Section 2
Partage d’informations sur les incidents graves
Article 73: Signalement d’incidents graves
1.
Les fournisseurs de systèmes d’IA à haut risquerisquela combinaison de la probabilité d’un préjudice et de la sévérité de celui-ciArticle 3(2) mis sur le marché de l’Union signalent tout incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) aux autorités de surveillance du marché des États membres dans lesquels cet incident s’est produit.
2.
Le signalement visé au paragraphe 1 est effectué immédiatement après que le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) a établi un lien de causalité, ou la probabilité raisonnable qu’un tel lien existe, entre le système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) et l’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) et, en tout état de cause, au plus tard 15 jours après que le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) ou, le cas échéant, le déployeurdéployeurune personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnelArticle 3(4) a eu connaissance de l’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49).
Le délai pour le signalement visé au premier alinéa tient compte de l’ampleur de l’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49).
3.
Nonobstant le paragraphe 2 du présent article, en cas d’infraction de grande ampleurinfraction de grande ampleurtout acte ou toute omission contraire au droit de l’Union en matière de protection des intérêts des personnes, qui:Article 3(61) ou d’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) au sens de l’article 3, point 49), b), le signalement visé au paragraphe 1 du présent article est effectué immédiatement, et au plus tard deux jours après que le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) ou, le cas échéant, le déployeurdéployeurune personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnelArticle 3(4) a eu connaissance de cet incident.
4.
Nonobstant le paragraphe 2, en cas de décès d’une personne, le signalement est effectué immédiatement après que le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) ou le déployeurdéployeurune personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnelArticle 3(4) a établi un lien de causalité entre le système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) à haut risquerisquela combinaison de la probabilité d’un préjudice et de la sévérité de celui-ciArticle 3(2) et l’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) ou dès qu’il soupçonne un tel lien, mais au plus tard 10 jours après la date à laquelle le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) ou, le cas échéant, le déployeurdéployeurune personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnelArticle 3(4) a eu connaissance de l’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49).
5.
Si cela est nécessaire pour assurer un signalement en temps utile, le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) ou, le cas échéant, le déployeurdéployeurune personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnelArticle 3(4) peut soumettre un signalement initial incomplet, suivi d’un signalement complet.
6.
À la suite du signalement d’un incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) en application du paragraphe 1, le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) mène sans tarder les investigations nécessaires liées à l’incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) et au système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) concerné. Ces investigations comprennent notamment une évaluation des risques résultant de l’incident, ainsi que des mesures correctives.
Le fournisseurfournisseurune personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuitArticle 3(3) coopère avec les autorités compétentes et, le cas échéant, avec l’organisme notifiéorganisme notifiéun organisme d’évaluation de la conformité notifié en application du présent règlement et d’autres actes législatifs d’harmonisation de l’Union pertinentsArticle 3(22) concerné, au cours des investigations visées au premier alinéa, et ne mène aucune investigation nécessitant de modifier le système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) concerné d’une manière susceptible d’avoir une incidence sur toute évaluation ultérieure des causes de l’incident, avant d’informer les autorités compétentes de telles mesures.
7.
Dès réception d’une notification relative à un incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49) visé à l’article 3, point 49) c), l’autorité de surveillance du marchéautorité de surveillance du marchél’autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020Article 3(26) compétente informe les autorités ou organismes publics nationaux visés à l’article 77, paragraphe 1. La Commission élabore des orientations spécifiques pour faciliter le respect des obligations énoncées au paragraphe 1 du présent article. Ces orientations sont publiées au plus tard le 2 août 2025, et font l’objet d’une évaluation régulière.
8.
L’autorité de surveillance du marchéautorité de surveillance du marchél’autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020Article 3(26) prend les mesures qui s’imposent, conformément à l’article 19 du règlement (UE) 2019/1020, dans un délai de sept jours à compter de la date à laquelle elle a reçu la notification visée au paragraphe 1 du présent article, et suit les procédures de notification prévues par ledit règlement.
9.
Pour les systèmes d’IA à haut risquerisquela combinaison de la probabilité d’un préjudice et de la sévérité de celui-ciArticle 3(2) visés à l’annexe III qui sont mis sur le marché ou mis en service par des fournisseurs qui sont soumis à des instruments législatifs de l’Union établissant des obligations de signalement équivalentes à celles énoncées dans le présent règlement, la notification des incidents graves est limitée à ceux visés à l’article 3, point 49) c).
10.
Pour les systèmes d’IA à haut risquerisquela combinaison de la probabilité d’un préjudice et de la sévérité de celui-ciArticle 3(2) qui sont des composants de sécurité de dispositifs, ou qui sont eux-mêmes des dispositifs, relevant des règlements (UE) 2017/745 et (UE) 2017/746, la notification des incidents graves est limitée à ceux qui sont visés à l’article 3, point 49) c), du présent règlement, et est adressée à l’autorité nationale compétenteautorité nationale compétenteune autorité notifianteautorité notifiantel’autorité nationale chargée de mettre en place et d’accomplir les procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité et à leur contrôleArticle 3(19) ou une autorité de surveillance du marché; en ce qui concerne les systèmes d’IA mis en service ou utilisés par les institutions, organes ou organismes de l’Union, les références aux autorités nationales compétentes ou aux autorités de surveillance du marché dans le présent règlement s’entendent comme une référence au Contrôleur européen de la protection des donnéesArticle 3(48) choisie à cette fin par les États membres dans lesquels l’incident s’est produit.
11.
Les autorités nationales compétentes notifient immédiatement à la Commission tout incident graveincident graveun incident ou dysfonctionnement d’un système d’IAsystème d’IAun système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuelsArticle 3(1) entraînant directement ou indirectement:Article 3(49), qu’elles aient ou non pris des mesures à cet égard, conformément à l’article 20 du règlement (UE) 2019/1020.