Haut risque : exigences, évaluation de la conformité et marquage CE

Ces exigences s'adressent au fournisseur, mais elles intéressent aussi le déployeur : c'est sur elles que repose ce qu'il pourra demander à l'éditeur et ce que la notice devra lui dire.

Pour la sécurité des systèmes d'IA, notre article cybersécurité de l'IA : ce qu'exige l'AI Act détaille l'article 15 et les attaques qu'il vise.

L'article 17 impose au fournisseur un système de gestion de la qualité documenté par des politiques, procédures et instructions écrites. Il couvre notamment la stratégie de conformité, la conception et le développement, les tests et validations, les normes appliquées, la gestion des données, le système de gestion des risques, la surveillance après commercialisation, le signalement des incidents graves, la communication avec les autorités et un cadre de responsabilités. Sa mise en œuvre est proportionnée à la taille du fournisseur, en particulier pour les PME et les petites entreprises à moyenne capitalisation, sans baisser le niveau de protection.

Le fournisseur conserve pendant dix ans après la mise sur le marché ou en service la documentation technique, celle du système de gestion de la qualité, les décisions des organismes notifiés et la déclaration UE de conformité (article 18). Les organisations déjà certifiées ISO 42001 ou ISO 27001 disposent d'une base utile, mais ces certifications ne valent pas, à elles seules, conformité au règlement.

Avant la mise sur le marché, le fournisseur doit faire évaluer la conformité de son système. La procédure dépend du type de système :

Les normes harmonisées européennes, dont les références sont publiées au Journal officiel, donnent une présomption de conformité aux exigences qu'elles couvrent (article 40). Un système qui a déjà été évalué doit l'être de nouveau après toute modification substantielle, sauf pour les évolutions d'un système qui continue d'apprendre si elles avaient été prévues et documentées dès l'évaluation initiale.

• La déclaration UE de conformité (article 47) est un document écrit, signé par le fournisseur, qui atteste que le système respecte les exigences. Elle est tenue à la disposition des autorités pendant dix ans.
• Le marquage CE (article 48) est apposé de façon visible et lisible sur le système, sur son emballage ou sa documentation ; pour un système fourni sous forme numérique, un marquage CE numérique est prévu.
• L'enregistrement (article 49) se fait dans la base de données de l'Union avant la mise sur le marché, pour les systèmes de l'annexe III autres que les infrastructures critiques, enregistrées au niveau national. La plupart des informations y sont publiques (article 71), ce qui permet à un déployeur de vérifier qu'un système y figure.

Après la mise sur le marché, le fournisseur met en place une surveillance après commercialisation fondée sur un plan (article 72) et signale les incidents graves (article 73), objet du chapitre surveillance et sanctions.

Ces exigences s'appliquent à partir du 2 décembre 2027 pour les systèmes de l'annexe III et du 2 août 2028 pour ceux de l'annexe I (article 113 modifié par l'omnibus). L'article 111 prévoit une règle de transition : un système à haut risque mis sur le marché ou en service avant ces dates n'est soumis au règlement que s'il fait ensuite l'objet de modifications importantes de sa conception. Les systèmes à haut risque destinés aux autorités publiques doivent, eux, être mis en conformité au plus tard le 2 août 2030.

Ardent n'est pas fournisseur du logiciel de présélection : il n'a ni évaluation à mener ni marquage à apposer. Mais il doit pouvoir utiliser le système conformément à la notice et assurer le contrôle humain, ce qui suppose d'obtenir les bonnes informations. La DSI ajoute donc ces points au questionnaire fournisseur envoyé à l'éditeur.