Skip to main content

Article 26 : obligations des déployeurs d’IA à haut risque

Les obligations du déployeur selon l’article 26 du règlement sur l’IA : qui est déployeur, quand elles s’appliquent, en quoi elles diffèrent de l’article 27 et les amendes de l’article 99(4).

Les déployeurs de systèmes d’IA à haut risque ont des obligations propres (article 26). Ils doivent suivre les instructions d’utilisation, confier le contrôle humain, surveiller le fonctionnement et conserver les journaux.

Un déployeur est toute personne ou tout organisme qui utilise un système d’IA sous son autorité (article 3, point 4). Les obligations visent aussi les déployeurs hors de l’UE si les résultats sont utilisés dans l’UE. Elles s’appliquent à partir du 2 décembre 2027 aux systèmes de l’annexe III (usages énumérés, comme le recrutement). Pour ceux de l’annexe I, c’est à partir du 2 août 2028. Les amendes atteignent 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)). Première étape : demandez les instructions d’utilisation à chaque fournisseur.

L’article 26 fixe 11 obligations pour les déployeurs

Les cartes ci-dessous résument l’article 26. Le paragraphe 3 précise que ces obligations ne portent pas atteinte aux autres obligations des déployeurs prévues par le droit de l’Union ou national.

Utiliser le système selon les instructions

Prenez des mesures techniques et organisationnelles appropriées pour utiliser le système conformément à ses instructions d’utilisation (article 26(1)).

Confier le contrôle humain

Confiez le contrôle humain à des personnes physiques disposant de la compétence, de la formation et de l’autorité nécessaires, et donnez-leur le soutien requis (article 26(2)).

Vérifier les données d’entrée

Si vous contrôlez les données d’entrée, veillez à ce qu’elles soient pertinentes et suffisamment représentatives au regard de la finalité prévue du système (article 26(4)).

Surveiller le fonctionnement et signaler les risques

Surveillez le fonctionnement sur la base des instructions d’utilisation. Si vous avez des raisons de penser que l’utilisation peut présenter un risque (article 79(1)), suspendez l’utilisation et informez sans retard indu le fournisseur ou le distributeur et l’autorité de surveillance du marché. Après un incident grave, informez immédiatement d’abord le fournisseur, puis l’importateur ou le distributeur et les autorités de surveillance du marché. Si vous ne pouvez pas joindre le fournisseur, l’article 73 s’applique (article 26(5)). Cette obligation ne couvre pas les données opérationnelles sensibles des déployeurs qui sont des autorités répressives. Les établissements financiers soumis à des règles de gouvernance interne au titre du droit de l’Union sur les services financiers satisfont à l’obligation de surveillance en respectant ces règles.

Conserver les journaux

Conservez les journaux que le système génère automatiquement, dans la mesure où ils sont sous votre contrôle, pendant une durée adaptée à la finalité prévue et d’au moins six mois, sauf disposition contraire du droit de l’Union ou national (article 26(6)). Les établissements financiers les conservent dans le cadre de leur documentation au titre du droit des services financiers.

Informer les travailleurs

Les employeurs doivent informer les représentants des travailleurs et les travailleurs concernés avant de mettre en service ou d’utiliser un système à haut risque sur le lieu de travail (article 26(7)).

Enregistrer l’utilisation (autorités publiques)

Les autorités publiques et les institutions de l’Union doivent respecter les obligations d’enregistrement de l’article 49. Si un système qu’elles envisagent d’utiliser n’est pas enregistré dans la base de données de l’UE, elles ne doivent pas l’utiliser et doivent informer le fournisseur ou le distributeur (article 26(8)).

Utiliser les informations du fournisseur pour l’analyse d’impact relative à la protection des données

Le cas échéant, utilisez les informations fournies par le fournisseur au titre de l’article 13 pour réaliser votre analyse d’impact relative à la protection des données au titre de l’article 35 du règlement (UE) 2016/679 ou de l’article 27 de la directive (UE) 2016/680 (article 26(9)).

Demander l’autorisation pour l’identification biométrique à distance a posteriori

Pour la recherche ciblée d’une personne soupçonnée ou condamnée d’une infraction pénale, demandez l’autorisation d’une autorité judiciaire ou d’une autorité administrative dont la décision est contraignante avant d’utiliser un système d’identification biométrique à distance a posteriori, ou dans un délai de 48 heures au plus tard. L’exception est l’identification initiale d’un suspect potentiel sur la base de faits objectifs et vérifiables. L’utilisation non ciblée est interdite, chaque utilisation est consignée dans le dossier de police et des rapports annuels sont transmis aux autorités (article 26(10)).

Informer les personnes concernées

Les déployeurs de systèmes de l’annexe III qui prennent des décisions concernant des personnes physiques, ou aident à en prendre, doivent informer ces personnes qu’elles sont soumises à l’utilisation du système. Pour les usages répressifs, l’article 13 de la directive (UE) 2016/680 s’applique (article 26(11)).

Coopérer avec les autorités

Coopérez avec les autorités compétentes dans toute action qu’elles entreprennent à l’égard du système pour mettre en œuvre le règlement (article 26(12)).

Le rôle découle de l’usage : certains déployeurs deviennent fournisseurs

Vous êtes déployeur si vous utilisez un système d’IA sous votre autorité, quel qu’en soit le concepteur (article 3, point 4). Une entreprise qui conçoit un système et l’utilise elle-même est à la fois fournisseur et déployeur, car la mise en service inclut l’usage pour son propre compte (article 3, point 11).

Un déployeur devient fournisseur, avec les obligations de l’article 16, dans trois cas (article 25(1)). Il appose son nom ou sa marque sur un système à haut risque. Il apporte une modification substantielle qui laisse le système à haut risque. Ou il modifie la finalité prévue d’un système de sorte qu’il devienne à haut risque. Le fournisseur initial n’a pas à coopérer avec le nouveau fournisseur s’il a clairement précisé que son système d’IA ne doit pas être transformé en système d’IA à haut risque (article 25(2)).

Les articles 26 et 27 sont des obligations distinctes

L’article 26 s’applique à tout déployeur d’un système d’IA à haut risque. L’article 27 ajoute une analyse d’impact sur les droits fondamentaux pour certains déployeurs seulement : organismes de droit public, entités privées fournissant des services publics et déployeurs de systèmes d’évaluation de la solvabilité ou d’assurance vie et santé. L’article 26 lui-même ne contient pas cette analyse.

Dates, limites et amendes pour les déployeurs

Dates d’application

L’article 26 s’applique à partir du 2 décembre 2027 aux systèmes de l’annexe III et à partir du 2 août 2028 à ceux de l’annexe I (article 113). Un système à haut risque mis sur le marché avant sa date d’application n’est concerné que si sa conception change sensiblement par la suite (article 111(2)). En tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111(2)).

Où l’article 26 ne s’applique pas

L’article 26 ne s’applique pas aux systèmes liés à des produits de la section B de l’annexe I (article 2(2)), aux personnes physiques qui utilisent des systèmes d’IA dans le cadre d’une activité strictement personnelle à caractère non professionnel (article 2(10)), ni aux systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (article 2(3)). Pour les produits de la section B de l’annexe I, les articles 57, 58 et 59 ne s’appliquent que dans la mesure où les exigences applicables aux systèmes d’IA à haut risque ont été intégrées dans cette législation d’harmonisation de l’Union.

Amendes

Un manquement aux obligations du déployeur de l’article 26 peut être sanctionné par une amende pouvant atteindre 15 millions d’EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4), point e). Pour les PME, y compris les jeunes pousses, et pour les petites ETI, l’amende est plafonnée au plus faible des deux montants (article 99(6) et (6 bis)).

Comment Scanara aide les déployeurs

Scanara réalise une évaluation guidée des obligations du déployeur de l’article 26, la relie à une analyse d’impact relative à la protection des données lorsque des données personnelles sont traitées, et consigne les preuves de conservation des journaux. Lorsque l’article 27 s’applique, une seconde évaluation guidée structure l’analyse d’impact sur les droits fondamentaux. Vous décidez de ce qui vous concerne et vous remplissez les obligations.

Questions fréquentes sur les obligations du déployeur

L’article 26 s’applique-t-il aux systèmes d’IA utilisés uniquement en interne ?

Oui. Le déployeur se définit par l’utilisation d’un système sous son autorité, non par celui qui l’a conçu (article 3, point 4). Une entreprise qui conçoit un système à haut risque et l’utilise elle-même est à la fois fournisseur et déployeur, de sorte que les articles 16 et 26 s’appliquent tous deux. Le développement et les essais avant la mise sur le marché ou la mise en service échappent au règlement (article 2(8)), sauf les essais en conditions réelles.

Que doit faire un déployeur après un incident grave ?

Le déployeur qui constate un incident grave doit informer immédiatement d’abord le fournisseur, puis l’importateur ou le distributeur et les autorités de surveillance du marché (article 26(5)). Un incident grave est un incident ou un dysfonctionnement qui entraîne directement ou indirectement un décès ou un dommage grave à la santé, une perturbation grave et irréversible d’infrastructures critiques, une violation d’obligations du droit de l’Union protégeant les droits fondamentaux, ou un dommage grave aux biens ou à l’environnement (article 3, point 49). La suspension de l’utilisation est requise lorsqu’il y a des raisons de considérer que l’utilisation présente un risque au sens de l’article 79(1).

Les PME bénéficient-elles d’un allègement des obligations du déployeur ?

Non. L’article 26 ne prévoit pas d’exemption liée à la taille. Les PME, y compris les jeunes pousses, et les petites ETI encourent une amende plafonnée au plus faible des deux montants (article 99(6) et (6 bis)). Les établissements financiers qui respectent les règles de l’Union sur la gouvernance interne conservent les journaux dans le cadre de la documentation qu’ils tiennent au titre du droit des services financiers (article 26(6)).

Le détail de chaque obligation

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.