Skip to main content

Article 55 : obligations en cas de risque systémique

Article 55 du règlement sur l'IA : quand un modèle d'IA à usage général présente un risque systémique, la notification sous deux semaines, les quatre obligations supplémentaires, dates et amendes.

Les fournisseurs de modèles d'IA à usage général (GPAI) présentant un risque systémique ont quatre obligations supplémentaires (article 55, paragraphe 1). Elles portent sur l'évaluation et les tests, l'atténuation des risques, le signalement des incidents et la cybersécurité.

Un modèle présente un risque systémique s'il dispose de capacités à fort impact (article 51). Le règlement le présume au-delà de 1025 opérations en virgule flottante (FLOP) d'entraînement. Les fournisseurs doivent notifier la Commission dans un délai de deux semaines (article 52, paragraphe 1). Les obligations s'appliquent depuis le 2 août 2025. Depuis le 2 août 2026, la Commission peut infliger des amendes aux fournisseurs. Elles peuvent atteindre 3 % du chiffre d'affaires mondial ou 15 millions d'EUR, le montant le plus élevé étant retenu (article 101). Prochaine étape : comparez la puissance de calcul d'entraînement de votre modèle au seuil.

Un modèle présente un risque systémique s'il dispose de capacités à fort impact ou si la Commission le désigne

Seuil de calcul

Les capacités à fort impact sont des capacités égales ou supérieures à celles des modèles GPAI les plus avancés (article 3, point 64). Le règlement les présume lorsque la quantité cumulée de calcul utilisée pour l'entraînement dépasse 1025 opérations en virgule flottante (FLOP). La Commission peut modifier le seuil par acte délégué en fonction de l'évolution technologique (article 51, paragraphes 2 et 3).

Désignation par la Commission

La Commission peut aussi désigner un modèle dont les capacités ou l'impact sont équivalents à des capacités à fort impact, d'office ou après une alerte qualifiée du groupe scientifique. Elle applique les critères de l'annexe XIII, tels que les paramètres, les données d'entraînement, le calcul, les modalités, les analyses comparatives et la portée (article 51, paragraphe 1, point b)). Un modèle mis à la disposition d'au moins 10 000 utilisateurs professionnels enregistrés établis dans l'Union est présumé avoir un impact élevé sur le marché intérieur (annexe XIII).

Notifier la Commission dans un délai de deux semaines

Le fournisseur doit notifier la Commission sans retard et au plus tard sous deux semaines, dès que son modèle remplit la condition de l'article 51, paragraphe 1, point a). Le délai court aussi dès qu'il est connu que le modèle la remplira. La notification doit contenir les informations qui démontrent que la condition est remplie (article 52, paragraphe 1).

Avec la notification, le fournisseur peut présenter des arguments suffisamment étayés démontrant que le modèle, à titre exceptionnel, ne présente pas de risque systémique en raison de ses caractéristiques spécifiques. La Commission tranche ; si elle rejette les arguments, le modèle est considéré comme présentant un risque systémique (article 52, paragraphes 2 et 3). Les fournisseurs de modèles désignés peuvent présenter une demande motivée de réévaluation, avec des raisons objectives, détaillées et nouvelles, au plus tôt six mois après la désignation. La Commission publie et tient à jour une liste des modèles GPAI présentant un risque systémique (article 52, paragraphes 5 et 6).

Les modèles à risque systémique ont quatre obligations supplémentaires

Ces obligations s'ajoutent à celles des articles 53 et 54 (article 55, paragraphe 1). La documentation technique de ces modèles doit aussi décrire les stratégies d'évaluation et les résultats. Le cas échéant, elle ajoute les mesures de tests contradictoires et l'architecture du système (annexe XI, section 2).

Évaluer et tester le modèle

Évaluez le modèle avec des protocoles et des outils normalisés reflétant l'état de la technique. Cela inclut des tests contradictoires (attaquer volontairement le modèle pour trouver ses faiblesses) (article 55, paragraphe 1, point a)).

Évaluer et atténuer les risques systémiques

Évaluez et atténuez les risques systémiques possibles au niveau de l'Union, y compris leurs origines (article 55, paragraphe 1, point b)).

Signaler les incidents graves

Suivez les incidents graves, documentez-les avec les mesures correctives possibles et signalez-les sans retard injustifié au Bureau de l'IA et, le cas échéant, aux autorités nationales compétentes (article 55, paragraphe 1, point c)).

Protéger contre les cyberattaques

Assurez un niveau adéquat de protection en matière de cybersécurité pour le modèle et son infrastructure physique (article 55, paragraphe 1, point d)).

Les codes de bonne pratique peuvent démontrer la conformité jusqu'à l'existence d'une norme harmonisée

Les fournisseurs peuvent s'appuyer sur des codes de bonne pratique (article 56) pour démontrer qu'ils respectent l'article 55, jusqu'à la publication d'une norme harmonisée. Le respect des normes européennes harmonisées confère une présomption de conformité dans la mesure où ces normes couvrent ces obligations. Les fournisseurs qui n'adhèrent ni à un code de bonnes pratiques approuvé ni à une norme européenne harmonisée doivent démontrer d'autres moyens appropriés de conformité. La Commission les évalue (article 55, paragraphe 2). Les informations obtenues, y compris les secrets d'affaires, sont traitées de manière confidentielle (article 55, paragraphe 3). Prochaine étape : lisez le code de bonnes pratiques de l'IA à usage général de la Commission.

Les modèles open source n'échappent pas à l'article 55

La dispense open source de l'article 53, paragraphe 2, ne couvre pas les modèles présentant un risque systémique (article 53, paragraphe 2). Les fournisseurs de tels modèles établis hors de l'Union doivent aussi désigner un mandataire (article 54, paragraphe 6).

Certains usages échappent au règlement

Le règlement ne s'applique pas aux systèmes d'IA lorsque et dans la mesure où ils sont utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale. Cela vaut aussi pour leur mise sur le marché et leur mise en service à ces fins (article 2, paragraphe 3). Il ne s'applique pas aux systèmes ou modèles d'IA spécifiquement développés et mis en service dans le seul but de la recherche et du développement scientifiques (article 2, paragraphe 6). Il ne s'applique pas à la recherche, aux essais et au développement d'IA précédant la mise sur le marché ou en service (article 2, paragraphe 8). Les essais en conditions réelles ne sont pas couverts par cette exclusion.

Les obligations s'appliquent depuis le 2 août 2025 ; amendes au plus tôt à partir du 2 août 2026

L'article 113 applique le chapitre V (articles 51 à 56) à partir du 2 août 2025. Le chapitre XII sur les sanctions s'applique à partir de la même date. L'article 101, sur les amendes infligées aux fournisseurs de modèles GPAI, fait exception : il s'applique à partir du 2 août 2026 (article 113).

Les fournisseurs de modèles mis sur le marché avant le 2 août 2025 ont jusqu'au 2 août 2027 pour se conformer (article 111, paragraphe 3). La Commission ne peut pas sanctionner un manquement de ces modèles aux obligations avant le 2 août 2027 (article 101, paragraphe 1, point a)). Les amendes prévues à l'article 101, paragraphe 1, points b) à d), pour défaut de réponse à une demande d'informations, de suivi d'une mesure demandée ou d'accès pour une évaluation, s'appliquent à partir du 2 août 2026.

La Commission peut infliger à un fournisseur une amende allant jusqu'à 3 % de son chiffre d'affaires annuel mondial ou 15 millions d'EUR, le montant le plus élevé étant retenu. Base légale : article 101, paragraphe 1. Les amendes visent les comportements intentionnels ou par négligence. Sont visés le non-respect des dispositions pertinentes, le non-respect d'une mesure demandée et le refus de donner accès au modèle pour une évaluation. Sont aussi visés le défaut de réponse à une demande de documents ou d'informations et la fourniture d'informations inexactes, incomplètes ou trompeuses. Pour un modèle mis sur le marché avant le 2 août 2025, les obligations doivent être respectées d'ici le 2 août 2027 (article 111, paragraphe 3). Un manquement aux obligations de l'article 53 ne peut donc pas être sanctionné avant cette date pour un tel modèle. Les comportements visés à l'article 101, paragraphe 1, points b) à d), peuvent être sanctionnés dès le 2 août 2026. La Commission doit d'abord entendre le fournisseur (article 101, paragraphe 2). La Cour de justice de l'Union européenne peut annuler, réduire ou majorer l'amende (article 101, paragraphe 5).

Ce que Scanara fait pour les fournisseurs à risque systémique

Une évaluation guidée pour les fournisseurs GPAI

Scanara vous guide à travers les obligations des articles 53 à 55 pour votre modèle et enregistre vos réponses. C'est vous qui décidez quelles obligations s'appliquent, avec un conseil juridique si l'enjeu le justifie.

Documents de l'annexe XI, section sur le risque systémique incluse

Scanara génère la documentation de l'annexe XI à partir de modèles, en partie préremplie avec vos réponses. Vous fournissez les résultats d'évaluation et le contenu propre au modèle.

Documente vos tests, sans les exécuter

Scanara vous aide à documenter l'évaluation du modèle et les tests contradictoires. Elle ne les réalise pas et ne décide pas si votre modèle présente un risque systémique.

Questions fréquentes : seuil, sanctions, dates de début et open source

Mon modèle GPAI relève-t-il de l'article 55 ?

Oui, s'il présente un risque systémique. Première voie : la quantité cumulée de calcul utilisée pour l'entraînement dépasse le seuil de l'article 51, paragraphe 2, que le règlement traite comme une présomption de capacités à fort impact. Seconde voie : la Commission a désigné le modèle (article 51, paragraphe 1). Avec la notification, vous pouvez soutenir que le modèle, à titre exceptionnel, ne présente pas de risque systémique (article 52, paragraphe 2). La Commission tranche (article 52, paragraphe 3).

Que se passe-t-il si nous ne respectons pas ces obligations ?

Depuis le 2 août 2026, la Commission peut infliger des amendes aux fournisseurs. Elles peuvent atteindre 3 % du chiffre d'affaires mondial ou 15 millions d'EUR, le montant le plus élevé étant retenu (article 101, paragraphe 1). Les amendes visent les infractions intentionnelles ou par négligence. La Cour de justice de l'Union européenne peut annuler, réduire ou majorer l'amende (article 101, paragraphe 5).

À partir de quand ces obligations s'appliquent-elles ?

Depuis le 2 août 2025 pour les modèles mis sur le marché de l'UE à partir de cette date. Les modèles mis sur le marché avant le 2 août 2025 ont jusqu'au 2 août 2027 (article 111, paragraphe 3). L'article 55 s'applique avec l'article 53, qui a les mêmes dates.

Un modèle sous licence open source est-il dispensé ?

Non, pas en cas de risque systémique. La dispense open source ne couvre pas les modèles présentant un risque systémique (article 53, paragraphe 2). Les fournisseurs établis hors de l'Union doivent aussi désigner un mandataire (article 54, paragraphe 6).

Le détail des obligations connexes

Scanara prépare des preuves à partir de vos dépôts

Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.