2. Lorsqu'un distributeur considère ou a des raisons de considérer, sur la base des informations en sa possession, qu'un système d'IA à haut risque n'est pas conforme aux exigences énoncées à la section 2, il ne met le système à disposition sur le marché qu'après la mise en conformité de celui-ci avec lesdites exigences. De plus, lorsque le système d'IA à haut risque présente un risque au sens de l'article 79, paragraphe 1, le distributeur en informe le fournisseur ou l'importateur du système, selon le cas.

3. Les distributeurs s'assurent, lorsqu'un système d'IA à haut risque est sous leur responsabilité, que les conditions de stockage ou de transport, le cas échéant, ne compromettent pas sa conformité avec les exigences énoncées à la section 2.

4. Lorsqu'un distributeur considère ou a des raisons de considérer, sur la base des informations en sa possession, qu'un système d'IA à haut risque qu'il a mis à disposition sur le marché n'est pas conforme aux exigences énoncées à la section 2, il prend les mesures correctives nécessaires pour mettre ce système en conformité avec lesdites exigences, le retirer ou le rappeler ou veille à ce que le fournisseur, l'importateur ou tout opérateur concerné, selon le cas, prenne ces mesures correctives. Lorsque le système d'IA à haut risque présente un risque au sens de l'article 79, paragraphe 1, le distributeur en informe immédiatement le fournisseur ou l'importateur du système ainsi que les autorités compétentes pour le système d'IA à haut risque concerné et précise, notamment, le cas de non-conformité et les éventuelles mesures correctives prises.
5. À la demande motivée d'une autorité compétente concernée, les distributeurs d'un système d'IA à haut risque communiquent à cette autorité toutes les informations et tous les documents concernant les mesures qu'ils ont prises en vertu des paragraphes 1 à 4, nécessaires pour démontrer la conformité de ce système avec les exigences énoncées à la section 2.

6. Les distributeurs coopèrent avec les autorités compétentes concernées à toute mesure prise par ces autorités à l'égard d'un système d'IA à haut risque mis à disposition sur le marché par les distributeurs, en particulier pour réduire et atténuer les risques qu'il présente.

## Article 25 - Responsabilités tout au long de la chaîne de valeur de l'IA

1. Tout distributeur, importateur, déployeur ou autre tiers est considéré comme un fournisseur d'un système d'IA à haut risque aux fins du présent règlement et est soumis aux obligations incombant au fournisseur au titre de l'article 16 dans toutes les circonstances suivantes:

a) il commercialise sous son propre nom ou sa propre marque un système d'IA à haut risque déjà mis sur le marché ou mis en service, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations;

b) il apporte une modification substantielle à un système d'IA à haut risque qui a déjà été mis sur le marché ou a déjà été mis en service de telle manière qu'il reste un système d'IA à haut risque en application de l'article 6;
c) il modifie la destination d'un système d'IA, y compris un système d'IA à usage général, qui n'a pas été classé à haut risque et a déjà été mis sur le marché ou mis en service de telle manière que le système d'IA concerné devient un système d'IA à haut risque conformément l'article 6.

2. Lorsque les circonstances visées au paragraphe 1, se produisent, le fournisseur qui a initialement mis sur le marché ou mis en service le système d'IA n'est plus considéré comme un fournisseur de ce système d'IA spécifique aux fins du présent règlement. Ce fournisseur initial coopère étroitement avec les nouveaux fournisseurs et met à disposition les informations nécessaires et fournit l'accès technique raisonnablement attendu et toute autre assistance nécessaire au respect des obligations énoncées dans le présent règlement, en particulier en ce qui concerne la conformité avec l'évaluation de la conformité des systèmes d'IA à haut risque. Le présent paragraphe ne s'applique pas dans les cas où le fournisseur initial a clairement précisé que son système d'IA ne doit pas être transformé en un système d'IA à haut risque et ne relève donc pas de l'obligation relative à la remise de la documentation.
3. Lorsque des systèmes d'IA à haut risque constituent des composants de sécurité de produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fabricant de ces produits est considéré comme étant le fournisseur du système d'IA à haut risque et est soumis aux obligations visées à l'article 16 dans l'un des deux cas suivants:

a) le système d'IA à haut risque est mis sur le marché avec le produit sous le nom ou la marque du fabricant du produit;

b) le système d'IA à haut risque est mis en service sous le nom ou la marque du fabricant du produit après que le produit a été mis sur le marché.

4. Le fournisseur d'un système d'IA à haut risque et le tiers qui fournit un système d'IA, des outils, services, composants ou processus qui sont utilisés ou intégrés dans un système d'IA à haut risque précisent, par accord écrit, les informations, les capacités, l'accès technique et toute autre assistance nécessaire, sur la base de l'état de la technique généralement reconnu, pour permettre au fournisseur du système d'IA à haut risque de se conformer pleinement aux obligations prévues dans le présent règlement. Le présent paragraphe ne s'applique pas aux tiers qui rendent accessibles au public des outils, services, processus ou composants, autres que des modèles d'IA à usage général, dans le cadre d'une licence libre et ouverte.
Le Bureau de l'IA peut élaborer et recommander des clauses types volontaires pour les contrats entre les fournisseurs de systèmes d'IA à haut risque et les tiers qui fournissent des outils, des services, des composants ou des processus qui sont utilisés ou intégrés dans les systèmes d'IA à haut risque. Lorsqu'il élabore des clauses types volontaires, le Bureau de l'IA tient compte des éventuelles exigences contractuelles applicables dans des secteurs ou des activités spécifiques. Les clauses types volontaires sont publiées et mises à disposition gratuitement dans un format électronique facile d'utilisation.

5. Les paragraphes 2 et 3 sont sans préjudice de la nécessité de respecter et de protéger les droits de propriété intellectuelle, les informations confidentielles de nature commerciale et les secrets d'affaires conformément au droit de l'Union et au droit national.

## Article 26 - Obligations incombant aux déployeurs de systèmes d'IA à haut risque

1. Les déployeurs de systèmes d'IA à haut risque prennent des mesures techniques et organisationnelles appropriées afin de garantir qu'ils utilisent ces systèmes conformément aux notices d'utilisation accompagnant les systèmes, conformément aux paragraphes 3 et 6.

2. Les déployeurs confient le contrôle humain à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires ainsi que du soutien nécessaire.
3. Les obligations énoncées aux paragraphes 1 et 2 sont sans préjudice des autres obligations du **déployeur** prévues par le droit de l'Union ou le droit national et de la faculté du **déployeur** d'organiser ses propres ressources et activités aux fins de la mise en œuvre des mesures de contrôle humain indiquées par le fournisseur.

4. Sans préjudice des paragraphes 1 et 2, pour autant que le **déployeur** exerce un contrôle sur les données d'entrée, il veille à ce que ces dernières soient pertinentes **et suffisamment représentatives** au regard de la destination du système d'IA à haut risque.
5. Les **déployeurs** surveillent le fonctionnement du système d'IA à haut risque sur la base de la notice d'utilisation *et, le cas échéant, informent les fournisseurs conformément à l'article 72*. Lorsque les déployeurs ont des raisons de considérer que l'utilisation du système d'IA à haut risque conformément à la notice d'utilisation pourrait conduire à ce que le système d'IA présente un risque au sens de l'article 79, paragraphe 1, ils en informent, **sans retard injustifié**, le fournisseur ou le distributeur ainsi que **l'autorité de surveillance du marché concernée**, et suspendent l'utilisation de ce système. Lorsque les déployeurs ont détecté un incident grave, ils informent également **immédiatement d'abord** le fournisseur, **puis l'importateur** ou le distributeur **et les autorités de surveillance du marché concernées** de cet incident. **Si le déployeur n'est pas en mesure de joindre le fournisseur, l'article 73 s'applique mutatis mutandis. Cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs de systèmes d'IA qui sont des autorités répressives.**

Si les déployeurs sont des établissements **financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers**, la conformité avec les règles relatives à la gouvernance, aux dispositifs, aux processus et aux mécanismes internes prévues dans **la législation sur les services financiers** vaut respect de l'obligation de surveillance énoncée au premier alinéa.
6. Les **déployeurs** de systèmes d'IA à haut risque assurent la tenue des journaux générés automatiquement par ce système d'IA à haut risque | dans la mesure où ces journaux se trouvent sous leur contrôle, | pendant une période | adaptée à la destination du système d'IA à haut risque, d'au moins six mois, sauf disposition contraire dans le droit de l'Union ou le droit national applicable, en particulier dans le droit de l'Union sur la protection des données à caractère personnel.

Si les déployeurs sont des établissements financiers soumis à des exigences relatives à leur gouvernance, à leurs dispositifs ou à leurs processus internes prévues par la législation de l'Union sur les services financiers, ils tiennent à jour les journaux dans le cadre de la documentation conservée en vertu de la législation pertinente de l'Union sur les services financiers.

7. Avant de mettre en service ou d'utiliser un système d'IA à haut risque sur le lieu de travail, les déployeurs qui sont des employeurs informent les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à l'utilisation du système d'IA à haut risque. Ces informations sont fournies, le cas échéant, conformément aux règles et procédures prévues par le droit de l'Union et le droit national et aux pratiques en matière d'information des travailleurs et de leurs représentants.

8. Les déployeurs de systèmes d'IA à haut risque qui sont des autorités publiques ou des institutions, organes ou organismes de l'Union, respectent les obligations en matière d'enregistrement prévues à l'article 49. Dans le cas où ces déployeurs constatent que le système d'IA à haut risque qu'ils envisagent d'utiliser n'a pas été enregistré dans la base de données de l'UE visée à l'article 71, ils n'utilisent pas ce système et informent le fournisseur ou le distributeur.
9. Le cas échéant, les déployeurs de systèmes d'IA à haut risque utilisent les informations fournies en application de l'article 13 du présent règlement pour se conformer à leur obligation de procéder à une analyse d'impact relative à la protection des données en vertu de l'article 35 du règlement (UE) 2016/679 ou de l'article 27 de la directive (UE) 2016/680.

I

10. Sans préjudice de la directive (UE) 2016/680, dans le cadre d'une enquête en vue de la recherche ciblée d'une personne soupçonnée d'avoir commis une infraction pénale ou condamnée pour avoir commis une infraction pénale, le déployeur d'un système d'IA à haut risque pour l'identification biométrique à distance a posteriori demande l'autorisation, ex ante ou sans retard injustifié et au plus tard dans les 48 heures, d'une autorité judiciaire ou administrative dont la décision est contraignante et soumise à un contrôle juridictionnel, pour l'utilisation de ce système, sauf lorsqu'il est utilisé pour l'identification initiale d'un suspect potentiel sur la base de faits objectifs et vérifiables directement liés à l'infraction. Chaque utilisation est limitée à ce qui est strictement nécessaire pour enquêter sur une infraction pénale spécifique.

Si l'autorisation demandée en application du premier alinéa est rejetée, l'utilisation du système d'identification biométrique à distance a posteriori lié à l'autorisation demandée est interrompue avec effet immédiat et les données à caractère personnel liées à l'utilisation du système d'IA à haut risque pour lequel l'autorisation a été demandée sont supprimées.
En aucun cas, ce système d'IA à haut risque pour l'identification biométrique à distance a posteriori ne peut être utilisé à des fins répressives de manière non ciblée, sans aucun lien avec une infraction pénale, une procédure pénale, une menace réelle et actuelle ou réelle et prévisible d'une infraction pénale, ou la recherche d'une personne disparue spécifique. Il convient d'assurer qu'aucune décision produisant des effets juridiques défavorables à l'égard d'une personne ne puisse être prise par les autorités répressives sur la seule base des sorties de tels systèmes d'identification biométrique à distance a posteriori.

Le présent paragraphe est sans préjudice de l'article 9 du règlement (UE) 2016/679 et de l'article 10 de la directive (UE) 2016/680 pour le traitement des données biométriques.

Indépendamment de la finalité ou du déployeur, chaque utilisation de ces systèmes d'IA à haut risque est documentée dans le dossier de police pertinent et est mise à la disposition de l'autorité de surveillance du marché concernée et de l'autorité nationale chargée de la protection des données sur demande, à l'exclusion de la divulgation de données opérationnelles sensibles liées aux services répressifs. Le présent alinéa est sans préjudice des pouvoirs conférés par la directive (UE) 2016/680 aux autorités de contrôle.
Les déployeurs soumettent aux autorités de surveillance du marché concernées et aux autorités nationales chargées de la protection des données des rapports annuels sur leur utilisation de systèmes d'identification biométrique à distance a posteriori, à l'exclusion de la divulgation de données opérationnelles sensibles liées aux services répressifs. Les rapports peuvent être agrégés pour couvrir plus d'un déploiement.

Les États membres peuvent adopter, conformément au droit de l'Union, des lois plus restrictives sur l'utilisation de systèmes d'identification biométrique à distance a posteriori.

11. Sans préjudice de l'article 50 du présent règlement, les déployeurs de systèmes d'IA à haut risque visés à l'annexe III, qui prennent des décisions ou facilitent les prises de décision concernant des personnes physiques, informent lesdites personnes physiques qu'elles sont soumises à l'utilisation du système d'IA à haut risque. Pour les systèmes d'IA à haut risque utilisés à des fins répressives, l'article 13 de la directive (UE) 2016/680 s'applique.

12. Les déployeurs coopèrent avec les autorités compétentes concernées à toute mesure prise par ces autorités à l'égard du système d'IA à haut risque en vue de mettre en œuvre le présent règlement.
## Article 27 - Analyse d'impact des systèmes d'IA à haut risque sur les droits fondamentaux

1. Avant le déploiement d'un système d'IA à haut risque visé à l'article 6, paragraphe 2, à l'exception des systèmes d'IA à haut risque destinés à être utilisés dans le domaine visé à l'annexe III, point 2, les déployeurs qui sont des organismes de droit public ou des entités privées fournissant des services publics et les déployeurs de systèmes d'IA à haut risque visés à l'annexe III, point 5, b) et c), effectuent une analyse de l'impact sur les droits fondamentaux que l'utilisation de ce système peut produire. À cette fin, les déployeurs effectuent une analyse comprenant:

a) une description des processus du déployeur dans lesquels le système d'IA à haut risque sera utilisé conformément à sa destination;

b) une description de la période pendant laquelle et de la fréquence à laquelle chaque système d'IA à haut risque est destiné à être utilisé;

c) les catégories de personnes physiques et les groupes susceptibles d'être concernés par son utilisation dans le contexte spécifique;
d) les risques spécifiques de préjudice susceptibles d'avoir une incidence sur les catégories de personnes physiques ou groupes de personnes identifiés en vertu du point c) du présent paragraphe, compte tenu des informations fournies par le fournisseur conformément à l'article 13;

e) une description de la mise en œuvre des mesures de contrôle humain, conformément à la notice d'utilisation;

f) les mesures à prendre en cas de matérialisation de ces risques, y compris les dispositifs relatifs à la gouvernance interne et aux mécanismes de plainte internes.

2. L'obligation établie au paragraphe 1 s'applique à la première utilisation du système d'IA à haut risque. Le déployeur peut, dans des cas similaires, s'appuyer sur des analyses d'impact sur les droits fondamentaux effectuées précédemment ou sur des analyses d'impact existantes réalisées par le fournisseur. Si, au cours de l'utilisation du système d'IA à haut risque, le déployeur estime qu'un des éléments énumérés au paragraphe 1 a changé ou n'est plus à jour, il prend les mesures nécessaires pour mettre à jour les informations.

3. Une fois l'analyse visée au paragraphe 1 du présent article effectuée, le déployeur en notifie les résultats à l'autorité de surveillance du marché, et soumet le modèle visé au paragraphe 5 du présent article, rempli, dans le cadre de la notification. Dans le cas visé à l'article 46, paragraphe 1, les déployeurs peuvent être exemptés de cette obligation de notification.
4. Si l'une des obligations prévues au présent article est déjà remplie au moyen de l'analyse d'impact relative à la protection des données réalisée en application de l'article 35 du règlement (UE) 2016/679 ou de l'article 27 de la directive (UE) 2016/680, l'analyse d'impact sur les droits fondamentaux visée au paragraphe 1 du présent article complète ladite analyse d'impact relative à la protection des données.

5. Le Bureau de l'IA élabore un modèle de questionnaire, y compris au moyen d'un outil automatisé, afin d'aider les déployeurs à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article.
# Section 4 - Autorités notifiantes et organismes notifiés

## *Article 28 - Autorités notifiantes*

1. Chaque État membre désigne ou établit **au moins** une autorité notifiante chargée de mettre en place et d'accomplir les procédures nécessaires à l'évaluation, à la désignation et à la notification des organismes d'évaluation de la conformité et à leur contrôle. *Ces procédures sont élaborées en coopération entre les autorités notifiantes de tous les États membres.*
2. Les États membres peuvent décider que l'évaluation et le contrôle visés au paragraphe 1 doivent être effectués par un organisme national d'accréditation au sens du règlement (CE) n° 765/2008 et conformément à ses dispositions .

3. Les autorités notifiantes sont établies, organisées et gérées de manière à éviter tout conflit d'intérêts avec les organismes d'évaluation de la conformité et à garantir l'objectivité et l'impartialité de leurs activités.

4. Les autorités notifiantes sont organisées de telle sorte que les décisions concernant la notification des organismes d'évaluation de la conformité soient prises par des personnes compétentes différentes de celles qui ont réalisé l'évaluation de ces organismes.

5. Les autorités notifiantes ne proposent ni ne fournissent aucune des activités réalisées par les organismes d'évaluation de la conformité, ni aucun service de conseil sur une base commerciale ou concurrentielle.

6. Les autorités notifiantes garantissent la confidentialité des informations qu'elles obtiennent conformément à l'article 78.

7. Les autorités notifiantes disposent d'un personnel compétent en nombre suffisant pour la bonne exécution de leurs tâches. Le personnel compétent possède l'expertise nécessaire, le cas échéant, pour sa fonction, dans des domaines tels que les technologies de l'information, l'IA et le droit, y compris le contrôle du respect des droits fondamentaux.
## **Article 29 - Demande de notification d'un organisme d'évaluation de la conformité**

1. Les organismes d'évaluation de la conformité soumettent une demande de notification à l'autorité notifiante de l'État membre dans lequel ils sont établis.

2. La demande de notification est accompagnée d'une description des activités d'évaluation de la conformité, du ou des modules d'évaluation de la conformité et des **types de systèmes d'IA** pour lesquels l'organisme d'évaluation de la conformité se déclare compétent, ainsi que d'un certificat d'accréditation, lorsqu'il existe, délivré par un organisme national d'accréditation qui atteste que l'organisme d'évaluation de la conformité remplit les exigences énoncées à l'article 31.

Tout document en cours de validité relatif à des désignations existantes de l'organisme notifié demandeur en vertu de toute autre législation d'harmonisation de l'Union est ajouté.

3. Lorsque l'organisme d'évaluation de la conformité ne peut pas produire de certificat d'accréditation, il présente à l'autorité notifiante **toutes** les preuves documentaires nécessaires à la vérification, à la reconnaissance et au contrôle régulier de sa conformité avec les exigences définies à l'article 31.

4. Quant aux organismes notifiés désignés en vertu de toute autre législation d'harmonisation de l'Union, tous les documents et certificats liés à ces désignations peuvent être utilisés à l'appui de leur procédure de désignation au titre du présent règlement, le cas échéant.

**L'organisme notifié met à jour la documentation visée aux paragraphes 2 et 3 du présent article dès que des changements pertinents interviennent afin de permettre à l'autorité responsable des organismes notifiés de contrôler et de vérifier que toutes les exigences énoncées à l'article 31 demeurent observées.**
## Article 30 - Procédure de notification

1. Les autorités notifiantes ne peuvent notifier que les organismes d'évaluation de la conformité qui ont satisfait aux exigences énoncées à l'article 31.

2. Les autorités notifiantes informent la Commission et les autres États membres à l'aide de l'outil de notification électronique mis au point et géré par la Commission quant à chaque organisme d'évaluation de la conformité visé au paragraphe 1.

3. La notification visée au paragraphe 2 du présent article comprend des informations complètes sur les activités d'évaluation de la conformité, le ou les modules d'évaluation de la conformité et les types de systèmes d'IA concernés, ainsi que l'attestation de compétence correspondante. Lorsqu'une notification n'est pas fondée sur le certificat d'accréditation visé à l'article 29, paragraphe 2, l'autorité notifiante fournit à la Commission et aux autres États membres les preuves documentaires attestant de la compétence de l'organisme d'évaluation de la conformité et des dispositions prises pour faire en sorte que cet organisme soit régulièrement contrôlé et continue à satisfaire aux exigences énoncées à l'article 31.

4. L'organisme d'évaluation de la conformité concerné ne peut effectuer les activités propres à un organisme notifié que si aucune objection n'est émise par la Commission ou les autres États membres dans les deux semaines suivant la notification par une autorité notifiante, si cette notification comprend le certificat d'accréditation visé à l'article 29, paragraphe 2, ou dans les deux mois suivant la notification par une autorité notifiante si cette notification comprend les preuves documentaires visées à l'article 29, paragraphe 3.
5. En cas d'objections, la Commission entame sans tarder des consultations avec les États membres et l'organisme d'évaluation de la conformité concernés. Au vu de ces consultations, la Commission décide si l'autorisation est justifiée ou non. La Commission adresse sa décision à l'État membre et à l'organisme d'évaluation de la conformité concernés.

## Article 31 - Exigences concernant les organismes notifiés

1. Un organisme notifié est constitué en vertu du droit national d'un État membre et a la personnalité juridique.

2. Les organismes notifiés se conforment aux exigences en matière d'organisation, de gestion de la qualité, de ressources et de procédures qui sont nécessaires à l'exécution de leurs tâches, ainsi qu'aux exigences appropriées en matière de cybersécurité.

3. La structure organisationnelle, la répartition des responsabilités, les liens hiérarchiques et le fonctionnement des organismes notifiés garantissent la confiance dans leurs activités et la fiabilité des résultats des activités d'évaluation de la conformité menées par les organismes notifiés.
4. Les organismes notifiés sont indépendants du fournisseur du système d'IA à haut risque pour lequel ils mènent les activités d'évaluation de la conformité. Les organismes notifiés sont également indépendants de tout autre opérateur ayant un intérêt économique dans les systèmes d'IA à haut risque qui font l'objet de l'évaluation, ainsi que de tout concurrent du fournisseur. Cela n'exclut pas l'utilisation de systèmes d'IA à haut risque évalués qui sont nécessaires au fonctionnement de l'organisme d'évaluation de la conformité ou l'utilisation de ces systèmes d'IA à haut risque à des fins personnelles.

5. L'organisme d'évaluation de la conformité, ses cadres supérieurs et le personnel chargé d'exécuter ses tâches d'évaluation de la conformité ne participent pas directement à la conception, au développement, à la commercialisation ou à l'utilisation de systèmes d'IA à haut risque, pas plus qu'ils ne représentent les parties engagées dans ces activités. Ils n'exercent aucune activité susceptible d'entrer en conflit avec leur indépendance de jugement ou leur intégrité en ce qui concerne les activités d'évaluation de la conformité pour lesquelles ils sont notifiés. Cela s'applique en particulier aux services de conseil.

6. Les organismes notifiés sont organisés et fonctionnent de façon à garantir l'indépendance, l'objectivité et l'impartialité de leurs activités. Les organismes notifiés documentent et appliquent une structure et des procédures visant à garantir l'impartialité et à encourager et appliquer les principes d'impartialité dans l'ensemble de leur organisation, du personnel et des activités d'évaluation.
7. Les organismes notifiés disposent de procédures documentées pour veiller à ce que leur personnel, leurs comités, leurs filiales, leurs sous-traitants et tout organisme associé ou le personnel d'organismes externes préservent, **conformément à l'article 78**, la confidentialité des informations auxquelles ils accèdent durant l'exercice de leurs activités d'évaluation de la conformité, sauf lorsque leur divulgation est requise par la loi. Le personnel des organismes notifiés est lié par le secret professionnel pour toutes les informations dont il a connaissance dans l'exercice de ses fonctions au titre du présent règlement, sauf à l'égard des autorités notifiantes de l'État membre où il exerce ses activités.

8. Les organismes notifiés disposent de procédures pour accomplir leurs activités qui tiennent dûment compte de la taille des fournisseurs, du secteur dans lequel ils exercent leurs activités, de leur structure et du degré de complexité du système d'IA concerné.

9. Les organismes notifiés souscrivent, pour leurs activités d'évaluation de la conformité, une assurance de responsabilité civile appropriée à moins que cette responsabilité ne soit couverte par l'État membre **dans lequel ils sont établis** sur la base du droit national ou que l'État membre soit lui-même responsable de l'évaluation de la conformité.

10. Les organismes notifiés sont en mesure d'accomplir toutes leurs tâches au titre du présent règlement avec la plus haute intégrité professionnelle et la compétence requise dans le domaine spécifique, qu'ils exécutent eux-mêmes ces tâches ou que celles-ci soient exécutées pour leur compte et sous leur responsabilité.
11. Les organismes notifiés disposent de compétences internes suffisantes pour pouvoir évaluer efficacement les tâches effectuées pour leur compte par des parties extérieures.

L'organisme notifié dispose en permanence d'un personnel administratif, technique, **juridique** et scientifique en nombre suffisant et doté d'une expérience et de connaissances liées aux données, au traitement des données et aux **types de systèmes d'IA** en cause et aux exigences énoncées à la section 2.

12. Les organismes notifiés prennent part aux activités de coordination visées à l'article 38. Ils participent également, directement ou par l'intermédiaire d'un représentant, aux activités des organisations européennes de normalisation, ou font en sorte de se tenir informés des normes applicables et de leur état.

## Article 32 - Présomption de conformité avec les exigences concernant les organismes notifiés

Lorsqu'un organisme d'évaluation de la conformité démontre sa conformité avec les critères énoncés dans les normes harmonisées concernées, ou dans des parties de ces normes, dont les références ont été publiées au Journal officiel de l'Union européenne, il est présumé répondre aux exigences énoncées à l'article 31 dans la mesure où les normes harmonisées applicables couvrent ces exigences.
## Article 33 - Filiales des organismes notifiés et sous-traitance

1. Lorsqu'un organisme notifié sous-traite des tâches spécifiques dans le cadre de l'évaluation de la conformité ou a recours à une filiale, il s'assure que le sous-traitant ou la filiale répond aux exigences fixées à l'article 31 et en informe l'autorité notifiante.

2. Les organismes notifiés assument l'entière responsabilité des tâches effectuées par tout sous-traitants ou toute filiale.

3. Des activités ne peuvent être sous-traitées ou réalisées par une filiale qu'avec l'accord du fournisseur. Les organismes notifiés rendent publique une liste de leurs filiales.

4. Les documents pertinents concernant l'évaluation des qualifications du sous-traitant ou de la filiale et le travail exécuté par celui-ci ou celle-ci en vertu du présent règlement sont tenus à la disposition de l'autorité notifiante pendant une période de cinq ans à compter de la date de cessation de la sous-traitance.
## Article 34 - Obligations opérationnelles des organismes notifiés

1. Les organismes notifiés vérifient la conformité du système d'IA à haut risque conformément aux procédures d'évaluation de la conformité visées à l'article 43.

2. Les organismes notifiés évitent les charges inutiles pour les fournisseurs dans l'exercice de leurs activités et tiennent dûment compte de la taille du fournisseur, du secteur dans lequel il exerce ses activités, de sa structure et du degré de complexité du système d'IA à haut risque concerné, en particulier en vue de réduire au minimum les charges administratives et les coûts de mise en conformité pour les microentreprises et les petites entreprises au sens de la recommandation 2003/361/CE. L'organisme notifié respecte néanmoins le degré de rigueur et le niveau de protection requis afin de garantir la conformité du système d'IA à haut risque avec les exigences du présent règlement.

3. Les organismes notifiés mettent à la disposition de l'autorité notifiante visée à l'article 28 et lui soumettent sur demande toute la documentation pertinente, y compris celle des fournisseurs, afin de permettre à cette autorité de réaliser ses activités d'évaluation, de désignation, de notification et de surveillance et pour faciliter les évaluations décrites à la présente section.
### Article 35 - Numéros d'identification et listes des organismes notifiés

1. La Commission attribue un numéro d'identification unique à chaque organisme notifié, même lorsqu'un organisme est notifié au titre de plus d'un acte de l'Union.

2. La Commission rend publique la liste des organismes notifiés au titre du présent règlement et y mentionne leurs numéros d'identification et les activités pour lesquelles ils ont été notifiés. La Commission veille à ce que cette liste soit tenue à jour.

### Article 36 - Modifications apportées aux notifications

1. L'autorité notifiante notifie à la Commission et aux autres États membres toute modification pertinente apportée à la notification d'un organisme notifié au moyen de l'outil de notification électronique visé à l'article 30, paragraphe 2.

2. Les procédures établies aux articles 29 et 30 s'appliquent en cas d'extension de la portée de la notification.

En cas de modification de la notification autre qu'une extension de sa portée, les procédures prévues aux paragraphes 3 à 9 s'appliquent.
3. Lorsqu'un organisme notifié décide de cesser ses activités d'évaluation de la conformité, il informe l'autorité notifiante et les fournisseurs concernés dès que possible et, dans le cas d'un arrêt prévu de ses activités, au moins un an avant de mettre un terme à ses activités. Les certificats de l'organisme notifié peuvent rester valables pendant une période de neuf mois après l'arrêt des activités de l'organisme notifié, à condition qu'un autre organisme notifié confirme par écrit qu'il assumera la responsabilité des systèmes d'IA à haut risque concernés par ces certificats. Cet autre organisme notifié procède à une évaluation complète des systèmes d'IA à haut risque concernés avant la fin de cette période de neuf mois, avant de délivrer de nouveaux certificats pour les systèmes en question. Lorsque l'organisme notifié a mis un terme à ses activités, l'autorité notifiante retire la désignation.

4. Lorsqu'une autorité notifiante a des raisons suffisantes de considérer qu'un organisme notifié ne répond plus aux exigences définies à l'article 31, ou qu'il ne s'acquitte pas de ses obligations, l'autorité notifiante procède sans retard à une enquête avec la plus grande diligence. Dans ce contexte, elle informe l'organisme notifié concerné des objections soulevées et lui donne la possibilité de faire connaître son point de vue. Si l'autorité notifiante conclut que l'organisme notifié ne répond plus aux exigences définies à l'article 31, ou qu'il ne s'acquitte pas de ses obligations, elle soumet la désignation à des restrictions, la suspend ou la retire , selon le cas, en fonction de la gravité du manquement. Elle en informe immédiatement la Commission et les autres États membres.

5. Lorsque sa désignation a été suspendue, restreinte ou révoquée en tout ou en partie, l'organisme notifié en informe les fournisseurs concernés dans un délai de dix jours.
6. En cas de restriction, de suspension ou de retrait d'une désignation, l'autorité notifiante prend les mesures nécessaires pour que les dossiers de l'organisme notifié en question soient conservés et pour qu'ils soient mis à la disposition des autorités notifiantes d'autres États membres et des autorités de surveillance du marché, à leur demande.

7. En cas de restriction, de suspension ou de retrait d'une désignation, l'autorité notifiante:

a) évalue l'incidence sur les certificats délivrés par l'organisme notifié;

b) transmet un rapport sur ses conclusions à la Commission et aux autres États membres dans un délai de trois mois après avoir signalé les modifications apportées à la désignation;

c) exige de l'organisme notifié qu'il suspende ou retire, dans un délai raisonnable qu'elle détermine, tous les certificats délivrés à tort afin d'assurer la conformité constante des systèmes d'IA à haut risque sur le marché;

d) informe la Commission et les États membres des certificats dont elle a demandé la suspension ou le retrait;

e) fournit aux autorités nationales compétentes de l'État membre dans lequel le fournisseur a son siège social toutes les informations pertinentes sur les certificats dont elle a demandé la suspension ou le retrait; cette autorité prend les mesures appropriées si cela est nécessaire pour éviter un risque potentiel pour la santé, la sécurité ou les droits fondamentaux.
8. À l'exception des certificats délivrés à tort, et lorsqu'une désignation a été suspendue ou restreinte, les certificats restent valables dans l'un des cas suivants:

a) l'autorité notifiante a confirmé, dans un délai d'un mois suivant la suspension ou la restriction, qu'il n'y a pas de risque pour la santé, la sécurité ou les droits fondamentaux en lien avec les certificats concernés par la suspension ou la restriction, et l'autorité notifiante a défini un calendrier de mesures pour remédier à la suspension ou à la restriction; ou

b) l'autorité notifiante a confirmé qu'aucun certificat ayant trait à la suspension ne sera délivré, modifié ou délivré à nouveau pendant la période de suspension ou de restriction et elle indique si l'organisme notifié est en mesure de continuer à contrôler les certificats existants délivrés et à en être responsable pour la durée de la suspension ou de la restriction. Si l'autorité notifiante considère que l'organisme notifié n'est pas en mesure de se charger des certificats existants délivrés, le fournisseur du système faisant l'objet du certificat confirme par écrit aux autorités nationales compétentes de l'État membre dans lequel il a son siège social, dans un délai de trois mois suivant la suspension ou la restriction, qu'un autre organisme notifié qualifié assume temporairement les fonctions de surveillance de l'organisme notifié et continue d'assumer la responsabilité des certificats pour la durée de la suspension ou de la restriction.
9. À l'exception des certificats délivrés à tort, et lorsqu'une désignation a été retirée, les certificats restent valables pendant une durée de neuf mois dans les cas suivants:

a) l'autorité nationale compétente de l'État membre dans lequel le fournisseur du système d'IA à haut risque faisant l'objet du certificat a son siège social a confirmé que les systèmes d'IA à haut risque en question ne présentent pas de risque pour la santé, la sécurité ou les droits fondamentaux; et

b) un autre organisme notifié a confirmé par écrit qu'il assumera la responsabilité immédiate de ces systèmes d'IA et achèvera son évaluation dans un délai de douze mois à compter du retrait de la désignation.

Dans le cas visé au premier alinéa, l'autorité nationale compétente de l'État membre dans lequel le fournisseur du système faisant l'objet du certificat a son siège peut prolonger à plusieurs reprises la durée de validité provisoire des certificats de trois mois supplémentaires, pour une durée totale maximale de douze mois.

L'autorité nationale compétente ou l'organisme notifié assumant les fonctions de l'organisme notifié concerné par la modification de la désignation en informe immédiatement la Commission, les autres États membres et les autres organismes notifiés.
### *Article 37 - Contestation de la compétence des organismes notifiés*

1. La Commission enquête, s'il y a lieu, sur tous les cas où il existe des raisons de douter de la compétence d'un organisme notifié ou du respect continu, par un organisme notifié, des exigences établies à l'article 31 *et de ses responsabilités applicables*.

2. L'autorité notifiante fournit à la Commission, sur demande, toutes les informations utiles relatives à la notification *ou au maintien de la compétence* de l'organisme notifié concerné.

3. La Commission veille à ce que toutes les informations *sensibles* obtenues au cours des enquêtes qu'elle mène au titre du présent article soient traitées de manière confidentielle *conformément à l'article 78*.

4. Lorsque la Commission établit qu'un organisme notifié ne répond pas ou ne répond plus aux exigences *relatives à sa notification*, elle *informe* l'État membre notifiant *en conséquence et lui demande* de prendre les mesures correctives qui s'imposent, y compris la suspension *ou* le retrait de la notification si nécessaire. *Si l'État membre ne prend pas les mesures correctives qui s'imposent, la Commission peut, au moyen d'un acte d'exécution, suspendre, restreindre ou retirer la désignation*. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.
### **Article 38 - Coordination des organismes notifiés**

1. La Commission veille à ce que, en ce qui concerne les **systèmes d'IA à haut risque**, une coordination et une coopération appropriées entre les organismes notifiés intervenant dans les procédures d'évaluation de la conformité ▫ conformément au présent règlement soient mises en place et gérées de manière adéquate dans le cadre d'un groupe sectoriel d'organismes notifiés.

2. Chaque **autorité notifiante** veille à ce que les organismes qu'elle a notifiés participent aux travaux d'un groupe visé au paragraphe 1, directement ou par l'intermédiaire de représentants désignés.

3. **La Commission veille à l'échange des connaissances et des bonnes pratiques entre les autorités notifiantes.**

### **Article 39 - Organismes d'évaluation de la conformité de pays tiers**

Les organismes d'évaluation de la conformité établis conformément à la législation d'un pays tiers avec lequel l'Union a conclu un accord peuvent être autorisés à exercer les activités d'organismes notifiés au titre du présent règlement, **pour autant qu'ils répondent aux exigences prévues à l'article 31 ou qu'ils veillent à un niveau équivalent de respect.**
# Section 5 - Normes, évaluation de la conformité, certificats, enregistrement

## *Article 40 - Normes harmonisées et travaux de normalisation*

1. Les systèmes d'IA à haut risque ou les modèles d'IA à usage général conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au *Journal officiel de l'Union européenne conformément au règlement (UE) 1025/2012* sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, du présent règlement, dans la mesure où ces exigences ou obligations sont couvertes par ces normes.

2. Conformément à l'article 10 du règlement (UE) n° 1025/2012, la Commission présente sans retard injustifié des demandes de normalisation couvrant toutes les exigences énoncées à la section 2 du présent chapitre et, le cas échéant, les demandes de normalisation couvrant les obligations énoncées au chapitre V, sections 2 et 3, du présent règlement. La demande de normalisation inclut également une demande de livrables sur les processus de déclaration et de documentation afin d'améliorer les performances des systèmes d'IA en matière de ressources, telles que la réduction de la consommation d'énergie et d'autres ressources par le système d'IA à haut risque au cours de son cycle de vie, et sur le développement économe en énergie de modèles d'IA à usage général. Lors de la préparation d'une demande de normalisation, la Commission consulte le Comité et les parties prenantes concernées, y compris le forum consultatif.
Lorsqu'elle présente une demande de normalisation aux organisations européennes de normalisation, la Commission précise que les normes doivent être claires, cohérentes, y compris avec les normes développées dans les différents secteurs pour les produits relevant de la législation d'harmonisation de l'Union existante dont la liste figure à l'annexe I, et visant à veiller à ce que les systèmes d'IA à haut risque ou les modèles d'IA à usage général mis sur le marché ou mis en service dans l'Union satisfont aux exigences ou obligations pertinentes énoncées dans le présent règlement.

La Commission demande aux organisations européennes de normalisation de fournir la preuve qu'elles mettent tout en œuvre pour atteindre les objectifs visés aux premier et deuxième alinéas du présent paragraphe, conformément à l'article 24 du règlement (UE) no 1025/2012.

3. Les participants au processus de normalisation s'efforcent de favoriser les investissements et l'innovation dans le domaine de l'IA, y compris en renforçant la sécurité juridique, ainsi que la compétitivité et la croissance du marché de l'Union, de contribuer à renforcer la coopération mondiale en faveur d'une normalisation en tenant compte des normes internationales existantes dans le domaine de l'IA qui sont conformes aux valeurs et aux intérêts de l'Union et aux droits fondamentaux, et de renforcer la gouvernance multipartite en veillant à une représentation équilibrée des intérêts et à la participation effective de toutes les parties prenantes concernées conformément aux articles 5, 6 et 7 du règlement (UE) n° 1025/2012.
## Article 41 - Spécifications communes

1. La Commission peut adopter des actes d'exécution établissant des spécifications communes pour les exigences énoncées à la section 2 du présent chapitre ou, le cas échéant, pour les obligations énoncées au chapitre IV, sections 2 et 3, lorsque les conditions suivantes sont remplies:

a) la Commission, en vertu de l'article 10, paragraphe 1, du règlement (UE) n° 1025/2012, a demandé à une ou plusieurs organisations européennes de normalisation d'élaborer une norme harmonisée pour les exigences énoncées à la section 2 du présent chapitre ou, le cas échéant, pour les obligations énoncées au chapitre V, sections 2 et 3, et;

i) la demande n'a été acceptée par aucune des organisations européennes de normalisation; ou

ii) les normes harmonisées faisant l'objet de cette demande n'ont pas été présentées dans le délai fixé conformément à l'article 10, paragraphe 1, du règlement (UE) n° 1025/2012; ou

iii) les normes harmonisées pertinentes ne répondent pas suffisamment aux préoccupations en matière de droits fondamentaux; ou

iv) les normes harmonisées ne sont pas conformes à la demande; et
b) aucune référence à des normes harmonisées couvrant les exigences visées à la section 2 du chapitre ou, le cas échéant, les obligations énoncées au chapitre V, sections 2 et 3,n'a été publiée au Journal officiel de l'Union européenne conformément au règlement (UE) no 1025/2012, et aucune référence de ce type ne devrait être publiée dans un délai raisonnable.

Lors de la rédaction des spécifications communes, la Commission consulte le forum consultatif visé à l'article 67.

Les actes d'exécution visés au premier alinéa du présent paragraphe sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

2. Avant d'élaborer un projet d'acte d'exécution, la Commission informe le comité visé à l'article 22 du règlement (UE) n° 1025/2012 qu'elle considère que les conditions énoncées au paragraphe 1 du présent article sont remplies.
3. Les systèmes d'IA à haut risque ou les modèles d'IA à usage général conformes aux spécifications communes visées au paragraphe 1, **ou à des parties de ces spécifications**, sont présumés conformes aux exigences visées à la section 2 du présent chapitre ou, le cas échéant pour se conformer aux obligations visées au chapitre V, sections 2 et 3, dans la mesure où ces exigences ou obligations sont couvertes par ces spécifications communes.

4. Lorsqu'une norme harmonisée est adoptée par une organisation européenne de normalisation et proposée à la Commission en vue de la publication de sa référence au Journal officiel de l'Union européenne, la Commission procède à l'évaluation de cette norme harmonisée conformément au règlement (UE) n°01025/2012. Lorsque la référence à une norme harmonisée est publiée au Journal officiel de l'Union européenne, la Commission abroge les actes d'exécution visés au paragraphe 1, ou les parties de ces actes qui couvrent les mêmes exigences que celles énoncées à la section 2 du présent chapitre ou, le cas échéant les mêmes obligations que celles énoncées au chapitre V, sections 2 et 3.

5. Lorsque les fournisseurs de **systèmes d'IA à haut risque** ou de modèles d'IA à usage général ne respectent pas les spécifications communes visées au paragraphe 1, ils justifient dûment avoir adopté des solutions techniques qui **satisfont aux exigences visées à la section 2 du présent chapitre** ou, le cas échéant, aux obligations énoncées au chapitre V, sections 2 et 3, **à un niveau** au moins équivalent auxdites spécifications.
6. Lorsqu'un État membre considère qu'une spécification commune ne satisfait pas entièrement aux exigences énoncées à la section 2 ou, le cas échéant aux obligations énoncées au chapitre V, sections 2 et 3, il en informe la Commission au moyen d'une explication détaillée. La Commission évalue ces informations et, le cas échéant, modifie l'acte d'exécution établissant la spécification commune concernée.

## Article 42 - Présomption de conformité avec certaines exigences

1. Les systèmes d'IA à haut risque qui ont été entraînés et testés avec des données tenant compte du cadre géographique, comportemental, contextuel ou fonctionnel spécifique dans lequel ils sont destinés à être utilisés sont présumés conformes aux exigences pertinentes établies à l'article 10, paragraphe 4.

2. Les systèmes d'IA à haut risque qui ont été certifiés ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d'un schéma de cybersécurité conformément au règlement (UE) 2019/881 et dont les références ont été publiées au *Journal officiel de l'Union européenne* sont présumés conformes aux exigences de cybersécurité énoncées à l'article 15 du présent règlement, dans la mesure où ces dernières sont couvertes par tout ou partie du certificat de cybersécurité ou de la déclaration de conformité.
## **Article 43 - Évaluation de la conformité**

1. Pour les systèmes d'IA à haut risque énumérés à l'annexe III, point 1, lorsque, pour démontrer la conformité d'un système d'IA à haut risque avec les exigences énoncées à la section 2, le fournisseur a appliqué les normes harmonisées visées à l'article 40 ou, le cas échéant, les spécifications communes visées à l'article 41, il **choisit** l'une des procédures d'évaluation de la conformité suivantes sur la base:

a) du contrôle interne visé à l'annexe VI; ou

b) de l'évaluation du système de gestion de la qualité et de l'évaluation de la documentation technique, avec l'intervention d'un organisme notifié, visée à l'annexe VII.

Pour démontrer la conformité d'un système d'IA à haut risque avec les exigences énoncées à la section 2, le fournisseur **suit la procédure d'évaluation de la conformité prévue à l'annexe VII dans les cas suivants:**

a) les normes harmonisées visées à l'article 40 n'existent pas et les spécifications communes visées à l'article 41 font défaut;

b) le fournisseur n'a pas appliqué la norme harmonisée ou ne l'a appliquée que partiellement;

c) les spécifications communes visées au point a) existent, mais le fournisseur ne les a pas appliquées;

d) une ou plusieurs des normes harmonisées visées au point a), ont été publiées assorties d'une restriction et seulement sur la partie de la norme qui a été soumise à une restriction.
Aux fins de la procédure d'évaluation de la conformité visée à l'annexe VII, le fournisseur peut choisir n'importe lequel des organismes notifiés. Toutefois, lorsque le système d'IA à haut risque est destiné à être mis en service par les autorités répressives, les services de l'immigration ou les autorités compétentes en matière d'asile ou par les institutions, organes ou organismes de l'UE, l'autorité de surveillance du marché visée à l'article 74, paragraphe 8 ou 9, selon le cas, agit en tant qu'organisme notifié.

2. Pour les systèmes d'IA à haut risque visés à l'annexe III, points 2 à 8, les fournisseurs suivent la procédure d'évaluation de la conformité fondée sur le contrôle interne visée à l'annexe VI, qui ne prévoit pas d'intervention d'un organisme notifié.

3. Pour les systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fournisseur suit la procédure d'évaluation de la conformité pertinente selon les modalités requises par ces actes juridiques. Les exigences énoncées à la section 2 du présent chapitre s'appliquent à ces systèmes d'IA à haut risque et font partie de cette évaluation. Les points 4.3, 4.4 et 4.5 de l'annexe VII ainsi que le point 4.6, cinquième alinéa, de ladite annexe s'appliquent également.

Aux fins de ces évaluations, les organismes notifiés qui ont été notifiés en vertu de ces actes juridiques sont habilités à contrôler la conformité des systèmes d'IA à haut risque avec les exigences énoncées à la section 2, à condition que le respect, par ces organismes notifiés, des exigences énoncées à l'article 31, paragraphes 4, 10 et 11, ait été évalué dans le cadre de la procédure de notification prévue par ces actes juridiques.
Lorsqu'un acte juridique énuméré à l'annexe I, section A, confère au fabricant du produit la faculté de ne pas faire procéder à une évaluation de la conformité par un tiers, à condition que ce fabricant ait appliqué toutes les normes harmonisées couvrant toutes les exigences pertinentes, ce fabricant ne peut faire usage de cette faculté que s'il a également appliqué les normes harmonisées ou, le cas échéant, les spécifications communes visées à l'article 41 couvrant toutes les exigences énoncées à la section 2 du présent chapitre.

4. Les systèmes d'IA à haut risque qui ont déjà été soumis à une procédure d'évaluation de la conformité sont soumis à une nouvelle procédure d'évaluation de la conformité lorsqu'ils font l'objet de modifications substantielles, que le système modifié soit destiné à être distribué plus largement ou reste utilisé par le déployeur actuel.

Pour les systèmes d'IA à haut risque qui continuent leur apprentissage après avoir été mis sur le marché ou mis en service, les modifications apportées au système d'IA à haut risque et à sa performance qui ont été déterminées au préalable par le fournisseur au moment de l'évaluation initiale de la conformité et font partie des informations contenues dans la documentation technique visée à l'annexe IV, point 2 f), ne constituent pas une modification substantielle.

5. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier les annexes VI et VII afin de les mettre à jour compte tenu du progrès technique.
6. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier les paragraphes 1 et 2 du présent article afin de soumettre les systèmes d'IA à haut risque visés à l'annexe III, points 2 à 8, à tout ou partie de la procédure d'évaluation de la conformité visée à l'annexe VII. La Commission adopte ces actes délégués en tenant compte de l'efficacité de la procédure d'évaluation de la conformité fondée sur le contrôle interne visée à l'annexe VI pour prévenir ou réduire au minimum les risques que ces systèmes font peser sur la santé et la sécurité et sur la protection des droits fondamentaux, ainsi que de la disponibilité de capacités et de ressources suffisantes au sein des organismes notifiés.

### Article 44 - Certificats

1. Les certificats délivrés par les organismes notifiés conformément à l'annexe VII sont établis dans une langue aisément compréhensible par les autorités compétentes de l'État membre dans lequel l'organisme notifié est établi.
2. Les certificats sont valables pendant la période indiquée sur ceux-ci, qui n'excède pas cinq ans pour les systèmes d'IA relevant de l'annexe I, et quatre ans pour les systèmes d'IA relevant de l'annexe III. À la demande du fournisseur, la durée de validité d'un certificat peut être prolongée d'une durée maximale de cinq ans à chaque fois pour les systèmes d'IA relevant de l'annexe I, et de quatre ans pour les systèmes d'IA relevant de l'annexe III, sur la base d'une nouvelle évaluation suivant les procédures d'évaluation de la conformité applicables. Tout document complémentaire à un certificat reste valable, à condition que le certificat qu'il complète le soit.

3. Lorsqu'un organisme notifié constate qu'un système d'IA ne répond plus aux exigences énoncées à la section 2, il suspend ou retire le certificat délivré ou l'assortit de restrictions, en tenant compte du principe de proportionnalité, sauf si le fournisseur applique, en vue du respect de ces exigences, des mesures correctives appropriées dans le délai imparti à cet effet par l'organisme notifié. L'organisme notifié motive sa décision.

> Une procédure de recours contre les décisions des organismes notifiés, y compris concernant des certificats de conformité délivrés, est disponible.
## *Article 45 - Obligations d'information des organismes notifiés*

1. Les organismes notifiés communiquent à l'autorité notifiante:

a) tout certificat d'évaluation UE de la documentation technique, tout document complémentaire afférent à ce certificat, et toute approbation d'un système de gestion de la qualité délivrée conformément aux exigences de l'annexe VII;

b) tout refus, restriction, suspension ou retrait d'un certificat d'évaluation UE de la documentation technique ou d'une approbation d'un système de gestion de la qualité délivrée conformément aux exigences de l'annexe VII;

c) toute circonstance ayant une incidence sur la portée ou les conditions de la notification;

d) toute demande d'information reçue des autorités de surveillance du marché concernant les activités d'évaluation de la conformité;

e) sur demande, les activités d'évaluation de la conformité réalisées dans le cadre de leur notification et toute autre activité réalisée, y compris les activités transfrontières et sous-traitées.
2. Chaque organisme notifié porte à la connaissance des autres organismes notifiés:

a) les approbations de systèmes de gestion de la qualité qu'il a refusées, suspendues ou retirées et, sur demande, les approbations qu'il a délivrées;

b) les certificats d'évaluation UE de la documentation technique ou les documents complémentaires y afférents qu'il a refusés, retirés, suspendus ou soumis à d'autres restrictions et, sur demande, les certificats et/ou documents complémentaires y afférents qu'il a délivrés.

3. Chaque organisme notifié fournit aux autres organismes notifiés qui accomplissent des activités similaires d'évaluation de la conformité portant sur les mêmes **types de systèmes d'IA** des informations pertinentes sur les aspects liés à des résultats négatifs et, sur demande, à des résultats positifs d'évaluation de la conformité.

4. Les autorités notifiantes garantissent la confidentialité des informations qu'elles obtiennent **conformément à l'article 78**.
## **Article 46 - Dérogation à la procédure d'évaluation de la conformité**

1. Par dérogation à l'article 43 *et sur demande dûment justifiée*, toute autorité de surveillance du marché peut, pour des raisons exceptionnelles de sécurité publique ou pour assurer la protection de la vie et de la santé humaines, la protection de l'environnement ou la protection d'actifs industriels et d'infrastructures d'importance majeure, autoriser la mise sur le marché ou la mise en service de systèmes d'IA à haut risque spécifiques sur le territoire de l'État membre concerné. Cette autorisation est accordée pour une période limitée ─ pendant la durée des procédures d'évaluation de la conformité nécessaires, en tenant compte des raisons exceptionnelles justifiant la dérogation. Ces procédures sont menées à bien *sans retard injustifié*.

2. Dans une situation d'urgence dûment justifiée pour des raisons exceptionnelles de sécurité publique ou en cas de menace spécifique, substantielle et imminente pour la vie ou la sécurité physique des personnes physiques, les autorités répressives ou les autorités de protection civile peuvent mettre en service un service d'IA à haut risque spécifique sans avoir obtenu l'autorisation visée au paragraphe 1, à condition que cette autorisation soit demandée sans retard injustifié pendant ou après l'utilisation. Si l'autorisation visée au paragraphe 1 est refusée, l'utilisation du système d'IA à haut risque cesse immédiatement et tous les résultats et sorties de cette utilisation sont immédiatement mis au rebut.
3. L'autorisation visée au paragraphe 1 n'est délivrée que si l'autorité de surveillance du marché conclut que le système d'IA à haut risque satisfait aux exigences de la section 2. L'autorité de surveillance du marché informe la Commission et les autres États membres de toute autorisation délivrée conformément aux paragraphes 1 et 2. Cette obligation ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives.

4. Si aucune objection n'est émise, dans un délai de quinze jours civils suivant la réception des informations visées au paragraphe 3, par un État membre ou par la Commission à l'encontre d'une autorisation délivrée par une autorité de surveillance du marché d'un État membre conformément au paragraphe 1, cette autorisation est réputée justifiée.

5. Si, dans un délai de quinze jours civils suivant la réception de la notification visée au paragraphe 3, un État membre soulève des objections à l'encontre d'une autorisation délivrée par une autorité de surveillance du marché d'un autre État membre, ou si la Commission estime que l'autorisation est contraire au droit de l'Union ou que la conclusion des États membres quant à la conformité du système visée au paragraphe 3 n'est pas fondée, la Commission entame sans retard des consultations avec l'État membre concerné. Les opérateurs concernés sont consultés et ont la possibilité de présenter leur point de vue. Sur cette base, la Commission décide si l'autorisation est justifiée ou non. La Commission communique sa décision à l'État membre concerné ainsi qu'aux opérateurs concernés.
6. Si la Commission estime que l'autorisation est injustifiée, elle est retirée par l'autorité de surveillance du marché de l'État membre concerné.

7. Pour les systèmes d'IA à haut risque liés à des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, seules les dérogations à l'évaluation de la conformité établies dans ladite législation d'harmonisation de l'Union s'appliquent.

### Article 47 - Déclaration UE de conformité

1. Le fournisseur établit une déclaration UE de conformité écrite, lisible par machine, signée à la main ou électroniquement concernant chaque système d'IA à haut risque et la tient à la disposition des autorités nationales compétentes pendant une durée de dix ans à partir du moment où le système d'IA à haut risque a été mis sur le marché ou mis en service. La déclaration UE de conformité identifie le système d'IA à haut risque pour lequel elle a été établie. Une copie de la déclaration UE de conformité est communiquée, sur demande, aux autorités nationales compétentes concernées.

2. La déclaration UE de conformité atteste que le système d'IA à haut risque concerné satisfait aux exigences énoncées à la section 2. La déclaration UE de conformité contient les informations qui figurent à l'annexe V et est traduite dans une langue aisément compréhensible par les autorités nationales compétentes des États membres dans lesquels le système d'IA à haut risque est mis sur le marché ou mis à disposition.
3. Si des systèmes d'IA à haut risque sont soumis à d'autres actes législatifs d'harmonisation de l'Union qui exigent également une déclaration UE de conformité, une seule déclaration UE de conformité est établie au titre de tous les actes législatifs de l'Union applicables au système d'IA à haut risque. La déclaration contient toutes les informations nécessaires à l'identification de la législation d'harmonisation de l'Union à laquelle la déclaration se rapporte.

4. Lors de l'établissement de la déclaration UE de conformité, le fournisseur assume la responsabilité du respect des exigences énoncées à la section 2. Le fournisseur tient à jour la déclaration UE de conformité, le cas échéant.

5. La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'annexe V en mettant à jour le contenu de la déclaration UE de conformité prévu à ladite annexe afin d'y introduire les éléments devenus nécessaires compte tenu du progrès technique.

## Article 48 - Marquage CE

1. Le marquage CE est soumis aux principes généraux énoncés à l'article 30 du règlement (CE) n° 765/2008.
2. Pour les systèmes d'IA à haut risque fournis numériquement, un marquage CE numérique n'est utilisé que s'il est facile d'y accéder par l'interface à partir de laquelle l'accès à ce système s'effectue ou au moyen d'un code facilement accessible lisible par machine ou d'autres moyens électroniques.

3. Le marquage CE est apposé de façon visible, lisible et indélébile sur les systèmes d'IA à haut risque. Si cela est impossible ou injustifié étant donné la nature du système d'IA à haut risque, il est apposé sur l'emballage ou sur les documents d'accompagnement, selon le cas.

4. Le cas échéant, le marquage CE est suivi du numéro d'identification de l'organisme notifié responsable des procédures d'évaluation de la conformité prévues à l'article 43. Le numéro d'identification de l'organisme notifié est apposé par l'organisme lui-même ou, sur instruction de celui-ci, par le fournisseur ou par le mandataire du fournisseur. Le numéro d'identification est également indiqué dans tous les documents publicitaires mentionnant que le système d'IA à haut risque est conforme aux exigences applicables au marquage CE.

5. Lorsque des systèmes d'IA à haut risque sont soumis à d'autres actes législatifs de l'Union qui prévoient aussi l'apposition du marquage CE, ce marquage indique que les systèmes d'IA à haut risque satisfont également aux exigences de ces autres actes législatifs.
## Article 49 - Enregistrement

1. Avant de mettre sur le marché ou de mettre en service un système d'IA à haut risque énuméré à l'annexe III, à l'exception des systèmes d'IA à haut risque visés à l'annexe III, point 2, le fournisseur ou, selon le cas, le mandataire s'enregistre dans la base de données de l'UE visée à l'article 71 et y enregistre aussi son système.

2. Avant de mettre sur le marché ou de mettre en service un système d'IA à propos duquel le fournisseur a conclu qu'il ne s'agissait pas d'un système à haut risque au titre de l'article 6, paragraphe 3, ce fournisseur ou, selon le cas, le mandataire s'enregistre dans la base de données de l'UE visée à l'article 71 et y enregistre aussi ce système.

3. Avant de mettre en service ou d'utiliser un système d'IA à haut risque énuméré à l'annexe III, à l'exception des systèmes d'IA à haut risque énumérés à l'annexe III, point 2, les déployeurs qui sont des autorités publiques, des institutions organes ou organismes de l'Union ou des personnes agissant en leur nom s'enregistrent, sélectionnent le système et enregistrent son utilisation dans la base de données de l'UE visée à l'article 71.
4. Pour les systèmes d'IA à haut risque visés à l'annexe III, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, l'enregistrement visé aux paragraphes 1, 2 et 3 du présent article figure dans une section sécurisée non publique de la base de données de l'UE visée à l'article 71 et comprend uniquement les informations suivantes, selon le cas, visées:

a) à l'annexe VIII, section A, points 1 à 10, à l'exception des points 6, 8 et 9;

b) à l'annexe VIII, section B, points 1 à 5, et points 8 et 9;

c) à l'annexe VIII, section C, points 1 à 3;

d) à l'annexe IX, points 1, 2, 3 et 5.

Seules la Commission et les autorités nationales visées à l'article 74, paragraphe 8, ont accès aux différentes sections restreintes de la base de données de l'UE énumérées au premier alinéa du présent paragraphe.

5. Les systèmes d'IA à haut risque visés à l'annexe III, point 2, sont enregistrés au niveau national.
# CHAPITRE IV - OBLIGATIONS DE TRANSPARENCE POUR LES FOURNISSEURS ET LES DÉPLOYEURS DE CERTAINS SYSTÈMES D'IA

## *Article 50 - Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA*

1. Les fournisseurs veillent à ce que les systèmes d'IA destinés à interagir *directement* avec des personnes physiques soient conçus et développés de manière à ce que les personnes physiques *concernées* soient informées qu'elles interagissent avec un système d'IA, sauf si cela ressort clairement *du point de vue d'une personne physique normalement informée et raisonnablement attentive et avisée, compte tenu* des circonstances et du contexte d'utilisation. Cette obligation ne s'applique pas aux systèmes d'IA dont la loi autorise l'utilisation à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière, *sous réserve de garanties appropriées pour les droits et libertés des tiers*, sauf si ces systèmes sont mis à la disposition du public pour permettre le signalement d'une infraction pénale.
2. Les fournisseurs de systèmes d'IA, y compris de systèmes d'IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, veillent à ce que les sorties des systèmes d'IA soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA. Les fournisseurs veillent à ce que leurs solutions techniques soient aussi efficaces, interopérables, solides et fiables que la technologie le permet, compte tenu des spécificités et des limites des différents types de contenus, des coûts de mise en œuvre et de l'état de la technique généralement reconnu, comme cela peut ressortir des normes techniques pertinentes. Cette obligation ne s'applique pas dans la mesure où les systèmes d'IA remplissent une fonction d'assistance pour la mise en forme standard ou ne modifient pas de manière substantielle les données d'entrée fournies par le déployeur ou leur sémantique, ou lorsque leur utilisation est autorisée par la loi à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière.

3. Les déployeurs d'un système de reconnaissance des émotions ou d'un système de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système et traitent les données à caractère personnel conformément au règlement (UE) 2016/679, au règlement (UE) 2018/1725 et à la directive (UE) 2016/680, selon le cas. Cette obligation ne s'applique pas aux systèmes d'IA utilisés pour la catégorisation biométrique et la reconnaissance des émotions dont la loi autorise l'utilisation à des fins de prévention ou de détection des infractions pénales ou d'enquêtes en la matière, sous réserve de garanties appropriées pour les droits et libertés des tiers et conformément au droit de l'Union.
4. Les déployeurs d'un système d'IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage indiquent que les contenus ont été générés ou manipulés par une IA. Cette obligation ne s'applique pas lorsque l'utilisation est autorisée par la loi à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière. Lorsque le contenu fait partie d'une œuvre ou d'un programme manifestement artistique, créatif, satirique, fictif ou analogue, les obligations de transparence énoncées au présent paragraphe se limitent à la divulgation de l'existence de tels contenus générés ou manipulés d'une manière appropriée qui n'entrave pas l'affichage ou la jouissance de l'œuvre.

Les déployeurs d'un système d'IA qui génère ou manipule des textes publiés dans le but d'informer le public sur des questions d'intérêt public indiquent que le texte a été généré ou manipulé par une IA. Cette obligation ne s'applique pas lorsque l'utilisation est autorisée par la loi à des fins de prévention ou de détection des infractions pénales, d'enquêtes ou de poursuites en la matière, ou lorsque le contenu généré par l'IA a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu.
5. Les informations visées aux paragraphes 1 à 4 sont fournies aux personnes physiques concernées de manière claire et reconnaissable au plus tard au moment de la première interaction ou de la première exposition. Les informations sont conformes aux exigences applicables en matière d'accessibilité.

6. Les paragraphes 1 à 4 n'ont pas d'incidence sur les exigences et obligations énoncées au chapitre III *et sont sans préjudice des autres obligations de transparence prévues par le droit de l'Union ou le droit national pour les déployeurs de systèmes d'IA*.

7. Le Bureau de l'IA encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union afin de faciliter la mise en œuvre effective des obligations relatives à la détection et à l'étiquetage des contenus générés ou manipulés par une IA. La Commission peut adopter des actes d'exécution pour approuver ces codes de bonne pratique conformément à la procédure prévue à l'article 56, paragraphe 6. Si elle estime que le code n'est pas approprié, la Commission peut adopter un acte d'exécution précisant des règles communes pour la mise en œuvre de ces obligations conformément à la procédure d'examen prévue à l'article 98, paragraphe 2.
# CHAPITRE V - MODÈLES D'IA À USAGE GÉNÉRAL

## Section 1 - Règles de classification

### *Article 51 - Classification de modèles d'IA à usage général en tant que modèles d'IA à usage général présentant un risque systémique*

1. Un modèle d'IA à usage général est classé comme modèle d'IA à usage général présentant un risque systémique s'il remplit l'une des conditions suivantes:

a) il dispose de capacités à fort impact évaluées sur la base de méthodologies et d'outils techniques appropriés, y compris des indicateurs et des critères de référence;

b) sur la base d'une décision de la Commission, d'office ou à la suite d'une alerte qualifiée du groupe scientifique, il possède des capacités ou un impact équivalents à ceux énoncés au point a), compte tenu des critères définis à l'annexe XIII.
2. Un modèle d'IA à usage général est présumé avoir des capacités à fort impact conformément au paragraphe 1, point a), lorsque la quantité cumulée de calcul utilisée pour son entraînement mesurée en opérations en virgule flottante est supérieure à $10^{25}$.

3. La Commission adopte des actes délégués conformément à l'article 97 pour modifier les seuils énumérés aux paragraphes 1 et 2 du présent article, ainsi que pour compléter les critères de référence et les indicateurs à la lumière des évolutions technologiques, telles que les améliorations algorithmiques ou l'efficacité accrue du matériel informatique, si nécessaire, afin que ces seuils reflètent l'état de la technique.

### Article 52 - Procédure

1. Lorsqu'un modèle d'IA à usage général remplit la condition visée à l'article 51, paragraphe 1, point a), le fournisseur concerné en informe la Commission sans tarder et, en tout état de cause, dans un délai de deux semaines après la date à laquelle ce critère est rempli ou après qu'il a été établi qu'il le sera. Cette notification comprend les informations nécessaires pour démontrer que le critère pertinent a été rempli. Si la Commission apprend l'existence d'un modèle d'IA à usage général présentant un risque systémique dont elle n'a pas été informée, elle peut décider de le désigner comme modèle présentant un risque systémique.
2. Le fournisseur d'un modèle d'IA à usage général qui remplit la condition visée à l'article 51, paragraphe 1, point a), peut présenter, avec sa notification, des arguments suffisamment étayés pour démontrer que, exceptionnellement, bien qu'il remplisse ce critère, le modèle d'IA à usage général ne présente pas, en raison de ses caractéristiques spécifiques, de risque systémique et ne devrait donc pas être classé comme modèle d'IA à usage général présentant un risque systémique.

3. Lorsque la Commission conclut que les arguments présentés conformément au paragraphe 2 ne sont pas suffisamment étayés et que le fournisseur concerné n'a pas été en mesure de démontrer que le modèle d'IA à usage général ne présente pas, en raison de ses caractéristiques spécifiques, de risque systémique, elle rejette ces arguments, et le modèle d'IA à usage général est considéré comme un modèle d'IA à usage général présentant un risque systémique.

4. La Commission peut désigner un modèle d'IA à usage général comme présentant un risque systémique, d'office ou à la suite d'une alerte qualifiée du groupe scientifique conformément à l'article 90, paragraphe 1, point a), sur la base des critères énoncés à l'annexe XIII.

La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'annexe XIII en précisant et mettant à jour les critères énoncés à ladite annexe.
5. Sur demande motivée d'un fournisseur dont le modèle a été désigné comme modèle d'IA à usage général présentant un risque systémique en vertu du paragraphe 4, la Commission tient compte de la demande et peut décider de réévaluer si le modèle d'IA à usage général peut encore être considéré comme présentant un risque systémique sur la base des critères énoncés à l'annexe XIII. Une telle demande contient les éléments objectifs, détaillés et nouveaux qui sont apparus depuis la décision de désignation. Les fournisseurs peuvent demander une réévaluation au plus tôt six mois après la décision de désignation. Lorsque la Commission, à la suite de sa réévaluation, décide de maintenir la désignation en tant que modèle d'IA à usage général présentant un risque systémique, les fournisseurs peuvent demander une réévaluation au plus tôt six mois après cette décision.

6. La Commission veille à ce qu'une liste des modèles d'IA à usage général présentant un risque systémique soit publiée et tient cette liste à jour, sans préjudice de la nécessité de respecter et de protéger les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d'affaires conformément au droit de l'Union et au droit national.
# Section 2 - Obligations incombant aux fournisseurs de modèles d'IA à usage général

## Article 53 - Obligations incombant aux fournisseurs de modèles d'IA à usage général

1. Les fournisseurs de modèles d'IA à usage général:

a) élaborent et tiennent à jour la documentation technique du modèle, y compris son processus d'entraînement et d'essai et les résultats de son évaluation, qui contient, au minimum, les informations énoncées à l'annexe XI aux fins de la fournir, sur demande, au Bureau de l'IA et aux autorités nationales compétentes;

b) élaborent, tiennent à jour et mettent à disposition des informations et de la documentation à l'intention des fournisseurs de systèmes d'IA qui envisagent d'intégrer le modèle d'IA à usage général dans leurs systèmes d'IA. Sans préjudice de la nécessité d'observer et de protéger les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d'affaires conformément au droit de l'Union et au droit national, ces informations et cette documentation:

i) permettent aux fournisseurs de systèmes d'IA d'avoir une bonne compréhension des capacités et des limites du modèle d'IA à usage général et de se conformer aux obligations qui leur incombent en vertu du présent règlement; et
ii) contiennent, au minimum, les éléments énoncés à l'annexe XII;

c) mettent en place une politique visant à se conformer au droit de l'Union en matière de droit d'auteur et droits voisins, et notamment à identifier et à respecter, y compris au moyen de technologies de pointe, une réservation de droits exprimée conformément à l'article 4, paragraphe 3, de la directive (UE) 2019/790;

d) élaborent et mettent à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle d'IA à usage général, conformément à un modèle fourni par le Bureau de l'IA.

2. Les obligations énoncées au paragraphe 1, points a) et b), ne s'appliquent pas aux fournisseurs de modèles d'IA qui sont publiés dans le cadre d'une licence libre et ouverte permettant de consulter, d'utiliser, de modifier et de distribuer le modèle, et dont les paramètres, y compris les poids, les informations sur l'architecture du modèle et les informations sur l'utilisation du modèle, sont rendus publics. Cette exception ne s'applique pas aux modèles d'IA à usage général présentant un risque systémique.

3. Les fournisseurs de modèles d'IA à usage général coopèrent, en tant que de besoin, avec la Commission et les autorités nationales compétentes dans l'exercice de leurs compétences et pouvoirs en vertu du présent règlement.
4. Les fournisseurs de modèles d'IA à usage général peuvent s'appuyer sur des codes de bonne pratique au sens de l'article 56 pour démontrer qu'ils respectent les obligations énoncées au paragraphe 1 du présent article, jusqu'à la publication d'une norme harmonisée. Le respect des normes européennes harmonisées confère au fournisseur une présomption de conformité dans la mesure où lesdites normes couvrent ces obligations. Les fournisseurs de modèles d'IA à usage général qui n'adhèrent pas à un code de bonnes pratiques approuvé ou ne respectent pas une norme européenne harmonisée démontrent qu'ils disposent d'autres moyens appropriés de mise en conformité et les soumettent à l'appréciation de la Commission.

5. Afin de faciliter le respect de l'annexe XI, et notamment du point 2, points d) et e), la Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour préciser les méthodes de mesure et de calcul en vue de permettre l'élaboration d'une documentation comparable et vérifiable.

6. La Commission est habilitée à adopter des actes délégués conformément à l'article 97, paragraphe 2, pour modifier les annexes XI et XII à la lumière des évolutions technologiques.

7. Toute information ou documentation obtenue en vertu du présent article, y compris les secrets d'affaires, est traitée conformément aux obligations de confidentialité énoncées à l'article 78.
## Article 54 - Mandataires des fournisseurs de modèles d'IA à usage général

1. Avant de mettre un modèle d'IA à usage général sur le marché de l'Union, les fournisseurs établis dans des pays tiers désignent, par mandat écrit, un mandataire établi dans l'Union.

2. Le fournisseur autorise son mandataire à exécuter les tâches indiquées dans le mandat que lui a confié le fournisseur.

3. Le mandataire exécute les tâches indiquées dans le mandat que lui a confié le fournisseur. Il fournit une copie du mandat au Bureau de l'IA à la demande de ce dernier, dans l'une des langues officielles des institutions de l'Union. Aux fins du présent règlement, le mandat habilite le mandataire à exécuter les tâches suivantes:

a) vérifier que la documentation technique prévue à l'annexe XI a été rédigée et que toutes les obligations visées à l'article 53 et, le cas échéant, à l'article 55 ont été remplies par le fournisseur;

b) tenir à la disposition du Bureau de l'IA et des autorités nationales compétentes une copie de la documentation technique prévue à l'annexe XI, pendant une période de dix ans après la mise sur le marché du modèle d'IA à usage général, et les coordonnées du fournisseur ayant désigné le mandataire;
c) communiquer au Bureau de l'IA, sur demande motivée de sa part, toutes les informations et tous les documents, y compris ceux visés au point b), nécessaires pour démontrer qu'il respecte les obligations du présent chapitre;

d) coopérer avec le Bureau de l'IA et les autorités compétentes, sur demande motivée de leur part, à toute mesure qu'ils prennent à l'égard d'un modèle d'IA à usage général, y compris lorsque le modèle est intégré dans des systèmes d'IA mis sur le marché ou mis en service dans l'Union.

4. Le mandat habilite le mandataire à servir d'interlocuteur, en plus ou à la place du fournisseur, au Bureau de l'IA ou aux autorités compétentes, pour toutes les questions liées au respect du présent règlement.

5. Le mandataire met fin au mandat s'il considère ou a des raisons de considérer que le fournisseur agit de manière contraire aux obligations qui lui incombent en vertu du présent règlement. Dans ce cas, il informe en outre immédiatement le Bureau de l'IA de la cessation du mandat et des motifs qui la sous-tendent.

6. L'obligation énoncée au présent article ne s'applique pas aux fournisseurs de modèles d'IA à usage général qui sont publiés dans le cadre d'une licence libre et ouverte permettant de consulter, d'utiliser, de modifier et de distribuer le modèle, et dont les paramètres, y compris les poids, les informations sur l'architecture du modèle et les informations sur l'utilisation du modèle, sont rendus publics, à moins que les modèles d'IA à usage général présentent un risque systémique.
# Section 3 - Obligations incombant aux fournisseurs de modèles d'IA à usage général présentant un risque systémique

## Article 55 - Obligations incombant aux fournisseurs de modèles d'IA à usage général présentant un risque systémique

1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d'IA à usage général présentant un risque systémique:

a) effectuent une évaluation des modèles sur la base de protocoles et d'outils normalisés reflétant l'état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d'identifier et d'atténuer les risques systémiques;

b) évaluent et atténuent les risques systémiques éventuels au niveau de l'Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l'utilisation de modèles d'IA à usage général présentant un risque systémique;
c) suivent, documentent et communiquent sans retard injustifié au Bureau de l'IA et, le cas échéant, aux autorités nationales compétentes les informations pertinentes concernant les incidents graves ainsi que les éventuelles mesures correctives pour y remédier;

d) garantissent un niveau approprié de protection en matière de cybersécurité pour le modèle d'IA à usage général présentant un risque systémique et l'infrastructure physique du modèle.

2. Les fournisseurs de modèles d'IA à usage général présentant un risque systémique peuvent s'appuyer sur des codes de bonne pratique au sens de l'article 56 pour démontrer qu'ils respectent les obligations énoncées au paragraphe 1 du présent article, jusqu'à la publication d'une norme harmonisée. Le respect des normes européennes harmonisées confère au fournisseur une présomption de conformité dans la mesure où lesdites normes couvrent ces obligations. Les fournisseurs de modèles d'IA à usage général présentant un risque systémique qui n'adhèrent pas à un code de bonnes pratiques approuvé ou ne respectent pas une norme européenne harmonisée démontrent qu'ils disposent d'autres moyens appropriés de mise en conformité et les soumettent à l'appréciation de la Commission.

3. Toute information ou documentation obtenue en vertu du présent article, y compris les secrets d'affaires, est traitée conformément aux obligations de confidentialité énoncées à l'article 78.
# Section 4 - Codes de bonnes pratiques

## Article 56 - Codes de bonne pratique

1. Le Bureau de l'IA encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union afin de contribuer à la bonne application du présent règlement, en tenant compte des approches internationales.

2. Le Bureau de l'IA et le Comité s'efforcent de veiller à ce que les codes de bonne pratique couvrent au moins les obligations prévues aux articles 53 et 55, y compris les questions suivantes:

a) les moyens de s'assurer que les informations visées à l'article 53, paragraphe 1, points a) et b), sont mises à jour à la lumière des évolutions du marché et des technologies;

b) le niveau approprié de détail pour le résumé du contenu utilisé pour l'entraînement;

c) l'identification du type et de la nature des risques systémiques au niveau de l'Union, y compris leurs origines, le cas échéant;
d) les mesures, procédures et modalités d'évaluation et de gestion des risques systémiques au niveau de l'Union, y compris la documentation y afférente, qui sont proportionnées aux risques, prennent en considération leur gravité et leur probabilité et tiennent compte des défis spécifiques que pose la maîtrise de ces risques à la lumière des différentes façons dont ils peuvent apparaître ou se concrétiser tout au long de la chaîne de valeur de l'IA.

3. Le Bureau de l'IA peut inviter tous les fournisseurs de modèles d'IA à usage général, ainsi que les autorités nationales compétentes concernées, à participer à l'élaboration de codes de bonne pratique. Les organisations de la société civile, l'industrie, le monde universitaire et d'autres parties prenantes concernées, telles que les fournisseurs en aval et les experts indépendants, peuvent apporter leur soutien au processus.

4. Le Bureau de l'IA et le Comité s'efforcent de veiller à ce que les codes de bonne pratique définissent clairement leurs objectifs spécifiques et contiennent des engagements ou des mesures, y compris, le cas échéant, des indicateurs de performance clés, afin de garantir la réalisation de ces objectifs, et à ce qu'ils tiennent dûment compte des besoins et des intérêts de l'ensemble des parties intéressées, y compris les personnes concernées, au niveau de l'Union.
5. Le Bureau de l'IA veille à ce que les participants aux codes de bonne pratique fassent régulièrement rapport au Bureau de l'IA sur la mise en œuvre des engagements ainsi que sur les mesures qu'ils adoptent et leurs résultats, y compris mesurés par rapport aux indicateurs de performance clés, le cas échéant. Les indicateurs de performance clés et l'obligation de présenter des rapports reflètent les différences de taille et de capacité entre les différents participants.

6. Le Bureau de l'IA et le Comité contrôlent et évaluent régulièrement la réalisation des objectifs des codes de bonne pratique par les participants et leur contribution à la bonne application du présent règlement. Le Bureau de l'IA et le Comité évaluent si les codes de bonne pratique couvrent les obligations prévues aux articles 53 et 55, et contrôlent et évaluent régulièrement la réalisation de leurs objectifs. Ils publient leur évaluation de l'adéquation des codes de bonne pratique.

La Commission peut, au moyen d'un acte d'exécution, approuver un code de bonnes pratiques et lui conférer une validité générale au sein de l'Union. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

7. Le Bureau de l'IA peut inviter tous les fournisseurs de modèles d'IA à usage général à adhérer aux codes de bonne pratique. Pour les fournisseurs de modèles d'IA à usage général ne présentant pas de risque systémique, cette adhésion peut se limiter aux obligations prévues à l'article 53, à moins qu'ils ne déclarent explicitement leur intérêt à respecter le code complet.
8. Le Bureau de l'IA encourage et facilite également, le cas échéant, le réexamen et l'adaptation des codes de bonne pratique, en particulier à la lumière des normes émergentes. Le Bureau de l'IA participe à l'évaluation des normes disponibles.

9. Les codes de bonne pratique sont prêts au plus tard le ... [neuf mois à compter de la date d'entrée en vigueur du présent règlement]. Le Bureau de l'IA prend les mesures nécessaires, y compris inviter les fournisseurs en vertu du paragraphe 7.

Si, à la date du ... [douze mois à compter de la date d'entrée en vigueur], un code de bonnes pratiques n'a pas pu être mis au point, ou si le Bureau de l'IA estime qu'il n'est pas approprié à la suite de son évaluation au titre du paragraphe 6 du présent article, la Commission peut prévoir, au moyen d'actes d'exécution, des règles communes pour la mise en œuvre des obligations prévues aux articles 53 et 55, y compris les questions énoncées au paragraphe 2 du présent article. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.
# CHAPITRE VI - MESURES DE SOUTIEN À L'INNOVATION

## Article 57 - Bacs à sable réglementaires de l'IA

1. Les États membres veillent à ce que leurs autorités compétentes mettent en place au moins un bac à sable réglementaire de l'IA au niveau national, qui est opérationnel au plus tard le ... [24 mois à compter de la date d'entrée en vigueur du présent règlement]. Ce bac à sable peut également être établi conjointement avec les autorités compétentes d'autres États membres. La Commission peut fournir un soutien technique, des conseils et des outils pour la mise en place et l'exploitation de bacs à sable réglementaires de l'IA. L'obligation visée au premier alinéa peut également être remplie en participant à un bac à sable existant, pour autant que cette participation offre un niveau de couverture nationale équivalent pour les États membres participants.
2. Des bacs à sable réglementaires de l'IA supplémentaires au niveau régional ou au niveau local, ou établis conjointement avec les autorités compétentes d'autres États membres peuvent également être mis en place.

3. Le Contrôleur européen de la protection des données peut également créer un bac à sable réglementaire de l'IA pour les institutions, organes et organismes de l'Union, et peut exercer les rôles et les tâches des autorités nationales compétentes conformément au présent chapitre.

4. Les États membres veillent à ce que les autorités compétentes visées aux paragraphes 1 et 2 allouent des ressources suffisantes pour se conformer au présent article de manière efficace et en temps utile. Lorsqu'il y a lieu, les autorités nationales compétentes coopèrent avec d'autres autorités concernées et peuvent permettre la participation d'autres acteurs de l'écosystème de l'IA. Le présent article n'a pas d'incidence sur d'autres bacs à sable réglementaires établis en vertu du droit de l'Union ou du droit national. Les États membres assurent un niveau approprié de coopération entre les autorités chargées de la surveillance de ces autres bacs à sable et les autorités nationales compétentes.
5. Les bacs à sable réglementaires de l'IA établis en vertu du paragraphe 1 offrent un environnement contrôlé qui favorise l'innovation et facilite le développement, l'entraînement, la mise à l'essai et la validation de systèmes d'IA innovants pendant une durée limitée avant leur mise sur le marché ou leur mise en service conformément à un plan spécifique de bac à sable convenu entre les fournisseurs ou fournisseurs potentiels et l'autorité compétente. Ces bacs à sable peuvent comprendre des essais en conditions réelles qui y sont supervisés.

6. Les autorités compétentes fournissent, s'il y a lieu, des orientations, une surveillance et un soutien dans le cadre du bac à sable réglementaire de l'IA en ce qui concerne l'identification des risques, en particulier pour les droits fondamentaux, la santé et la sécurité, les essais, les mesures d'atténuation et leur efficacité par rapport aux obligations et exigences du présent règlement et, le cas échéant, d'autres dispositions du droit de l'Union et du droit national dont le respect est suivi dans le cadre du bac à sable.

7. Les autorités compétentes donnent aux fournisseurs et aux fournisseurs potentiels participant au bac à sable réglementaire de l'IA des orientations sur les attentes réglementaires et la manière de satisfaire aux exigences et obligations énoncées dans le présent règlement.
À la demande du fournisseur ou du fournisseur potentiel du système d'IA, l'autorité compétente fournit une preuve écrite des activités menées avec succès dans le bac à sable. L'autorité compétente fournit également un rapport de sortie détaillant les activités menées dans le bac à sable ainsi que les résultats et acquis d'apprentissage correspondants. Les fournisseurs peuvent utiliser ces documents pour démontrer leur conformité avec le présent règlement au moyen de la procédure d'évaluation de la conformité ou d'activités pertinentes de surveillance du marché. À cet égard, les rapports de sortie et la preuve écrite fournie par l'autorité nationale compétente sont évalués de manière positive par les autorités de surveillance du marché et les organismes notifiés, en vue d'accélérer les procédures d'évaluation de la conformité dans une mesure raisonnable.

8. Sous réserve des dispositions relatives à la confidentialité énoncées à l'article 78 et avec l'accord du fournisseur ou du fournisseur potentiel, la Commission et le Comité sont autorisés à accéder aux rapports de sortie et en tiennent compte, le cas échéant, dans l'exercice des tâches qui leur incombent en vertu du présent règlement. Si le fournisseur ou le fournisseur potentiel et l'autorité nationale compétente y consentent explicitement, le rapport de sortie peut être mis à la disposition du public par l'intermédiaire de la plateforme d'information unique visée au présent article.

9. La mise en place de bacs à sable réglementaires de l'IA vise à contribuer aux objectifs suivants:

a) améliorer la sécurité juridique afin d'assurer le respect réglementaire du présent règlement ou, le cas échéant, d'autres dispositions applicables du droit de l'Union et du droit national;
b) soutenir le partage des bonnes pratiques par la coopération avec les autorités participant au bac à sable réglementaire de l'IA;

c) favoriser l'innovation et la compétitivité et faciliter la mise en place d'un écosystème d'IA;

d) contribuer à l'apprentissage réglementaire fondé sur des données probantes;

e) faciliter et accélérer l'accès au marché de l'Union pour les systèmes d'IA, en particulier lorsqu'ils sont fournis par des PME, y compris des jeunes pousses.

10. Les autorités nationales compétentes veillent à ce que, dans la mesure où les systèmes d'IA innovants impliquent le traitement de données à caractère personnel ou relèvent à d'autres titres de la surveillance d'autres autorités nationales ou autorités compétentes assurant ou encadrant l'accès aux données, les autorités nationales chargées de la protection des données et ces autres autorités nationales ou autorités compétentes soient associées à l'exploitation du bac à sable réglementaire de l'IA et participent au contrôle des aspects qui relèvent de leurs tâches et pouvoirs respectifs.
11. Les bacs à sable réglementaires de l'IA n'ont pas d'incidence sur les pouvoirs en matière de contrôle ou de mesures correctives des autorités compétentes **chargées de la surveillance des bacs à sable, y compris au niveau régional ou local.** Tout risque substantiel pour la santé, la sécurité et les droits fondamentaux constaté lors du développement et des tests de ces systèmes d'IA donne lieu à des mesures d'atténuation appropriées. **Les autorités nationales compétentes sont habilitées à suspendre temporairement ou définitivement le processus d'essai ou la participation au bac à sable si aucune atténuation efficace n'est possible, et elles informent le Bureau de l'IA de cette décision. Les autorités nationales compétentes exercent leurs pouvoirs de surveillance, dans les limites de la législation applicable, en faisant usage de leurs pouvoirs discrétionnaires lorsqu'elles mettent en œuvre des dispositions juridiques relatives à un projet spécifique de bac à sable réglementaire de l'IA, dans le but de soutenir l'innovation dans le domaine de l'IA au sein de l'Union.**

12. **Les fournisseurs et les fournisseurs potentiels participant au bac à sable réglementaire de l'IA demeurent responsables, en vertu du droit de l'Union et du droit national applicable en matière de responsabilité, de tout préjudice infligé à des tiers en raison de l'expérimentation menée dans le bac à sable. Toutefois, sous réserve du respect par les fournisseurs potentiels du plan spécifique ainsi que des modalités de leur participation et de leur disposition à suivre de bonne foi les orientations fournies par l'autorité nationale compétente, aucune amende administrative n'est infligée par les autorités en cas de violation du présent règlement. Lorsque d'autres autorités compétentes chargées d'autres dispositions du droit de l'Union et du droit national ont participé activement à la surveillance du système d'IA dans le bac à sable et ont fourni des orientations en matière de conformité, aucune amende administrative n'est infligée en ce qui concerne ces dispositions.**
13. Les bacs à sable réglementaires de l'IA sont conçus et mis en œuvre de manière à faciliter, le cas échéant, la coopération transfrontière entre les autorités nationales compétentes.

14. Les autorités nationales compétentes coordonnent leurs activités et coopèrent dans le cadre du Comité.

15. Les autorités nationales compétentes informent le Bureau de l'IA et le Comité de la mise en place d'un bac à sable et peuvent leur demander un soutien et des orientations. Le Bureau de l'IA publie une liste des bacs à sable prévus et existants et la tient à jour afin d'encourager une plus grande interaction dans les bacs à sable réglementaires de l'IA et la coopération transfrontière.
16. Les autorités nationales compétentes présentent des rapports annuels au Bureau de l'IA et au Comité, dont le premier est élaboré dans un délai d'un an à compter de la mise en place du bac à sable réglementaire de l'IA, puis tous les ans jusqu'à son terme, et un rapport final. Ces rapports fournissent des informations sur les progrès et les résultats de la mise en œuvre de ces bacs à sable, y compris les bonnes pratiques, les incidents, les enseignements et les recommandations concernant leur mise en place et, le cas échéant, sur l'application et la révision éventuelle du présent règlement, y compris ses actes délégués et actes d'exécution, et sur l'application d'autres dispositions législatives de l'Union contrôlés par les autorités compétentes dans le cadre du bac à sable. Les autorités nationales compétentes publient ces rapports annuels ou des résumés de ceux-ci en ligne. La Commission tient compte, s'il y a lieu, des rapports annuels dans l'exercice de ses tâches au titre du présent règlement.

17. La Commission développe une interface unique et spécifique contenant toutes les informations pertinentes relatives aux bacs à sable réglementaires de l'IA pour permettre aux parties prenantes d'interagir avec les bacs à sable réglementaires de l'IA et de s'informer auprès des autorités compétentes, ainsi que de demander des orientations non contraignantes sur la conformité de produits, services et modèles commerciaux innovants intégrant les technologies de l'IA, conformément à l'article 62, paragraphe 1, point c). La Commission assure une coordination proactive avec les autorités nationales compétentes, le cas échéant.
## Article 58 - Modalités détaillées pour les bacs à sable réglementaires de l'IA et fonctionnement de ceux-ci

1. Afin d'éviter une fragmentation à travers l'Union, la Commission adopte des actes d'exécution précisant les modalités détaillées de mise en place, de développement, de mise en œuvre, d'exploitation et de surveillance des bacs à sable réglementaires de l'IA.
Les actes d'exécution contiennent des principes communs sur les questions suivantes:

a) les critères d'éligibilité et de sélection pour la participation au bac à sable réglementaire de l'IA;

b) les procédures de demande, de surveillance, de sortie et d'expiration du bac à sable réglementaire de l'IA, ainsi que de participation à celui-ci, y compris le plan du bac à sable et le rapport de sortie;

c) les conditions applicables aux participants.

Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

2. Les actes d'exécution visés au paragraphe 1 garantissent que:

a) les bacs à sable réglementaires de l'IA sont ouverts à tout fournisseur ou fournisseur potentiel d'un système d'IA qui remplit les critères d'éligibilité et de sélection, lesquels sont transparents et équitables, et que les autorités nationales compétentes informent les demandeurs de leur décision dans un délai de trois mois à compter de la demande;
b) que les bacs à sable réglementaires de l'IA permettent un accès étendu et égal et suivent la demande de participation; les fournisseurs et fournisseurs potentiels peuvent également soumettre des demandes en partenariat avec des déployeurs et d'autre tiers concernés;

c) que les modalités détaillées pour les bacs à sable réglementaires de l'IA et les conditions relatives à ces derniers favorisent, dans toute la mesure du possible, la flexibilité permettant aux autorités nationales compétentes de mettre en place et d'exploiter leurs bacs à sable réglementaires de l'IA;

d) que l'accès aux bacs à sable réglementaires de l'IA est gratuit pour les PME, y compris les jeunes pousses, sans préjudice des coûts exceptionnels que les autorités nationales compétentes peuvent recouvrer de manière équitable et proportionnée;

e) qu'ils aident les fournisseurs et les fournisseurs potentiels, au moyen des acquis d'apprentissage des bacs à sable réglementaires de l'IA, à se conformer aux obligations d'évaluation de la conformité prévues par le présent règlement et à l'application volontaire des codes de conduite visés à l'article 95;

f) que les bacs à sable réglementaires de l'IA facilitent la participation d'autres acteurs pertinents au sein de l'écosystème de l'IA, tels que les organismes notifiés et les organisations de normalisation, les PME, y compris les jeunes pousses, les entreprises, les innovateurs, les installations d'expérimentation et d'essai, les laboratoires de recherche et d'expérimentation et les pôles européens d'innovation numérique, les centres d'excellence, les chercheurs individuels, afin de permettre et de faciliter la coopération avec les secteurs public et privé;
g) que les procédures, processus et exigences administratives applicables en matière de demande, de sélection, de participation et de sortie dans le cadre du bac à sable réglementaires de l'IA sont simples, facilement compréhensibles et clairement communiqués afin de faciliter la participation des PME, y compris des jeunes pousses, disposant de capacités juridiques et administratives limitées, et sont rationalisés dans toute l'Union, afin d'éviter la fragmentation et de permettre que la participation à un bac à sable réglementaire de l'IA mis en place par un État membre ou par le Contrôleur européen de la protection des données soit mutuellement et uniformément reconnue et produise les mêmes effets juridiques dans l'ensemble de l'Union;

h) que la participation au bac à sable réglementaire de l'IA est limitée à une période adaptée à la complexité et à l'envergure du projet, qui peut être prolongée par l'autorité nationale compétente;

i) que les bacs à sable réglementaire de l'IA facilitent le développement d'outils et d'infrastructures pour la mise à l'essai, l'étalonnage des performances, l'évaluation et l'explication des aspects des systèmes d'IA pertinents pour l'apprentissage réglementaire, tels que la précision, la solidité et la cybersécurité, ainsi que les mesures d'atténuation des risques d'atteinte aux droits fondamentaux et à la société au sens large.
3. Les fournisseurs potentiels dans les bacs à sable réglementaires de l'IA, en particulier les PME et les jeunes pousses, sont dirigés, le cas échéant, vers des services préalables au déploiement, tels que des orientations sur la mise en œuvre du présent règlement, et vers d'autres services à valeur ajoutée, tels que l'aide avec les documents de normalisation et la certification, les installations d'essai et d'expérimentation, les pôles européens d'innovation numérique et les centres d'excellence.

4. Lorsque les autorités nationales compétentes envisagent d'autoriser des essais en conditions réelles supervisés dans le cadre d'un bac à sable réglementaire de l'IA établi en vertu du présent article, elles conviennent spécifiquement des conditions de ces essais et, en particulier, des garanties appropriées avec les participants en vue de protéger les droits fondamentaux, la santé et la sécurité. Le cas échéant, elles coopèrent avec d'autres autorités nationales compétentes en vue d'assurer la cohérence des pratiques dans l'ensemble de l'Union.
## Article 59 - Traitement ultérieur de données à caractère personnel en vue du développement de certains systèmes d'IA dans l'intérêt public dans le cadre du bac à sable réglementaire de l'IA

1. Dans le bac à sable réglementaire de l'IA, les données à caractère personnel collectées légalement à d'autres fins peuvent être traitées uniquement aux fins du développement, de l'entraînement et de la mise à l'essai de certains systèmes d'IA dans le bac à sable, lorsque l'ensemble des conditions suivantes sont remplies:

a) les systèmes d'IA sont développés pour préserver des intérêts publics importants par une autorité publique ou une autre personne physique ou morale et dans un ou plusieurs des domaines suivants:

i) la sécurité publique et la santé publique, y compris la détection, le diagnostic, la prévention, le contrôle et le traitement des maladies ainsi que l'amélioration des systèmes de soins de santé;

ii) un niveau élevé de protection et d'amélioration de la qualité de l'environnement, la protection de la biodiversité, la protection contre la pollution, les mesures de transition écologique et les mesures d'atténuation du changement climatique et d'adaptation à celui-ci;
iii) la durabilité énergétique;

iv) la sécurité et la résilience des systèmes de transport et de la mobilité, des infrastructures critiques et des réseaux de transport;

v) l'efficacité et la qualité de l'administration publique et des services publics;

b) les données traitées sont nécessaires pour satisfaire à une ou plusieurs des exigences visées au chapitre III, section 2, lorsque ces exigences ne peuvent être satisfaites de manière efficace en traitant des données anonymisées, synthétiques ou autres à caractère non personnel;

c) il existe des mécanismes de suivi efficaces pour déterminer si des risques élevés pour les droits et les libertés des personnes concernées, visés à l'article 35 du règlement (UE) 2016/679 et à l'article 39 du règlement (UE) 2018/1725, sont susceptibles de survenir lors de l'expérimentation menée dans le cadre du bac à sable, ainsi que des mécanismes de réponse permettant d'atténuer rapidement ces risques et, au besoin, de faire cesser le traitement des données;

d) les données à caractère personnel à traiter dans le cadre du bac à sable se trouvent dans un environnement de traitement des données séparé, isolé et protégé sur le plan fonctionnel, placé sous le contrôle du fournisseur potentiel, et seules les personnes autorisées ont accès à ces données;
e) les fournisseurs ne peuvent en outre partager les données initialement collectées que conformément au droit de l'Union en matière de protection des données; aucune donnée à caractère personnel créée dans le bac à sable ne peut être partagée en dehors du bac à sable;

f) aucun traitement de données à caractère personnel effectué dans le cadre du bac à sable ne débouche sur des mesures ou des décisions affectant les personnes concernées *ni n'a d'incidence sur l'application des droits que leur confère le droit de l'Union en matière de protection des données à caractère personnel*;

g) les données à caractère personnel traitées dans le cadre du bac à sable sont protégées par des mesures techniques et organisationnelles appropriées et supprimées une fois que la participation au bac à sable a cessé ou que la période de conservation de ces données à caractère personnel a expiré;

h) les registres du traitement des données à caractère personnel dans le cadre du bac à sable sont conservés pendant la durée de la participation au bac à sable, sauf disposition contraire du droit de l'Union ou du droit national;

i) une description complète et détaillée du processus et de la justification de l'entraînement, de la mise à l'essai et de la validation du système d'IA est conservée avec les résultats des essais, et fait partie de la documentation technique visée à l'annexe IV;

j) un résumé succinct du projet d'IA développé dans le cadre du bac à sable, de ses objectifs et des résultats escomptés est publié sur le site web des autorités compétentes; cette obligation ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives, des autorités chargées des contrôles aux frontières, des services de l'immigration ou des autorités compétentes en matière d'asile.
2. Aux fins de la prévention et de la détection d'infractions pénales, ainsi que des enquêtes et des poursuites en la matière ou de l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, sous le contrôle et la responsabilité des autorités répressives, le traitement des données à caractère personnel dans les bacs à sable réglementaires de l'IA est fondé sur une disposition spécifique du droit de l'Union ou du droit national et soumis aux mêmes conditions cumulatives que celles visées au paragraphe 1.

3. Le paragraphe 1 est sans préjudice du droit de l'Union ou du droit national excluant le traitement des données à caractère personnel à des fins autres que celles expressément mentionnées dans ce droit, ainsi que sans préjudice du droit de l'Union ou du droit national établissant le fondement du traitement des données à caractère personnel qui est nécessaire aux fins du développement, de la mise à l'essai et de l'entraînement de systèmes d'IA innovants, ou de toute autre base juridique, dans le respect du droit de l'Union relatif à la protection des données à caractère personnel.
## Article 60 - Essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA

1. Les essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA peuvent être effectués par les fournisseurs ou fournisseurs potentiels de systèmes d'IA à haut risque énumérés à l'annexe III, conformément au présent article et au plan d'essais en conditions réelles visé au présent article, sans préjudice des interdictions prévues à l'article 5.

La Commission précise, par voie d'actes d'exécution, les éléments détaillés du plan d'essais en conditions réelles. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

Le présent paragraphe est sans préjudice du droit de l'Union ou du droit national relatif aux essais en conditions réelles de systèmes d'IA à haut risque liés aux produits qui relèvent de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I.

2. Les fournisseurs ou fournisseurs potentiels peuvent effectuer, seuls ou en partenariat avec un ou plusieurs déployeurs ou déployeurs potentiels, des essais des systèmes d'IA à haut risque visés à l'annexe III, en conditions réelles, à tout moment avant la mise sur le marché ou la mise en service du système d'IA concerné.
3. Les essais de systèmes d'IA à haut risque en conditions réelles au titre du présent article sont sans préjudice de tout examen éthique exigé par le droit de l'Union ou le droit national.

4. Les fournisseurs ou fournisseurs potentiels ne peuvent effectuer les essais en conditions réelles que si toutes les conditions suivantes sont remplies:

a) le fournisseur ou le fournisseur potentiel a établi un plan d'essais en conditions réelles et l'a soumis à l'autorité de surveillance du marché dans l'État membre où les essais en conditions réelles doivent être réalisés;

b) l'autorité de surveillance du marché de l'État membre où les essais en conditions réelles doivent être réalisés a approuvé les essais en conditions réelles et le plan d'essais en conditions réelles; lorsque l'autorité de surveillance du marché n'a pas fourni de réponse dans un délai de 30 jours, les essais en conditions réelles et le plan d'essais en conditions réelles sont réputés approuvés; lorsque le droit national ne prévoit pas d'approbation tacite, les essais en conditions réelles restent soumis à autorisation;
c) le fournisseur ou fournisseur potentiel, à l'exception des fournisseurs ou fournisseurs potentiels de systèmes d'IA à haut risque visés à l'annexe III, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, ainsi que des systèmes d'IA à haut risque visés à l'annexe III, point 2, a enregistré les essais en conditions réelles dans la partie non publique de la base de données de l'UE visée à l'article 71, paragraphe 3, avec un numéro d'identification unique à l'échelle de l'Union et les informations indiquées à l'annexe IX; le fournisseur ou fournisseur potentiel de systèmes d'IA à haut risque visé à l'annexe III, points 1, 6 et 7, dans les domaines des activités répressives, de la migration, de l'asile et de la gestion des contrôles aux frontières, a enregistré les essais en conditions réelles dans la partie non publique de la base de données de l'UE visée à l'article 49, paragraphe 4, point d), avec un numéro d'identification unique à l'échelle de l'Union et les informations y indiquées; le fournisseur ou fournisseur potentiel de systèmes d'IA à haut risque visé à l'annexe III, point 2, a enregistré les essais en conditions réelles conformément à l'article 49, paragraphe 5.

d) le fournisseur ou fournisseur potentiel effectuant les essais en conditions réelles est établi dans l'Union ou a désigné un représentant légal établi dans l'Union;

e) les données collectées et traitées aux fins des essais en conditions réelles ne sont transférées vers des pays tiers qu'à condition que des garanties appropriées et applicables en vertu du droit de l'Union soient en place;

f) les essais en conditions réelles ne durent pas plus longtemps que nécessaire pour atteindre leurs objectifs et, en tout état de cause, pas plus de six mois, qui peuvent être prolongés pour une période supplémentaire de six mois, sous réserve d'une notification préalable par le fournisseur ou fournisseur potentiel à l'autorité de surveillance du marché, accompagnée d'une explication des raisons qui motivent une telle prolongation;
g) les participants aux essais en conditions réelles qui sont des personnes appartenant à des groupes vulnérables en raison de leur âge ou de leur handicap sont dûment protégées;

h) lorsqu'un fournisseur ou un fournisseur potentiel organise les essais en conditions réelles en coopération avec un ou plusieurs déployeurs ou déployeurs potentiels, ces derniers ont été préalablement informés de tous les aspects des essais qui sont pertinents pour leur décision de participer et ont reçu les instructions d'utilisation adéquates pour le système d'IA visé à l'article 13; le fournisseur ou fournisseur potentiel et le déployeur ou déployeur potentiel concluent un accord précisant leurs rôles et responsabilités en vue d'assurer le respect des dispositions relatives aux essais en conditions réelles prévues par le présent règlement et en vertu d'autres dispositions applicables du droit de l'Union et du droit national;

i) les participants aux essais en conditions réelles ont donné leur consentement éclairé conformément à l'article 61 ou, dans le cas des services répressifs, lorsque la recherche d'un consentement éclairé empêcherait de réaliser les essais du système d'IA, les essais proprement dits et les résultats des essais en conditions réelles n'ont pas d'effet négatif sur les participants, et leurs données à caractère personnel sont supprimées une fois les essais réalisés;
j) le fournisseur ou le fournisseur potentiel ainsi que les déployeurs ou les déployeurs potentiels effectuent un contrôle effectif des essais en conditions réelles, par des personnes dûment qualifiées dans le domaine concerné et disposant des capacités, de la formation et de l'autorité nécessaires pour accomplir leurs tâches;

k) les prévisions, recommandations ou décisions du système d'IA peuvent effectivement être infirmées et ignorées.

5. Tout participant aux essais en conditions réelles, ou son représentant légal, selon le cas, peut, sans encourir de préjudice et sans devoir se justifier, se retirer des essais à tout moment, en révoquant son consentement éclairé et peut demander la suppression immédiate et définitive de ses données à caractère personnel. Le retrait du consentement éclairé n'affecte pas les activités déjà menées.

6. Conformément à l'article 75, les États membres confèrent à leurs autorités de surveillance du marché le pouvoir d'exiger des fournisseurs et des fournisseurs potentiels qu'ils fournissent des informations, de procéder à des inspections inopinées à distance ou sur place et d'effectuer des vérifications concernant la réalisation des essais en conditions réelles et des systèmes d'IA à haut risque connexes. Les autorités de surveillance du marché utilisent ces pouvoirs pour veiller au développement sûr des essais en conditions réelles.
7. Tout incident grave constaté au cours des essais en conditions réelles est signalé à l'autorité nationale de surveillance du marché, conformément à l'article 73. Le fournisseur ou fournisseur potentiel adopte des mesures d'atténuation immédiates ou, à défaut, suspend les essais en conditions réelles jusqu'à ce que cette atténuation soit effective ou y met fin en l'absence d'atténuation. Le fournisseur ou fournisseur potentiel établit une procédure pour le rappel rapide du système d'IA lors de la cessation des essais en conditions réelles.

8. Les fournisseurs ou fournisseurs potentiels informent l'autorité nationale de surveillance du marché de l'État membre où les essais en conditions réelles doivent être réalisés de la suspension ou de la cessation des essais en conditions réelles et des résultats finaux.

9. Le fournisseur ou le fournisseur potentiel sont responsables, en vertu du droit de l'Union et du droit national applicable en matière de responsabilité, de tout préjudice causé durant les essais en conditions réelles.
## Article 61 - Consentement éclairé à participer aux essais en conditions réelles en dehors des bacs à sable réglementaires de l'IA

1. Aux fins des essais en conditions réelles visés à l'article 60, le consentement éclairé donné librement est obtenu des participants aux essais avant que ceux-ci ne prennent part à ces essais et après qu'ils ont été dûment informés au moyen d'informations concises, claires, pertinentes et compréhensibles concernant:

a) la nature et les objectifs des essais en conditions réelles ainsi que les désagréments éventuels pouvant être liés à sa participation;

b) les conditions dans lesquelles les essais en conditions réelles doivent être réalisés, y compris la durée prévue de la participation;

c) les droits et garanties concernant leur participation, en particulier leur droit de refuser de participer aux essais en conditions réelles et leur droit de s'en retirer à tout moment sans encourir de préjudice et sans devoir se justifier;
d) les modalités selon lesquelles il peut être demandé que des prévisions, recommandations ou décisions du système d'IA soient infirmées ou ignorées;

e) le numéro d'identification unique à l'échelle de l'Union des essais en conditions réelles conformément à l'article 60, paragraphe 4, point c), et les coordonnées du fournisseur ou de son représentant légal auprès duquel des informations complémentaires peuvent être obtenues.

2. Le consentement éclairé est daté et documenté et une copie en est remise aux participants aux essais ou à leur représentant légal.

## Article 62 - Mesures en faveur des fournisseurs et déployeurs, en particulier les PME, y compris les jeunes pousses

1. Les États membres:

a) accordent aux PME, y compris les jeunes pousses, qui ont leur siège social ou une succursale dans l'Union, un accès prioritaire aux bacs à sable réglementaires de l'IA, dans la mesure où elles remplissent les conditions d'éligibilité et les critères de sélection; l'accès prioritaire n'empêche pas d'autres PME, y compris les jeunes pousses, autres que celles visées au présent alinéa, d'accéder au bac à sable réglementaire de l'IA, pour autant qu'elles remplissent également les conditions d'éligibilité et les critères de sélection;
b) organisent des activités spécifiques de sensibilisation et de formation à l'application du présent règlement, adaptées aux besoins des PME, y compris les jeunes pousses, les déployeurs et, si nécessaire, les pouvoirs publics locaux;

c) utilisent des canaux privilégiés existants et, s'il y a lieu, en établissent de nouveaux avec les PME, y compris les jeunes pousses, les déployeurs, d'autres innovateurs et, si nécessaire, les pouvoirs publics locaux, afin de fournir des conseils et de répondre aux questions relatives à la mise en œuvre du présent règlement, y compris en ce qui concerne la participation à des bacs à sable réglementaires de l'IA;

d) facilitent la participation des PME et d'autres parties concernées au processus d'élaboration de la normalisation.

2. Les intérêts et les besoins spécifiques des PME fournisseuses, y compris les jeunes pousses, sont pris en considération lors de la fixation des frais liés à l'évaluation de la conformité visée à l'article 43, ces frais étant réduits proportionnellement à leur taille, à la taille de leur marché et à d'autres indicateurs pertinents.

3. Le Bureau de l'IA:

a) fournit des modèles normalisés pour les domaines qui relèvent du présent règlement, comme précisé par le Comité dans sa demande;
b) met au point et tient à jour une plateforme d'information unique fournissant des informations faciles à utiliser en rapport avec le présent règlement pour tous les opérateurs dans l'ensemble de l'Union;

c) organise des campagnes de communication appropriées pour sensibiliser aux obligations découlant du présent règlement;

d) évalue et promeut la convergence des bonnes pratiques en matière de procédures de passation de marchés publics en ce qui concerne les systèmes d'IA.

## Article 63 - Dérogations pour des opérateurs spécifiques

1. Les microentreprises au sens de la recommandation 2003/361/CE peuvent se conformer de manière simplifiée à certains éléments du système de gestion de la qualité requis par l'article 17 du présent règlement, pour autant qu'elles n'aient pas d'entreprises partenaires ou d'entreprises liées au sens de ladite recommandation. À cette fin, la Commission élabore des lignes directrices sur les éléments du système de gestion de la qualité qui peuvent être respectés de manière simplifiée en tenant compte des besoins des microentreprises, sans affecter le niveau de protection ni la nécessité de se conformer aux exigences relatives aux systèmes d'IA à haut risque.
2. Le paragraphe 1 du présent article ne peut être interprété comme dispensant ces opérateurs de satisfaire à d'autres exigences ou obligations prévues par le présent règlement, y compris celles établies aux articles 9, 10, 11, 12, 13, 14, 15, 72 et 73.
# CHAPITRE VII - GOUVERNANCE

## Section 1 - Gouvernance au niveau de l'Union

### *Article 64 - Bureau de l'IA*

1. La Commission développe l'expertise et les capacités de l'Union dans le domaine de l'IA par l'intermédiaire du Bureau de l'IA.

2. Les États membres facilitent l'accomplissement des tâches confiées au Bureau de l'IA, telles qu'elles sont définies dans le présent règlement.
## Article 65 - Création et structure du Comité européen de l'intelligence artificielle

1. Un Comité européen de l'intelligence artificielle (ci-après dénommé "Comité") est créé.

2. Le Comité est composé d'un représentant par État membre. Le Contrôleur européen de la protection des données participe en qualité d'observateur. Le Bureau de l'IA assiste également aux réunions du Comité sans toutefois prendre part aux votes. D'autres autorités, organes ou experts nationaux et de l'Union peuvent être invités aux réunions par le Comité au cas par cas, lorsque les questions examinées relèvent de leurs compétences.

3. Chaque représentant est désigné par son État membre pour une période de trois ans, renouvelable une fois.

4. Les États membres veillent à ce que leurs représentants au sein du Comité:

a) disposent des compétences et pouvoirs pertinents dans leur État membre afin de contribuer activement à l'accomplissement des tâches du Comité visées à l'article 66;
b) soient désignés comme point de contact unique vis-à-vis du Comité et, lorsqu'il y a lieu, compte tenu des besoins des États membres, comme point de contact unique pour les parties prenantes;

c) soient habilités à faciliter la cohérence et la coordination entre les autorités nationales compétentes de leur État membre en ce qui concerne la mise en œuvre du présent règlement, y compris par la collecte de données et d'informations pertinentes aux fins de l'accomplissement de leurs tâches au sein du Comité.

5. Les représentants désignés des États membres adoptent le règlement intérieur du Comité à la majorité des deux tiers. Le règlement intérieur établit, en particulier, les procédures de sélection, la durée du mandat et les spécifications des missions du président, les modalités de vote détaillées et l'organisation des activités du Comité et de celles de ses sous-groupes.

6. Le Comité établit deux sous-groupes permanents chargés de fournir une plateforme de coopération et d'échange entre les autorités de surveillance du marché et les autorités notifiantes au sujet des questions liées à la surveillance du marché et aux organismes notifiés respectivement.

Le sous-groupe permanent pour la surveillance du marché devrait agir au titre de groupe de coopération administrative (ADCO) pour le présent règlement au sens de l'article 30 du règlement (UE) 2019/1020.
Le Comité peut créer d'autres sous-groupes permanents ou temporaires, s'il y a lieu, afin d'examiner des questions spécifiques. Le cas échéant, des représentants du forum consultatif visé à l'article 67 peuvent être invités à ces sous-groupes ou à des réunions spécifiques de ces sous-groupes en qualité d'observateurs.

7. Le Comité est organisé et fonctionne de façon à garantir l'objectivité et l'impartialité de ses activités.

8. Le Comité est présidé par l'un des représentants des États membres. Le Bureau de l'IA assure le secrétariat du Comité, convoque les réunions à la demande du président et prépare l'ordre du jour conformément aux tâches du Comité au titre du présent règlement et à son règlement intérieur.

## Article 66 - Tâches du Comité

Le Comité conseille et assiste la Commission et les États membres afin de faciliter l'application cohérente et efficace du présent règlement. À cette fin, le Comité peut notamment:

a) contribuer à la coordination entre les autorités nationales compétentes chargées de l'application du présent règlement et, en coopération avec les autorités de surveillance du marché concernées et sous réserve de leur accord, soutenir les activités conjointes des autorités de surveillance du marché visées à l'article 74, paragraphe 11;
b) recueillir l'expertise technique et réglementaire ainsi que les bonnes pratiques et les partager entre les États membres;

c) fournir des conseils sur la mise en œuvre du présent règlement, en particulier en ce qui concerne le contrôle de l'application des règles relatives aux modèles d'IA à usage général;

d) contribuer à l'harmonisation des pratiques administratives dans les États membres, y compris en ce qui concerne la dérogation à la procédure d'évaluation de la conformité visée à l'article 46, le fonctionnement des bacs à sable réglementaires de l'IA et les essais en conditions réelles visés aux articles 57, 59 et 60;

e) à la demande de la Commission ou de sa propre initiative, émettre des recommandations et des avis écrits sur toute question pertinente liée à la mise en œuvre du présent règlement et à son application cohérente et efficace, y compris:

i) sur l'élaboration et l'application de codes de conduite et de codes de bonne pratique conformément au présent règlement, ainsi que des lignes directrices de la Commission;

ii) sur l'évaluation et le réexamen du présent règlement conformément à l'article 112, y compris en ce qui concerne les signalements d'incidents graves visés à l'article 73, le fonctionnement de la base de données de l'UE visée à l'article 71, l'élaboration des actes délégués ou des actes d'exécution, ainsi que les alignements éventuels du présent règlement sur les dispositions d'harmonisation de la législation de l'Union figurant à l'annexe I;
iii) sur les spécifications techniques ou les normes existantes se rapportant aux exigences énoncées au chapitre III, section 2;

iv) sur l'utilisation des normes harmonisées ou des spécifications communes visées aux articles 40 et 41;

v) sur les tendances, telles que la compétitivité mondiale de l'Europe dans le domaine de l'IA, l'adoption de l'IA dans l'Union et le développement des compétences numériques;

vi) sur les tendances concernant l'évolution de la typologie des chaînes de valeur de l'IA, en particulier en ce qui concerne les conséquences qui en découlent en termes de responsabilité;

vii) sur la nécessité éventuelle de modifier l'annexe III conformément à l'article 7, et sur la nécessité éventuelle d'une révision de l'article 5 conformément à l'article 112, en tenant compte des éléments probants pertinents disponibles et des dernières évolutions technologiques;

f) soutenir la Commission afin de promouvoir la maîtrise de l'IA, la sensibilisation du public et la compréhension des avantages, des risques, des garanties, des droits et des obligations liés à l'utilisation des systèmes d'IA;

g) faciliter l'élaboration de critères communs et d'une interprétation commune, entre les opérateurs du marché et les autorités compétentes, des concepts pertinents prévus par le présent règlement, y compris en contribuant au développement de critères de référence;
h) coopérer, lorsqu'il y a lieu, avec d'autres institutions, organes et organismes de l'Union, ainsi que des groupes d'experts et réseaux compétents de l'Union, en particulier dans les domaines de la sécurité des produits, de la cybersécurité, de la concurrence, des services numériques et des services de médias, des services financiers, de la protection des consommateurs, de la protection des données et des droits fondamentaux;

i) contribuer à une coopération efficace avec les autorités compétentes de pays tiers et des organisations internationales;

j) aider les autorités nationales compétentes et la Commission à développer l'expertise organisationnelle et technique nécessaire à la mise en œuvre du présent règlement, y compris en contribuant à l'évaluation des besoins de formation du personnel des États membres participant à la mise en œuvre du présent règlement;

k) aider le Bureau de l'IA à soutenir les autorités nationales compétentes dans la mise en place et le développement de bacs à sable réglementaires de l'IA, et faciliter la coopération et le partage d'informations entre les bacs à sable réglementaires de l'IA;

l) contribuer à l'élaboration de documents d'orientation et fournir des conseils pertinents en la matière;

m) conseiller la Commission sur les questions internationales en matière d'IA;

n) fournir des avis à la Commission sur les alertes qualifiées concernant les modèles d'IA à usage général;
o) recevoir des avis des États membres sur les alertes qualifiées concernant les modèles d'IA à usage général, ainsi que sur les expériences et pratiques nationales en matière de suivi et de contrôle de l'application des systèmes d'IA, en particulier des systèmes intégrant les modèles d'IA à usage général.

## Article 67 - Forum consultatif

1. Un forum consultatif est créé pour fournir une expertise technique et conseiller le Comité et la Commission, ainsi que pour contribuer à l'accomplissement des tâches qui leur incombent en vertu du présent règlement.

2. La composition du forum consultatif est équilibrée en ce qui concerne la représentation des parties prenantes, y compris l'industrie, les jeunes pousses, les PME, la société civile et le monde universitaire. La composition du forum consultatif est équilibrée sur le plan des intérêts commerciaux et non commerciaux et, dans la catégorie des intérêts commerciaux, en ce qui concerne les PME et les autres entreprises.

3. La Commission nomme les membres du forum consultatif, conformément aux critères énoncés au paragraphe 2, parmi les parties prenantes possédant une expertise reconnue dans le domaine de l'IA.
4. La durée du mandat des membres du forum consultatif est de deux ans et peut être prolongée au maximum de quatre ans.

5. L'Agence des droits fondamentaux, l'ENISA, le Comité européen de normalisation (CEN), le Comité européen de normalisation électrotechnique (CENELEC) et l'Institut européen de normalisation des télécommunications (ETSI) sont membres permanents du forum consultatif.

6. Le forum consultatif établit son règlement intérieur. Il élit parmi ses membres deux coprésidents, conformément aux critères énoncés au paragraphe 2. Leur mandat est d'une durée de deux ans, renouvelable une fois.

7. Le forum consultatif tient des réunions régulières au moins deux fois par an. Il peut inviter des experts et d'autres parties prenantes à ses réunions.

8. Le forum consultatif peut préparer des avis, des recommandations et des contributions écrites à la demande du Comité ou de la Commission.

9. Le forum consultatif peut créer des sous-groupes permanents ou temporaires, s'il y a lieu, afin d'examiner des questions spécifiques liées aux objectifs du présent règlement.

10. Le forum consultatif prépare un rapport annuel sur ses activités. Ce rapport est rendu public.
### Article 68 - Groupe scientifique d'experts indépendants

1. La Commission adopte, au moyen d'un acte d'exécution, des dispositions relatives à la constitution d'un groupe scientifique d'experts indépendants (ci-après dénommé "groupe scientifique") destiné à soutenir les activités de contrôle de l'application du présent règlement. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

2. Le groupe scientifique est composé d'experts sélectionnés par la Commission en fonction de leur expertise à la pointe des connaissances scientifiques ou techniques dans le domaine de l'IA, nécessaire pour s'acquitter des tâches énoncées au paragraphe 3, et est en mesure de démontrer qu'ils remplissent toutes les conditions suivantes:

a) disposer d'une expertise et d'une compétence particulières ainsi que d'une expertise scientifique ou technique dans le domaine de l'IA;
b) être indépendant vis-à-vis de tout fournisseur de systèmes d'IA ou de modèles d'IA à usage général;

c) être capable de mener des activités avec diligence, précision et objectivité. La Commission, en consultation avec le Comité, détermine le nombre d'experts au sein du groupe scientifique en fonction des besoins et veille à une représentation équitable entre les hommes et les femmes ainsi que sur le plan géographique.

3. Le groupe scientifique conseille et soutient le Bureau de l'IA, notamment en ce qui concerne les tâches suivantes:

a) soutenir la mise en œuvre et le contrôle de l'application du présent règlement en ce qui concerne les modèles et systèmes d'IA à usage général, en particulier:

i) en alertant le Bureau de l'IA au sujet d'éventuels risques systémiques posés au niveau de l'Union par des modèles d'IA à usage général, conformément à l'article 90;

ii) en contribuant à la mise au point d'outils et de méthodologies destinés à évaluer les capacités des modèles et systèmes d'IA à usage général, y compris au moyen de critères de référence;
iii) en fournissant des conseils quant à la classification des modèles d'IA à usage général présentant un risque systémique;

iv) en fournissant des conseils quant à la classification de différents modèles et systèmes d'IA à usage général;

v) en contribuant à la mise au point d'outils et de modèles;

b) soutenir, à leur demande, les autorités de surveillance du marché dans leur travail;

c) soutenir les activités transfrontières de surveillance du marché visées à l'article 74, paragraphe 11, sans préjudice des pouvoirs des autorités de surveillance du marché;

d) soutenir le Bureau de l'IA dans l'exercice de ses fonctions dans le cadre de la procédure de sauvegarde de l'Union prévue à l'article 81.

4. Les experts du groupe scientifique s'acquittent de leurs tâches avec impartialité et objectivité, et garantissent la confidentialité des informations et des données obtenues dans l'exercice de leurs tâches et activités. Ils ne sollicitent ni n'acceptent d'instructions de quiconque dans l'exercice des tâches qui leur incombent en vertu du paragraphe 3. Chaque expert établit une déclaration d'intérêts qui est rendue publique. Le Bureau de l'IA met en place des systèmes et des procédures visant à prévenir et gérer efficacement les conflits d'intérêts potentiels.

5. L'acte d'exécution visé au paragraphe 1 comprend des dispositions sur les conditions, les procédures et les modalités détaillées permettant au groupe scientifique et à ses membres d'émettre des alertes et de demander l'assistance du Bureau de l'IA pour l'exécution des tâches du groupe scientifique.
## Article 69 - Accès des États membres au groupe scientifique

1. Les États membres peuvent faire appel à des experts du groupe scientifique pour soutenir leurs activités de contrôle de l'application du présent règlement.

2. Les États membres peuvent être tenus de payer des honoraires pour les conseils et le soutien fournis par les experts. La structure et le niveau des honoraires ainsi que le barème et la structure des dépens récupérables sont définis dans l'acte d'exécution visé à l'article 68, paragraphe 1, en tenant compte des objectifs consistant à mettre en œuvre le présent règlement de façon appropriée, à assurer un bon rapport coût-efficacité et à garantir que tous les États membres aient un accès effectif à des experts.

3. La Commission facilite l'accès en temps utile des États membres aux experts, en fonction des besoins, et veille à ce que la combinaison des activités de soutien menées par les structures de soutien de l'Union pour les essais en matière d'IA conformément à l'article 84 et par les experts au titre du présent article soit organisée de manière efficace et apporte la meilleure valeur ajoutée possible.
# Section 2 - Autorités nationales compétentes

## Article 70 - Désignation des autorités nationales compétentes et des points de contact uniques

1.

Chaque État membre établit ou désigne en tant qu'autorités nationales compétentes au moins une autorité notifiante et au moins une autorité de surveillance du marché aux fins du présent règlement. Ces autorités nationales compétentes exercent leurs pouvoirs de manière indépendante, impartiale et sans parti pris, afin de préserver l'objectivité de leurs activités et de leurs tâches et d'assurer l'application et la mise en œuvre du présent règlement. Les membres de ces autorités s'abstiennent de tout acte incompatible avec leurs fonctions. Pour autant que ces principes soient respectés, les activités et tâches précitées peuvent être exécutées par une ou plusieurs autorités désignées, en fonction des besoins organisationnels de l'État membre.
2. Les États membres **communiquent** à la Commission **les autorités notifiantes et les autorités de surveillance du marché désignées et les tâches incombant à ces autorités, ainsi que toute modification ultérieure y afférente. Les États membres rendent publiques des informations sur la manière dont les autorités compétentes et les points de contact uniques peuvent être contactés, par voie électronique, au plus tard le ...** [douze mois à compter de la date d'entrée en vigueur du présent règlement]. Les États membres désignent une autorité de surveillance du marché pour faire office de point de contact unique pour le présent règlement et communiquent à la Commission l'identité du point de contact unique. La Commission publie une liste des points de contact uniques.

3. Les États membres veillent à ce que **leurs** autorités nationales compétentes disposent de ressources **techniques**, financières et humaines suffisantes, **ainsi que d'infrastructures** pour mener à bien **efficacement** les tâches qui leur sont confiées en vertu du présent règlement. En particulier, **les autorités nationales compétentes disposent** en permanence d'un personnel en nombre suffisant, qui possède, parmi ses compétences et son expertise, une compréhension approfondie des technologies de l'IA, des données et du traitement de données, **de la protection des données à caractère personnel, de la cybersécurité, des droits fondamentaux, des risques pour la santé et la sécurité, et une connaissance des normes et exigences légales en vigueur.** Chaque année, les États membres évaluent et, si nécessaire, mettent à jour les exigences portant sur les compétences et les ressources visées au présent paragraphe.

4. Les autorités nationales compétentes prennent des mesures appropriées pour garantir un niveau adapté de cybersécurité.

5. Dans le cadre de l'accomplissement de leurs tâches, les autorités nationales compétentes agissent conformément aux obligations de confidentialité énoncées à l'article 78.
6. Au plus tard le ... [un an à compter de la date d'entrée en vigueur du présent règlement], et tous les deux ans par la suite, les États membres font | rapport à la Commission sur l'état des ressources financières et humaines des autorités nationales compétentes, et lui présentent une évaluation de l'adéquation de ces ressources. La Commission transmet ces informations au Comité pour discussion et recommandations éventuelles.

7. La Commission facilite les échanges d'expériences entre les autorités nationales compétentes.

8. Les autorités nationales compétentes peuvent fournir des orientations et des conseils sur la mise en œuvre du présent règlement, en particulier aux PME, y compris les jeunes pousses, en tenant compte des orientations et conseils du Comité et de la Commission, selon le cas. Chaque fois que les autorités nationales compétentes envisagent de fournir des orientations et des conseils concernant un système d'IA dans des domaines relevant d'autres actes législatifs de l'Union, les autorités compétentes nationales en vertu de ces actes législatifs de l'Union sont consultées, le cas échéant. |

9. Lorsque les institutions, organes ou organismes de l'Union relèvent du champ d'application du présent règlement, le Contrôleur européen de la protection des données agit en tant qu'autorité compétente responsable de leur surveillance.
# CHAPITRE VIII - BASE DE DONNÉES DE L'UE POUR LES SYSTÈMES D'IA À HAUT RISQUE

## Article 71 - Base de données de l'UE pour les systèmes d'IA à haut risque énumérés à l'annexe III

1. La Commission, en collaboration avec les États membres, crée et tient à jour une base de données de l'UE contenant les informations visées aux **paragraphes 2 et 3 du présent article** en ce qui concerne les systèmes d'IA à haut risque visés à l'article 6, paragraphe 2, qui sont enregistrés conformément aux **articles 49 et 60 et** les systèmes d'IA qui ne sont pas considérés à haut risque en vertu de l'article 6, paragraphe 3, et qui sont enregistrés conformément à l'article 6, paragraphe 4, et à l'article 49. **Lorsqu'elle définit les spécifications fonctionnelles de cette base de données, la Commission consulte les experts compétents et, lorsqu'elle les met à jour, elle consulte le Comité.**

2. Les données énumérées à l'annexe VIII, sections A et B, sont introduites dans la base de données de l'UE par **le fournisseur ou, le cas échéant, par le mandataire.**

3. Les données énumérées à la section C de l'annexe VIII sont introduites dans la base de données de l'UE par le déployeur qui est ou agit pour le compte d'une autorité, d'une agence ou d'un organisme public, conformément à l'article 49, paragraphes 3 et 4.
4. À l'exception de la section visée à l'article 49, paragraphe 4, et à l'article 60, paragraphe 4, point c), les informations contenues dans la base de données de l'UE enregistrées conformément à l'article 49 sont accessibles et mises à la disposition du public d'une manière conviviale. Ces informations devraient être consultables grâce à une navigation aisée et lisibles par machine. Les informations enregistrées conformément à l'article 60 ne sont accessibles qu'aux autorités de surveillance du marché et à la Commission, sauf si le fournisseur ou fournisseur potentiel a donné son consentement pour que ces informations soient également accessibles au public.

5. La base de données de l'UE ne contient des données à caractère personnel que dans la mesure où celles-ci sont nécessaires à la collecte et au traitement d'informations conformément au présent règlement. Ces informations incluent les noms et les coordonnées des personnes physiques qui sont responsables de l'enregistrement du système et légalement autorisées à représenter le fournisseur **ou le déployeur, selon le cas.**

6. La Commission est la responsable du traitement pour la base de données de l'UE. Elle **met à la disposition des fournisseurs, des fournisseurs potentiels et des déployeurs** un soutien technique et administratif approprié. **La base de données de l'UE est conforme aux exigences applicables en matière d'accessibilité.**
# CHAPITRE IX - SURVEILLANCE APRÈS COMMERCIALISATION, PARTAGE D'INFORMATIONS ET SURVEILLANCE DU MARCHÉ

## Section 1 - Surveillance après commercialisation

### *Article 72 - Surveillance après commercialisation par les fournisseurs et plan de surveillance après commercialisation pour les systèmes d'IA à haut risque*

1. Les fournisseurs établissent et documentent un système de surveillance après commercialisation d'une manière qui soit proportionnée à la nature des technologies d'IA et des risques du système d'IA à haut risque.

2. Le système de surveillance après commercialisation collecte, documente et analyse, de manière active et systématique, les données pertinentes **qui peuvent être fournies par les déployeurs ou qui peuvent être** collectées via d'autres sources sur les performances des systèmes d'IA à haut risque tout au long de leur cycle de vie, et qui permettent au fournisseur d'évaluer si les systèmes d'IA respectent en permanence les exigences énoncées au chapitre III, section 2. *Le cas échéant, la surveillance après commercialisation comprend une analyse de l'interaction avec d'autres systèmes d'IA. Cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs qui sont des autorités répressives.*
3. Le système de surveillance après commercialisation repose sur un plan de surveillance après commercialisation. Le plan de surveillance après commercialisation fait partie de la documentation technique visée à l'annexe IV. La Commission adopte un acte d'exécution fixant des dispositions détaillées établissant un modèle pour le plan de surveillance après commercialisation et la liste des éléments à inclure dans le plan au plus tard le ... [18 mois à compter de l'entrée en vigueur du présent règlement]. Cet acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

4. Pour les systèmes d'IA à haut risque relevant de la législation d'harmonisation de l'Union énumérés à la section A de l'annexe I, lorsqu'un système et un plan de surveillance après commercialisation sont déjà établis en vertu de ces actes, afin d'assurer la cohérence, d'éviter les doubles emplois et de réduire au minimum les charges supplémentaires, les fournisseurs ont le choix d'intégrer, le cas échéant, les éléments nécessaires décrits aux paragraphes 1, 2 et 3 en utilisant le modèle visé au paragraphe 3 dans les systèmes et plans existants au titre desdits actes, pour autant que cela donne lieu à un niveau de protection équivalent.

Le premier alinéa du présent paragraphe s'applique également aux systèmes d'IA à haut risque visés à l'annexe III, point 5, mis sur le marché ou mis en service par des établissements financiers qui sont soumis à des exigences en vertu de la législation de l'Union sur les services financiers concernant leur gouvernance, leurs dispositifs ou leurs processus internes.
# Section 2 - Partage d'informations sur les incidents graves

## *Article 73 - Signalement d'incidents graves*

1. Les fournisseurs de systèmes d'IA à haut risque mis sur le marché de l'Union signalent tout incident grave aux autorités de surveillance du marché des États membres dans lesquels cet incident s'est produit.

2. Le signalement visé au paragraphe 1 est effectué immédiatement après que le fournisseur a établi un lien de causalité, ou la probabilité raisonnable qu'un tel lien existe, entre le système d'IA et l'incident grave et, en tout état de cause, au plus tard 15 jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l'incident grave.

Le délai pour le signalement visé au premier alinéa tient compte de l'ampleur de l'incident grave.

3. Nonobstant le paragraphe 2 du présent article, en cas d'infraction de grande ampleur ou d'incident grave au sens de l'article 3, point 49) b), le signalement visé au paragraphe 1 du présent article est effectué immédiatement, et au plus tard deux jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de cet incident.
4. Nonobstant le paragraphe 2, en cas de décès d'une personne, le signalement est effectué immédiatement après que le fournisseur ou le déployeur a établi un lien de causalité entre le système d'IA à haut risque et l'incident grave ou dès qu'il soupçonne un tel lien, mais au plus tard 10 jours après la date à laquelle le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l'incident grave.

5. Si cela est nécessaire pour assurer un signalement en temps utile, le fournisseur ou, le cas échéant, le déployeur peut soumettre un signalement initial incomplet, suivi d'un signalement complet.

6. À la suite du signalement d'un incident grave en application du paragraphe 1, le fournisseur mène sans tarder les investigations nécessaires liées à l'incident grave et au système d'IA concerné. Ces investigations comprennent notamment une évaluation des risques résultant de l'incident, ainsi que des mesures correctives.

Le fournisseur coopère avec les autorités compétentes et, le cas échéant, avec l'organisme notifié concerné, au cours des investigations visées au premier alinéa, et ne mène aucune investigation nécessitant de modifier le système d'IA concerné d'une manière susceptible d'avoir une incidence sur toute évaluation ultérieure des causes de l'incident, avant d'informer les autorités compétentes de telles mesures.
7. Dès réception d'une notification relative à un incident grave visé à l'article 3, point 49) c), l'autorité de surveillance du marché compétente informe les autorités ou organismes publics nationaux visés à l'article 77, paragraphe 1. La Commission élabore des orientations spécifiques pour faciliter le respect des obligations énoncées au paragraphe 1 du présent article. Ces orientations sont publiées au plus tard le ... [12 mois à compter de l'entrée en vigueur du présent règlement], et font l'objet d'une évaluation régulière.

8. L'autorité de surveillance du marché prend les mesures qui s'imposent, conformément à l'article 19 du règlement (UE) 2019/1020, dans un délai de sept jours à compter de la date à laquelle elle a reçu la notification visée au paragraphe 1 du présent article, et suit les procédures de notification prévues par ledit règlement.

9. Pour les systèmes d'IA à haut risque visés à l'annexe III qui sont mis sur le marché ou mis en service par des fournisseurs qui sont soumis à des instruments législatifs de l'Union établissant des obligations de signalement équivalentes à celles énoncées dans le présent règlement, la notification des incidents graves est limitée à ceux visés à l'article 3, point 49) c).

10. Pour les systèmes d'IA à haut risque qui sont des composants de sécurité de dispositifs, ou qui sont eux-mêmes des dispositifs, relevant des règlements (UE) 2017/745 et (UE) 2017/746, la notification des incidents graves est limitée à ceux qui sont visés à l'article 3, point 49) c), du présent règlement, et est adressée à l'autorité nationale compétente choisie à cette fin par les États membres dans lesquels l'incident s'est produit.
11. Les autorités nationales compétentes notifient immédiatement à la Commission tout incident grave, qu'elles aient ou non pris des mesures à cet égard, conformément à l'article 20 du règlement (UE) 2019/1020.
# Section 3 - Contrôle de l'application

## Article 74 - Surveillance du marché et contrôle des systèmes d'IA sur le marché de l'Union

1. Le règlement (UE) 2019/1020 s'applique aux systèmes d'IA relevant du présent règlement. Aux fins du contrôle effectif de l'application du présent règlement:

a) toute référence à un opérateur économique en vertu du règlement (UE) 2019/1020 s'entend comme incluant tous les opérateurs identifiés à l'article 2, paragraphe 1, du présent règlement;

b) toute référence à un produit en vertu du règlement (UE) 2019/1020 s'entend comme incluant tous les systèmes d'IA relevant du champ d'application du présent règlement.
2. Dans le cadre des obligations d'information qui leur incombent en vertu de l'article 34, paragraphe 4, du règlement (UE) 2019/1020, les autorités de surveillance du marché communiquent chaque année à la Commission et aux autorités nationales de la concurrence concernées toute information recueillie dans le cadre des activités de surveillance du marché qui pourrait présenter un intérêt potentiel pour l'application du droit de l'Union relatif aux règles de concurrence. Elles font également rapport chaque année à la Commission sur les recours aux pratiques interdites intervenus au cours de l'année concernée et sur les mesures prises.

3. Pour les systèmes d'IA à haut risque liés à des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à la section A de l'annexe I, l'autorité de surveillance du marché aux fins du présent règlement est l'autorité responsable des activités de surveillance du marché désignée en vertu de ces actes juridiques.

Par dérogation au premier alinéa, et dans des circonstances appropriées, les États membres peuvent désigner une autre autorité compétente pour faire office d'autorité de surveillance du marché, à condition d'assurer la coordination avec les autorités sectorielles de surveillance du marché compétentes chargées du contrôle de l'application des actes juridiques énumérés à l'annexe I.

4. Les procédures visées aux articles 79 à 83 du présent règlement ne s'appliquent pas aux systèmes d'IA liés à des produits couverts par la législation d'harmonisation de l'Union dont la liste figure la section A de l'annexe I, lorsque ces actes juridiques prévoient déjà des procédures assurant un niveau de protection équivalent et ayant le même objectif.
En pareils cas, ce sont les procédures sectorielles pertinentes qui s'appliquent.
5. Sans préjudice des pouvoirs conférés aux autorités de surveillance du marché par l'article 14 du règlement (UE) 2019/1020, afin d'assurer le contrôle effectif de l'application du présent règlement, les autorités de surveillance du marché peuvent exercer les pouvoirs visés à l'article 14, paragraphe 4, points d) et j), dudit règlement à distance, le cas échéant.

6. Pour les systèmes d'IA à haut risque mis sur le marché, mis en service ou utilisés par des établissements financiers régis par la législation de l'Union sur les services financiers, l'autorité de surveillance du marché aux fins du présent règlement est l'autorité nationale responsable de la surveillance financière de ces établissements en vertu de cette législation dans la mesure où la mise sur le marché, la mise en service ou l'utilisation du système d'IA est directement liée à la fourniture de ces services financiers.

7. Par dérogation au paragraphe 6, dans des circonstances appropriées, et pour autant que la coordination soit assurée, l'État membre peut désigner une autre autorité compétente comme autorité de surveillance du marché aux fins du présent règlement.

Les autorités nationales de surveillance du marché surveillant les établissements de crédit réglementés régis par la directive 2013/36/UE, qui participent au mécanisme de surveillance unique institué par le règlement (UE) n° 1024/2013, devraient communiquer sans tarder à la Banque centrale européenne toute information identifiée dans le cadre de leurs activités de surveillance du marché qui pourrait présenter un intérêt potentiel pour les missions de surveillance prudentielle de la Banque centrale européenne définies dans ledit règlement.
8. Pour les systèmes d'IA à haut risque énumérés à l'annexe III, point 1, du présent règlement, dans la mesure où ils sont utilisés à des fins répressives, de gestion des frontières et de justice et démocratie, et pour les systèmes d'IA à haut risque énumérés à l'annexe III, points 6, 7 et 8, du présent règlement, les États membres désignent comme autorités de surveillance du marché aux fins du présent règlement soit les autorités compétentes en matière de contrôle de la protection des données en vertu du règlement (UE) 2016/679 ou de la directive (UE) 2016/680, soit toute autre autorité désignée en application des mêmes conditions énoncées aux articles 41 à 44 de la directive (UE) 2016/680. Les activités de surveillance du marché ne portent en aucune manière atteinte à l'indépendance des autorités judiciaires ni n'interfèrent d'une autre manière avec leurs activités lorsque ces autorités agissent dans l'exercice de leurs fonctions judiciaires.

9. Lorsque les institutions, organes ou organismes de l'Union relèvent du champ d'application du présent règlement, le Contrôleur européen de la protection des données est leur autorité de surveillance du marché, sauf en ce qui concerne la Cour de justice de l'Union européenne agissant dans l'exercice de ses fonctions judiciaires.

10. Les États membres facilitent la coordination entre les autorités de surveillance du marché désignées en vertu du présent règlement et les autres autorités ou organismes nationaux compétents pour surveiller l'application de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, ou dans d'autres législations de l'Union, qui sont susceptibles d'être pertinents pour les systèmes d'IA à haut risque visés à l'annexe III.
11. Les autorités de surveillance du marché et la Commission sont en mesure de proposer des activités conjointes, y compris des enquêtes conjointes, à mener soit par les autorités de surveillance du marché, soit par les autorités de surveillance du marché conjointement avec la Commission, qui ont pour objectif de promouvoir le respect de la législation, de déceler la non-conformité, de sensibiliser ou de fournir des orientations au regard du présent règlement en ce qui concerne des catégories spécifiques de systèmes d'IA à haut risque qui sont identifiés comme présentant un risque grave dans deux États membres ou plus conformément à l'article 9 du règlement (UE) 2019/1020. Le Bureau de l'IA fournit une aide à la coordination des enquêtes conjointes.

12. Sans préjudice des pouvoirs prévus par le règlement (UE) 2019/1020, et lorsque cela est pertinent et limité à ce qui est nécessaire à l'accomplissement de leurs tâches, les fournisseurs accordent aux autorités de surveillance du marché un accès complet à la documentation ainsi qu'aux jeux de données d'entraînement, de validation et de test utilisés pour le développement des systèmes d'IA à haut risque, y compris, lorsque cela est approprié et sous réserve de garanties de sécurité, par l'intermédiaire d'interfaces de programmation d'application (API) ou d'autres moyens et outils techniques pertinents permettant un accès à distance.
13. Les autorités de surveillance du marché se voient accorder l'accès au code source du système d'IA à haut risque sur demande motivée et uniquement lorsque les deux conditions suivantes sont réunies:

a) l'accès au code source est nécessaire pour évaluer la conformité d'un système d'IA à haut risque avec les exigences énoncées au chapitre III, section 2; et

b) les procédures d'essai ou d'audit et les vérifications fondées sur les données et la documentation communiquées par le fournisseur ont été entièrement accomplies ou se sont révélées insuffisantes.

14. Toute information ou documentation obtenue par les autorités de surveillance du marché est traitée conformément aux obligations de confidentialité énoncées à l'article 78.

## Article 75 - Assistance mutuelle, surveillance du marché et contrôle des systèmes d'IA à usage général

1. Lorsqu'un système d'IA repose sur un modèle d'IA à usage général, et que le modèle et le système sont mis au point par le même fournisseur, le Bureau de l'IA est habilité à contrôler et surveiller la conformité de ce système d'IA avec les obligations prévues par le présent règlement. Pour s'acquitter de ses tâches de contrôle et de surveillance, le Bureau de l'IA dispose de tous les pouvoirs d'une autorité de surveillance du marché prévus dans la présente section et dans le règlement (UE) 2019/1020.
2. Lorsqu'elles ont des raisons suffisantes de considérer que des systèmes d'IA à usage général qui peuvent être utilisés directement par les déployeurs pour au moins un usage classé comme étant à haut risque en vertu du présent règlement ne sont pas conformes aux exigences énoncées dans le présent règlement, les autorités de surveillance du marché concernées coopèrent avec le Bureau de l'IA pour procéder à des évaluations de la conformité, et en informent le Comité et les autres autorités de surveillance du marché.

3. Lorsqu'une autorité de surveillance du marché n'est pas en mesure de conclure son enquête sur le système d'IA à haut risque en raison de son incapacité à accéder à certaines informations relatives au modèle d'IA à usage général bien qu'elle ait déployé tous les efforts appropriés pour obtenir ces informations, elle peut présenter une demande motivée au Bureau de l'IA, par laquelle l'accès à ces informations est mis en œuvre. Dans ce cas, le Bureau de l'IA fournit sans tarder à l'autorité requérante, et en tout état de cause dans un délai de 30 jours, toute information qu'il juge pertinente pour déterminer si un système d'IA à haut risque est non conforme. Les autorités de surveillance du marché garantissent la confidentialité des informations qu'elles obtiennent conformément à l'article 78 du présent règlement. La procédure prévue au chapitre VI du règlement (UE) 2019/1020 s'applique mutatis mutandis.
## Article 76 - Supervision des essais en conditions réelles par les autorités de surveillance du marché

1. Les autorités de surveillance du marché ont les compétences et les pouvoirs nécessaires pour veiller à ce que les essais en conditions réelles soient conformes au présent règlement.

2. Lorsque des essais en conditions réelles sont effectués pour des systèmes d'IA supervisés dans un bac à sable réglementaire de l'IA en vertu de l'article 58, les autorités de surveillance du marché vérifient le respect de l'article 60 dans le cadre de leur rôle de surveillance du bac à sable réglementaire de l'IA. Ces autorités peuvent, lorsqu'il y a lieu, autoriser le fournisseur ou le fournisseur potentiel à effectuer les essais en conditions réelles, par dérogation aux conditions énoncées à l'article 60, paragraphe 4, points f) et g).

3. Lorsqu'une autorité de surveillance du marché a été informée d'un incident grave par le fournisseur potentiel, le fournisseur ou tout tiers, ou qu'elle a d'autres raisons de penser que les conditions énoncées aux articles 60 et 61 ne sont pas remplies, elle peut prendre l'une ou l'autre des décisions suivantes sur son territoire, selon le cas:

a) suspendre ou faire cesser les essais en conditions réelles;
b) exiger du fournisseur ou du fournisseur potentiel et du déployeur ou futur déployeur qu'ils modifient tout aspect des essais en conditions réelles.

4. Lorsqu'une autorité de surveillance du marché a pris une décision visée au paragraphe 3 du présent article, ou a formulé une objection au sens de l'article 60, paragraphe 4, point b), la décision ou l'objection est motivée et indique les modalités selon lesquelles le fournisseur ou le fournisseur potentiel peut contester la décision ou l'objection.

5. Le cas échéant, lorsqu'une autorité de surveillance du marché a pris une décision visée au paragraphe 3, elle en communique les motifs aux autorités de surveillance du marché des autres États membres dans lesquels le système d'IA a été testé conformément au plan d'essais.

## Article 77 - Pouvoirs des autorités de protection des droits fondamentaux

1. Les autorités ou organismes publics nationaux qui supervisent ou font respecter les obligations au titre du droit de l'Union visant à protéger les droits fondamentaux, y compris le droit à la non-discrimination, en ce qui concerne l'utilisation des systèmes d'IA à haut risque visés à l'annexe III sont habilités à demander toute documentation créée ou conservée en vertu du présent règlement et à y avoir accès dans une langue et un format accessibles lorsque l'accès à cette documentation est nécessaire à l'accomplissement effectif de leur mandat dans les limites de leurs compétences. L'autorité ou l'organisme public concerné informe l'autorité de surveillance du marché de l'État membre concerné de toute demande de ce type.
2. Au plus tard le ... [trois mois à compter de l'entrée en vigueur du présent règlement], chaque État membre identifie les autorités ou organismes publics visés au paragraphe 1 et met la liste de ces autorités ou organismes à la disposition du public. Les États membres notifient la liste à la Commission et aux autres États membres, et tiennent cette liste à jour.

3. Lorsque la documentation visée au paragraphe 1 ne suffit pas pour déterminer s'il y a eu violation des obligations au titre du droit de l'Union protégeant les droits fondamentaux, l'autorité ou l'organisme public visé au paragraphe 1 peut présenter à l'autorité de surveillance du marché une demande motivée visant à organiser des tests du système d'IA à haut risque par des moyens techniques. L'autorité de surveillance du marché organise les tests avec la participation étroite de l'autorité ou organisme public ayant présenté la demande dans un délai raisonnable après celle-ci.

4. Toute information ou documentation obtenue par les autorités ou organismes publics nationaux visés au paragraphe 1 du présent article en application des dispositions du présent article est traitée conformément aux obligations de confidentialité énoncées à l'article 78.
## Article 78 - Confidentialité

1. La Commission, les autorités de surveillance du marché et les organismes notifiés, ainsi que toute autre personne physique ou morale associée à l'application du présent règlement respectent, conformément au droit de l'Union ou au droit national, la confidentialité des informations et des données obtenues dans l'exécution de leurs tâches et activités de manière à protéger, en particulier:

a) les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d'affaires des personnes physiques ou morales, y compris le code source, à l'exception des cas visés à l'article 5 de la directive (UE) 2016/943 du Parlement européen et du Conseil<sup>57</sup>;

<footnote n="57">57 Directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d'affaires) contre l'obtention, l'utilisation et la divulgation illicites (JO L 157 du 15.6.2016, p. 1).</footnote>
b) la mise en œuvre effective du présent règlement, notamment en ce qui concerne les inspections, les investigations ou les audits;

c) les intérêts en matière de sécurité nationale et publique;

d) la conduite des procédures pénales ou administratives;

e) les informations classifiées en vertu du droit de l'Union ou du droit national.

2. Les autorités associées à l'application du présent règlement conformément au paragraphe 1 demandent uniquement les données qui sont strictement nécessaires à l'évaluation du risque posé par les systèmes d'IA et à l'exercice de leurs pouvoirs conformément au présent règlement et au règlement (UE) 2019/1020. Elles mettent en place des mesures de cybersécurité adéquates et efficaces pour protéger la sécurité et la confidentialité des informations et des données obtenues, et suppriment les données collectées dès qu'elles ne sont plus nécessaires aux fins pour lesquelles elles ont été obtenues, conformément au droit de l'Union ou au droit national applicable.
3. Sans préjudice des paragraphes 1 et 2, les informations échangées à titre confidentiel entre les autorités nationales compétentes ou entre celles-ci et la Commission ne sont pas divulguées sans consultation préalable de l'autorité nationale compétente dont elles émanent et du déployeur lorsque les systèmes d'IA à haut risque visés à l'annexe III, point 1, 6 ou 7, sont utilisés par les autorités répressives, les autorités chargées des contrôles aux frontières, les services de l'immigration ou les autorités compétentes en matière d'asile et lorsque cette divulgation risquerait de porter atteinte aux intérêts en matière de sécurité nationale et publique. Cet échange d'informations ne couvre pas les données opérationnelles sensibles relatives aux activités des autorités répressives, des autorités chargées des contrôles aux frontières, des services de l'immigration ou des autorités compétentes en matière d'asile.

Lorsque les autorités répressives, les services de l'immigration ou les autorités compétentes en matière d'asile sont fournisseurs de systèmes d'IA à haut risque visés à l'annexe III, point 1, 6 ou 7, la documentation technique visée à l'annexe IV reste dans les locaux de ces autorités. Ces autorités veillent à ce que les autorités de surveillance du marché visées à l'article 74, paragraphes 8 et 9, selon le cas, puissent, sur demande, avoir immédiatement accès à la documentation ou en obtenir une copie. Seuls les membres du personnel de l'autorité de surveillance du marché disposant d'une habilitation de sécurité au niveau approprié sont autorisés à avoir accès à cette documentation ou à une copie de celle-ci.
4. Les paragraphes 1, 2 et 3 sont sans effet sur les droits ou obligations de la Commission, des États membres et de leurs autorités compétentes, ainsi que sur les droits ou obligations des organismes notifiés, en matière d'échange d'informations et de diffusion de mises en garde, y compris dans le contexte de la coopération transfrontière, et sur les obligations d'information incombant aux parties concernées en vertu du droit pénal des États membres.

5. La Commission et les États membres peuvent, lorsque cela est nécessaire et conformément aux dispositions pertinentes des accords internationaux et commerciaux, échanger des informations confidentielles avec les autorités de réglementation de pays tiers avec lesquels ils ont conclu des accords bilatéraux ou multilatéraux en matière de confidentialité garantissant un niveau de confidentialité approprié.

### Article 79 - Procédure applicable au niveau national aux systèmes d'IA présentant un risque

1. On entend par systèmes d'IA présentant un risque, un "produit présentant un risque" au sens de l'article 3, point 19), du règlement (UE) 2019/1020, dans la mesure où ils présentent des risques pour la santé ou la sécurité, ou pour les droits fondamentaux, des personnes.
2. Lorsque l'autorité de surveillance du marché d'un État membre a des raisons suffisantes de considérer qu'un système d'IA présente un risque au sens du paragraphe 1 du présent article, **elle** procède à une évaluation de la conformité du système d'IA concerné avec l'ensemble des exigences et obligations énoncées dans le présent règlement. **Une attention particulière est accordée aux systèmes d'IA présentant un risque pour les groupes vulnérables. Lorsque sont identifiés des risques pour** les droits fondamentaux, l'autorité de surveillance du marché informe également les autorités ou organismes publics nationaux concernés visés à l'article 77, paragraphe 1, **et coopère pleinement avec eux.** Les opérateurs concernés coopèrent, en tant que de besoin, avec l'autorité de surveillance du marché et avec les autres autorités ou organismes publics nationaux visés à l'article 77, paragraphe 1.

Si, au cours de cette évaluation, l'autorité de surveillance du marché ou, **le cas échéant,** l'autorité de surveillance du marché **en coopération avec l'autorité publique nationale visée à l'article 77, paragraphe 1,** constate que le système d'IA ne respecte pas les exigences et obligations énoncées dans le présent règlement, elle invite **sans retard injustifié** l'opérateur concerné à prendre toutes les mesures correctives appropriées pour mettre le système d'IA en conformité, le retirer du marché ou le rappeler dans un **délai** qu'elle **peut prescrire, et en tout état de cause au plus tard dans les 15 jours ouvrables, ou** dans un délai prévu par la législation d'harmonisation de l'Union concernée, le délai le plus court étant retenu.

L'autorité de surveillance du marché informe l'organisme notifié concerné en conséquence. L'article 18 du règlement (UE) 2019/1020 s'applique aux mesures visées au deuxième alinéa du présent paragraphe.

3. Lorsque l'autorité de surveillance du marché considère que la non-conformité n'est pas limitée à son territoire national, elle informe la Commission et les autres États membres, **sans retard injustifié,** des résultats de l'évaluation et des mesures qu'elle a exigées de l'opérateur.
4. L'opérateur s'assure que toutes les mesures correctives appropriées sont prises pour tous les systèmes d'IA concernés qu'il a mis à disposition sur le marché de l'Union.

5. Lorsque l'opérateur d'un système d'IA ne prend pas de mesures correctives adéquates dans le délai visé au paragraphe 2, l'autorité de surveillance du marché prend toutes les mesures provisoires appropriées pour interdire ou restreindre la mise à disposition du système d'IA sur son marché national *ou sa mise en service*, pour retirer le produit *ou le système d'IA autonome* de ce marché ou pour le rappeler. L'autorité *notifie* ces mesures *sans retard injustifié* à la Commission et aux autres États membres.

6. La *notification* visée au paragraphe 5 contient toutes les précisions disponibles, notamment les *informations* nécessaires pour identifier le système d'IA non conforme, son origine *et la chaîne d'approvisionnement*, la nature de la non-conformité alléguée et du risque encouru, ainsi que la nature et la durée des mesures nationales prises et les arguments avancés par l'opérateur concerné. En particulier, l'autorité de surveillance du marché indique si la non-conformité découle d'une ou plusieurs des causes suivantes:

a) *le non-respect de l'interdiction des pratiques en matière d'IA visées à l'article 5;*

b) le non-respect, par le système d'IA à *haut risque*, des exigences énoncées au chapitre III, section 2;

c) des lacunes dans les normes harmonisées ou les spécifications communes visées aux articles 40 et 41 qui confèrent une présomption de conformité;

d) *le non-respect de l'article 50.*
7. Les autorités de surveillance du marché autres que l'autorité de surveillance du marché de l'État membre qui a entamé la procédure informent **sans retard injustifié** la Commission et les autres États membres de toute mesure adoptée et de toute information supplémentaire dont elles disposent à propos de la non-conformité du système d'IA concerné et, en cas de désaccord avec la mesure nationale notifiée, de leurs objections.

8. Lorsque, dans les trois mois suivant la réception de la notification visée au paragraphe 5, aucune objection n'a été émise par une autorité de surveillance du marché d'un État membre ou par la Commission à l'encontre d'une mesure provisoire prise par une autorité de surveillance du marché d'un autre État membre, cette mesure est réputée justifiée. Cette disposition est sans préjudice des droits procéduraux de l'opérateur concerné conformément à l'article 18 du règlement (UE) 2019/1020. Le délai de trois mois visé au présent paragraphe est ramené à 30 jours en cas de non-respect de l'interdiction des pratiques en matière d'IA visées à l'article 5 du présent règlement.

9. Les autorités de surveillance du marché veillent à ce que les mesures restrictives appropriées soient prises sans retard injustifié à l'égard du produit ou du système d'IA concerné, par exemple son retrait de leur marché.
## Article 80 - Procédure applicable aux systèmes d'IA classés par le fournisseur comme n'étant pas à haut risque en application de l'annexe III

1. Lorsqu'une autorité de surveillance du marché a des raisons suffisantes de considérer qu'un système d'IA classé par le fournisseur comme n'étant pas à haut risque en application de l'article 6, paragraphe 3, est en réalité à haut risque, elle procède à une évaluation du système d'IA concerné quant à la question de sa classification en tant que système d'IA à haut risque sur la base des conditions énoncées à l'article 6, paragraphe 3, et dans les lignes directrices de la Commission.

2. Lorsque, au cours de cette évaluation, l'autorité de surveillance du marché constate que le système d'IA concerné est à haut risque, elle demande sans retard injustifié au fournisseur concerné de prendre toutes les mesures nécessaires pour mettre le système d'IA en conformité avec les exigences et obligations énoncées dans le présent règlement, ainsi que de prendre les mesures correctives appropriées dans un délai que l'autorité de surveillance du marché peut prescrire.

3. Lorsque l'autorité de surveillance du marché considère que l'utilisation du système d'IA concerné n'est pas limitée à son territoire national, elle informe la Commission et les autres États membres, sans retard injustifié, des résultats de l'évaluation et des mesures qu'elle a exigées du fournisseur.
4. Le fournisseur veille à ce que toutes les mesures nécessaires soient prises pour mettre le système d'IA en conformité avec les exigences et obligations énoncées dans le présent règlement. Lorsque le fournisseur d'un système d'IA concerné ne met pas le système d'IA en conformité avec ces exigences et obligations dans le délai visé au paragraphe 2 du présent article, il fait l'objet d'amendes conformément à l'article 99.

5. Le fournisseur s'assure que toutes les mesures correctives appropriées sont prises pour tous les systèmes d'IA concernés qu'il a mis à disposition sur le marché de l'Union.

6. Lorsque le fournisseur du système d'IA concerné ne prend pas de mesures correctives adéquates dans le délai visé au paragraphe 2 du présent article, l'article 79, paragraphe 5 à 9, s'applique.

7. Lorsque, au cours de l'évaluation prévue au paragraphe 1 du présent article, l'autorité de surveillance du marché établit que le système d'IA a été classé à tort par le fournisseur comme n'étant pas à haut risque afin de contourner l'application des exigences figurant au chapitre III, section 2, le fournisseur fait l'objet d'amendes conformément à l'article 99.
8. Dans l'exercice de leur pouvoir de contrôle de l'application du présent article, et conformément à l'article 11 du règlement (UE) 2019/1020, les autorités de surveillance du marché peuvent effectuer des contrôles appropriés, en tenant compte notamment des informations stockées dans la base de données de l'UE visée à l'article 71 du présent règlement.

### Article 81 - Procédure de sauvegarde de l'Union

1. Lorsque, dans un délai de trois mois suivant la réception de la notification visée à l'article 79, paragraphe 5, **ou dans un délai de 30 jours en cas de non-respect de l'interdiction des pratiques en matière d'IA visées à l'article 5, l'autorité de surveillance du marché d'un État membre soulève des objections à l'encontre d'une mesure prise par une autre autorité de surveillance du marché**, ou que la Commission estime que cette mesure est contraire au droit de l'Union, la Commission entame **sans retard injustifié** des consultations avec l'autorité de surveillance du marché de l'État membre concerné et le ou les opérateurs, et procède à l'évaluation de la mesure nationale. En fonction des résultats de cette évaluation, la Commission, dans un délai de six mois, **ou de 60 jours en cas de non-respect de l'interdiction des pratiques en matière d'IA visées à l'article 5, à compter de la notification visée à l'article 79, paragraphe 5, décide si la mesure nationale est justifiée ou non et communique sa décision à l'autorité de surveillance du marché de l'État membre concerné. La Commission informe également toutes les autres autorités de surveillance du marché de sa décision.**
2. Lorsque la Commission estime que la mesure prise par l'État membre concerné est justifiée, tous les États membres veillent à prendre des mesures restrictives appropriées à l'égard du système d'IA concerné, par exemple en exigeant le retrait du système d'IA de leur marché sans retard injustifié, et en informe la Commission. Lorsque la Commission estime que la mesure nationale n'est pas justifiée, l'État membre concerné retire la mesure et en informe la Commission.

3. Lorsque la mesure nationale est jugée justifiée et que la non-conformité du système d'IA est attribuée à des lacunes dans les normes harmonisées ou les spécifications communes visées aux articles 40 et 41 du présent règlement, la Commission applique la procédure prévue à l'article 11 du règlement (UE) n° 1025/2012.

## Article 82 - Systèmes d'IA conformes qui présentent un risque

1. Lorsque, ayant réalisé une évaluation au titre de l'article 79, après avoir consulté l'autorité publique nationale concernée visée à l'article 77, paragraphe 1, l'autorité de surveillance du marché d'un État membre constate que, bien qu'un système d'IA à haut risque soit conforme au présent règlement, il comporte néanmoins un risque pour la santé ou la sécurité des personnes, pour les droits fondamentaux, ou pour d'autres aspects relatifs à la protection de l'intérêt public, elle demande à l'opérateur concerné de prendre toutes les mesures appropriées pour faire en sorte que le système d'IA concerné, une fois mis sur le marché ou mis en service, ne présente plus ce risque, et ce sans retard injustifié, dans un délai qu'elle peut prescrire.
2. Le fournisseur ou autre opérateur concerné s'assure que des mesures correctives sont prises pour tous les systèmes d'IA concernés qu'il a mis à disposition sur le marché de l'Union dans le délai prescrit par l'autorité de surveillance du marché de l'État membre visée au paragraphe 1.

3. **Les États membres** informent immédiatement la Commission et les autres États membres d'une constatation au titre du paragraphe 1. Les informations fournies incluent toutes les précisions disponibles, notamment les données nécessaires à l'identification du système d'IA concerné, l'origine et la chaîne d'approvisionnement de ce système d'IA, la nature du risque encouru, ainsi que la nature et la durée des mesures nationales prises.

4. La Commission entame **sans retard injustifié** des consultations avec les États membres concernés et les opérateurs concernés, et évalue les mesures nationales prises. En fonction des résultats de cette évaluation, la Commission décide si la mesure est justifiée ou non et, si nécessaire, propose d'autres mesures appropriées.
5. La Commission communique immédiatement sa décision aux États membres concernés ainsi qu'aux opérateurs concernés. Elle en informe également les autres États membres.

**Article 83 - Non-conformité formelle**

1. Lorsque l'autorité de surveillance du marché d'un État membre fait l'une des constatations ci-après, elle invite le fournisseur concerné à mettre un terme à la non-conformité en question, *dans un délai qu'elle peut prescrire*:

a) le marquage *CE* a été apposé en violation de l'article 48;

b) le marquage *CE* n'a pas été apposé;

c) la déclaration UE de conformité visée à l'article 47 n'a pas été établie;

d) la déclaration UE de conformité visée à l'article 47 n'a pas été établie correctement;

e) *l'enregistrement dans la base de données de l'UE visée à l'article 71 n'a pas été effectué*;

f) le cas échéant, il n'a pas été désigné de mandataire;

g) la documentation technique n'est pas disponible.

2. Si le cas de non-conformité visé au paragraphe 1 persiste, l'autorité de surveillance du marché de l'État membre concerné prend toutes les mesures appropriées et proportionnées pour restreindre ou interdire la mise à disposition du système d'IA à haut risque sur le marché ou pour assurer son rappel ou son retrait *sans tarder* du marché.
## Article 84 - Structures de soutien de l'Union pour les essais en matière d'IA

1. La Commission désigne une ou plusieurs structures de soutien de l'Union pour les essais en matière d'IA conformément à l'article 21, paragraphe 6, du règlement (UE) 1020/2019 dans le domaine de l'intelligence artificielle.

2. Sans préjudice des tâches visées au paragraphe 1, les structures de soutien de l'Union pour les essais en matière d'IA fournissent également des avis techniques ou scientifiques indépendants à la demande du Comité, de la Commission ou des autorités de surveillance du marché.
Section 4 - Voies de recours

Article 85 - Droit d'introduire une réclamation auprès d'une autorité de
surveillance du marché

Sans préjudice d'autres recours administratifs ou judiciaires, toute personne physique ou morale ayant des motifs de considérer qu'il y a eu violation des dispositions du présent règlement peut déposer des réclamations auprès de l'autorité de surveillance du marché concernée.

Conformément au règlement (UE) 2019/1020, ces réclamations sont prises en compte aux fins de l'exercice des activités de surveillance du marché, et sont traitées conformément aux procédures spécifiques établies en conséquence par les autorités de surveillance du marché.
## Article 86 - Droit à l'explication des décisions individuelles

1. Toute personne concernée faisant l'objet d'une décision prise par un déployeur sur la base des sorties d'un système d'IA à haut risque mentionné à l'annexe III, à l'exception des systèmes énumérés au point 2 de ladite annexe, et qui produit des effets juridiques ou affecte significativement cette personne de façon similaire d'une manière qu'elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux a le droit d'obtenir du déployeur des explications claires et pertinentes sur le rôle du système d'IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise.

2. Le paragraphe 1 ne s'applique pas à l'utilisation de systèmes d'IA pour lesquels des exceptions ou des restrictions à l'obligation prévue audit paragraphe découlent du droit de l'Union ou du droit national dans le respect du droit de l'Union.

3. Le présent article ne s'applique que dans la mesure où le droit visé au paragraphe 1 n'est pas prévu par ailleurs dans le droit de l'Union.
## Article 87 - Signalement de violations et protection des auteurs de signalement

La directive (UE) 2019/1937 s'applique aux signalements de violations du présent règlement et à la protection des personnes signalant ces violations.
## Section 5 - Surveillance, enquêtes, contrôle de l'application et contrôle en ce qui concerne les fournisseurs de modèles d'IA à usage général

### Article 88 - Contrôle de l'exécution des obligations incombant aux fournisseurs de modèles d'IA à usage général

1. La Commission dispose de pouvoirs exclusifs pour surveiller et contrôler le respect du chapitre V, en tenant compte des garanties procédurales prévues à l'article 94. La Commission confie l'exécution de ces tâches au Bureau de l'IA, sans préjudice des pouvoirs d'organisation dont elle dispose ainsi que de la répartition des compétences entre les États membres et l'Union fondée sur les traités.

2. Sans préjudice de l'article 75, paragraphe 3, les autorités de surveillance du marché peuvent demander à la Commission d'exercer les pouvoirs prévus dans la présente section, lorsque cela est nécessaire et proportionné pour contribuer à l'accomplissement des tâches qui leur incombent en vertu du présent règlement.
## Article 89 - Mesures de contrôle

1. Aux fins de l'exécution des tâches qui lui sont conférées dans le cadre de la présente section, le Bureau de l'IA peut prendre les mesures nécessaires pour contrôler la mise en œuvre et le respect effectifs du présent règlement par les fournisseurs de modèles d'IA à usage général, y compris leur adhésion à des codes de bonne pratique approuvés.

2. Les fournisseurs en aval ont le droit d'introduire une réclamation pour violation du présent règlement. La réclamation est dûment motivée et indique au moins:

a) le point de contact du fournisseur du modèle d'IA à usage général concerné;

b) une description des faits pertinents, les dispositions concernées du présent règlement et la raison pour laquelle le fournisseur en aval considère que le fournisseur du modèle d'IA à usage général concerné a enfreint le présent règlement;

c) toute autre information que le fournisseur en aval qui a envoyé la demande juge pertinente, y compris, le cas échéant, les informations recueillies de sa propre initiative.
## Article 90 - Alertes de risques systémiques données par le groupe scientifique

1. Le groupe scientifique peut adresser une alerte qualifiée au Bureau de l'IA lorsqu'il a des raisons de soupçonner:

a) qu'un modèle d'IA à usage général présente un risque concret identifiable au niveau de l'Union; ou

b) qu'un modèle d'IA à usage général satisfait aux conditions visées à l'article 51.

2. À la suite d'une telle alerte qualifiée, la Commission, par l'intermédiaire du Bureau de l'IA et après en avoir informé le Comité, peut exercer les pouvoirs prévus à la présente section aux fins de l'évaluation de la question. Le Bureau de l'IA informe le Comité de toute mesure prise conformément aux articles 91 à 94.

3. L'alerte qualifiée est dûment motivée et indique au moins:

a) le point de contact du fournisseur du modèle d'IA à usage général concerné présentant un risque systémique;
b) une description des faits pertinents et les motifs de l'alerte donnée par le groupe scientifique;

c) toute autre information que le groupe scientifique juge pertinente, y compris, le cas échéant, les informations recueillies de sa propre initiative.

## Article 91 - Pouvoir de demander de la documentation et des informations

1. La Commission peut demander au fournisseur du modèle d'IA à usage général concerné de fournir la documentation établie par le fournisseur conformément aux articles 53 et 55, ou toute information supplémentaire nécessaire pour évaluer la conformité du fournisseur avec le présent règlement.

2. Avant d'envoyer la demande d'informations, le Bureau de l'IA peut entamer un dialogue structuré avec le fournisseur du modèle d'IA à usage général.

3. Sur demande dûment motivée du groupe scientifique, la Commission peut adresser une demande d'informations au fournisseur d'un modèle d'IA à usage général, lorsque l'accès à ces informations est nécessaire et proportionné pour l'accomplissement des tâches du groupe scientifique au titre de l'article 68, paragraphe 2.
4. La demande d'informations mentionne la base juridique et l'objet de la demande, précise quelles informations sont requises, fixe un délai dans lequel les informations doivent être fournies, et indique les amendes prévues à l'article 101 en cas de fourniture d'informations inexactes, incomplètes ou trompeuses.

5. Le fournisseur du modèle d'IA à usage général concerné, ou son représentant, fournit les informations demandées. Dans le cas de personnes morales, d'entreprises ou de sociétés, ou lorsque le fournisseur n'a pas de personnalité juridique, les personnes autorisées à les représenter en vertu de la loi ou de leurs statuts fournissent les informations demandées pour le compte du fournisseur du modèle d'IA à usage général concerné. Les avocats dûment habilités à agir peuvent fournir des informations pour le compte de leurs clients. Les clients demeurent néanmoins pleinement responsables si les informations fournies sont incomplètes, inexactes ou trompeuses.

## Article 92 - Pouvoir de procéder à des évaluations

1. Le Bureau de l'IA, après consultation du Comité, peut procéder à des évaluations du modèle d'IA à usage général concerné:

a) pour évaluer le respect, par le fournisseur, des obligations prévues par le présent règlement, lorsque les informations recueillies en vertu de l'article 91 sont insuffisantes; ou

b) pour enquêter sur les risques systémiques, au niveau de l'Union, des modèles d'IA à usage général présentant un risque systémique, en particulier à la suite d'une alerte qualifiée du groupe scientifique conformément à l'article 90, paragraphe 1, point a).
2. La Commission peut décider de désigner des experts indépendants chargés de procéder à des évaluations pour son compte, y compris des experts du groupe scientifique établi en vertu de l'article 68. Les experts indépendants désignés pour cette tâche satisfont aux critères énoncés à l'article 68, paragraphe 2.

3. Aux fins du paragraphe 1, la Commission peut demander l'accès au modèle d'IA à usage général concerné par l'intermédiaire d'API ou d'autres moyens et outils techniques appropriés, y compris le code source.

4. La demande d'accès indique la base juridique, l'objet et les motifs de la demande et fixe le délai dans lequel l'accès doit être accordé, ainsi que les amendes prévues à l'article 101 en cas de non-fourniture de l'accès.

5. Les fournisseurs du modèle d'IA à usage général concerné ou son représentant fournissent les informations requise. Dans le cas de personnes morales, d'entreprises ou de sociétés, ou lorsque le fournisseur n'a pas la personnalité juridique, les personnes autorisées à les représenter en vertu de la loi ou de leurs statuts, accordent l'accès demandé pour le compte du fournisseur du modèle d'IA à usage général concerné.
6. La Commission adopte des actes d'exécution établissant les modalités détaillées et les conditions des évaluations, y compris les modalités détaillées d'intervention d'experts indépendants, et la procédure relative à leur sélection. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 98, paragraphe 2.

7. Avant de demander l'accès au modèle d'IA à usage général concerné, le Bureau de l'IA peut entamer un dialogue structuré avec le fournisseur du modèle d'IA à usage général afin de recueillir davantage d'informations sur les essais internes du modèle, les garanties internes visant à prévenir les risques systémiques, ainsi que d'autres procédures internes et les mesures que le fournisseur a prises pour atténuer ces risques.

### Article 93 - Pouvoir de demander des mesures

1. Lorsque cela est nécessaire et approprié, la Commission peut demander aux fournisseurs:

a) de prendre les mesures appropriées pour se conformer aux obligations énoncées à aux articles 53 et 54;