du marché ne devraient pas affecter la capacité des entités surveillées à s'acquitter de leurs tâches de manière indépendante, lorsque cette indépendance constitue une exigence du droit de l'Union.

* en lien avec : **Article 74 - Surveillance du marché et contrôle des systèmes d'IA sur le marché de l'Union**

(157) Le présent règlement est sans préjudice des compétences, des tâches, des pouvoirs et de l'indépendance des autorités ou organismes publics nationaux compétents qui contrôlent l'application du droit de l'Union en matière de protection des droits fondamentaux, y compris les organismes chargés des questions d'égalité et les autorités de protection des données. Lorsque leur mandat l'exige, ces autorités ou organismes publics nationaux devraient également avoir accès à toute documentation créée en vertu du présent règlement. Une
procédure de sauvegarde spécifique devrait être mise en place pour garantir une application adéquate et en temps utile opposable aux **systèmes d'IA** présentant un **risque** pour la santé, la sécurité et les droits fondamentaux. La procédure applicable à ces **systèmes d'IA** présentant un **risque** devrait être appliquée aux **systèmes d'IA** à haut risque présentant un **risque**, aux systèmes interdits qui ont été mis sur le marché, mis en service ou utilisés en violation des interdictions concernant des pratiques définies par le présent règlement, et aux **systèmes d'IA** qui ont été mis à disposition en violation des exigences de transparence énoncées dans le présent règlement et qui présentent un **risque**.

* en lien avec : **Article 77 - Pouvoirs des autorités de protection des droits fondamentaux**

(158) Le droit de l'Union en matière de services financiers comprend des règles et des exigences en matière de gouvernance interne et de gestion des risques qui sont applicables aux établissements financiers réglementés dans le cadre de la fourniture de ces services, y compris lorsqu'ils font usage de systèmes d'IA. Afin d'assurer la cohérence de l'application et du contrôle du respect des obligations découlant du présent règlement et des règles et exigences pertinentes prévues par les actes juridiques de l'Union sur les services financiers, les autorités compétentes chargées de la surveillance et du contrôle de l'application de ces actes juridiques, en particulier les autorités compétentes au sens du règlement (UE) n° 575/2013 du Parlement européen et du Conseil et des directives 2008/48/CE, 2009/138/CE, 2013/36/UE, 2014/17/UE et (UE) 2016/97 du Parlement européen et du Conseil, devraient être désignées, dans les limites de leurs compétences respectives, comme les autorités compétentes aux fins de la surveillance de la mise en œuvre du présent règlement, y compris pour les activités de surveillance du marché, en ce qui concerne les systèmes d'IA fournis ou utilisés par des établissements financiers réglementés et surveillés, à moins que les États membres ne décident de désigner une autre autorité pour remplir ces tâches de surveillance du marché. Ces autorités compétentes devraient disposer, en vertu du présent règlement et du règlement (UE) 2019/1020, de tous les pouvoirs nécessaires pour faire respecter les exigences et obligations du présent règlement, y compris le pouvoir d'effectuer des activités de surveillance du marché ex post qui peuvent être intégrées, le cas échéant, dans leurs mécanismes et procédures de surveillance existants au titre du droit de l'Union en matière de services financiers. Il convient d'envisager que, lorsqu'elles agissent en tant qu'autorités de surveillance du marché au titre du présent règlement, les autorités nationales responsables de la surveillance des établissements de crédit réglementés régis par la directive 2013/36/UE, qui participent au mécanisme de surveillance unique institué par le règlement (UE) n° 1024/2013 du Conseil, doivent communiquer sans délai à la Banque centrale européenne toute information identifiée dans le cadre de leurs activités de surveillance du marché qui pourrait présenter un intérêt pour les missions de surveillance prudentielle de la Banque centrale européenne telles qu'elles sont définies dans ledit règlement. Pour renforcer encore la cohérence entre le présent règlement et les règles applicables aux établissements de crédit régis par la directive 2013/36/UE, il convient aussi d'intégrer certaines des obligations procédurales des fournisseurs en ce qui concerne la gestion des risques, la surveillance après commercialisation et la documentation dans les obligations et procédures existantes au titre de la directive 2013/36/UE. Afin d'éviter les chevauchements, des dérogations limitées devraient aussi être envisagées en ce qui concerne le système de gestion de la qualité des fournisseurs et l'obligation de suivi imposée aux déployeurs de systèmes d'IA à haut risque dans la mesure où les dispositions y afférentes s'appliquent aux établissements de crédit régis par la directive 2013/36/UE. Le même régime devrait s'appliquer aux entreprises d'assurance et de réassurance et aux sociétés holding d'assurance relevant de la directive 2009/138/CE, aux intermédiaires d'assurance relevant de la directive (UE) 2016/97, ainsi qu'aux autres types d'établissements financiers soumis à des exigences en matière de gouvernance, de dispositifs ou de processus internes établis en vertu des dispositions pertinentes du droit de l'Union en matière de services financiers afin d'assurer la cohérence et l'égalité de traitement dans le secteur financier.

* en lien avec : **la gouvernance propre aux services financiers, bancaires et d'assurance**
(159) Chaque autorité de surveillance du marché chargée des systèmes d'IA à haut risque dans le domaine de la biométrie énumérés dans une annexe du présent règlement, dans la mesure où ces systèmes sont utilisés à des fins liées aux activités répressives, à la migration, à l'asile et à la gestion des contrôles aux frontières ou à l'administration de la justice et aux processus démocratiques, devrait disposer de pouvoirs effectifs en matière d'enquête et de mesures correctives, y compris au minimum le pouvoir d'obtenir l'accès à toutes les données à caractère personnel traitées et à toutes les informations nécessaires à l'accomplissement de ses tâches. Les autorités de surveillance du marché devraient être en mesure d'exercer leurs pouvoirs en toute indépendance. Toute restriction de leur accès à des données opérationnelles sensibles au titre du présent règlement devrait être sans préjudice des pouvoirs qui leur sont conférés par la directive (UE) 2016/680. Aucune exclusion concernant la divulgation de données aux autorités nationales chargées de la protection des données au titre du présent règlement ne devrait avoir d'incidence sur les pouvoirs actuels ou futurs de ces autorités au-delà du champ d'application du présent règlement.

* en lien avec : le 1.a) de l'ANNEXE III

(160) Les autorité de surveillance du marché et la Commission devraient être en mesure de proposer des activités conjointes, y compris des enquêtes conjointes, à mener par les autorités de surveillance du marché ou par les autorités de surveillance du marché conjointement avec la Commission, visant à promouvoir le respect de la législation, de déceler la non-conformité, de sensibiliser et de fournir des orientations au regard du présent règlement en ce qui concerne des catégories spécifiques de systèmes d'IA à haut risque qui sont recensés comme présentant un risque grave dans au moins deux États membres. Les activités conjointes visant à promouvoir le respect de la législation devraient être menées conformément à l'article 9 du règlement (UE) 2019/1020⁵⁸. Le Bureau de l'IA devrait assurer la coordination centrale des enquêtes conjointes.

* en lien avec : Article 66 - Tâches du Comité IA et Article 74 - Surveillance du marché et contrôle des systèmes d'IA sur le marché de l'Union, sur les activités conjointes des autorités de surveillance au niveau européen

(161) Il est nécessaire de clarifier les responsabilités et les compétences au niveau de l'Union et au niveau national en ce qui concerne les systèmes d'IA qui reposent sur des modèles d'IA à usage général. Afin d'éviter les chevauchements de compétences, lorsqu'un système est fondé sur un modèle d'IA à usage général et que le modèle et le système sont fournis par le même fournisseur, la surveillance devrait avoir lieu au niveau de l'Union par l'intermédiaire du Bureau de l'IA, qui devrait disposer à cette fin des pouvoirs d'une autorité de surveillance du marché au sens du règlement (UE) 2019/1020. Dans tous les autres cas, les autorités nationales de surveillance du marché demeurent chargées de la surveillance des systèmes d'IA. Toutefois, pour les systèmes d'IA à usage général qui peuvent être utilisés directement par les déployeurs pour au moins un usage classé comme étant à haut risque, les autorités de surveillance du marché devraient coopérer avec le Bureau de l'IA pour mener les évaluations de la conformité, et informer le Comité IA et les autres autorités de surveillance du marché en conséquence. En outre, toute autorité de surveillance du marché devrait être en mesure de solliciter l'assistance du Bureau de l'IA lorsqu'elle n'est pas en mesure de conclure une enquête sur un système d'IA à haut risque parce qu'elle ne peut accéder à certaines informations liées au modèle d'IA à usage général sur lequel repose ce système. Dans de tels cas, la procédure relative à l'assistance mutuelle pour les cas transfrontières prévue au chapitre VI du règlement (UE) 2019/1020 devrait s'appliquer mutatis mutandis.

* en lien avec : Article 75 - Assistance mutuelle, surveillance du marché et contrôle des systèmes d'IA à usage général

<footnote n="58">⁵⁸ Les autorités de surveillance du marché peuvent mener des activités conjointes avec d'autres autorités ou organisations pour promouvoir la conformité, détecter la non-conformité, sensibiliser et fournir des orientations sur la législation d'harmonisation de l'Union et les catégories de produits à risque, tout en garantissant l'objectivité et l'impartialité des parties impliquées.</footnote>
(162) Afin de tirer le meilleur parti de l'expertise centralisée de l'Union et des synergies au niveau de l'Union, les pouvoirs de surveillance et de contrôle du respect des obligations incombant aux fournisseurs de modèles d'IA à usage général devraient relever de la compétence de la Commission. Le Bureau de l'IA devrait être en mesure de prendre toutes les mesures nécessaires pour contrôler la mise en œuvre effective du présent règlement en ce qui concerne les modèles d'IA à usage général. Il devrait être en mesure d'enquêter sur d'éventuelles infractions aux règles incombant aux fournisseurs de modèles d'IA à usage général, aussi bien de sa propre initiative, selon les résultats de ses activités de surveillance, ou sur demande des autorités de surveillance du marché conformément aux conditions prévues par le présent règlement. Afin de contribuer à une surveillance effective par le Bureau de l'IA, celui-ci devrait donner la possibilité aux fournisseurs en aval d'introduire des réclamations concernant d'éventuelles infractions aux règles relatives aux fournisseurs de modèles et systèmes d'IA à usage général.

* en lien avec : **Article 88** - Contrôle de l'exécution des obligations incombant aux fournisseurs de modèles d'IA à usage général

(163) En vue de compléter les systèmes de gouvernance des modèles d'IA à usage général, le groupe scientifique devrait soutenir les activités de surveillance du Bureau de l'IA et pourrait, dans certains cas, soumettre au Bureau de l'IA des alertes qualifiées qui déclenchent des mesures de suivi telles que des enquêtes. Cela devrait être le cas lorsque le groupe scientifique a des raisons de soupçonner qu'un modèle d'IA à usage général présente un risque concret et identifiable au niveau de l'Union. Cela devrait aussi être le cas lorsque le groupe scientifique a des raisons de soupçonner qu'un modèle d'IA à usage général remplit les critères qui conduiraient à une classification en tant que modèle d'IA à usage général présentant un risque systémique. Afin que le groupe scientifique dispose des informations nécessaires à l'exécution de ces tâches, il devrait exister un mécanisme permettant au groupe scientifique de demander à la Commission d'exiger du fournisseur qu'il fournisse des documents ou des informations.

* en lien avec : **Article 90** - Alertes de risques systémiques données par le groupe scientifique

(164) Le Bureau de l'IA devrait être en mesure de prendre les mesures nécessaires pour contrôler la mise en œuvre effective et le respect des obligations incombant aux fournisseurs de modèles d'IA à usage général énoncées dans le présent règlement. Le Bureau de l'IA devrait être en mesure d'enquêter sur d'éventuelles infractions conformément aux pouvoirs qui lui sont conférés au titre du présent règlement, y compris en exigeant des documents et des informations, en réalisant des évaluations, ainsi qu'en exigeant que des mesures soient prises par les fournisseurs de modèles d'IA à usage général. Lors de la réalisation des évaluations, afin de tirer parti d'une expertise indépendante, le Bureau de l'IA devrait pouvoir faire appel à des experts indépendants pour réaliser les évaluations en son nom. Le respect des obligations devrait pouvoir être imposé, entre autres, par des demandes de prendre des mesures appropriées, y compris des mesures d'atténuation des risques dans le cas de risques systémiques recensés, ainsi qu'en restreignant la mise à disposition du modèle mis sur le marché, en le retirant ou en le rappelant. À titre de garantie, lorsque cela est nécessaire en sus des droits procéduraux prévus par le présent règlement, les fournisseurs de modèles d'IA à usage général devraient jouir des droits procéduraux prévus à l'article 18 du règlement (UE) 2019/1020⁵⁹, qui devraient s'appliquer mutatis mutandis, sans préjudice des droits procéduraux plus spécifiques prévus par le présent règlement.

* en lien avec : **Article 89** - Mesures de contrôle, **Article 91** - Pouvoir de demander de la documentation et des informations à **Article 94** - Droits procéduraux des opérateurs économiques du modèle d'IA à usage général

<footnote n="59">⁵⁹ Les mesures, décisions ou injonctions prises par les autorités de surveillance du marché doivent être motivées, notifiées sans tarder à l'opérateur économique concerné, qui doit être informé des voies de recours disponibles et avoir la possibilité d'être entendu dans un délai approprié, sauf en cas d'urgence.</footnote>
(165) Le développement de systèmes d'IA autres que les systèmes d'IA à haut risque dans le respect des exigences du présent règlement peut conduire à une plus large adoption d'une IA éthique et digne de confiance dans l'Union. Les fournisseurs de systèmes d'IA qui ne sont pas à haut risque devraient être encouragés à établir des codes de conduite, accompagnés de mécanismes de gouvernance connexes, destinés à favoriser l'application volontaire de tout ou partie des exigences obligatoires applicables aux systèmes d'IA à haut risque, adaptés en fonction de la destination des systèmes et des risques plus faibles encourus et tenant compte des solutions techniques disponibles et des bonnes pratiques du secteur, tels que les cartes modèles et les fiches de données. Les fournisseurs et, le cas échéant, les déployeurs de tous les systèmes d'IA, à haut risque ou non, et modèles d'IA devraient aussi être encouragés à appliquer sur une base volontaire des exigences supplémentaires liées, par exemple, aux éléments des lignes directrices de l'Union en matière d'éthique pour une IA digne de confiance, à la durabilité environnementale, aux mesures relatives à la maîtrise de l'IA, à la conception et au développement inclusifs et diversifiés des systèmes d'IA, y compris en prêtant attention aux personnes vulnérables et à l'accessibilité pour les personnes handicapées, à la participation des parties prenantes avec la contribution, le cas échéant, de parties prenantes concernées telles que les organisations d'entreprises et de la société civile, le milieu universitaire, les organismes de recherche, les syndicats et les organisations de protection des consommateurs à la conception et au développement des systèmes d'IA, ainsi qu'à la diversité des équipes de développement, y compris l'équilibre hommes-femmes. Afin que les codes de conduite volontaires portent leurs effets, ils devraient s'appuyer sur des objectifs clairs et des indicateurs de performance clés permettant de mesurer la réalisation de ces objectifs. Ils devraient également être élaborés de manière inclusive, selon qu'il convient, avec la participation des parties prenantes concernées telles que les organisations d'entreprises et de la société civile, le milieu universitaire, les organismes de recherche, les syndicats et les organisations de protection des consommateurs. La Commission peut élaborer des initiatives, y compris de nature sectorielle, pour faciliter la suppression des obstacles techniques entravant l'échange transfrontière de données pour le développement de l'IA, notamment en ce qui concerne l'infrastructure d'accès aux données et l'interopérabilité sémantique et technique des différents types de données.

* en lien avec : Article 95 - Codes de conduite pour l'application volontaire de certaines exigences

(166) Il importe que les systèmes d'IA liés à des produits qui ne sont pas à haut risque au titre du présent règlement et qui ne sont donc pas tenus d'être conformes aux exigences énoncées pour les systèmes d'IA à haut risque soient néanmoins sûrs lorsqu'ils sont mis sur le marché ou mis en service. Pour contribuer à cet objectif, l'application du règlement (UE) 2023/988 du Parlement européen et du Conseil constituerait un filet de sécurité.

* en lien avec : Article 2 - Champ d'application et Article 95 - Codes de conduite pour l'application volontaire de certaines exigences

(167) Afin d'assurer une coopération constructive et en toute confiance entre les autorités compétentes au niveau de l'Union et au niveau national, toutes les parties intervenant dans l'application du présent règlement devraient respecter la confidentialité des informations et des données obtenues dans le cadre de l'exécution de leurs tâches, conformément au droit de l'Union et au droit national. Elles devraient s'acquitter de leurs tâches et activités de manière à protéger, en particulier, les droits de propriété intellectuelle, les informations commerciales confidentielles et les secrets d'affaires, la mise en œuvre effective du présent règlement, les intérêts en matière de sécurité nationale et publique, l'intégrité des procédures pénales et administratives et l'intégrité des informations classifiées.

* en lien avec : Article 78 - Confidentialité

(168) Le respect des dispositions du présent règlement devrait pouvoir être imposé au moyen de sanctions et d'autres mesures d'exécution. Les États membres devraient prendre toutes les
mesures nécessaires pour que les dispositions du présent règlement soient mises en œuvre et, notamment, prévoir des sanctions effectives, proportionnées et dissuasives en cas de violation de ces dispositions, et dans le respect du principe *non bis in idem*<fnref n="60" />. Afin de renforcer et d'harmoniser les sanctions administratives applicables en cas de violation du présent règlement, il convient d'établir le montant maximal pour la fixation des amendes administratives pour certaines infractions spécifiques. Pour évaluer le montant des amendes, les États membres devraient, dans chaque cas d'espèce, tenir compte de toutes les caractéristiques propres à la situation spécifique, en prenant notamment en considération la nature, la gravité et la durée de l'infraction et ses conséquences, ainsi que la taille du fournisseur, en particulier s'il s'agit d'une PME, y compris les jeunes pousses. Le *Contrôleur européen de la protection des données* devrait avoir le pouvoir d'infliger des amendes aux institutions, agences et organes de l'Union relevant du présent règlement.

* en lien avec : *Article 99 - Sanctions et Article 100 - Amendes administratives imposées aux institutions, organes et organismes de l'Union*

(169) Le respect des obligations incombant aux fournisseurs de modèles d'IA à usage général au titre du présent règlement devrait pouvoir être imposé, entre autres, au moyen d'amendes. À cette fin, des niveaux appropriés d'amendes devraient également être fixés pour les infractions à ces obligations, y compris le non-respect de mesures demandées par la Commission en vertu au présent règlement, sous réserve de délais de prescription appropriés conformément du principe de proportionnalité. Toutes les décisions prises par la Commission au titre du présent règlement sont soumises au contrôle de la Cour de justice de l'Union européenne conformément au Traité sur le fonctionnement de l'Union européenne, y compris la compétence de pleine juridiction de la Cour de justice en ce qui concerne les sanctions en application de l'article 261 du Traité sur le fonctionnement de l'Union européenne<fnref n="61" />.

* en lien avec : *Article 101 - Amendes applicables aux fournisseurs de modèles d'IA à usage général*

(170) Le droit de l'Union et le droit national prévoient déjà des voies de recours effectives pour les personnes physiques et morales qui subissent une atteinte à leurs droits et libertés en raison de l'utilisation de systèmes d'IA. Sans préjudice de ces recours, toute personne physique ou morale ayant des motifs de considérer qu'il y a eu violation des dispositions du présent règlement devrait avoir le droit d'introduire une réclamation auprès de l'autorité de surveillance du marché concernée.

* en lien avec : *Article 85 - Droit d'introduire une réclamation auprès d'une autorité de surveillance du marché*

(171) Les personnes concernées devraient avoir le droit d'obtenir une explication lorsque la décision d'un déployeur est principalement fondée sur les sorties de certains systèmes d'IA à haut risque qui relèvent du champ d'application du présent règlement et lorsque cette décision produit des effets juridiques ou cause un préjudice important de façon similaire à ces personnes d'une manière qu'elles considèrent comme ayant une incidence négative sur leur santé, leur sécurité ou leurs droits fondamentaux. Cette explication devrait être claire et pertinente, et constituer une base à partir de laquelle les personnes concernées peuvent exercer leurs droits. Le droit d'obtenir une explication ne devrait pas s'appliquer à l'utilisation de systèmes d'IA pour lesquels des exceptions ou des restrictions découlent du droit de l'Union ou du droit national et ne devrait s'appliquer que dans la mesure où ce droit n'est pas déjà prévu par le droit de l'Union.

* en lien avec : *Article 86 - Droit à l'explication des décisions individuelles*

<footnote n="60">⁶⁰ Le principe du non bis in idem en droit pénal indique qu'une personne ne peut être poursuivie ou punie pénalement deux fois pour les mêmes faits ayant donné lieu à un jugement définitif d'acquittement ou de condamnation.</footnote>

<footnote n="61">⁶¹ Les règlements adoptés par le Parlement européen et le Conseil peuvent conférer à la Cour de justice de l'Union européenne une compétence de pleine juridiction pour les sanctions qu'ils prévoient.</footnote>
(172) Les personnes agissant en tant que lanceurs d'alerte eu égard à des infractions au présent règlement devraient être protégées en vertu du droit de l'Union. La directive (UE) 2019/1937 du Parlement européen et du Conseil devrait donc s'appliquer aux signalements d'infractions au présent règlement et à la protection des personnes signalant ces infractions.

➤ en lien avec : **Article 87 - Signalement de violations et protection des auteurs de signalement**

(173) Afin de garantir que le cadre réglementaire puisse être adapté si nécessaire, le pouvoir d'adopter des actes conformément à l'article 290 du Traité sur le fonctionnement de l'Union européenne<fnref n="62" /> devrait être délégué à la Commission pour lui permettre de modifier les conditions dans lesquelles un système d'IA ne doit pas être considéré comme étant à haut risque, la liste des systèmes d'IA à haut risque, les dispositions relatives à la documentation technique, le contenu de la déclaration « UE » de conformité, les dispositions relatives aux procédures d'évaluation de la conformité, les dispositions établissant les systèmes d'IA à haut risque auxquels devrait s'appliquer la procédure d'évaluation de la conformité fondée sur l'évaluation du système de gestion de la qualité et l'évaluation de la documentation technique, le seuil, les critères de référence et les indicateurs, y compris en complétant ces critères de référence et indicateurs, dans les règles de classification des modèles d'IA à usage général présentant un risque systémique, les critères de désignation des modèles d'IA à usage général présentant un risque systémique, la documentation technique destinée aux fournisseurs de modèles d'IA à usage général et les informations relatives à la transparence pour les fournisseurs de modèles d'IA à usage général. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'Accord interinstitutionnel du 13 avril 2016 « Mieux légiférer ». En particulier, afin d'assurer une participation égale à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents en même temps que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission participant à la préparation des actes délégués.

➤ en lien avec : **Article 97 - Exercice de la délégation**

(174) Compte tenu de l'évolution rapide des technologies et de l'expertise technique requise aux fins de la bonne application du présent règlement, la Commission devrait évaluer et réexaminer le présent règlement au plus tard le 2 août 2029 et tous les quatre ans par la suite, et faire rapport au Parlement européen et au Conseil. En outre, en tenant compte des conséquences sur le champ d'application du présent règlement, la Commission devrait procéder à une évaluation de la nécessité de modifier une fois par an la liste des systèmes d'IA à haut risque et la liste des pratiques interdites. En outre, au plus tard le 2 août 2028 et tous les quatre ans par la suite, la Commission devrait évaluer la nécessité de modifier les rubriques de la liste des domaines à haut risque figurant à l'annexe du présent règlement, les systèmes d'IA relevant des obligations de transparence, l'efficacité du système de surveillance et de gouvernance ainsi que l'état d'avancement des travaux de normalisation concernant le développement économique en énergie de modèles d'IA à usage général, y compris la nécessité de mesures ou d'actions supplémentaires, et faire rapport au Parlement européen et au Conseil. Enfin, au plus tard le 2 août 2028 et tous les trois ans par la suite, la Commission devrait évaluer l'impact et l'efficacité des codes de conduite volontaires destinés à favoriser l'application des exigences énoncées pour les systèmes d'IA à haut risque dans le cas des systèmes d'IA autres que les systèmes d'IA à haut risque, et éventuellement d'autres exigences supplémentaires pour de tels systèmes d'IA.

➤ en lien avec : **Article 112 - Évaluation et réexamen**

<footnote n="62">⁶² Un acte législatif peut déléguer à la Commission le pouvoir d'adopter des actes non législatifs de portée générale, en définissant explicitement les objectifs, le contenu, la portée et la durée de cette délégation.</footnote>
(175) Afin de garantir des conditions uniformes de mise en œuvre du présent règlement, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) n° 182/2011 du Parlement européen et du Conseil.

➤ en lien avec : **Article 98 - Comité**

(176) Étant donné que l'objectif du présent règlement, à savoir améliorer le fonctionnement du marché intérieur et promouvoir l'adoption d'une IA axée sur l'humain et digne de confiance tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux consacrés dans la [Charte](#), y compris la démocratie, l'état de droit et la protection de l'environnement, contre les effets néfastes des [systèmes d'IA](#) dans l'Union, et en soutenant l'innovation, ne peut pas être atteint de manière suffisante par les États membres mais peut, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures conformément au principe de subsidiarité<fnref n="63" /> consacré à l'article 5 du *Traité sur l'Union européenne*<fnref n="64" />. Conformément au principe de proportionnalité<fnref n="65" /> énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre cet objectif.

➤ en lien avec : **l'article 5 du Traité sur l'Union européenne**

(177) Afin d'assurer la sécurité juridique, de veiller à ce que les [opérateurs](#) disposent d'une période d'adaptation appropriée et d'éviter toute perturbation du marché, y compris en assurant la continuité de l'utilisation des [systèmes d'IA](#), il convient que le présent règlement s'applique aux [systèmes d'IA](#) à haut risque qui ont été mis sur le marché ou mis en service avant la date générale d'application de celui-ci, uniquement si, à compter de cette date, ces systèmes subissent d'importantes modifications de leur conception ou de leur destination. Il convient de préciser qu'à cet égard, la notion d'importante modification devrait être comprise comme équivalente sur le fond à celle de *modification substantielle*, qui est utilisée uniquement en ce qui concerne les [systèmes d'IA](#) à haut risque au titre du présent règlement. À titre exceptionnel et compte tenu de l'obligation de rendre des comptes au public, les exploitants de [systèmes d'IA](#) qui sont des composants des systèmes d'information à grande échelle établis par les actes juridiques énumérés à l'[*annexe*](#) du présent règlement et les exploitants de [systèmes d'IA](#) à haut risque destinés à être utilisés par des autorités publiques devraient prendre les mesures nécessaires pour se conformer aux exigences du présent règlement, respectivement, d'ici à la fin de 2030 et au plus tard le 2 août 2030.

➤ en lien avec : **Article 111 - Systèmes d'IA déjà mis sur le marché ou mis en service et modèles d'IA à usage général déjà mis sur le marché**

(178) Les [fournisseurs de systèmes d'IA](#) à haut risque sont encouragés à commencer à se conformer, sur une base volontaire, aux obligations pertinentes du présent règlement dès la période transitoire.

➤ en lien avec : **Article 113 - Entrée en vigueur et application**

(179) Le présent règlement devrait s'appliquer à partir du 2 août 2026. Toutefois, compte tenu du risque inacceptable associé à certaines utilisations de l'IA, les interdictions ainsi que les dispositions générales du présent règlement devraient déjà s'appliquer à compter du 2 février 2025. Si le plein effet de ces interdictions découle de la mise en place de la gouvernance et du contrôle du respect du présent règlement, il importe d'anticiper l'application des interdictions afin de tenir compte des risques inacceptables et d'avoir un effet sur d'autres procédures, par exemple en droit civil. En outre, l'infrastructure liée à la gouvernance et au système

<footnote n="63">⁶³ **Principe de subsidiarité** : L'Union européenne intervient seulement si les objectifs de l'action envisagée ne peuvent pas être atteints de manière suffisante par les États membres, mais peuvent l'être mieux au niveau de l'Union, en raison des dimensions ou des effets de l'action envisagée.</footnote>

<footnote n="64">⁶⁴ L'Union européenne agit uniquement dans les limites des compétences attribuées par les traités, en respectant les principes de subsidiarité et de proportionnalité.</footnote>

<footnote n="65">⁶⁵ **Principe de proportionnalité** : Le contenu et la forme de l'action de l'Union n'excèdent pas ce qui est nécessaire pour atteindre les objectifs des traités.</footnote>
d'évaluation de la conformité devrait être opérationnelle avant le 2 août 2026, et les dispositions relatives aux organismes notifiés et à la structure de gouvernance devraient donc s'appliquer à compter du 2 août 2025. Compte tenu du rythme rapide des avancées technologiques et de l'adoption des modèles d'IA à usage général, les obligations incombant aux fournisseurs de modèles d'IA à usage général devraient s'appliquer à compter du 2 août 2025. Les codes de bonne pratique devraient être prêts au plus tard le 2 mai 2025 afin de permettre aux fournisseurs de démontrer leur conformité à temps. Le Bureau de l'IA devrait veiller à ce que les règles et procédures de classification soient à jour des évolutions technologiques. En outre, les États membres devraient définir et notifier à la Commission les règles relatives aux sanctions, y compris les amendes administratives, et veiller à ce qu'elles soient correctement et efficacement mises en œuvre à la date d'application du présent règlement. Par conséquent, les dispositions relatives aux sanctions devraient s'appliquer à compter du 2 août 2025.

* en lien avec : **Article 113 - Entrée en vigueur et application**

(180) Le Contrôleur européen de la protection des données et le Comité européen de la protection des données ont été consultés conformément à l'article 42, paragraphes 1 et 2, du règlement (UE) 2018/1725⁶⁶ et ont rendu leur avis conjoint le 18 juin 2021,

* en lien avec : **l'avis conjoint 05/2021 de l'EDPB et du CEPD**

<footnote n="66">⁶⁶ La Commission consulte le Contrôleur européen de la protection des données lors de l'adoption de propositions législatives ou d'actes ayant une incidence sur la protection des données personnelles, et peut également consulter le comité européen de la protection des données pour des actes d'importance particulière.</footnote>
# ont adopté le présent règlement :

## CHAPITRE I - DISPOSITIONS GÉNÉRALES

### Article 1er - Objet

<figure><img src="image_9.png" /></figure>

Accéder au résumé de l'article ~ 2 févr. 2025

Considérant(s), v. not. : (1), (2), (3), (6), (7) et (8)

1. L'objectif du présent règlement est d'améliorer le fonctionnement du marché intérieur et de promouvoir l'adoption d'une intelligence artificielle (IA) axée sur l'humain et digne de confiance, tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux consacrés dans la Charte, notamment la démocratie, l'état de droit et la protection de l'environnement, contre les effets néfastes des systèmes d'IA dans l'Union, et en soutenant l'innovation.

2. Le présent règlement établit :

a) des règles harmonisées concernant la mise sur le marché, la mise en service et l'utilisation de systèmes d'IA dans l'Union ;

b) l'interdiction de certaines pratiques en matière d'IA ;

c) des exigences spécifiques applicables aux systèmes d'IA à haut risque et des obligations imposées aux opérateurs de ces systèmes ;

d) des règles harmonisées en matière de transparence applicables à certains systèmes d'IA ;

e) des règles harmonisées pour la mise sur le marché de modèles d'IA à usage général ;

f) des règles relatives au suivi du marché, à la surveillance du marché, à la gouvernance et à l'application des règles ;

g) des mesures visant à soutenir l'innovation, en mettant particulièrement l'accent sur les PME, y compris les jeunes pousses.

### Article 2 - Champ d'application

<figure><img src="image_10.png" /></figure>

Accéder au résumé de l'article ~ 2 févr. 2025

Considérant(s), v. not. : (9), (10), (11), (21), (22), (23), (24), (25) et (166)

1. Le présent règlement s'applique :

a) aux fournisseurs établis ou situés dans l'Union ou dans un pays tiers qui mettent sur le marché ou mettent en service des systèmes d'IA ou qui mettent sur le marché des modèles d'IA à usage général dans l'Union ;

b) aux déployeur de système d'IA qui ont leur lieu d'établissement ou sont situés dans l'Union ;

c) aux fournisseurs et aux déployeurs de systèmes d'IA qui ont leur lieu d'établissement ou sont situés dans un pays tiers, lorsque les sorties produites par le système d'IA sont utilisées dans l'Union ;

d) aux importateurs et aux distributeurs de système d'IA ;

e) aux fabricants de produits (87) qui mettent sur le marché ou mettent en service un système d'IA en même temps que leur produit et sous leur propre nom ou leur propre marque ;

f) aux mandataires des fournisseurs qui ne sont pas établis dans l'Union ;

g) aux personnes concernées qui sont situées dans l'Union.

2. En ce qui concerne les systèmes d'IA classés à haut risque conformément à l'article 6, paragraphe 1, liés aux produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, seuls l'article 6, paragraphe 1, les articles 102 à 109 et l'article 112 s'appliquent. L'article 57 ne s'applique que dans la mesure où les exigences applicables aux
systèmes d'IA à haut risque au titre du présent règlement ont été intégrées dans ladite législation d'harmonisation de l'Union.

3. Le présent règlement ne s'applique pas aux domaines qui ne relèvent pas du champ d'application du droit de l'Union et, en tout état de cause, ne porte pas atteinte aux compétences des États membres en matière de sécurité nationale, quel que soit le type d'entité chargée par les États membres d'exécuter des tâches liées à ces compétences.

Le présent règlement ne s'applique pas aux **systèmes d'IA** si et dans la mesure où ils sont mis sur le marché, mis en service ou utilisés avec ou sans modifications exclusivement à des fins militaires, de défense ou de sécurité nationale, quel que soit le type d'entité exerçant ces activités.

Le présent règlement ne s'applique pas aux **systèmes d'IA** qui ne sont pas mis sur le marché ou mis en service dans l'Union, lorsque les sorties sont utilisées dans l'Union exclusivement à des fins militaires, de défense ou de sécurité nationale, quel que soit le type d'entité exerçant ces activités.

4. Le présent règlement ne s'applique ni aux autorités publiques d'un pays tiers ni aux organisations internationales relevant du champ d'application du présent règlement en vertu du paragraphe 1, lorsque ces autorités ou organisations utilisent des **systèmes d'IA** dans le cadre de la coopération internationale ou d'accords internationaux de coopération des services répressifs et judiciaires avec l'Union ou avec un ou plusieurs États membres, à condition que ce pays tiers ou cette organisation internationale fournisse des garanties adéquates en ce qui concerne la protection des droits fondamentaux et des libertés des personnes.

5. Le présent règlement n'affecte pas l'application des dispositions relatives à la responsabilité des prestataires intermédiaires énoncées au chapitre II du règlement (UE) 2022/2065⁶⁷.

6. Le présent règlement ne s'applique pas aux **systèmes d'IA** ou aux modèles d'IA spécifiquement développés et mis en service uniquement à des fins de recherche et développement scientifiques, ni à leurs sorties.

7. Le droit de l'Union en matière de protection des données à caractère personnel, de respect de la vie privée et de confidentialité des communications s'applique aux données à caractère personnel traitées en lien avec les droits et obligations énoncés dans le présent règlement. Le présent règlement n'a pas d'incidence sur le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ni sur la directive 2002/58/CE ou la directive (UE) 2016/680, sans préjudice de l'article 10, paragraphe 5, et de l'article 59 du présent règlement.

8. Le présent règlement ne s'applique pas aux activités de recherche, d'essai et de développement relatives aux **systèmes d'IA** ou modèles d'IA avant leur mise sur le marché ou leur mise en service. Ces activités sont menées conformément au droit de l'Union applicable. Les essais en conditions réelles ne sont pas couverts par cette exclusion.

9. Le présent règlement s'entend sans préjudice des règles établies par d'autres actes juridiques de l'Union relatifs à la protection des consommateurs et à la sécurité des produits.

10. Le présent règlement ne s'applique pas aux obligations incombant aux **déployeurs** qui sont des personnes physiques utilisant des **systèmes d'IA** dans le cadre d'une activité strictement personnelle à caractère non professionnel.

11. Le présent règlement n'empêche pas l'Union ou les États membres de maintenir ou d'introduire des dispositions législatives, réglementaires ou administratives plus favorables aux

<footnote n="67">⁶⁷ Les articles 4 à 10 du règlement 2022/2065 précisent que les fournisseurs de services intermédiaires ne sont pas responsables des informations transmises, mises en cache ou stockées à condition de ne pas être à l'origine de la transmission, de ne pas modifier les informations et d'agir promptement en cas de contenu illicite. Ils ne sont pas soumis à une obligation générale de surveillance mais doivent informer rapidement les autorités en cas d'injonction.</footnote>
travailleurs quant à la protection de leurs droits en ce qui concerne l'utilisation de <u>système d'IA</u>
par les employeurs, ou d'encourager ou de permettre l'application de conventions collectives
plus favorables aux travailleurs.

12. Le présent règlement ne s'applique pas aux <u>systèmes d'IA</u> publiés dans le cadre de licences libres et ouvertes, sauf s'ils sont <u>mis sur le marché</u> ou <u>mis en service</u> en tant que <u>système d'IA</u> à haut risque ou en tant que <u>système d'IA</u> qui relèvent de l'article 5 ou de l'article 50.

## Article 3 - Définitions

<figure><img src="image_11.png" /></figure>

Accéder au résumé de l'article ~ 2 févr. 2025

Considérant(s), v. not. : (12), (13), (14), (15), (16), (17), (18), (19), (97), (98), (99), (100), (110) et (128)

Aux fins du présent règlement, on entend par :

1) « **système d'IA** » ☐(12), un système automatisé qui est conçu pour fonctionner à différents niveaux d'autonomie et peut faire preuve d'une capacité d'adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu'il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels ;

2) « **risque** », la combinaison de la probabilité d'un préjudice et de la sévérité de celui-ci;

3) « **fournisseur** », une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un **système d'IA** ou un **modèle d'IA** à usage général et le **met sur le marché** ou met le **système d'IA** en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit ;

4) « **déployeur** » ☐(13), une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un **système d'IA** sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel ;

5) « **mandataire** », une personne physique ou morale située ou établie dans l'Union ayant reçu et accepté un mandat écrit d'un **fournisseur** de **système d'IA** ou de **modèle d'IA** à usage général pour s'acquitter en son nom des obligations et des procédures établies par le présent règlement ;

6) « **importateur** », une personne physique ou morale située ou établie dans l'Union qui **met sur le marché** un **système d'IA** qui porte le nom ou la marque d'une personne physique ou morale établie dans un pays tiers ;

7) « **distributeur** », une personne physique ou morale faisant partie de la chaîne d'approvisionnement, autre que le **fournisseur** ou l'**importateur**, qui met un **système d'IA** disposition sur le marché de l'Union ;

8) « **opérateur** », un **fournisseur**, fabricant de produits ☐(87), **déployeur**, **mandataire**, **importateur** ou **distributeur** ;

9) « **mise sur le marché** », la première mise à disposition d'un **système d'IA** ou d'un **modèle d'IA** à usage général sur le marché de l'Union ;

10) « **mise à disposition sur le marché** », la fourniture d'un **système d'IA** ou d'un **modèle d'IA** à usage général destiné à être distribué ou utilisé sur le marché de l'Union dans le cadre d'une activité commerciale, à titre onéreux ou gratuit ;

11) « **mise en service** », la fourniture d'un **système d'IA** en vue d'une première utilisation directement au **déployeur** ou pour usage propre dans l'Union, conformément à la **destination du système d'IA** ;

12) « **destination** », l'utilisation à laquelle un **système d'IA** est destiné par le **fournisseur**, y compris le contexte et les conditions spécifiques d'utilisation, tels qu'ils sont précisés dans les informations communiquées par le **fournisseur** dans la **notice d'utilisation**, les indications publicitaires ou de vente et les déclarations, ainsi que dans la documentation technique ;
13) « mauvaise utilisation raisonnablement prévisible », l'utilisation d'un système d'IA d'une manière qui n'est pas conforme à sa destination, mais qui peut résulter d'un comportement humain raisonnablement prévisible ou d'une interaction raisonnablement prévisible avec d'autres systèmes, y compris d'autres systèmes d'IA ;

14) « composant de sécurité », un composant d'un produit ou d'un système d'IA qui remplit une fonction de sécurité pour ce produit ou ce système d'IA, ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens ;

15) « notice d'utilisation », les indications communiquées par le fournisseur pour informer le déployeur, en particulier, de la destination et de l'utilisation correcte d'un système d'IA ;

16) « rappel d'un système d'IA », toute mesure visant à assurer le retour au fournisseur d'un système d'IA mis à la disposition de déployeur ou à le mettre hors service ou à désactiver son utilisation ;

17) « retrait d'un système d'IA », toute mesure visant à empêcher qu'un système d'IA se trouvant dans la chaîne d'approvisionnement ne soit mis à disposition sur le marché ;

18) « performance d'un système d'IA », la capacité d'un système d'IA à remplir sa destination ;

19) « autorité notifiante », l'autorité nationale chargée de mettre en place et d'accomplir les procédures nécessaires à l'évaluation, à la désignation et à la notification des organisme d'évaluation de la conformité et à leur contrôle ;

20) « évaluation de la conformité », la procédure permettant de démontrer que les exigences relatives à un système d'IA à haut risque énoncées au chapitre III, section 2, ont été respectées ;

21) « organisme d'évaluation de la conformité », un organisme en charge des activités d'évaluation de la conformité par un tiers, y compris la mise à l'essai, la certification et l'inspection ;

22) « organisme notifié », un organisme d'évaluation de la conformité notifié en application du présent règlement et d'autres actes législatifs d'harmonisation de l'Union pertinents ;

23) « modification substantielle » [128], une modification apportée à un système d'IA après sa mise sur le marché ou sa mise en service, qui n'est pas prévue ou planifiée dans l'évaluation initiale de la conformité réalisée par le fournisseur et qui a pour effet de nuire à la conformité de ce système aux exigences énoncées au chapitre III, section 2, ou qui entraîne une modification de la destination pour laquelle le système d'IA a été évalué ;

24) « marquage CE », un marquage par lequel le fournisseur indique qu'un système d'IA est conforme aux exigences du chapitre III, section 2, et d'autres actes législatifs d'harmonisation de l'Union applicables qui en prévoient l'apposition ;

25) « système de surveillance après commercialisation », l'ensemble des activités réalisées par les fournisseurs de système d'IA pour recueillir et analyser les données issues de l'expérience d'utilisation des systèmes d'IA qu'ils mettent sur le marché ou mettent en service de manière à repérer toute nécessité d'appliquer immédiatement une mesure préventive ou corrective ;

26) « autorité de surveillance du marché », l'autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020⁶⁸ ;

27) « norme harmonisée », une norme harmonisée au sens de l'article 2, paragraphe 1, point c), du règlement (UE) n° 1025/2012⁶⁹ ;

<footnote n="68">⁶⁸ sur la surveillance du marché et la conformité des produits.</footnote>

<footnote n="69">⁶⁹ « norme harmonisée », une norme européenne adoptée sur la base d'une demande formulée par la Commission pour l'application de la législation d'harmonisation de l'Union;</footnote>
28) « spécification commune », un ensemble de spécifications techniques au sens de l'article 2, point 4), du règlement (UE) n° 1025/2012⁷⁰ qui permettent de satisfaire à certaines exigences établies en vertu du présent règlement ;

29) « données d'entraînement », les données utilisées pour entraîner un système d'IA en ajustant ses paramètres entraînables ;

30) « données de validation », les données utilisées pour fournir une évaluation du système d'IA entraîné et pour régler ses paramètres non entraînables ainsi que son processus d'apprentissage, afin, notamment, d'éviter tout sous-ajustement ou surajustement ;

31) « jeu de données de validation », un jeu de données distinct ou une partie du jeu de données d'entraînement, sous la forme d'une division variable ou fixe ;

32) « données de test », les données utilisées pour fournir une évaluation indépendante du système d'IA afin de confirmer la performance attendue de ce système avant sa mise sur le marché ou sa mise en service ;

33) « données d'entrée », les données fournies à un système d'IA ou directement acquises par celui-ci et à partir desquelles il produit une sortie ;

34) « données biométriques » (14), les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, telles que des images faciales ou des données dactyloscopiques ;

35) « identification biométrique » (15), la reconnaissance automatisée de caractéristiques physiques, physiologiques, comportementales ou psychologiques humaines aux fins d'établir l'identité d'une personne physique en comparant ses données biométriques à des données biométriques de personnes stockées dans une base de données ;

36) « vérification biométrique » (15), la vérification « un à un » automatisée, y compris l'authentification, de l'identité des personnes physiques en comparant leurs données biométriques à des données biométriques précédemment fournies ;

37) « catégories particulières de données à caractère personnel », les catégories de données à caractère personnel visées à l'article 9, paragraphe 1, du règlement (UE) 2016/679, à l'article 10 de la directive (UE) 2016/680 et à l'article 10, paragraphe 1, du règlement (UE) 2018/1725⁷¹ ;

38) « données opérationnelles sensibles », les données opérationnelles relatives à des activités de prévention et de détection des infractions pénales, ainsi que d'enquête ou de poursuites en la matière, dont la divulgation pourrait compromettre l'intégrité des procédures pénales ;

39) « système de reconnaissance des émotions » (18), un système d'IA permettant la reconnaissance ou la déduction des émotions ou des intentions de personnes physiques sur la base de leurs données biométriques ;

40) « système de catégorisation biométrique » (16), un système d'IA destiné à affecter des personnes physiques à des catégories spécifiques sur la base de leurs données biométriques, à moins que cela ne soit accessoire à un autre service commercial et strictement nécessaire pour des raisons techniques objectives ;

41) « système d'identification biométrique à distance » (17), un système d'IA destiné à identifier des personnes physiques sans leur participation active, généralement à distance, en comparant les données biométriques d'une personne avec celles qui figurent dans une base de données ;

42) « système d'identification biométrique à distance en temps réel » (17), un système d'identification biométrique à distance dans lequel l'acquisition des données

<footnote n="70">⁷⁰ « spécification technique », un document qui prescrit les exigences techniques à respecter par un produit, un processus, un service ou un système [...]</footnote>

<footnote n="71">⁷¹ Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits.</footnote>
biométriques, la comparaison et l'identification se déroulent sans décalage temporel important et qui comprend non seulement l'identification instantanée, mais aussi avec un léger décalage afin d'éviter tout contournement des règles ;

43) « **système d'identification biométrique à distance a posteriori** » [17], un **système d'identification biométrique à distance** autre qu'un **système d'identification biométrique à distance en temps réel**;

44) « **espace accessible au public** » [19], tout espace physique de propriété publique ou privée, accessible à un nombre indéterminé de personnes physiques, indépendamment de l'existence de conditions d'accès à cet espace qui puissent s'appliquer, et indépendamment d'éventuelles restrictions de capacité ;

45) « **autorités répressives** »,

a) toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; ou

b) tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;

46) « **activités répressives** », des activités menées par les **autorités répressives** ou pour leur compte pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;

47) « **Bureau de l'IA** »<sup>72</sup>, la fonction de la Commission consistant à contribuer à la mise en œuvre, au suivi et à la surveillance des **systèmes d'IA** et de **modèles d'IA à usage général** et de la gouvernance de l'IA, établi par la décision de la Commission du 24 janvier 2024 ; les références faites au Bureau de l'IA dans le présent règlement s'entendent comme faites à la Commission ;

48) « **autorité nationale compétente** », une **autorité notifiante** ou une **autorité de surveillance du marché** ; en ce qui concerne les **systèmes d'IA mise en service** ou utilisés par les institutions, organes ou organismes de l'Union, les références aux **autorités nationales compétentes** ou aux **autorités de surveillance du marché** dans le présent règlement s'entendent comme une référence au Contrôleur européen de la protection des données ;

49) « **incident grave** », un incident ou dysfonctionnement d'un **système d'IA** entraînant directement ou indirectement :

a) le décès d'une personne ou une atteinte grave à la santé d'une personne ;

b) une perturbation grave et irréversible de la gestion ou du fonctionnement d'infrastructures critiques ;

c) la violation des obligations au titre du droit de l'Union visant à protéger les droits fondamentaux ;

d) un dommage grave à des biens ou à l'environnement ;

50) « **données à caractère personnel** », les données à caractère personnel définies à l'article 4, point 1), du règlement (UE) 2016/679<sup>73</sup>;

51) « **données à caractère non personnel** », les données autres que les **données à caractère personnel** au sens de l'article 4, point 1), du règlement (UE) 2016/679 ;

<footnote n="72"><sup>72</sup> Décision de la Commission du 24 janvier 2024 créant le Bureau européen de l'intelligence artificielle (C/2024/390) (IO_C_C/2024/1459, 14.2.2024)</footnote>

<footnote n="73"><sup>73</sup> « données à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;</footnote>
52) « profilage », le profilage au sens de l'article 4, point 4), du règlement (UE) 2016/679⁷⁴ ;

53) « plan d'essais en conditions réelles », un document décrivant les objectifs, la méthode, la population et le champ d'application géographique et la portée dans le temps, le suivi, l'organisation et la conduite des essais en conditions réelles ;

54) « plan du bac à sable », un document adopté conjointement entre le fournisseur participant et l'autorité compétente, qui décrit les objectifs, les conditions, les délais, la méthodologie et les exigences applicables aux activités réalisées au sein du bac à sable ;

55) « bac à sable réglementaire de l'IA », un cadre contrôlé mis en place par une autorité compétente qui offre aux fournisseurs ou fournisseurs potentiels de systèmes d'IA la possibilité de développer, d'entraîner, de valider et de tester, lorsqu'il y a lieu en conditions réelles, un système d'IA innovant, selon un plan du bac à sable pour une durée limitée sous surveillance réglementaire ;

56) « maîtrise de l'IA », les compétences, les connaissances et la compréhension qui permettent aux fournisseurs, aux déployeurs et aux personnes concernées, compte tenu de leurs droits et obligations respectifs dans le contexte du présent règlement, de procéder à un déploiement des systèmes d'IA en toute connaissance de cause, ainsi que de prendre conscience des possibilités et des risques que comporte l'IA, ainsi que des préjudices potentiels qu'elle peut causer ;

57) « essais en conditions réelles », les essais temporaires d'un système d'IA aux fins de sa destination en conditions réelles en dehors d'un laboratoire ou d'un environnement simulé d'une autre manière, visant à recueillir des données fiables et solides et à évaluer et vérifier la conformité du système d'IA aux exigences du présent règlement ; les essais en conditions réelles ne remplissent pas les conditions pour constituer une mise sur le marché ni une mise en service du système d'IA au sens du présent règlement, pour autant que toutes les conditions prévues à l'article 57 ou à l'article 60 soient remplies ;

58) « participant », aux fins des essais en conditions réelles, une personne physique qui participe à des essais en conditions réelles ;

59) « consentement éclairé », l'expression libre, spécifique, univoque et volontaire, par un participant, de sa volonté de participer à un essai en conditions réelles particulier, après avoir été informé de tous les éléments de l'essai qui lui permettent de prendre sa décision concernant sa participation ;

60) « hypertrucage », une image ou un contenu audio ou vidéo généré ou manipulé par l'IA, présentant une ressemblance avec des personnes, des objets, des lieux, des entités ou événements existants et pouvant être perçu à tort par une personne comme authentiques ou véridiques ;

61) « infraction de grande ampleur », tout acte ou toute omission contraire au droit de l'Union en matière de protection des intérêts des personnes, qui :

a) a porté ou est susceptible de porter atteinte aux intérêts collectifs des personnes résidant dans au moins deux États membres autres que celui :

i) où l'acte ou l'omission en question a son origine ou a eu lieu ;

ii) où le fournisseur concerné ou, le cas échéant, son mandataire, est situé ou établi ; ou

iii) où le déployeur est établi, lorsque l'infraction est commise par le déployeur ;

b) a porté, porte ou est susceptible de porter atteinte aux intérêts collectifs des personnes, qui présente des caractéristiques communes, notamment la même pratique illégale ou la violation du même intérêt, et qui se produit simultanément, commise par le même opérateur, dans au moins trois États membres ;

<footnote n="74">⁷⁴ « profilage », toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;</footnote>
62) « **infrastructure critique** », une infrastructure critique au sens de l'article 2, point 4), de la directive (UE) 2022/2557⁷⁵ ;

63) « **modèle d'IA à usage général** » ☐(97), (98) et (99), un modèle d'IA, y compris lorsque ce modèle d'IA est entraîné à l'aide d'un grand nombre de données utilisant l'auto-supervision à grande échelle, qui présente une généralité significative et est capable d'exécuter de manière compétente un large éventail de tâches distinctes, indépendamment de la manière dont le modèle est mis sur le marché, et qui peut être intégré dans une variété de systèmes ou d'applications en aval, à l'exception des modèles d'IA utilisés pour des activités de recherche, de développement ou de prototypage avant leur mise sur le marché ;

64) « **capacités à fort impact** » ☐(110), des capacités égales ou supérieures aux capacités enregistrées dans les **modèles d'IA à usage général** les plus avancés ;

65) « **risque systémique** » ☐(110), un **risque** spécifique aux **capacités à fort impact** des **modèles d'IA à usage général**, ayant une incidence significative sur le marché de l'Union en raison de leur portée ou d'effets négatifs réels ou raisonnablement prévisibles sur la santé publique, la sûreté, la sécurité publique, les droits fondamentaux ou la société dans son ensemble, pouvant être propagé à grande échelle tout au long de la chaîne de valeur ;

66) « **système d'IA à usage général** » ☐(100), un **système d'IA** qui est fondé sur un **modèle d'IA à usage général** et qui a la capacité de répondre à diverses finalités, tant pour une utilisation directe que pour une intégration dans d'autres **systèmes d'IA** ;

67) « **opération en virgule flottante** » ☐(110), toute opération ou assignation mathématique impliquant des nombres en virgule flottante, qui constituent un sous-ensemble des nombres réels généralement représentés sur un ordinateur par un entier de précision fixe suivi d'un exposant entier d'une base fixe ;

68) « **fournisseur en aval** », un **fournisseur** d'un **système d'IA**, y compris d'un **système d'IA** à usage général, qui intègre un modèle d'IA, que le modèle d'IA soit fourni par lui-même ou non, et verticalement intégré ou fourni par une autre entité sur la base de relations contractuelles.

## Article 4 - Maîtrise de l'IA

<figure><img src="image_12.png" /></figure>

Accéder au résumé de l'article ~ 2 févr. 2025

Considérant(s), v. not. : (20)

Les **fournisseurs** et les **déployeurs** de **systèmes d'IA** prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de **maîtrise de l'IA** pour leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des **systèmes d'IA** pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les **systèmes d'IA** sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les **systèmes d'IA** sont destinés à être utilisés.

<footnote n="75">⁷⁵ « infrastructure critique », un bien, une installation, un équipement, un réseau ou un système, ou une partie d'un bien, d'une installation, d'un équipement, d'un réseau ou d'un système, qui est nécessaire à la fourniture d'un service essentiel.</footnote>
# CHAPITRE II - PRATIQUES INTERDITES EN MATIÈRE D'IA

## Article 5 - Pratiques interdites en matière d'IA

<figure><img src="image_13.png" /></figure>

<figure><img src="image_14.png" /></figure>

Accéder au résumé de l'article ~ 2 févr. 2025

Considérant(s), v. not. : (3), (28), (29), (30), (31), (32), (33), (34), (35), (36), (37), (38), (39), (40), (41), (42), (43), (44) et (45)

1. Les pratiques en matière d'IA suivantes sont interdites :

a) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui a recours à des techniques subliminales, au-dessous du seuil de conscience d'une personne, ou à des techniques délibérément manipulatrices ou trompeuses, avec pour objectif ou effet d'altérer substantiellement le comportement d'une personne ou d'un groupe de personnes en portant considérablement atteinte à leur capacité à prendre une décision éclairée, amenant ainsi la personne à prendre une décision qu'elle n'aurait pas prise autrement, d'une manière qui cause ou est raisonnablement susceptible de causer un préjudice important à cette personne, à une autre personne ou à un groupe de personnes (1) (29) ;

b) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui exploite les éventuelles vulnérabilités dues à l'âge, au handicap ou à la situation sociale ou économique spécifique d'une personne physique ou d'un groupe de personnes donné avec pour objectif ou effet d'altérer substantiellement le comportement de cette personne ou d'un membre de ce groupe d'une manière qui cause ou est raisonnablement susceptible de causer un préjudice important à cette personne ou à un tiers (1) (29) ;

c) la mise sur le marché, la mise en service ou l'utilisation de systèmes d'IA pour l'évaluation ou la classification de personnes physiques ou de groupes de personnes au cours d'une période donnée en fonction de leur comportement social ou de caractéristiques personnelles ou de personnalité connues, déduites ou prédites, la note sociale conduisant à l'une ou l'autre des situations suivantes, ou aux deux (31) :

i) le traitement préjudiciable ou défavorable de certaines personnes physiques ou de groupes de personnes dans des contextes sociaux dissociés du contexte dans lequel les données ont été générées ou collectées à l'origine ;

ii) le traitement préjudiciable ou défavorable de certaines personnes ou de groupes de personnes, qui est injustifié ou disproportionné par rapport à leur comportement social ou à la gravité de celui-ci ;

d) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation d'un système d'IA pour mener des évaluations des risques des personnes physiques visant à évaluer ou à prédire le risque qu'une personne physique commette une infraction pénale, uniquement sur la base du profilage d'une personne physique ou de l'évaluation de ses traits de personnalité ou caractéristiques ; cette interdiction ne s'applique pas aux systèmes d'IA utilisés pour étayer l'évaluation humaine de l'implication d'une personne dans une activité criminelle, qui est déjà fondée sur des faits objectifs et vérifiables, directement liés à une activité criminelle (42) ;

e) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation de systèmes d'IA qui créent ou développent des bases de données de reconnaissance faciale par le moissonnage non ciblé d'images faciales provenant de l'internet ou de la vidéosurveillance (43) ;

f) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation de système d'IA pour inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement, sauf lorsque l'utilisation du système d'IA est destinée à être mise en place ou mise sur le marché pour des raisons médicales ou de sécurité (44) ;
g) la mise sur le marché, la mise en service à cette fin spécifique ou l'utilisation de **systèmes de catégorisation biométrique** qui catégorisent individuellement les personnes physiques sur la base de leurs données biométriques afin d'arriver à des déductions ou des inférences concernant leur race, leurs opinions politiques, leur affiliation à une organisation syndicale, leurs convictions religieuses ou philosophiques, leur vie sexuelle ou leur orientation sexuelle ; cette interdiction ne couvre pas l'étiquetage ou le filtrage d'ensembles de données biométriques acquis légalement, tels que des images, fondés sur des données biométriques ou la catégorisation de données biométriques dans le domaine répressif (30) ;

h) l'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, sauf si et dans la mesure où cette utilisation est strictement nécessaire eu égard à l'un des objectifs suivants (32) et (33) :

i) la recherche ciblée de victimes spécifiques d'enlèvement, de la traite ou de l'exploitation sexuelle d'êtres humains, ainsi que la recherche de personnes disparues ;

ii) la prévention d'une menace spécifique, substantielle et imminente pour la vie ou la sécurité physique de personnes physiques ou d'une menace réelle et actuelle ou réelle et prévisible d'attaque terroriste ;

iii) la localisation ou l'identification d'une personne soupçonnée d'avoir commis une infraction pénale, aux fins de mener une enquête pénale, d'engager des poursuites ou d'exécuter une sanction pénale pour des infractions visées à l'annexe II et punissables dans l'État membre concerné d'une peine ou d'une mesure de sûreté privatives de liberté d'une durée maximale d'au moins quatre ans.

Le premier alinéa, point h), est sans préjudice de l'article 9 du règlement (UE) 2016/679⁷⁶ pour le traitement des données biométriques à des fins autres que répressives.

2. L'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives en vue de la réalisation de l'un des objectifs énumérés au paragraphe 1, premier alinéa, point h), n'est déployée aux fins énoncées audit point, que pour confirmer l'identité de la personne spécifiquement ciblée et tient compte des éléments suivants (34) :

a) la nature de la situation donnant lieu à un éventuel recours au système, en particulier la gravité, la probabilité et l'ampleur du préjudice qui serait causé si le système n'était pas utilisé ;

b) les conséquences de l'utilisation du système sur les droits et libertés de toutes les personnes concernées, notamment la gravité, la probabilité et l'ampleur de ces conséquences.

En outre, l'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives en vue de la réalisation de l'un des objectifs énumérés au paragraphe 1, premier alinéa, point h), du présent article respecte les garanties et conditions nécessaires et proportionnées en ce qui concerne cette utilisation, conformément au droit national qui l'autorise, notamment eu égard aux limitations temporelles, géographiques et relatives aux personnes. L'utilisation du système d'identification biométrique à distance en temps réel dans des espaces accessibles au public n'est autorisée que si l'autorité répressive a réalisé une analyse d'impact sur les droits fondamentaux conformément à l'article 27 et a enregistré le système dans la base de données de l'UE prévue par l'article 49. Toutefois, dans des cas d'urgence dûment justifiés, il est possible de

<footnote n="76">⁷⁶ le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3.</footnote>
commencer à utiliser ces systèmes sans enregistrement dans la base de données de l'UE,
à condition que cet enregistrement soit effectué sans retard injustifié.

3. Aux fins du paragraphe 1, premier alinéa, point h), et du paragraphe 2, chaque utilisation
à des fins répressives d'un système d'identification biométrique à distance en temps réel dans
des espaces accessibles au public est subordonnée à une autorisation préalable octroyée par
une autorité judiciaire ou une autorité administrative indépendante dont la décision est
contraignante de l'État membre dans lequel cette utilisation doit avoir lieu, délivrée sur
demande motivée et conformément aux règles détaillées du droit national visées au
paragraphe 5. Toutefois, dans une situation d'urgence dûment justifiée, il est possible de
commencer à utiliser ce système sans autorisation à condition que cette autorisation soit
demandée sans retard injustifié, au plus tard dans les 24 heures. Si cette autorisation est
rejetée, il est mis fin à l'utilisation avec effet immédiat, et toutes les données, ainsi que les
résultats et sorties de cette utilisation, sont immédiatement mis au rebut et supprimés 1) (35).

L'autorité judiciaire compétente ou une autorité administrative indépendante dont la décision est contraignante n'accorde l'autorisation que si elle estime, sur la base d'éléments objectifs ou d'indications claires qui lui sont présentés, que l'utilisation du système d'identification biométrique à distance en temps réel concerné est nécessaire et proportionnée à la réalisation de l'un des objectifs énumérés au paragraphe 1, premier alinéa, point h), tels qu'indiqués dans la demande et, en particulier, que cette utilisation reste limitée au strict nécessaire dans le temps et du point de vue de la portée géographique et personnelle. Lorsqu'elle statue sur la demande, cette autorité tient compte des éléments visés au paragraphe 2. Aucune décision produisant des effets juridiques défavorables à l'égard d'une personne ne peut être prise sur la seule base de la sortie du système d'identification biométrique à distance en temps réel.

4. Sans préjudice du paragraphe 3, toute utilisation d'un système d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives est notifiée à l'autorité de surveillance du marché concernée et à l'autorité nationale chargée de la protection des données, conformément aux règles nationales visées au paragraphe 5. Cette notification contient, au minimum, les informations visées au paragraphe 6 et n'inclut pas de données opérationnelles sensibles 2) (36).

5. Un État membre peut décider de prévoir la possibilité d'autoriser totalement ou partiellement l'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, dans les limites et les conditions énumérées au paragraphe 1, premier alinéa, point h), et aux paragraphes 2 et 3. Les États membres concernés établissent dans leur droit national les règles détaillées nécessaires à la demande, à la délivrance et à l'exercice des autorisations visées au paragraphe 3, ainsi qu'à la surveillance et à l'établissement de rapports y afférents. Ces règles précisent également pour quels objectifs énumérés au paragraphe 1, premier alinéa, point h), et notamment pour quelles infractions pénales visées au point h), iii), les autorités compétentes peuvent être autorisées à utiliser ces systèmes à des fins répressives. Les États membres notifient ces règles à la Commission au plus tard 30 jours après leur adoption. Les États membres peuvent adopter, conformément au droit de l'Union, des lois plus restrictives sur l'utilisation de systèmes d'identification biométrique à distance 3) (37).

6. Les autorités nationales de surveillance du marché et les autorités nationales chargées de la protection des données des États membres qui ont été notifiées de l'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, conformément au paragraphe 4, soumettent à la Commission des rapports annuels sur cette utilisation. À cette fin, la Commission fournit aux États membres et aux autorités nationales en matière de surveillance du marché et de protection des données un modèle comprenant des informations sur le nombre de décisions prises par les autorités judiciaires compétentes ou par une autorité administrative indépendante dont la décision est
contraignante en ce qui concerne les demandes d'autorisation conformément au paragraphe 3, ainsi que sur leur résultat.

7. La Commission publie des rapports annuels sur l'utilisation de systèmes d'identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives, fondés sur des données agrégées dans les États membres sur la base des rapports annuels visés au paragraphe 6. Ces rapports annuels n'incluent pas de données opérationnelles sensibles sur les activités répressives connexes.

8. Le présent article ne porte pas atteinte aux interdictions qui s'appliquent lorsqu'une pratique en matière d'IA enfreint d'autres dispositions du droit de l'Union.

# CHAPITRE III - SYSTÈMES D'IA À HAUT RISQUE

## SECTION 1 - Classification de systèmes d'IA comme systèmes à haut risque

### Article 6 - Règles relatives à la classification de systèmes d'IA comme systèmes à haut risque

<figure><img src="image_15.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann. I)

Considérant(s), v. not. : (46), (47), (48), (50), (51), (52), (54), (55), (56), (57), (58), (59), (60), (61), (62) et (63)

1. Un système d'IA mis sur le marché ou mis en service, qu'il soit ou non indépendant des produits visés aux points a) et b), est considéré comme étant à haut risque lorsque les deux conditions suivantes sont remplies (47), (19)(50) et (51) :

a) le système d'IA est destiné à être utilisé comme composant de sécurité d'un produit couvert par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, ou le système d'IA constitue lui-même un tel produit ;

b) le produit dont le composant de sécurité visé au point a) est le système d'IA, ou le système d'IA lui-même en tant que produit, est soumis à une évaluation de conformité par un tiers en vue de la mise sur le marché ou de la mise en service de ce produit conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I.

2. Outre les systèmes d'IA à haut risque visés au paragraphe 1, les systèmes d'IA visés à l'annexe III sont considérés comme étant à haut risque (48), (52), (54), (55), (56), (57), (58), (59), (60), (61), (62) et (63).

3. Par dérogation au paragraphe 2, un système d'IA visé à l'annexe III n'est pas considéré comme étant à haut risque lorsqu'il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n'ayant pas d'incidence significative sur le résultat de la prise de décision (52).

Le premier alinéa s'applique lorsqu'une des conditions suivantes est remplie :

a) le système d'IA est destiné à accomplir un tâche procédurale étroite ;

b) le système d'IA est destiné à améliorer le résultat d'une activité humaine préalablement réalisée ;

c) le système d'IA est destiné à détecter les constantes en matière de prise de décision ou les écarts par rapport aux constantes habituelles antérieures et n'est pas destiné à se substituer à l'évaluation humaine préalablement réalisée, ni à influencer celle-ci, sans examen humain approprié ; ou

d) le système d'IA est destiné à exécuter une tâche préparatoire en vue d'une évaluation pertinente aux fins des cas d'utilisation visés à l'annexe III.
Nonobstant le premier alinéa, un **système d'IA** visé à l'**annexe III** est toujours considéré comme étant à haut risque lorsqu'il effectue un **profilage** de personnes physiques.

4. Un **fournisseur** qui considère qu'un **système d'IA** visé à l'**annexe III** n'est pas à haut risque documente son évaluation avant que ce système ne soit mis sur le marché ou mis en service. Ce **fournisseur** est soumis à l'obligation d'enregistrement visée à l'article 49, paragraphe 2. À la demande des **autorités nationales compétentes**, le **fournisseur** fournit la documentation de l'évaluation [1](52).

5. Après consultation du **Comité européen de l'intelligence artificielle** (ci-après dénommé « Comité IA »), et au plus tard le 2 février 2026, la Commission fournit des lignes directrices précisant la mise en œuvre pratique du présent article, conformément à l'article 96, assorties d'une liste exhaustive d'exemples pratiques de cas d'utilisation de **systèmes d'IA** qui sont à haut risque et de cas d'utilisation qui ne le sont pas [2](52).

6. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier le paragraphe 3, deuxième alinéa, du présent article en ajoutant de nouvelles conditions à celles qui y sont énoncées, ou en les modifiant, lorsqu'il existe des preuves concrètes et fiables de l'existence de **systèmes d'IA** qui relèvent du champ d'application de l'**annexe III**, mais qui ne présentent pas de **risque** important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques [3](52).

7. La Commission adopte des actes délégués conformément à l'article 97 afin de modifier le paragraphe 3, deuxième alinéa, du présent article en supprimant l'une des conditions qui y est établie, lorsqu'il existe des preuves concrètes et fiables attestant que cela est nécessaire pour maintenir le niveau de protection de la santé, de la sécurité et des droits fondamentaux prévu par le présent règlement [4](52).

8. Toute modification des conditions établies au paragraphe 3, deuxième alinéa, adoptée conformément aux paragraphe 6 et 7 du présent article ne diminue pas le niveau global de protection de la santé, de la sécurité et des droits fondamentaux prévu par le présent règlement et veille à la cohérence avec les actes délégués adoptés conformément à l'article 7, paragraphe 1, et tient compte des évolutions du marché et des technologies.

## Article 7 - Modifications de l'annexe III

<figure><img src="image_16.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

1. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'**annexe III** en y ajoutant des cas d'utilisation de **systèmes d'IA** à haut risque, ou en les modifiant, lorsque les deux conditions suivantes sont remplies :

a) les **systèmes d'IA** sont destinés à être utilisés dans l'un des domaines énumérés à l'**annexe III**;

b) les **systèmes d'IA** présentent un **risque** de préjudice pour la santé et la sécurité, ou un **risque** d'incidence négative sur les droits fondamentaux, et ce **risque** est équivalent ou supérieur au **risque** de préjudice ou d'incidence négative que présentent les **systèmes d'IA** à haut risque déjà visés à l'**annexe III**.

2. Lorsqu'elle évalue les conditions visées au paragraphe 1, point b), la Commission tient compte des critères suivants :

a) la **destination** du **système d'IA**;

b) la mesure dans laquelle un **système d'IA** a été utilisé ou est susceptible de l'être;

c) la nature et la quantité des données traitées et utilisées par le **système d'IA**, en particulier le traitement ou l'absence de traitement des **catégories particulières de données à caractère personnel**;
d) la mesure dans laquelle le <u>système d'IA</u> agit de manière autonome et la mesure dans laquelle l'homme peut intervenir pour annuler une décision ou des recommandations susceptibles de causer un préjudice potentiel ;

e) la mesure dans laquelle l'utilisation d'un <u>système d'IA</u> a déjà causé un préjudice à la santé et à la sécurité, a eu une incidence négative sur les droits fondamentaux ou a suscité de graves préoccupations quant à la probabilité de ce préjudice ou de cette incidence négative, tel que cela ressort, par exemple, des rapports ou allégations documentées soumis aux <u>autorités nationales compétentes</u> ou d'autres rapports, le cas échéant ;

f) l'ampleur potentielle d'un tel préjudice ou d'une telle incidence négative, notamment en ce qui concerne son intensité et sa capacité d'affecter plusieurs personnes ou d'affecter un groupe particulier de personnes de manière disproportionnée ;

g) la mesure dans laquelle les personnes ayant potentiellement subi un préjudice ou une incidence négative dépendent des résultats obtenus au moyen d'un <u>système d'IA</u>, notamment parce qu'il n'est pas raisonnablement possible, pour des raisons pratiques ou juridiques, de s'affranchir de ces résultats ;

h) la mesure dans laquelle il existe un déséquilibre de pouvoir, ou les personnes ayant potentiellement subi un préjudice ou une incidence négative se trouvent dans une situation vulnérable par rapport au <u>déployeur</u> d'un <u>système d'IA</u>, notamment en raison du statut, de l'autorité, de connaissances, de circonstances économiques ou sociales ou de l'âge ;

i) la mesure dans laquelle les résultats obtenus en utilisant un <u>système d'IA</u> sont facilement corrigibles ou réversibles, compte tenu des solutions techniques disponibles pour les corriger ou les inverser, les résultats qui ont une incidence négative sur la santé, la sécurité ou les droits fondamentaux ne devant pas être considérés comme facilement corrigibles ou réversibles ;

j) la probabilité que le déploiement du <u>système d'IA</u> présente des avantages pour certaines personnes, certains groupes de personnes ou la société dans son ensemble et la portée de ces avantages, y compris les améliorations éventuelles quant à la sécurité des produits ;

k) la mesure dans laquelle le droit existant de l'Union prévoit :

i) des mesures de réparation efficaces en ce qui concerne les <u>risques</u> posés par un <u>système d'IA</u>, à l'exclusion des réclamations en dommages-intérêts ;

ii) des mesures efficaces destinées à prévenir ou à réduire substantiellement ces <u>risques</u>.

3. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier la liste figurant à l'annexe III en supprimant des systèmes d'IA à haut risque lorsque les deux conditions suivantes sont remplies :

a) le <u>système d'IA</u> à haut risque concerné ne présente plus de <u>risques</u> substantiels pour les droits fondamentaux, la santé ou la sécurité, compte tenu des critères énumérés au paragraphe 2 ;

b) la suppression ne diminue pas le niveau global de protection de la santé, de la sécurité et des droits fondamentaux en vertu du droit de l'Union.
# SECTION 2 - Exigences applicables aux systèmes d'IA à haut risque

## Article 8 - Respect des exigences

<figure><img src="image_17.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026 (ann. III) & 2 août 2027 (ann. I)

Considérant(s), v. not. : (46) et (64)

1. Les **systèmes d'IA** à haut risque respectent les exigences énoncées dans la présente section, en tenant compte de leur **destination** ainsi que de l'état de la technique généralement reconnu en matière d'IA et de technologies liées à l'IA. Pour garantir le respect de ces exigences, il est tenu compte du système de gestion des **risques** prévu à l'article 9.

2. Lorsqu'un produit contient un **système d'IA** auquel s'appliquent les exigences du présent règlement ainsi que les exigences de la législation d'harmonisation de l'Union dont la liste figure à la section A de l'annexe I, les **fournisseurs** sont chargés de veiller à ce que leur produit soit pleinement conforme à toutes les exigences en vertu de la législation d'harmonisation de l'Union applicable. Pour garantir que les **systèmes d'IA** à haut risque visés au paragraphe 1 sont conformes aux exigences énoncées dans la présente section, et afin d'assurer la cohérence, d'éviter les doubles emplois et de réduire au minimum les charges supplémentaires, les **fournisseurs** ont le choix d'intégrer, le cas échéant, les processus d'essai et de déclaration nécessaires, les informations et la documentation qu'ils fournissent concernant leur produit dans la documentation et les procédures qui existent déjà et qui sont requises en vertu de la législation d'harmonisation de l'Union dont la liste figure à la section A de l'annexe I.

## Article 9 - Système de gestion des risques

<figure><img src="image_18.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (65)

1. Un système de gestion des **risques** est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les **systèmes d'IA** à haut risque.

2. Ce système de gestion des **risques** s'entend comme étant un processus itératif continu qui est planifié et se déroule sur l'ensemble du cycle de vie d'un **système d'IA** à haut risque et qui doit périodiquement faire l'objet d'un examen et d'une mise à jour méthodiques. Il comprend les étapes suivantes :

a) l'identification et l'analyse des **risques** connus et raisonnablement prévisibles que le **système d'IA** à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le **système d'IA** à haut risque est utilisé conformément à sa **destination**;

b) l'estimation et l'évaluation des **risques** susceptibles d'apparaître lorsque le **système d'IA** à haut risque est utilisé conformément à sa **destination** et dans des conditions de **mauvaise utilisation raisonnablement prévisible**;

c) l'évaluation d'autres **risques** susceptibles d'apparaître, sur la base de l'analyse des données recueillies au moyen du **système de surveillance après commercialisation** visé à l'article 72;

d) l'adoption de mesures appropriées et ciblées de gestion des **risques**, conçues pour répondre aux **risques** identifiés en vertu du point a).

3. Les **risques** visés au présent article ne concernent que ceux qui peuvent être raisonnablement atténués ou éliminés dans le cadre du développement ou de la conception du **système d'IA** à haut risque, ou par la fourniture d'informations techniques appropriées.

4. Les mesures de gestion des **risques** visées au paragraphe 2, point d), tiennent dûment compte des effets et de l'interaction possibles résultant de l'application combinée des exigences énoncées dans la présente section, en vue de prévenir les **risques** plus efficacement
tout en parvenant à un bon équilibre dans le cadre de la mise en œuvre des mesures visant
à répondre à ces exigences.

5. Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel pertinent associé à chaque danger ainsi que le risque résiduel global lié aux systèmes d'IA à haut risque sont jugés acceptables.

Pour déterminer les mesures de gestion des risques les plus adaptées, il convient de veiller à :

a) éliminer ou réduire les risques identifiés et évalués conformément au paragraphe 2 autant que la technologie le permet grâce à une conception et à un développement appropriés du système d'IA à haut risque ;

b) mettre en œuvre, le cas échéant, des mesures adéquates d'atténuation et de contrôle répondant aux risques impossibles à éliminer ;

c) fournir aux déployeurs les informations requises conformément à l'article 13 et, éventuellement, une formation.

En vue de l'élimination ou de la réduction des risques liés à l'utilisation du système d'IA à haut risque, il est dûment tenu compte des connaissances techniques, de l'expérience, de l'éducation et de la formation pouvant être attendues du déployeur, ainsi que du contexte prévisible dans lequel le système est destiné à être utilisé.

6. Les systèmes d'IA à haut risque sont soumis à des essais afin de déterminer les mesures de gestion des risques les plus appropriées et les plus ciblées. Les essais garantissent que les systèmes d'IA à haut risque fonctionnent de manière conforme à leur destination et qu'ils sont conformes aux exigences énoncées dans la présente section.

7. Les procédures d'essai peuvent comprendre des essais en conditions réelles conformément à l'article 60.

8. Les tests des systèmes d'IA à haut risque sont effectués, selon les besoins, à tout moment pendant le processus de développement et, en tout état de cause, avant leur mise sur le marché ou leur mise en service. Les tests sont effectués sur la base d'indicateurs et de seuils probabilistes préalablement définis, qui sont adaptés à la destination du système d'IA à haut risque.

9. Lors de la mise en œuvre du système de gestion des risques prévu aux paragraphes 1 à 7, les fournisseurs prennent en considération la probabilité que, compte tenu de sa destination, le système d'IA à haut risque puisse avoir une incidence négative sur des personnes âgées de moins de 18 ans et, le cas échéant, sur d'autres groupes vulnérables.

10. En ce qui concerne les fournisseurs de système d'IA à haut risque qui sont soumis à des exigences concernant les processus internes de gestion des risques en vertu d'autres dispositions pertinentes du droit de l'Union, les aspects présentés aux paragraphes 1 à 9 peuvent faire partie des procédures de gestion des risques établies conformément à ladite législation, ou être combinées à celles-ci.

## Article 10 - Données et gouvernance des données

<figure><img src="image_19.png" /></figure>

<figure><img src="image_20.png" /></figure>

Accéder au résumé de l'article ~ 2 août 2026

Considérant(s), v. not. : (66), (67), (68), (69) et (70)

1. Les systèmes d'IA à haut risque faisant appel à des techniques qui impliquent l'entraînement de modèles d'IA au moyen de données sont développés sur la base de jeux de données d'entraînement, jeu de données de validation et de test qui satisfont aux critères de qualité visés aux paragraphes 2 à 5 chaque fois que ces jeux de données sont utilisés.
2. Les jeux de données d'entraînement, jeu de données de validation et de test sont soumis à des pratiques en matière de gouvernance et de gestion des données appropriées à la destination du système d'IA à haut risque. Ces pratiques concernent en particulier :

a) les choix de conception pertinents ;

b) les processus de collecte de données et l'origine des données, ainsi que, dans le cas des données à caractère personnel, la finalité initiale de la collecte de données ;

c) les opérations de traitement pertinentes pour la préparation des données, telles que l'annotation, l'étiquetage, le nettoyage, la mise à jour, l'enrichissement et l'agrégation ;

d) la formulation d'hypothèses, notamment en ce qui concerne les informations que les données sont censées mesurer et représenter ;

e) une évaluation de la disponibilité, de la quantité et de l'adéquation des jeux de données nécessaires ;

f) un examen permettant de repérer d'éventuels biais qui sont susceptibles de porter atteinte à la santé et à la sécurité des personnes, d'avoir une incidence négative sur les droits fondamentaux ou de se traduire par une discrimination interdite par le droit de l'Union, en particulier lorsque les données de sortie influencent les entrées pour les opérations futures ;

g) les mesures appropriées visant à détecter, prévenir et atténuer les éventuels biais repérés conformément au point f) ;

h) la détection de lacunes ou déficiences pertinentes dans les données qui empêchent l'application du présent règlement, et la manière dont ces lacunes ou déficiences peuvent être comblées.

3. Les jeux de données d'entraînement, jeu de données de validation et de test sont pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d'erreurs et complets au regard de la destination. Ils possèdent les propriétés statistiques appropriées, y compris, le cas échéant, en ce qui concerne les personnes ou groupes de personnes à l'égard desquels le système d'IA à haut risque est destiné à être utilisé. Ces caractéristiques des jeux de données peuvent être remplies au niveau des jeux de données pris individuellement ou d'une combinaison de ceux-ci.

4. Les jeux de données tiennent compte, dans la mesure requise par la destination, des caractéristiques ou éléments propres au cadre géographique, contextuel, comportemental ou fonctionnel spécifique dans lequel le système d'IA à haut risque est destiné à être utilisé.

5. Dans la mesure où cela est strictement nécessaire aux fins de la détection et de la correction des biais en ce qui concerne les systèmes d'IA à haut risque, conformément au paragraphe 2, points f) et g), du présent article, les fournisseur de ces systèmes peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques. Outre les dispositions des règlements (UE) 2016/679 et (UE) 2018/1725 et de la directive (UE) 2016/680, toutes les conditions suivantes doivent être réunies pour que ce traitement puisse avoir lieu :

a) la détection et la correction des biais ne peuvent être satisfaites de manière efficace en traitant d'autres données, y compris des données synthétiques ou anonymisées ;

b) les catégories particulières de données à caractère personnel sont soumises à des limitations techniques relatives à la réutilisation des données à caractère personnel, ainsi qu'aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation ;