Evaluation de la conformite au titre du Reglement sur l'IA de l'UE

Avant qu'un systeme d'IA a haut risque puisse etre mis sur le marche de l'UE ou mis en service, il doit faire l'objet d'une evaluation de la conformite. C'est le processus par lequel le fournisseur demontre -- et une autorite competente peut verifier -- que le systeme d'IA satisfait a toutes les exigences applicables du Reglement sur l'IA de l'UE (Reglement 2024/1689). Sans evaluation de la conformite achevee, un fournisseur ne peut pas emettre de declaration UE de conformite, apposer le marquage CE, ni legalement mettre le systeme a disposition dans l'Union europeenne.

L'evaluation de la conformite n'est pas un concept nouveau dans la reglementation europeenne des produits. Elle est utilisee depuis des decennies dans des secteurs comme les dispositifs medicaux, les machines et les equipements de protection individuelle. Ce qui est nouveau, c'est son application aux systemes d'IA. Le Reglement sur l'IA de l'UE etend ce cadre bien etabli a l'intelligence artificielle, en l'adaptant pour tenir compte des risques et caracteristiques specifiques de la technologie IA.

Ce guide explique les procedures d'evaluation de la conformite au titre du Reglement sur l'IA de l'UE, quand l'evaluation par un tiers est requise, ce qui se passe pendant le processus et comment s'y preparer.

Le cadre juridique : Articles 43 et 44

L'article 43 du Reglement sur l'IA de l'UE etablit les procedures d'evaluation de la conformite pour les systemes d'IA a haut risque. Il prevoit deux voies :

Evaluation de la conformite fondee sur le controle interne (annexe VI) : Le fournisseur effectue l'evaluation lui-meme, sans intervention d'un tiers.
Evaluation de la conformite avec participation d'un organisme notifie (annexe VII) : Une organisation tierce designee par un Etat membre de l'UE examine le systeme d'IA et delivre un certificat.

La voie applicable depend de la question de savoir si le systeme d'IA releve de la legislation d'harmonisation de l'UE existante et si la categorie specifique a haut risque necessite l'intervention d'un tiers.

Quand l'evaluation par un tiers est-elle requise ?

Controle interne (la plupart des systemes d'IA a haut risque)

Pour la majorite des systemes d'IA a haut risque enumeres a l'annexe III du reglement -- y compris les systemes utilises dans l'emploi, l'education, la notation de credit, la repression, la migration et l'acces aux services essentiels -- le fournisseur peut effectuer l'evaluation de la conformite par controle interne au titre de l'annexe VI. Aucun organisme notifie tiers n'est requis.

Evaluation par un tiers (cas specifiques)

L'evaluation de la conformite par un tiers au titre de l'annexe VII est requise dans deux scenarios principaux :

1. Systemes d'IA couverts par la legislation d'harmonisation de l'UE existante figurant a l'annexe I, section A. La procedure d'evaluation de la conformite suit les procedures deja etablies par cette legislation.

2. Systemes d'identification et de categorisation biometriques. Les systemes d'IA a haut risque destines a l'identification et a la categorisation biometriques de personnes physiques (annexe III, point 1) sont soumis a la procedure d'evaluation de la conformite par un tiers prevue a l'annexe VII.

Meme lorsque le controle interne est autorise, les fournisseurs doivent toujours appliquer les normes harmonisees ou les specifications communes lorsqu'elles sont disponibles. Le choix du controle interne ne reduit pas les exigences substantielles de conformite -- il modifie uniquement qui verifie la conformite.

La procedure de controle interne (annexe VI)

Lorsque le controle interne s'applique, le fournisseur effectue l'evaluation de la conformite en verifiant que le systeme de gestion de la qualite et la documentation technique satisfont aux exigences du reglement.

Etape 1 : Verifier le systeme de gestion de la qualite

Le fournisseur doit verifier que son systeme de gestion de la qualite est conforme a l'article 17.

Etape 2 : Verifier la documentation technique

Le fournisseur doit verifier que la documentation technique est conforme aux exigences de l'article 11 et de l'annexe IV.

Etape 3 : Verifier la conformite a toutes les exigences

Le fournisseur doit evaluer et confirmer que le systeme d'IA est conforme a toutes les exigences du chapitre III, section 2 (articles 9-15).

Etape 4 : Emettre la declaration UE de conformite

Une fois que le fournisseur est convaincu que toutes les exigences sont remplies, il etablit la declaration UE de conformite conformement a l'article 47 et appose le marquage CE conformement a l'article 48.

Le controle interne exige une auto-evaluation rigoureuse. « Nous avons verifie notre propre travail » ne satisfera pas les regulateurs si l'evaluation etait superficielle. Documentez chaque etape de verification, conservez les preuves et envisagez de faire appel a une expertise externe pour soutenir le processus, meme si un organisme notifie n'est pas legalement requis.

Vous vous preparez a l'evaluation de la conformite ?

Ctrl AI vous aide a construire le systeme de gestion de la qualite, la documentation technique et les pistes d'audit necessaires pour reussir l'evaluation de la conformite -- qu'elle soit interne ou par un tiers.

Learn About Ctrl AI

La procedure par un tiers (annexe VII)

Lorsque l'evaluation par un tiers est requise, un organisme notifie examine le systeme d'IA et le systeme de gestion de la qualite du fournisseur. La procedure au titre de l'annexe VII comporte deux composantes principales : l'evaluation du systeme de gestion de la qualite et l'evaluation de la documentation technique.

Certification

Si l'organisme notifie conclut que le systeme de gestion de la qualite et le systeme d'IA sont conformes au reglement, il delivre un certificat. Ce certificat est valable pour un maximum de cinq ans et peut etre renouvele. L'organisme notifie peut imposer des conditions au certificat ou exiger des actions correctives.

La declaration UE de conformite

L'article 47 definit les exigences pour la declaration UE de conformite. C'est un document formel dans lequel le fournisseur declare que le systeme d'IA satisfait a toutes les exigences applicables. La declaration doit etre tenue a jour et mise a la disposition des autorites de surveillance du marche sur demande, pendant une periode de 10 ans apres la mise sur le marche du systeme.

Marquage CE

L'article 48 exige que le marquage CE soit appose sur le systeme d'IA a haut risque, ou lorsque ce n'est pas possible, sur son emballage ou la documentation l'accompagnant. Le marquage CE indique que le systeme d'IA est conforme aux exigences du reglement et a fait l'objet de la procedure d'evaluation de la conformite applicable.

Le marquage CE est deja familier dans de nombreux secteurs de produits. Pour les systemes d'IA, il a la meme signification juridique : c'est la declaration du fournisseur que le systeme est conforme a toutes les exigences applicables de l'UE. L'utilisation abusive du marquage CE -- l'apposition sur un systeme non conforme -- est passible de sanctions.

Modifications et reevaluation

L'article 43, paragraphe 4, traite de ce qui se passe lorsqu'un systeme d'IA a haut risque ayant deja fait l'objet d'une evaluation de la conformite est substantiellement modifie. Une modification substantielle necessite une nouvelle evaluation de la conformite. Le reglement definit une modification substantielle comme un changement qui affecte la conformite du systeme aux exigences du chapitre III, section 2, ou qui entraine une modification de la finalite prevue pour laquelle le systeme a ete evalue.

La distinction entre modifications substantielles et non substantielles est specifique a chaque cas. En cas de doute, optez pour le traitement d'une modification comme substantielle. La mise sur le marche d'un systeme non conforme comporte des consequences bien plus graves qu'une evaluation supplementaire.

Sanctions

La mise sur le marche de l'UE d'un systeme d'IA a haut risque sans avoir complete l'evaluation de la conformite requise constitue une violation grave. Les amendes administratives pour non-conformite aux obligations d'evaluation de la conformite peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total, le montant le plus eleve etant retenu.

Conclusion

L'evaluation de la conformite est la porte d'entree du marche de l'UE pour les systemes d'IA a haut risque. Que votre systeme suive la voie du controle interne ou necessite une evaluation par un tiers, le travail sous-jacent est le meme : une documentation technique complete, un systeme de gestion de la qualite robuste, une gestion approfondie des risques, et des tests et une validation rigoureux.

Les organisations ne devraient pas considerer l'evaluation de la conformite comme un obstacle ponctuel. C'est une obligation continue -- les modifications substantielles declenchent une reevaluation, les certificats ont une validite limitee, et les autorites de surveillance du marche peuvent demander la documentation et les preuves de conformite a tout moment. Construire les systemes et les processus pour soutenir l'evaluation de la conformite de maniere continue est un investissement dans un acces durable au marche.