Article 17 pour les systèmes autonomes : système de gestion de la qualité

Le système doit être documenté de manière systématique et ordonnée sous la forme de politiques, de procédures et d’instructions écrites. Dans notre regroupement, quatre aspects renvoient à d’autres obligations du règlement ; neuf autres suivent.

• art. 17(1)(a)
  Stratégie de conformité réglementaire

  Une stratégie de conformité réglementaire, y compris le respect des procédures d’évaluation de la conformité et des procédures de gestion des modifications du système.

• art. 17(1)(g)
  Système de gestion des risques

  Le système de gestion des risques visé à l’article 9.

• art. 17(1)(h)
  Surveillance après commercialisation

  La mise en place, la mise en œuvre et la tenue à jour d’un système de surveillance après commercialisation, conformément à l’article 72.

• art. 17(1)(i)
  Signalement des incidents graves

  Les procédures de signalement d’un incident grave conformément à l’article 73.

• art. 17(1)(b)–(f), (j)–(m)
  Les neuf autres aspects

  Conception et contrôle de la conception ; développement, contrôle de la qualité et assurance de la qualité ; procédures d’examen, d’essai et de validation ; spécifications techniques et normes ; gestion des données ; communication avec les autorités, les organismes notifiés et d’autres ; tenue des enregistrements ; gestion des ressources ; cadre de responsabilité.

• art. 17(2)
  Proportionné à la taille, pas à la protection

  La mise en œuvre doit être proportionnée à la taille de l’organisation du fournisseur, en particulier s’il s’agit d’une PME, y compris une jeune pousse, ou d’une petite ETI. Les fournisseurs doivent néanmoins respecter le degré de rigueur et le niveau de protection nécessaires pour que leurs systèmes d’IA à haut risque respectent le règlement.

L’article 17 ne lie que les fournisseurs de systèmes d’IA à haut risque. Les lignes ci-dessous montrent quels systèmes autonomes il atteint et qui est le fournisseur.

• Les « systèmes autonomes » ne sont pas une catégorie du règlement

  Le règlement ne connaît pas de catégorie « systèmes autonomes » ; sa définition d’un système d’IA renvoie à un fonctionnement à différents niveaux d’autonomie (article 3, point 1). Ce site emploie le mot pour l’IA des véhicules, drones, robots et machines, et pour l’IA qui aide à gérer le trafic routier. Cette IA peut être à haut risque par trois voies, et la voie décide des règles à haut risque applicables : l’annexe I, section B (article 2, paragraphe 2 limite les règles à quelques articles), l’annexe I, section A (les exigences du chapitre III à partir du 2 août 2028, si le système est à haut risque au titre de l’article 6, paragraphe 1) et l’annexe III, point 2 (les exigences du chapitre III à partir du 2 décembre 2027). D’autres règles ne dépendent pas de la voie : les articles 4 et 5, l’article 50, l’article 53 pour les fournisseurs de modèles et les autres points de l’annexe III. L’article 2, paragraphe 2 ne restreint que les systèmes d’IA à haut risque au titre de l’article 6, paragraphe 1 dans des produits de la section B. Commencez par trouver votre voie à haut risque.

• Véhicules, aéronefs, rail, équipements marins et machines : annexe I, section B

  La section B de l’annexe I énumère notamment les véhicules à moteur (règlements (UE) 2018/858 et 2019/2144), les véhicules à deux ou trois roues (règlement (UE) n° 168/2013), les véhicules agricoles et forestiers (règlement (UE) n° 167/2013), le système ferroviaire (directive (UE) 2016/797), les équipements marins (directive 2014/90/UE), les aéronefs sans équipage à bord et leurs moteurs, hélices, pièces et équipements de contrôle à distance, dans la mesure où le règlement (UE) 2018/1139 les couvre, et les machines (règlement (UE) 2023/1230, déplacé de la section A vers la section B par le règlement (UE) 2026/1744). Pour un système d’IA à haut risque au titre de l’article 6, paragraphe 1 qui concerne un tel produit, seuls l’article 6, paragraphe 1, l’article 60 bis et les articles 102 à 112 s’appliquent (article 2, paragraphe 2) ; les articles 57, 58 et 59 ne s’appliquent que dans la mesure où les exigences applicables aux systèmes d’IA à haut risque ont été intégrées dans cette législation d’harmonisation de l’Union. Les articles 9 à 15, 17 et 26 n’en font pas partie. En revanche, les articles 102 à 109 ajoutent à huit de ces actes une règle selon laquelle la Commission tient compte des exigences du chapitre III, section 2, lorsqu’elle adopte les actes qu’ils visent pour des systèmes d’IA. Pour les machines, l’article 3, point 1), du règlement (UE) 2026/1744 impose à la Commission d’adopter des actes délégués qui ajoutent des exigences de santé et de sécurité pour de tels systèmes d’IA, en reflétant le chapitre III, section 2, et les articles 17, 19, 72 et 73 ; ces actes doivent s’appliquer au plus tard à partir du 2 août 2028.

• Produits de la section A et annexe III, point 2 : le chapitre III s’applique

  Deux points d’accroche déclenchent les exigences du chapitre III. Premièrement, un système d’IA est à haut risque au titre de l’article 6, paragraphe 1 s’il est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation de l’annexe I, ou s’il est lui-même un tel produit, et si ce produit doit faire l’objet d’une évaluation de la conformité par un tiers en vertu de cette législation. La section A (points 2 à 12) couvre par exemple les ascenseurs, les installations à câbles, les bateaux de plaisance et les dispositifs médicaux ; le chapitre III s’applique à ces systèmes à partir du 2 août 2028 (article 113, point c) ii)). Un composant de sécurité est un composant qui remplit une fonction de sécurité ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens (article 3, point 14) ; l’IA utilisée uniquement pour des aspects non liés à la sécurité, comme l’optimisation des performances, l’automatisation ou le confort, n’en est pas un, mais l’IA dont la défaillance mettrait en danger la santé et la sécurité en est un (article 6, paragraphes 1 bis et 1 ter). Un produit soumis à une évaluation par un tiers uniquement en raison de risques autres que pour la santé et la sécurité, comme l’utilisation du spectre radioélectrique ou des perturbations électromagnétiques sans effet sur la santé et la sécurité, ne remplit pas cette condition (article 6, paragraphe 1 quater) ; cela concerne par exemple les équipements radioélectriques (point 6). Deuxièmement, l’annexe III, point 2, vise les systèmes d’IA destinés à être utilisés comme composants de sécurité dans la gestion et l’exploitation d’infrastructures numériques critiques, du trafic routier ou de la fourniture d’eau, de gaz, de chauffage ou d’électricité ; le chapitre III s’applique à eux à partir du 2 décembre 2027 (article 113, point c) i)). Selon son libellé, le point 2 nomme la gestion et l’exploitation du trafic routier, et non les véhicules.

• Fournisseur et déployeur

  Le fournisseur développe le système d’IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque (article 3, point 3) ; ce peut être un fabricant de produits ou un éditeur de logiciels. Pour un système d’IA à haut risque qui est un composant de sécurité d’un produit de la section A, le fabricant du produit est le fournisseur si le système est mis sur le marché avec le produit sous son nom ou sa marque, ou mis en service sous ce nom ou cette marque après la mise sur le marché du produit (article 25, paragraphe 3). L’exploitant d’une flotte, d’une usine ou du trafic qui ne fait qu’utiliser le système est un déployeur (article 3, point 4) et n’a pas d’obligation au titre de l’article 17. Un déployeur devient fournisseur s’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, s’il y apporte une modification substantielle qui le laisse à haut risque, ou s’il modifie la finalité prévue d’un système qui n’était pas à haut risque de sorte qu’il le devienne (article 25, paragraphe 1).

• Évaluation de la conformité : la législation sectorielle pour la section A, le contrôle interne pour le point 2

  Pour les systèmes d’IA à haut risque couverts par la législation d’harmonisation de l’Union énumérée à la section A de l’annexe I, le fournisseur suit la procédure d’évaluation de la conformité exigée par cette législation ; les exigences du chapitre III, section 2, en font partie, et le système de gestion de la qualité prévu à l’article 17 est également évalué (article 43, paragraphe 3). Lorsque cette législation permet au fabricant de recourir à une évaluation sans tiers, il ne peut utiliser cette option que s’il a aussi appliqué des normes harmonisées ou des spécifications communes couvrant toutes les exigences de la section 2 (article 43, paragraphe 3). Pour les systèmes à haut risque visés aux points 2 à 8 de l’annexe III, les fournisseurs suivent la procédure fondée sur le contrôle interne décrite à l’annexe VI, qui ne prévoit pas l’intervention d’un organisme notifié (article 43, paragraphe 2) ; le fournisseur vérifie que le système de gestion de la qualité établi respecte l’article 17 (annexe VI, point 2). L’article 43 ne figure pas parmi les dispositions que l’article 2, paragraphe 2 rend applicables aux produits de la section B. Les organismes notifiés au titre de la législation de la section A doivent demander leur désignation au titre du chapitre III, section 4, d’ici le 28 janvier 2028 (article 43, paragraphe 3).

• Systèmes de gestion de la qualité sectoriels et documentation de la section A

  Les fournisseurs de systèmes d’IA à haut risque soumis à des obligations relatives aux systèmes de gestion de la qualité ou à une fonction équivalente en vertu du droit sectoriel pertinent de l’Union peuvent inclure les aspects énumérés à l’article 17, paragraphe 1, dans le système de gestion de la qualité prévu par ce droit (article 17, paragraphe 3). Pour un produit contenant un système d’IA relevant de la législation de la section A, les fournisseurs peuvent aussi intégrer les processus d’essai et de rapport, les informations et la documentation relatifs aux exigences en matière d’IA dans les documents et procédures qui existent déjà au titre de cette législation (article 8, paragraphe 2). La Commission doit publier d’ici le 1er août 2027 des lignes directrices sur la mise en œuvre pratique de l’article 8, paragraphe 2, de l’article 9, paragraphe 10, et de l’article 17, paragraphe 3 (article 96, paragraphe 1, point g)). L’article 17, paragraphe 3, ne liste pas les législations sectorielles visées ; le règlement ne dit pas si les obligations d’un fournisseur au titre d’une telle législation constituent un système de gestion de la qualité ou une fonction équivalente ; demandez conseil à un juriste.

• Dates

  Les systèmes relevant de l’annexe III, point 2, doivent respecter le chapitre III à partir du 2 décembre 2027, et ceux de la section A à partir du 2 août 2028 (article 113, point c)). Pour les systèmes de la section B, aucune date ne s’applique aux articles 9 à 15, 17 et 26, car ces articles ne leur sont pas applicables ; selon l’article 113, point c) ii), le chapitre III, sections 1 à 3, dont fait partie l’article 6, s’applique aux systèmes de l’annexe I à partir du 2 août 2028, et les articles 102 à 110 s’appliquent depuis le 27 juillet 2026 (article 113, point c) ii) et point d)). Un système mis sur le marché ou mis en service avant la date d’application du chapitre III n’est couvert que si sa conception subit ensuite d’importantes modifications ; en tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2).

• Amendes

  Les manquements aux obligations des fournisseurs (article 16) et des déployeurs (article 26) peuvent être sanctionnés d’amendes pouvant atteindre 15 millions d’EUR ou, pour une entreprise, 3 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4). Pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au montant le plus faible (article 99, paragraphe 6). Le même plafond vaut pour les petites ETI (« petites entreprises à moyenne capitalisation » dans le règlement ; article 3, point 14 ter, article 99, paragraphe 6 bis). Chaque État membre fixe les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées aux autorités et organismes publics établis dans cet État membre (article 99, paragraphe 8). L’article 99 ne figure pas parmi les dispositions qui, selon l’article 2, paragraphe 2, s’appliquent aux systèmes d’IA à haut risque au titre de l’article 6, paragraphe 1, dans des produits relevant de la section B.

• Limites du champ d’application du règlement

  Le règlement s’applique aux fournisseurs qui mettent sur le marché ou en service des systèmes d’IA dans l’Union, ou mettent sur le marché des modèles d’IA à usage général dans l’Union, où qu’ils soient établis (article 2, paragraphe 1, point a)), ainsi qu’aux fournisseurs et déployeurs établis dans un pays tiers lorsque les sorties du système d’IA sont utilisées dans l’Union (point c)). Il ne s’applique pas aux domaines qui ne relèvent pas du droit de l’Union et n’affecte pas les compétences des États membres en matière de sécurité nationale ; il ne s’applique pas non plus aux systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2, paragraphe 3). Le règlement ne s’applique pas aux systèmes ou modèles d’IA, y compris leurs sorties, spécifiquement développés et mis en service à la seule fin de la recherche et du développement scientifiques (article 2, paragraphe 6). Il ne s’applique pas non plus aux activités de recherche, d’essai et de développement menées avant la mise sur le marché ou la mise en service d’un système ou d’un modèle ; les essais en conditions réelles ne sont pas couverts par cette exclusion (article 2, paragraphe 8). Il ne s’applique pas aux systèmes d’IA publiés dans le cadre de licences libres et ouvertes, sauf s’ils sont mis sur le marché ou mis en service en tant que systèmes d’IA à haut risque ou en tant que systèmes d’IA relevant de l’article 5 ou 50 (article 2, paragraphe 12).

• Aucune norme citée, aucune règle propre aux systèmes autonomes

  Le règlement ne cite aucune norme ni certification pour le système de gestion de la qualité et n’a pas de règle propre aux systèmes autonomes. L’article 17, paragraphe 1, point e), renvoie aux spécifications techniques, y compris les normes, à appliquer et, lorsque les normes harmonisées pertinentes ne sont pas appliquées intégralement ou ne couvrent pas toutes les exigences du chapitre III, section 2 (articles 8 à 15), aux moyens utilisés pour garantir le respect de ces exigences. Les règles de qualité de la législation sectorielle d’un produit de la section B viennent de cette législation, pas de l’article 17 (article 2, paragraphe 2).

• La conservation sur dix ans relève de l’article 18

  L’obligation de conserver la documentation du système de gestion de la qualité pendant dix ans après la mise sur le marché ou la mise en service du système figure à l’article 18, paragraphe 1, pas à l’article 17.

• Section A : les exigences peuvent être limitées (article 2, paragraphe 13)

  Pour les systèmes d’IA à haut risque visés à l’article 6, paragraphe 1, l’application d’exigences ou d’obligations précises des articles 9 à 15 et 17 à 25 peut être limitée, dans la mesure où la législation d’harmonisation de l’Union énumérée à la section A de l’annexe I prévoit des exigences ou des obligations offrant un niveau de protection équivalent ou supérieur et où la limitation ne réduit pas le niveau global de protection prévu par le règlement (article 2, paragraphe 13). La Commission doit adopter, d’ici le 2 août 2027, des actes délégués précisant les systèmes concernés, les exigences pouvant être limitées, les conditions et la portée. Selon notre lecture de l’article 2, paragraphe 13, le règlement ne dit pas lui-même quelles exigences sont limitées pour un produit donné de la section A ; ce sont les actes délégués qui doivent le faire ; demandez conseil à un juriste.

• Exemple : rattacher les 13 aspects aux documents existants

  Exemple, pas une exigence du règlement : un fabricant qui tient déjà un système de gestion de la qualité en vertu de sa législation sectorielle pourrait lister les 13 aspects dans un tableau et indiquer pour chacun le document existant qui le couvre.

• Article 17 : système de gestion de la qualité

  L’article 17 pour tous les secteurs : les 13 aspects, la proportionnalité et les amendes.

• Règlement IA systèmes autonomes : conformité

  L’aperçu des systèmes autonomes : quels points d’accroche du règlement s’appliquent aux véhicules, aéronefs, machines et à l’IA du trafic.

• Article 26 pour les systèmes autonomes : obligations des déployeurs

  Systèmes autonomes et article 15 : exactitude, robustesse, cybersécurité, dates et rôles.

• Systèmes d'IA à haut risque de l'annexe I : la voie de la sécurité des produits

  Annexe I : quels systèmes d’IA dans des produits réglementés sont à haut risque, avec les sections A et B.