1. Introduction
La conformité fondée sur une évaluation du système de gestion de la qualité et une évaluation de la documentation technique est la procédure d'évaluation de la conformité basée sur les points 2 à 5.
2. Vue d'ensemble
Le système de gestion de la qualité approuvé pour la conception, le développement et les essais des systèmes d'IA conformément à l'article 17 est examiné conformément au point 3 et fait l'objet d'une surveillance conformément au point 5. La documentation technique du système d'IA est examinée conformément au point 4.
3. Système de gestion de la qualité
3.1. La demande du prestataire doit comprendre
(a) le nom et l'adresse du prestataire et, si la demande est introduite par un mandataire, le nom et l'adresse de ce dernier ;
(b) la liste des systèmes d'IA relevant du même système de gestion de la qualité ;
(c) la documentation technique relative à chaque système d'IA relevant du même système de gestion de la qualité ;
(d) la documentation relative au système de gestion de la qualité, qui couvre tous les aspects énumérés à l'article 17;
(e) une description des procédures mises en place pour garantir que le système de gestion de la qualité reste adéquat et efficace ;
(f) une déclaration écrite attestant que la même demande n'a pas été introduite auprès d'un autre organisme notifié.
3.2. Le système de gestion de la qualité est évalué par l'organisme notifié, qui détermine s'il satisfait aux exigences visées à l'article 17. La décision est notifiée au prestataire ou à son mandataire. La notification contient les conclusions de l'évaluation du système de gestion de la qualité et la décision d'évaluation motivée.
3.3. Le système de gestion de la qualité tel qu'il a été approuvé doit continuer à être mis en œuvre et entretenu par le prestataire afin qu'il reste adéquat et efficace.
3.4. Tout projet de modification du système de gestion de la qualité approuvé ou de la liste des systèmes d'IA couverts par celui-ci est porté à la connaissance de l'organisme notifié par le prestataire. Les modifications proposées sont examinées par l'organisme notifié qui décide si le système de gestion de la qualité modifié continue à satisfaire aux exigences visées au point 3.2 ou si une réévaluation est nécessaire. L'organisme notifié notifie sa décision au fournisseur. La notification contient les conclusions de l'examen des modifications et la décision d'évaluation motivée.
4. Contrôle de la documentation technique.
4.1. Outre la demande visée au point 3, une demande d'évaluation de la documentation technique relative au système d'IA que le fournisseur a l'intention de mettre sur le marché ou de mettre en service et qui est couvert par le système de gestion de la qualité visé au point 3 est introduite par le fournisseur auprès d'un organisme notifié de son choix.
4.2. La demande comprend
(a) le nom et l'adresse du prestataire ;
(b) une déclaration écrite attestant que la même demande n'a pas été introduite auprès d'un autre organisme notifié ;
(c) la documentation technique visée à l'annexe IV.
4.3. La documentation technique est examinée par l'organisme notifié. Le cas échéant, et dans la limite de ce qui est nécessaire à l'accomplissement de ses tâches, l'organisme notifié se voit accorder un accès complet aux ensembles de données de formation, de validation et d'essai utilisés, y compris, le cas échéant et sous réserve des garanties de sécurité, par l'intermédiaire d'API ou d'autres moyens et outils techniques pertinents permettant l'accès à distance.
4.4. Lors de l'examen de la documentation technique, l'organisme notifié peut demander au fournisseur de fournir des preuves supplémentaires ou d'effectuer des essais complémentaires afin de permettre une évaluation correcte de la conformité du système d'IA aux exigences énoncées au chapitre III, section 2. Lorsque l'organisme notifié n'est pas satisfait des essais effectués par le fournisseur, il effectue lui-même directement les essais adéquats, s'il y a lieu.
4.5. Lorsque cela est nécessaire pour évaluer la conformité du système d'IA à haut risque aux exigences énoncées au chapitre III, section 2, après que tous les autres moyens raisonnables de vérification de la conformité ont été épuisés et se sont révélés insuffisants, et sur demande motivée, l'organisme notifié se voit également accorder l'accès aux modèles de formation et d'entraînement du système d'IA, y compris à ses paramètres pertinents. Cet accès est soumis au droit de l'Union en vigueur en matière de protection de la propriété intellectuelle et des secrets commerciaux.
4.6. La décision de l'organisme notifié est notifiée au prestataire ou à son mandataire. La notification contient les conclusions de l'évaluation de la documentation technique et la décision d'évaluation motivée. Lorsque le système d'IA est conforme aux exigences énoncées au chapitre III, section 2, l'organisme notifié délivre une attestation d'évaluation de la documentation technique de l'Union. Le certificat indique le nom et l'adresse du fournisseur, les conclusions de l'examen, les conditions (éventuelles) de sa validité et les données nécessaires à l'identification du système d'IA. Le certificat et ses annexes contiennent toutes les informations utiles pour permettre l'évaluation de la conformité du système d'IA et, le cas échéant, le contrôle du système d'IA en cours d'utilisation. Lorsque le système d'IA n'est pas conforme aux exigences énoncées au chapitre III, section 2, l'organisme notifié refuse de délivrer une attestation d'évaluation de la documentation technique de l'Union et en informe le demandeur, en précisant les raisons de son refus. Lorsque le système d'IA ne satisfait pas à l'exigence relative aux données utilisées pour l'entraîner, une nouvelle formation du système d'IA est nécessaire avant la demande d'une nouvelle évaluation de la conformité. Dans ce cas, la décision d'évaluation motivée de l'organisme notifié refusant de délivrer le certificat d'évaluation de la documentation technique de l'Union contient des considérations spécifiques sur les données de qualité utilisées pour entraîner le système d'IA, en particulier sur les raisons de la non-conformité.
4.7. Toute modification du système d'IA susceptible d'affecter la conformité du système d'IA aux exigences ou sa destination est évaluée par l'organisme notifié qui a délivré l'attestation d'évaluation de la documentation technique de l'Union. Le fournisseur informe cet organisme notifié de son intention d'introduire l'une des modifications susmentionnées ou s'il a connaissance de l'existence de telles modifications. Les modifications envisagées sont évaluées par l'organisme notifié, qui décide si ces modifications nécessitent une nouvelle évaluation de la conformité conformément à l'article 43, paragraphe 4, ou si elles peuvent être traitées au moyen d'un complément à l'attestation d'évaluation de la documentation technique de l'Union. Dans ce dernier cas, l'organisme notifié évalue les modifications, notifie sa décision au fournisseur et, lorsque les modifications sont approuvées, délivre au fournisseur un complément à l'attestation d'évaluation de la documentation technique de l'Union.
5. Surveillance du système de gestion de la qualité approuvé.
5.1. Le but de la surveillance effectuée par l'organisme notifié visé au point 3 est de s'assurer que le prestataire respecte dûment les termes et conditions du système de gestion de la qualité approuvé.
5.2. Aux fins de l'évaluation, le fournisseur permet à l'organisme notifié d'accéder aux locaux où se déroulent la conception, le développement et les essais des systèmes d'IA. Le fournisseur partage en outre avec l'organisme notifié toutes les informations nécessaires.
5.3. L'organisme notifié effectue des audits périodiques pour s'assurer que le fournisseur maintient et applique le système de gestion de la qualité et fournit au fournisseur un rapport d'audit. Dans le cadre de ces audits, l'organisme notifié peut effectuer des essais complémentaires des systèmes d'IA pour lesquels un certificat d'évaluation de la documentation technique de l'Union a été délivré.