1. Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d'IA à haut risque.
2. Le système de gestion des risques s'entend comme un processus itératif continu, planifié et mis en œuvre tout au long du cycle de vie d'un système d'IA à haut risque, qui doit faire l'objet d'un examen et d'une mise à jour systématiques et réguliers. Il comprend les étapes suivantes :
(a) l'identification et l'analyse des risques connus et raisonnablement prévisibles que le système d'IA à haut risque peut présenter pour la santé, la sécurité ou les droits fondamentaux lorsque le système d'IA à haut risque est utilisé conformément à sa destination ;
(b) l'estimation et l'évaluation des risques susceptibles d'apparaître lorsque le système d'IA à haut risque est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisibles ;
(c) l'évaluation d'autres risques éventuels, sur la base de l'analyse des données recueillies dans le cadre du système de surveillance consécutive à la mise sur le marché visé à l'article 72;
(d) l'adoption de mesures de gestion des risques appropriées et ciblées, destinées à faire face aux risques identifiés conformément au point a).
3. Les risques visés au présent article ne concernent que ceux qui peuvent être raisonnablement atténués ou éliminés par le développement ou la conception du système d'IA à haut risque, ou par la fourniture d'informations techniques adéquates.
4. Les mesures de gestion des risques visées au paragraphe 2, point d), tiennent dûment compte des effets et de l'interaction possible résultant de l'application combinée des exigences énoncées dans la présente section, en vue de réduire les risques plus efficacement tout en réalisant un équilibre approprié dans la mise en œuvre des mesures destinées à satisfaire à ces exigences.
5. Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel associé à chaque danger, ainsi que le risque résiduel global des systèmes d'IA à haut risque, sont jugés acceptables. Lors de l'identification des mesures de gestion des risques les plus appropriées, il convient de veiller aux points suivants :
(a) l'élimination ou la réduction des risques identifiés et évalués conformément au paragraphe 2, dans la mesure où cela est techniquement possible, par une conception et un développement adéquats du système d'IA à haut risque ;
(b) le cas échéant, la mise en œuvre de mesures adéquates d'atténuation et de contrôle des risques qui ne peuvent être éliminés ;
(c) la fourniture des informations requises en vertu de l'article 13 et, le cas échéant, la formation des personnes chargées du déploiement. En vue d'éliminer ou de réduire les risques liés à l'utilisation du système d'IA à haut risque, il est dûment tenu compte des connaissances techniques, de l'expérience, de l'éducation, de la formation attendue du responsable du déploiement et du contexte présumé dans lequel le système est destiné à être utilisé.
6. Les systèmes d'IA à haut risque sont testés afin de déterminer les mesures de gestion des risques les plus appropriées et les plus ciblées. Les essais permettent de s'assurer que les systèmes d'IA à haut risque fonctionnent de manière cohérente pour l'usage auquel ils sont destinés et qu'ils sont conformes aux exigences énoncées dans la présente section.
7. Les procédures d'essai peuvent inclure des essais en conditions réelles conformément à l'article 60.
8. Les systèmes d'IA à haut risque sont testés, le cas échéant, à tout moment du processus de développement et, en tout état de cause, avant leur mise sur le marché ou leur mise en service. Les essais sont effectués en fonction de paramètres et de seuils probabilistes préalablement définis et adaptés à la finalité du système d'IA à haut risque.
9. Lors de la mise en œuvre du système de gestion des risques prévu aux paragraphes 1 à 7, les prestataires examinent si, compte tenu de l'objectif visé, le système d'IA à haut risque est susceptible d'avoir une incidence négative sur les personnes âgées de moins de 18 ans et, le cas échéant, sur d'autres groupes vulnérables.
10. Pour les fournisseurs de systèmes d'IA à haut risque qui sont soumis à des exigences concernant les processus de gestion interne des risques en vertu d'autres dispositions pertinentes du droit de l'Union, les aspects prévus aux paragraphes 1 à 9 peuvent faire partie des procédures de gestion des risques établies en vertu de ce droit ou être combinés à celles-ci.