Article 16 : obligations du fournisseur d’IA à haut risque
Les 12 obligations du fournisseur selon l’article 16 du règlement sur l’IA : qui est fournisseur, quand elles s’appliquent et les amendes de l’article 99(4).
Les fournisseurs de systèmes d’IA à haut risque doivent respecter les 12 obligations de l’article 16, de la gestion de la qualité au marquage CE.
Cela concerne les fournisseurs qui mettent un tel système sur le marché de l’UE, où qu’ils soient établis. Les obligations s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III (usages énumérés, comme le recrutement). Pour les systèmes de l’annexe I (IA dans des produits soumis aux règles de sécurité de l’UE), elles s’appliquent dès le 2 août 2028. Les violations peuvent coûter jusqu’à 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial. Le montant le plus élevé est retenu (article 99(4)). Première étape : vérifiez chaque obligation ci-dessous pour votre système.
Un fournisseur doit respecter 12 obligations
Les lettres a) à l) suivent les points de l’article 16.
Respecter les exigences de la section 2
Le système doit respecter les exigences de la section 2 (articles 8 à 15) : gestion des risques, gouvernance des données, documentation technique, enregistrement, transparence, contrôle humain, ainsi que exactitude, robustesse et cybersécurité.
Indiquer votre nom et votre adresse de contact
Indiquez sur le système votre nom, votre raison sociale ou votre marque déposée, ainsi que votre adresse de contact. Si ce n’est pas possible, indiquez-les sur l’emballage ou dans la documentation jointe.
Disposer d’un système de gestion de la qualité
Mettez en place un système de gestion de la qualité conforme à l’article 17. Il doit être documenté sous la forme de politiques, de procédures et d’instructions écrites.
Conserver la documentation pendant 10 ans
Conservez les documents énumérés à l’article 18 pendant 10 ans après la mise sur le marché ou la mise en service du système. Ils comprennent la documentation technique, la documentation du système de gestion de la qualité et la déclaration UE de conformité.
Conserver les journaux générés automatiquement
Conservez les journaux que le système génère automatiquement, dans la mesure où ils sont sous votre contrôle (article 19). Conservez-les pendant une durée adaptée à la finalité prévue, d’au moins six mois, sauf disposition contraire du droit de l’Union ou national.
Réaliser une évaluation de la conformité
Veillez à ce que le système suive la procédure d’évaluation de la conformité de l’article 43 avant sa mise sur le marché ou sa mise en service.
Établir la déclaration UE de conformité
Établissez une déclaration UE de conformité conformément à l’article 47.
Apposer le marquage CE
Apposez le marquage CE sur le système, comme l’article 48 l’exige. Si ce n’est pas possible, apposez-le sur l’emballage ou dans la documentation jointe.
Enregistrer le système dans la base de données de l’UE
Respectez les obligations d’enregistrement de l’article 49(1) : enregistrez-vous et enregistrez le système dans la base de données de l’UE avant sa mise sur le marché ou sa mise en service. L’article 49(1) couvre les systèmes de l’annexe III, sauf le point 2 (infrastructures critiques).
Prendre des mesures correctives
Si vous estimez que le système n’est pas conforme, prenez immédiatement les mesures correctives de l’article 20 : le mettre en conformité, le retirer, le désactiver ou le rappeler. Informez les distributeurs et, le cas échéant, les déployeurs, le mandataire et les importateurs.
Démontrer la conformité sur demande
Si une autorité nationale compétente en fait la demande motivée, démontrez que le système respecte les exigences de la section 2.
Respecter les exigences d’accessibilité
Veillez à ce que le système respecte les exigences d’accessibilité des directives (UE) 2016/2102 et (UE) 2019/882.
Le fournisseur est celui qui met le système sur le marché sous son propre nom
Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3).
Un déployeur, importateur, distributeur ou autre tiers devient fournisseur dans trois cas (article 25(1)). Il appose son nom ou sa marque sur un système à haut risque déjà sur le marché. Il apporte une modification substantielle qui laisse le système à haut risque. Ou il modifie la finalité prévue d’un système qui n’est pas à haut risque, de sorte qu’il le devient.
Le nouveau fournisseur reprend les obligations de l’article 16. Le fournisseur initial n’est plus considéré comme fournisseur de ce système et doit coopérer avec le nouveau fournisseur (article 25(2)). Cela ne s’applique pas si le fournisseur initial a clairement précisé que son système d’IA ne doit pas être transformé en système d’IA à haut risque. Le fournisseur et le tiers qui fournit des composants, des outils ou des modèles pour le système doivent convenir par écrit des informations et de l’accès technique dont le fournisseur a besoin (article 25(4)). Les outils libres et ouverts sont exemptés, sauf s’il s’agit de modèles d’IA à usage général.
Fournisseurs et déployeurs ont des obligations distinctes
Dates, limites et amendes pour les fournisseurs
Dates d’application
L’article 16 s’applique à partir du 2 décembre 2027 aux systèmes de l’annexe III et à partir du 2 août 2028 à ceux de l’annexe I (article 113). Un système à haut risque mis sur le marché avant sa date d’application n’est concerné que si sa conception change sensiblement par la suite (article 111(2)). En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).
Où l’article 16 ne s’applique pas
Pour les systèmes liés à des produits de la section B de l’annexe I (législations sur les machines, les véhicules à moteur, le rail et l’aviation civile, entre autres), seuls l’article 6(1), l’article 60 bis et les articles 102 à 112 s’appliquent. L’article 16 ne leur est pas applicable (article 2(2)). Le règlement exclut aussi les systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2(3)). Pour les produits de la section B de l’annexe I, les articles 57, 58 et 59 ne s’appliquent que dans la mesure où les exigences applicables aux systèmes d’IA à haut risque ont été intégrées dans cette législation d’harmonisation de l’Union.
Amendes
Un manquement aux obligations du fournisseur de l’article 16 peut être sanctionné par une amende pouvant atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4), point a). Pour les PME, y compris les jeunes pousses, et pour les petites ETI, l’amende est plafonnée au plus faible des deux montants (article 99(6) et (6 bis)).
Comment Scanara aide à remplir les obligations du fournisseur
Scanara vous guide dans des évaluations du système de gestion de la qualité (article 17), de la chaîne de valeur (article 25) et de la préparation à l’évaluation de la conformité (article 43). À partir de vos réponses et des analyses de dépôts, elle rédige des brouillons de la documentation technique (annexe IV) et de la déclaration UE de conformité (annexe V). Vous relisez et vous décidez. Scanara structure les preuves d’enregistrement, et c’est vous qui déposez l’enregistrement.
Questions fréquentes sur les obligations du fournisseur
Que se passe-t-il si un fournisseur manque à une obligation de l’article 16 ?
Le fournisseur peut se voir infliger une amende pouvant atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4), point a). Pour les PME, y compris les jeunes pousses, et les petites ETI, l’amende est plafonnée au montant le plus faible (article 99(6) et (6 bis)). Les États membres fixent les règles de sanction, et les autorités nationales compétentes ou les juridictions infligent les amendes (article 99(1) et (9)). Elles tiennent compte de la nature, de la gravité et de la durée de la violation ainsi que de la taille de l’opérateur (article 99(7)).
Si je construis sur le modèle d’un tiers, suis-je le fournisseur ?
Oui, si vous mettez le système d’IA à haut risque sur le marché sous votre propre nom (article 3, point 3). Le fournisseur du modèle conserve ses propres obligations pour un modèle d’IA à usage général (articles 53 et 55), qui ne remplacent pas vos obligations de l’article 16. Vous et le fournisseur devez convenir par écrit des informations et de l’accès technique dont vous avez besoin (article 25(4)). Les outils libres et ouverts sont exemptés, sauf s’il s’agit de modèles d’IA à usage général.
Quand les obligations de l’article 16 commencent-elles à s’appliquer ?
Elles s’appliquent à partir du 2 décembre 2027 pour les systèmes de l’annexe III et à partir du 2 août 2028 pour ceux de l’annexe I (article 113, tel que modifié par le règlement (UE) 2026/1744). Un système déjà sur le marché avant cette date n’est soumis au règlement que si sa conception change sensiblement par la suite (article 111(2)). En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).
Le détail de chaque obligation
Article 17 : système de gestion de la qualité
Présente les 13 aspects que le système de gestion de la qualité d’un fournisseur doit couvrir.
Article 11 : documentation technique
Présente la documentation technique qu’un fournisseur doit établir et tenir à jour.
Article 26 : obligations des déployeurs
Présente les obligations des organisations qui utilisent des systèmes d’IA à haut risque.
Article 6 : quand un système d’IA est à haut risque
Explique les deux voies par lesquelles un système d’IA est considéré comme à haut risque.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.