5. Cybersécurité 5.3. Sécurité informatique et de l'information

Règlement  (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle (train de mesures omnibus numérique sur l’IA)

(Texte présentant de l'intérêt pour l'EEE)

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

• vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 114,
• vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

• vu l'avis de la Banque centrale européenne (1),
• vu l'avis du Comité économique et social européen (2),
• vu l'avis du Comité des régions (3),

statuant conformément à la procédure législative ordinaire (4),

considérant ce qui suit:

(1) Le règlement (UE) 2024/1689 du Parlement européen et du Conseil (5) établit des règles harmonisées concernant l'intelligence artificielle (IA) et vise à améliorer le fonctionnement du marché intérieur, à promouvoir l'adoption de l'IA axée sur l'humain et digne de confiance tout en garantissant un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux, et à soutenir l'innovation. Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. L'entrée en application de ses dispositions est échelonnée, étant entendu que toutes les règles entreront en application au plus tard le 2 août 2027.

(2) L'expérience acquise dans la mise en oeuvre des parties du règlement (UE) 2024/1689 qui s'appliquent déjà peut éclairer la mise en oeuvre des parties qui doivent encore entrer en application. Dans ce contexte, le retard pris dans l'élaboration des normes, qui apportent des solutions techniques aux fournisseurs de systèmes d'IA à haut risque afin de garantir le respect des obligations qui leur incombent en vertu dudit règlement, de même que le retard pris dans la mise en place des cadres de gouvernance et d'évaluation de la conformité au niveau national ont entraîné une charge de mise en conformité plus lourde que prévu. En outre, les consultations des parties prenantes ont révélé la nécessité d'adopter des mesures supplémentaires en vue de faciliter et de clarifier la mise en oeuvre et le respect des dispositions, sans réduire le niveau de protection de la santé, de la sécurité et des droits fondamentaux contre les risques liés à l'IA que les dispositions du règlement (UE) 2024/1689 visent à atteindre.

(3) Des modifications ciblées du règlement (UE) 2024/1689 sont nécessaires pour remédier à certains problèmes de mise en oeuvre, en vue de l'application effective, simple et uniforme des règles pertinentes.

(4) Afin de permettre l'innovation en matière d'IA dans les secteurs privé et public, il importe que la Commission et les autorités compétentes des États membres veillent à ce que la surveillance, l'application et le suivi des législations sectorielles et nationales ne donnent pas lieu à des chevauchements, à des interprétations incohérentes ou à des divergences sur le plan de l'exécution.

(5) Le règlement (UE) 2024/1689 établit des règles horizontales applicables aux systèmes d'IA afin de garantir un niveau cohérent et élevé de protection des intérêts publics en ce qui concerne la santé, la sécurité et les droits fondamentaux. Pour les systèmes d'IA à haut risque visés à l'article 6, paragraphe 1, ledit règlement s'applique en liaison avec la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A. Dans certains cas, il est possible que cette législation d'harmonisation de l'Union établisse des exigences qui assurent un degré de protection des intérêts publics pertinents identique ou supérieur à celui conféré par les exigences ou obligations spécifiques énoncées dans le règlement (UE) 2024/1689. Dans ce cas, il devrait être possible de limiter l'application d'exigences ou d'obligations spécifiques établies dans le règlement (UE) 2024/1689 afin de faciliter la mise en conformité et de réduire au minimum la charge administrative et les doubles emplois, tout en préservant le niveau de protection garanti par ledit règlement. Une telle limitation devrait être possible lorsque, et dans la mesure où, la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, établit des exigences prévoyant un niveau de protection de la santé, de la sécurité ou des droits fondamentaux équivalent à celui fourni par l'exigence ou l'obligation concernée. La Commission devrait être habilitée à adopter des actes délégués pour compléter ledit règlement en recensant ces cas et en précisant les produits concernés, les exigences ou obligations susceptibles d'être limitées, ainsi que les conditions et la portée de toute limitation, de manière à ne pas abaisser le niveau de protection prévu par le règlement (UE) 2024/1689.

(6) La plupart des entreprises de l'Union sont des petites et moyennes entreprises, dont la majorité sont des micro et petites entreprises. Les entreprises qui sortent du cadre de la définition des micro, petites et moyennes entreprises (PME), à savoir les «petites entreprises à moyenne capitalisation», jouent un rôle essentiel dans l'économie de l'Union. Par rapport aux PME, les petites entreprises à moyenne capitalisation ont tendance à faire preuve d'un rythme de croissance plus soutenu et d'une plus forte intensité d'innovation et de numérisation. Néanmoins, elles sont confrontées à des difficultés similaires à celles des PME en ce qui concerne la charge administrative, ce qui entraîne un besoin de proportionnalité dans la mise en oeuvre du règlement (UE) 2024/1689 et de soutien ciblé. Afin de permettre une transition harmonieuse des entreprises du statut de PME à celui de petites entreprises à moyenne capitalisation, il est important de remédier de manière cohérente à l'effet que la réglementation peut avoir sur leur activité une fois que ces entreprises deviennent de petites entreprises à moyenne capitalisation et sont confrontées à des règles qui s'appliquent aux grandes entreprises. Le règlement (UE) 2024/1689 prévoit plusieurs mesures pour les petits opérateurs, qui devraient être étendues aux petites entreprises à moyenne capitalisation le cas échéant, tout en préservant les objectifs généraux et le niveau de protection prévus par le règlement (UE) 2024/1689. Afin de clarifier le traitement des PME et des petites entreprises à moyenne capitalisation dans le règlement (UE) 2024/1689, il est nécessaire d'introduire des définitions de «PME» et «petites entreprises à moyenne capitalisation», qui devraient correspondre à la définition figurant, respectivement, à l'annexe de la recommandation 2003/361/CE de la Commission (6) et à l'annexe de la recommandation (UE) 2025/1099 de la Commission (7).

(7) La notion de «composant de sécurité» est cruciale pour la classification de certains systèmes d'IA comme étant à haut risque conformément au règlement (UE) 2024/1689. Par conséquent, cette notion devrait être ciblée de manière à n'inclure que les systèmes d'IA susceptibles d'avoir une incidence négative sur la santé et la sécurité des personnes ou des biens, conformément à l'approche fondée sur les risques dudit règlement. La définition énoncée à l'article 3, point 14), du règlement (UE) 2024/1689 n'apporte pas la clarté nécessaire pour permettre aux fournisseurs de systèmes d'IA de déterminer si un système d'IA peut être considéré comme un composant de sécurité et, partant, risque d'étendre la classification des systèmes d'IA à haut risque au-delà de ce qui est justifié par l'approche fondée sur les risques dudit règlement. Il est donc indispensable de modifier cette définition. Premièrement, il est nécessaire de clarifier la notion de «fonction de sécurité». La fonction de sécurité devrait être une destination du système, laquelle est déterminée par le fournisseur de celui-ci. Un système d'IA remplit une fonction de sécurité lorsque sa destination, telle qu'elle est déterminée par le fournisseur, consiste à prévenir ou atténuer les risques pour la santé et la sécurité des personnes ou des biens. En particulier, cela ne comprend pas les systèmes d'IA destinés à remplir uniquement des fonctions liées à l'assistance aux utilisateurs, à l'optimisation des performances, à l'efficacité des services, à l'automatisation, à la commodité ou à des aspects non liés à la sécurité pour les opérations de contrôle de la qualité. Le simple fait qu'un système d'IA soit intégré à un produit soumis à la législation d'harmonisation de l'Union ou qu'il fonctionne à l'intérieur de celui-ci ne signifie pas, en soi, qu'il remplit une fonction de sécurité.

(8) L'article 4 du règlement (UE) 2024/1689 impose actuellement à tous les fournisseurs et déployeurs de systèmes d'IA l'obligation de garantir la maîtrise de l'IA par leur personnel. Le développement de la maîtrise de l'IA dès l'éducation et la formation, puis dans le cadre de l'apprentissage tout au long de la vie, est essentiel pour doter les fournisseurs, les déployeurs et les autres personnes concernées des compétences nécessaires pour prendre des décisions éclairées en ce qui concerne le déploiement des systèmes d'IA. Toutefois, l'expérience partagée par les parties prenantes révèle qu'une solution imposant des obligations strictes pour garantir un niveau suffisant de maîtrise de l'IA ne serait pas adaptée à tous les types de fournisseurs et de déployeurs pour ce qui est de la promotion de la maîtrise de l'IA. En outre, les données indiquent que l'imposition de telles obligations crée une charge de mise en conformité supplémentaire, en particulier pour les petites entreprises, alors que la maîtrise de l'IA devrait être une priorité stratégique, indépendamment des obligations réglementaires et des sanctions potentielles. À la lumière de ces informations, il convient de modifier l'article 4 du règlement (UE) 2024/1689 afin d'exiger des fournisseurs et des déployeurs qu'ils prennent des mesures pour soutenir le développement de la maîtrise de l'IA de la part de leur personnel et des autres personnes chargées de l'exploitation et de l'utilisation des systèmes d'IA en leur nom. La Commission et les États membres devraient soutenir et faciliter les efforts des fournisseurs et des déployeurs de systèmes d'IA, y compris en leur offrant des possibilités de formation, en leur fournissant des ressources d'information et en permettant l'échange de bonnes pratiques et d'autres initiatives. Lorsqu'ils se conforment à cette obligation, la Commission et les États membres pourraient tenir compte des cadres européens de compétences, par exemple le cadre des compétences numériques pour les citoyens (DigComp) et le cadre pour la maîtrise de l'IA dans l'enseignement primaire et secondaire. Le Comité européen de l'intelligence artificielle (ci-après dénommé «Comité IA») devrait soutenir la Commission et les États membres au moyen de recommandations définissant des objectifs communs à atteindre en vue de satisfaire à leurs obligations, et assurer des échanges réguliers entre la Commission et les États membres sur ce sujet, tandis que l'Alliance pour l'application de l'IA devrait permettre des discussions avec la communauté au sens large.

(9) La détection et la correction des biais constituent un intérêt public important car elles protègent les personnes physiques contre les effets néfastes des biais, y compris la discrimination. C'est pourquoi le règlement (UE) 2024/1689 prévoit une base juridique autorisant les fournisseurs de systèmes d'IA à haut risque à traiter des catégories particulières de données à caractère personnel dans certains cas exceptionnels et sous réserve de garanties strictes. Cette base juridique est liée à l'obligation, pour ces fournisseurs, de mettre en place des pratiques relatives à la détection, à la prévention et à la correction des biais susceptibles de nuire à la santé et à la sécurité des personnes, d'avoir une incidence négative sur les droits fondamentaux ou d'entraîner une discrimination interdite par le droit de l'Union. Néanmoins, les biais susceptibles de provoquer ces effets pourraient également résulter des actions des déployeurs de systèmes d'IA à haut risque. En outre, de tels biais pourraient aussi survenir dans le cas d'autres systèmes ou modèles d'IA. Par exemple, les biais dans les outils d'éligibilité ou de calcul du risque utilisés pour évaluer les demandes d'octroi de différents types de licences ou permis publics peuvent restreindre les droits ou empêcher effectivement certains groupes d'accéder aux services publics. Dès lors, il existe un intérêt public important à autoriser, à titre exceptionnel et lorsque cela est strictement nécessaire, le traitement de catégories particulières de données à caractère personnel à des fins de détection et de correction des biais par les fournisseurs et les déployeurs d'autres systèmes et modèles d'IA ainsi que par les déployeurs de systèmes d'IA à haut risque. Il est donc nécessaire d'étendre la base juridique établie en vertu du règlement (UE) 2024/1689 à ces fournisseurs et déployeurs. Cette base juridique devrait être soumise aux mêmes limitations, conditions et garanties que celles qui s'appliquent conformément à l'article 10, paragraphe 5, dudit règlement, afin d'assurer le respect de l'article 9, paragraphe 2, point g), du règlement (UE) 2016/679 du Parlement européen et du Conseil (8), de l'article 10, paragraphe 2, point g), du règlement (UE) 2018/1725 du Parlement européen et du Conseil (9) et de l'article 10, point a), de la directive (UE) 2016/680 du Parlement européen et du Conseil (10). En outre, afin de permettre aux fournisseurs de systèmes d'IA à haut risque de mener légalement des activités de détection et de correction des biais en vue de préparer leur mise en conformité avec les exigences relatives aux systèmes d'IA à haut risque, y compris l'article 10, paragraphe 2, points f) et g), du règlement (UE) 2024/1689, la base juridique établie par l'article 4 bis du règlement (UE) 2024/1689 devrait s'appliquer à compter de la date d'entrée en application dudit règlement.

(10) L'article 5 du règlement (UE) 2024/1689 interdit certaines pratiques de systèmes d'IA qui sont particulièrement néfastes et abusives, contredisent certaines valeurs de l'Union et violent certains droits fondamentaux. L'article 5 doit être régulièrement réexaminé, comme énoncé à l'article 112, paragraphe 1, dudit règlement. Compte tenu des évolutions technologiques et sociétales intervenues depuis l'adoption dudit règlement, y compris le déploiement et l'utilisation généralisée de systèmes d'IA générant des images, des vidéos, des contenus audio ou du matériel similaire à caractère intime non consentis (ci-après dénommé «matériel intime non consenti») et du matériel relatif à des abus sexuels sur enfants, il est nécessaire de modifier l'article 5 dudit règlement.

(11) Le matériel intime non consenti constitue des violences et abus sexuels commis contre des personnes, en particulier des femmes. Les systèmes d'IA qui génèrent ou manipulent ce type de matériel posent un risque grave pour la santé, la sécurité et les droits fondamentaux, y compris la dignité humaine, l'autonomie personnelle, l'intégrité et la vie privée des victimes, avec des préjudices psychologiques et d'autres atteintes potentiellement graves et durables, et permettent des abus à grande échelle. Compte tenu de la prolifération de ces technologies, souvent décrites comme des applications de «déshabillage», il est devenu urgent de les interdire explicitement au moyen de dispositions réglementaires. Le matériel relatif à des abus sexuels sur enfants, y compris le matériel totalement ou en partie artificiel, constitue une menace grave pour la sécurité et les droits fondamentaux des enfants. Les systèmes d'IA qui génèrent ou manipulent ce type de matériel présentent un risque grave pour la dignité humaine et les droits de l'enfant, et risquent de normaliser, d'amplifier et de perpétuer la violence sexuelle à l'égard des enfants. En conséquence, il est nécessaire de modifier l'article 5 du règlement (UE) 2024/1689 à la fois pour protéger les femmes, les enfants, les autres personnes et la société contre les pratiques gravement préjudiciables, conformément aux objectifs dudit règlement, et pour apporter aux fournisseurs et aux déployeurs de la clarté quant à la portée de leurs obligations, de manière à résoudre les problèmes de mise en oeuvre.

(12) Il est nécessaire de définir clairement la portée de l'interdiction, en particulier l'étendue des obligations incombant aux fournisseurs et aux déployeurs. Cette interdiction ne devrait pas empêcher les fournisseurs de développer les capacités techniques des systèmes d'IA à générer ou à manipuler des images, des vidéos, des contenus audio ou du matériel similaire. En ce qui concerne les fournisseurs, l'interdiction devrait être limitée à la mise sur le marché ou à la mise en service de systèmes d'IA qui génèrent ou manipulent du matériel intime non consenti ou du matériel relatif à des abus sexuels sur enfants dans deux cas. Premièrement, elle devrait couvrir les systèmes destinés à générer ou à manipuler ce type de matériel. Deuxièmement, elle devrait couvrir les systèmes pour lesquels cette production ou manipulation est un résultat raisonnablement prévisible et reproductible et pour lesquels il n'existe pas de mesures techniques de sécurité raisonnables et adéquates ni d'autres garanties, prenant en compte une mauvaise utilisation raisonnablement prévisible, en vue d'empêcher de manière fiable et, si nécessaire, de corriger ce résultat, ainsi que de corriger la mauvaise utilisation observée ou signalée, y compris le contournement de ces mesures. Les mesures techniques et autres garanties visant à empêcher la production de ce type de matériel pourraient comprendre le nettoyage des données, l'entraînement au refus, la conception sécurisée des invites et des contrôles des réponses générées, des garde-fous concernant les invites d'exécution, des mécanismes de classification et de filtrage des contenus, des restrictions d'utilisation, des dispositifs de détection des abus ainsi que des mécanismes de notification et d'action. Ces mesures préventives devraient être raisonnables pour le système d'IA visé et sont considérées comme adéquates si elles s'alignent sur les mesures les plus avancés et empêchent de façon manifeste ou réduisent suffisamment, dans chaque cas spécifique, le risque de production ou de manipulation de ce type de matériel, en tenant compte de la mauvaise utilisation connue et raisonnablement prévisible, y compris le contournement raisonnablement prévisible des mesures préventives sans modification technique importante. Pour les fournisseurs qui conservent un contrôle effectif sur les systèmes d'IA, par exemple au moyen d'une plateforme ou d'une interface internet, cela pourrait inclure des méthodes de suivi et de signalement des cas d'utilisation abusive, dans le plein respect de la législation de l'Union en matière de protection de la vie privée et des données. En cas de contournement observé ou signalé des mesures préventives ou d'autres garanties, des mesures correctives adéquates devraient être prises, pour autant qu'elles soient raisonnables et qu'elles tiennent compte du système d'IA visé, y compris de sa stratégie de diffusion et de distribution (par exemple les versions à code source ouvert). En ce qui concerne les déployeurs, l'utilisation d'un système d'IA ne devrait être interdite que lorsque le déployeur s'en sert pour générer ou manipuler du matériel intime non consenti ou du matériel relatif à des abus sexuels sur enfants. Cela comprend les cas où un déployeur utilise ou détourne des systèmes d'IA mis sur le marché ou mis en service sans mesures préventives raisonnables et adéquates, ou lorsqu'un déployeur contourne les mesures préventives ou fait un usage abusif d'une IA licite pour générer ou manipuler ce type de matériel. L'interdiction d'utilisation ne couvre donc pas le recours à un système d'IA à des fins licites, telles que la production ou la manipulation de matériel autre que du matériel intime non consenti ou du matériel relatif à des abus sexuels sur enfants, même dans les cas où le système d'IA ne dispose pas des garanties raisonnables et adéquates que le fournisseur aurait dû mettre en place; elle ne couvre pas non plus la production ou la manipulation accidentelles de tels contenus. Pour ce qui est de l'interdiction relative au matériel intime non consenti, lorsqu'un système d'IA est destiné à la production ou à la manipulation de matériel relevant de cette interdiction, des mesures et autres garanties devraient inclure des moyens adaptés à la distribution du système d'IA, permettant de recueillir et de prouver avec fiabilité le consentement de la personne représentée à cette production ou manipulation, conformément au règlement (UE) 2016/679. L'interdiction concernant le matériel intime non consenti devrait être limitée aux représentations réalistes de parties intimes, notamment les organes génitaux, la zone pubienne, l'anus, les fesses dénudées ou les seins, mamelons ou aréoles de femme dénudés, ou d'activités sexuellement explicites. Ce «réalisme» désigne la représentation du visage, de la voix ou du corps d'une personne de façon crédible et réelle, indépendamment du réalisme du contexte de cette représentation pour la question de savoir si celle-ci correspond pleinement à la vraie voix ou à l'apparence réelle de la personne représentée. À l'inverse, sont exclues les représentations caricaturales ou physiquement impossibles du corps d'une personne. L'interdiction du matériel intime non consenti ne concerne pas la production ou la manipulation d'autres formes de contenus de nudité, comme le matériel qui ne représente pas des personnes physiques identifiables, les représentations réalistes partiellement dénudées dans lesquelles les parties intimes ne sont pas dévoilées et où ne figurent pas d'activités sexuellement explicites, ou encore les nus artistiques non réalistes qui ne représentent pas de façon réaliste des personnes physiques identifiables se livrant à des activités sexuellement explicites, ni leurs parties intimes. Elle ne couvre pas non plus les applications d'IA générative dans lesquelles les parties intimes ne sont pas dénudées, ou le sont sous réserve du consentement libre, spécifique, éclairé, univoque et explicite de la personne représentée (par exemple, les applications d'essayage virtuel et les applications médicales, telles que celles de simulation anatomique et de mammographie); cette interdiction n'exclut pas l'utilisation exceptionnelle de systèmes d'IA générant ou manipulant des représentations dénudées des parties intimes d'une personne identifiable, conformément au droit en matière de droits fondamentaux, y compris le droit en matière de protection des données, et au droit médical applicable, à des fins de diagnostic et de traitement médicaux par des professionnels de la santé lorsque la personne concernée n'est pas en mesure de donner son consentement (par exemple, dans une situation d'urgence). Enfin, l'interdiction de «manipuler» du matériel intime non consenti exclut les cas où le matériel intime préexistant est manipulé d'une manière qui n'augmente pas l'exposition des parties intimes représentées ni ne modifie la nature des activités sexuellement explicites représentées, par exemple la simple amélioration d'une image existante représentant des parties intimes ou d'une vidéo montrant des activités sexuellement explicites, telle que la modification du fond, l'ajout d'un titre ou l'amélioration du contraste ou de la luminosité. À l'inverse, toute manipulation de matériel, y compris de matériel représentant déjà des parties intimes ou des activités sexuellement explicites, qui augmente le niveau d'exposition des parties intimes représentées ou modifie la nature des activités sexuellement explicites représentées, relève du champ d'application de cette interdiction.

(13) L'interdiction du matériel relatif à des abus sexuels sur enfants ne devrait pas empêcher la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA lorsqu'une défense «sans droit» s'applique en vertu du droit national, comme indiqué à l'article 5, paragraphe 1, de la directive 2011/93/UE du Parlement européen et du Conseil (11). Cela comprend les activités menées dans le cadre de compétences légales nationales, telles que la production ou la manipulation légitimes de matériel relatif à des abus sexuels sur enfants par les autorités à des fins de poursuites pénales ou de prévention, de détection ou d'enquête pénale, ainsi que l'utilisation légitime du système d'IA dans le contexte d'activités d'évaluation ou relevant de la méthode de l'équipe rouge dans le but de vérifier si le système respecte l'interdiction énoncée dans le présent règlement.

(14) Ces interdictions constituent des atteintes justifiées à la liberté d'expression et d'information et à la liberté d'entreprise. Elles poursuivent des objectifs d'intérêt général et protègent les droits et libertés d'autrui, y compris ceux énoncés à l'article 1er, à l'article 3, paragraphe 1, et aux articles 4, 7, 8, 21, 23 et 24 de la Charte des droits fondamentaux de l'Union européenne (ci-après dénommée «Charte»). Elles sont particulièrement ciblées. Pour ce qui est du matériel intime, elles se limitent aux représentations réalistes de personnes physiques identifiables et aux cas où le système d'IA est utilisé pour augmenter le niveau de nudité ou d'explicitation, et elles excluent la production ou la manipulation réalisée avec le consentement de la personne concernée. En outre, elles se limitent à exiger des fournisseurs qu'ils mettent en place des mesures et des garanties «raisonnables et adéquates» dans le cas de systèmes qui ne sont pas destinés à générer ou à manipuler le matériel interdit. Elles sont également alignées sur le droit de l'Union en vigueur, notamment la directive 2011/93/UE et la directive (UE) 2024/1385 du Parlement européen et du Conseil (12). Les ingérences respectent l'essence des articles 11 et 16 de la Charte, elles sont prévues par la loi et proportionnées.

(15) Les comportements visés par ces interdictions peuvent également violer d'autres lois, dont le droit pénal. Les interdictions n'empêchent pas l'exercice de poursuites en vertu de ces lois. Toutefois, dans la mesure où une violation des interdictions peut entraîner l'imposition de sanctions de nature pénale, qui peuvent être prévues en vertu de l'article 99, paragraphe 1, du règlement (UE) 2024/1689, et dans la mesure où le même comportement est sanctionné au titre du droit pénal, y compris le droit pénal relevant du champ d'application des directives 2011/93/UE et (UE) 2024/1385, les États membres sont tenus de garantir le respect du principe non bis in idem, conformément à la Charte.

(16) Les interdictions sont sans préjudice des voies de recours dont disposent les personnes au titre des droits nationaux afin de protéger leurs droits fondamentaux, notamment leurs droits à l'image, au respect de la vie privée et à la dignité humaine.

(17) Afin de garantir la cohérence, d'éviter les doubles emplois et de réduire au minimum les charges administratives liées à la procédure de désignation des organismes notifiés en vertu du règlement (UE) 2024/1689, tout en maintenant le même niveau d'examen, une demande unique et une procédure d'évaluation unifiée devraient être disponibles pour les nouveaux organismes d'évaluation de la conformité et organismes notifiés qui sont désignés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, du règlement (UE) 2024/1689, par exemple les règlements (UE) 2017/745 (13) et (UE) 2017/746 (14) du Parlement européen et du Conseil, lorsqu'une telle demande et une telle procédure est établie en vertu de ladite législation d'harmonisation de l'Union. La procédure unique de demande et d'évaluation unifiée vise à faciliter, soutenir et accélérer la procédure de désignation conformément au règlement (UE) 2024/1689, tout en garantissant le respect des exigences applicables aux organismes notifiés conformément audit règlement et de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, dudit règlement. La procédure d'évaluation unifiée devrait être appliquée en ce qui concerne les tâches et les responsabilités des autorités concernées. En outre, il convient de préciser qu'un organisme d'évaluation de la conformité qui est désigné en vertu de plus d'un acte de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, ne devrait présenter qu'une seule demande de désignation en vertu du présent règlement.

(18) Afin d'assurer la bonne application et la cohérence du règlement (UE) 2024/1689, il convient d'y apporter des modifications. Il convient d'effectuer une correction technique à l'article 43, paragraphe 3, premier alinéa, du règlement (UE) 2024/1689 afin d'aligner les exigences en matière d'évaluation de la conformité sur les exigences des fournisseurs de systèmes d'IA à haut risque énoncées à l'article 16 dudit règlement. En outre, il convient de préciser que, lorsqu'un fournisseur d'un système d'IA à haut risque est soumis à la procédure d'évaluation de la conformité au titre de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, du règlement (UE) 2024/1689, et que l'évaluation de la conformité s'étend à la conformité du système de gestion de la qualité dudit règlement et de ladite législation d'harmonisation de l'Union, le fournisseur devrait pouvoir inclure les aspects liés aux systèmes de gestion de la qualité au titre dudit règlement dans le cadre des systèmes de gestion de la qualité au titre de cette législation d'harmonisation de l'Union, conformément à l'article 17, paragraphe 3, du règlement (UE) 2024/1689. L'article 43, paragraphe 3, deuxième alinéa, dudit règlement devrait être modifié afin de préciser que les organismes notifiés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, du règlement (UE) 2024/1689 qui entendent évaluer les systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, dudit règlement devraient être habilités à évaluer la conformité des systèmes d'IA à haut risque sous certaines conditions dans un délai de 18 mois à compter du 27 juillet 2026. Cette modification est sans préjudice de l'article 28 du règlement (UE) 2024/1689, de sorte que les organismes d'évaluation de la conformité qui souhaitent être désignés et notifiés en vertu dudit règlement peuvent présenter une demande à tout moment pendant et après ces 18 mois. En outre, le règlement (UE) 2024/1689 devrait être modifié afin de préciser que lorsqu'un système d'IA à haut risque est couvert par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, du règlement (UE) 2024/1689 et, parallèlement, relève de l'un des cas d'utilisation énumérés à l'annexe III dudit règlement, le fournisseur devrait suivre la procédure d'évaluation de la conformité pertinente requise par cette législation d'harmonisation applicable.

(19) Le règlement (UE) 2024/1689 et le règlement (UE) 2024/2847 du Parlement européen et du Conseil (15) se complètent mutuellement de manière à garantir la sécurité et la cybersécurité des produits comportant des éléments numériques. L'article 12 du règlement (UE) 2024/2847 dispose que, lorsque des systèmes d'IA à haut risque et les processus mis en place par les fabricants sont conformes aux exigences essentielles de cybersécurité énoncées dans le règlement (UE) 2024/2847, ils devraient être réputés conformes aux exigences de cybersécurité énoncées à l'article 15 du règlement (UE) 2024/1689, dans la mesure où ces exigences sont couvertes par la déclaration UE de conformité, ou par certaines parties de celle-ci, délivrée en vertu du règlement (UE) 2024/2847. Afin d'améliorer la visibilité de l'interaction entre le règlement (UE) 2024/1689 et le règlement (UE) 2024/2847, la règle énoncée à l'article 12 du règlement (UE) 2024/2847 devrait également être prise en compte dans le règlement (UE) 2024/1689. L'interaction entre ces deux instruments ne devrait pas être affectée.

(20) Conformément à l'article 6, paragraphe 1, du règlement (UE) 2024/1689, un système d'IA est classé comme étant à haut risque lorsqu'il constitue un composant de sécurité d'un produit couvert par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, dudit règlement et que ce produit est soumis à une évaluation de la conformité par un tiers. L'exigence selon laquelle un tel produit doit faire l'objet d'une évaluation de la conformité par un tiers n'influe toutefois pas sur le choix du fabricant quant à la procédure d'évaluation de la conformité de ce produit. Lorsque la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, permet de choisir, parmi les procédures d'évaluation de la conformité, une procédure fondée sur des normes harmonisées, cette possibilité reste également applicable aux produits dans lesquels un système d'IA à haut risque est intégré. L'article 6, paragraphe 1, du règlement (UE) 2024/1689 ne devrait pas être interprété comme exigeant que les produits dans lesquels un système d'IA à haut risque est intégré soient automatiquement soumis à une évaluation de la conformité par un tiers faisant intervenir un organisme notifié. Lorsque cette possibilité est prévue dans la législation d'harmonisation de l'Union, le fournisseur du produit dans lequel le système d'IA à haut risque est intégré pourrait continuer à s'appuyer sur des normes harmonisées pour se conformer aux exigences de la législation d'harmonisation de l'Union et du règlement (UE) 2024/1689 en tant que procédure d'évaluation de la conformité.

(21) Afin de renforcer la compétitivité et l'innovation, il est essentiel de soutenir les opérateurs économiques qui sont tenus de se conformer simultanément aux exigences ou obligations énoncées au chapitre III, sections 2 et 3, du règlement (UE) 2024/1689, ainsi qu'aux exigences et obligations pertinentes établies dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement. En vue de soutenir et de simplifier les parcours de mise en conformité réglementaire de ces opérateurs économiques, la Commission devrait demander, sans retard injustifié, aux organisations européennes de normalisation d'élaborer des publications en matière de normalisation, y compris, le cas échéant, des normes harmonisées. Ces publications en matière de normalisation devraient être fondées sur les normes harmonisées publiées au Journal officiel de l'Union européenne qui confèrent la présomption de conformité aux exigences ou obligations du règlement (UE) 2024/1689, ainsi que sur toute norme harmonisée pertinente publiée au Journal officiel de l'Union européenne qui confère la présomption de conformité aux exigences ou obligations pertinentes énoncées dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement. Lesdites publications en matière de normalisation devraient contribuer à réduire l'insécurité juridique, à éviter la duplication inutile des activités d'évaluation de la conformité et des obligations en matière d'essais, de documentation et de signalement, ainsi qu'à abaisser les coûts de mise en conformité, en particulier pour les petites et moyennes entreprises et les jeunes pousses. L'élaboration en temps utile de ces publications est essentielle pour fournir aux opérateurs économiques des solutions techniques pratiques et fiables, renforcer la sécurité juridique et faciliter la mise sur le marché, la mise en service et l'utilisation des systèmes d'IA conformément au présent règlement et à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement.

(22) Afin de rationaliser la conformité et de réduire les coûts associés, l'enregistrement des systèmes d'IA visés à l'article 6, paragraphe 3, du règlement (UE) 2024/1689 dans la base de données de l'UE conformément à l'article 49, paragraphe 2, dudit règlement devrait être simplifié moyennant la rationalisation du contenu requis au titre de l'annexe VIII dudit règlement. Si l'enregistrement de ces systèmes d'IA dans la base de données de l'UE demeure indispensable à une surveillance efficace du marché et à une responsabilité publique effective, il convient de simplifier les exigences en la matière et de les rendre plus proportionnées. Cette simplification permettrait de trouver un meilleur équilibre sans porter atteinte à la protection prévue par le règlement (UE) 2024/1689. De tels systèmes d'IA ne sont pas considérés comme étant à haut risque dans certaines conditions dès lors qu'ils ne présentent pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes. En outre, un fournisseur qui applique l'article 6, paragraphe 3, du règlement (UE) 2024/1689 reste tenu de documenter son évaluation avant que ce système d'IA ne soit mis sur le marché ou mis en service. Les autorités nationales compétentes devraient pouvoir demander cette évaluation.

(23) Il convient de modifier les articles 57, 58 et 60 du règlement (UE) 2024/1689 afin de renforcer la coopération au niveau de l'Union en ce qui concerne les bacs à sable réglementaires de l'IA, de favoriser la clarté et la cohérence de la gouvernance des bacs à sable réglementaires de l'IA et d'étendre le champ d'application des tests en conditions réelles en dehors des bacs à sable réglementaires de l'IA aux systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement. En particulier, afin de permettre une simplification des procédures, le cas échéant, dans les projets supervisés dans les bacs à sable réglementaires de l'IA qui comprennent également des essais en conditions réelles, le plan d'essais en conditions réelles devrait être intégré dans le plan de bac à sable approuvé par les fournisseurs ou fournisseurs potentiels et l'autorité compétente.

(24) En outre, il convient de prévoir la possibilité pour le Bureau européen de l'intelligence artificielle (ci-après dénommé «Bureau de l'IA») de mettre en place un bac à sable réglementaire de l'IA au niveau de l'Union pour les systèmes d'IA qui relèvent de l'article 75, paragraphe 1, du règlement (UE) 2024/1689. Pour garantir la cohérence, la sécurité juridique et une répartition efficace des responsabilités en matière de surveillance entre le niveau de l'Union et le niveau national, le champ d'application du bac à sable réglementaire de l'IA au niveau de l'Union devrait être clairement défini afin d'éviter tout chevauchement avec les bacs à sable réglementaires nationaux de l'IA établis en vertu dudit règlement. En vue de favoriser l'innovation et de faciliter l'adoption de l'IA, les PME, y compris les jeunes pousses, et les petites entreprises à moyenne capitalisation devraient bénéficier d'un accès prioritaire aux bacs à sable réglementaires de l'IA établis par le Bureau de l'IA.

(25) En outre, il convient de clarifier les dispositions relatives à la coopération entre les autorités compétentes concernées quant à l'exploitation d'un bac à sable réglementaire de l'IA afin de garantir leur bon fonctionnement. C'est pourquoi il y a lieu d'étendre l'habilitation de la Commission à adopter des actes d'exécution précisant les modalités détaillées de mise en place, de développement, de mise en oeuvre, d'exploitation et de surveillance des bacs à sable réglementaires de l'IA de sorte qu'elle couvre également les aspects liés à la gouvernance de ces bacs à sable. De plus, lorsque des bacs à sable réglementaires de l'IA font intervenir des systèmes d'IA innovants qui traitent des données à caractère personnel ou relèvent à d'autres titres de la surveillance d'autres autorités nationales ou autorités compétentes assurant ou encadrant l'accès aux données, les autorités de surveillance compétentes concernées devraient être associées à l'exploitation du bac à sable réglementaire de l'IA et participer au contrôle des aspects qui relèvent de leurs tâches et pouvoirs respectifs.

(26) Afin de favoriser l'innovation, il convient également d'étendre le champ d'application des essais en conditions réelles en dehors des bacs à sable réglementaires de l'IA visés à l'article 60 du règlement (UE) 2024/1689, actuellement applicables aux systèmes d'IA à haut risque énumérés à l'annexe III dudit règlement, et de permettre aux fournisseurs et fournisseurs potentiels de systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement de tester également ces systèmes en conditions réelles, sous réserve de garanties suffisantes. Ceci est sans préjudice du droit de l'Union ou du droit national relatif aux essais en conditions réelles de systèmes d'IA à haut risque liés aux produits qui relèvent de la législation d'harmonisation de l'Union.

(27) Il convient également de veiller à ce qu'il soit possible de réaliser des essais en conditions réelles des systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, du règlement (UE) 2024/1689. Ces systèmes sont soumis aux exigences et procédures prévues par la législation sectorielle applicable et ne relèvent généralement pas directement dudit règlement. Ces actes sectoriels intégreront, en temps utile, des exigences correspondant à celles énoncées aux articles 8 à 15 dudit règlement. Il convient donc de veiller à ce que les États membres puissent autoriser des essais en conditions réelles de ces systèmes d'IA pour évaluer et vérifier la conformité de ces systèmes avec les exigences énoncées aux articles 8 à 15 du règlement. Si les États membres décident d'autoriser ces essais, ledit règlement devrait leur imposer d'adopter des cadres fixant les exigences détaillées applicables à ces essais. Ledit règlement devrait préciser les principaux éléments de tels cadres. Lors de la conception de ces cadres, les États membres devraient garantir un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux des personnes physiques. Avant de mettre le cadre en oeuvre, les États membres devraient le notifier à la Commission. Les essais en conditions réelles devraient être conformes à la législation d'harmonisation de l'Union applicable dont la liste figure à l'annexe I, section B, du règlement (UE) 2024/1689, y compris toute disposition applicable en matière d'essais. Toutefois, cela ne devrait pas avoir d'incidence sur l'application du nouvel article relatif aux essais en conditions réelles.

(28) L'article 63 du règlement (UE) 2024/1689 offre aux microentreprises qui fournissent des systèmes d'IA à haut risque la possibilité de bénéficier d'une manière simplifiée de se conformer à l'obligation d'établir un système de gestion de la qualité. Afin de faciliter le respect des règles par un plus grand nombre d'innovateurs, cette possibilité devrait être étendue à toutes les PME, y compris les jeunes pousses.

(29) Compte tenu du rôle important du Bureau de l'IA pour une gouvernance effective et coordonnée du règlement (UE) 2024/1689, lequel est encore renforcé par le présent règlement, et sans préjudice du prochain cadre financier pluriannuel et de la procédure budgétaire, la Commission devrait allouer des ressources humaines, financières et techniques adéquates au Bureau de l'IA afin de veiller à ce qu'il puisse s'acquitter efficacement, et dans des délais raisonnables, de ses tâches relatives à l'application du règlement (UE) 2024/1689, y compris lui affecter un personnel permanent suffisant en nombre et doté de compétences et d'une expertise technique poussées.

(30) Il convient de modifier l'article 69 du règlement (UE) 2024/1689 afin de simplifier le barème du groupe scientifique. Si les États membres font appel à l'expertise du groupe, les honoraires qu'ils peuvent être tenus de verser aux experts devraient être équivalents à la rémunération que la Commission est tenue de verser dans des circonstances similaires.

(31) Afin de renforcer le système de gouvernance des systèmes d'IA, il est nécessaire de clarifier le rôle du Bureau de l'IA dans le suivi et la supervision de la conformité de ces systèmes d'IA avec le règlement (UE) 2024/1689. La Commission dispose de compétences exclusives en ce qui concerne les modèles d'IA à usage général en vertu de l'article 88 dudit règlement. Dans un souci d'amélioration de la cohérence, de la clarté et de l'efficacité, et à la lumière de la portée et des incidences des systèmes d'IA relevant de ces compétences, il convient d'affiner le champ d'application de la compétence exclusive du Bureau de l'IA en matière de surveillance des systèmes. En particulier, le Bureau de l'IA devrait avoir une compétence exclusive en ce qui concerne les systèmes d'IA fondés sur des modèles d'IA à usage général, non seulement lorsque le système et le modèle sont développés par le même fournisseur, mais aussi lorsqu'ils sont développés par des fournisseurs qui font partie de la même entreprise. Cependant, dans certains cas, en particulier lorsqu'il existe une surveillance sectorielle spécifique, la responsabilité devrait rester du ressort de l'autorité nationale compétente concernée. En conséquence, il convient de prévoir certaines exceptions. Le champ d'application personnel de cette compétence exclusive devrait s'étendre aux fournisseurs de ces systèmes d'IA et à leurs déployeurs au sein de la même entreprise. Les autres déployeurs devraient rester soumis à la surveillance et au contrôle de l'application de la réglementation à l'échelon national. En outre, cela ne comprend pas les systèmes d'IA mis sur le marché, mis en service ou utilisés par les institutions, organes ou organismes de l'Union, qui sont placés sous le contrôle du Contrôleur européen de la protection des données conformément à l'article 74, paragraphe 9, du règlement (UE) 2024/1689.

(32) De surcroît, compte tenu du système de surveillance et d'exécution existant au titre du règlement (UE) 2022/2065 du Parlement européen et du Conseil (16), il convient d'accorder à la Commission les pouvoirs d'une autorité de surveillance du marché compétente en vertu du règlement (UE) 2024/1689 lorsqu'un système d'IA peut être considéré comme une très grande plateforme en ligne ou un très grand moteur de recherche en ligne au sens du règlement (UE) 2022/2065, ou lorsqu'il est intégré dans une telle plateforme ou un tel moteur de recherche. Cela devrait contribuer à garantir que l'exercice des pouvoirs de surveillance et d'exécution de la Commission en vertu du règlement (UE) 2024/1689 et du règlement (UE) 2022/2065, ainsi que de ceux applicables aux modèles d'IA à usage général intégrés dans ces plateformes ou moteurs de recherche, est effectué de manière cohérente et effective. Cette mesure est également appropriée compte tenu de l'importance de ces plateformes et moteurs de recherche, eu égard à leur portée, à leur impact et aux préjudices complexes et importants qu'ils sont susceptibles de causer à la société. Le champ d'application personnel de cette compétence exclusive devrait s'étendre aux fournisseurs de ces systèmes d'IA et à leurs déployeurs au sein de la même entreprise. Dans le cas des systèmes d'IA intégrés dans une très grande plateforme en ligne ou un très grand moteur de recherche ou pouvant être qualifiés de tels systèmes, le premier point d'entrée pour l'évaluation des systèmes d'IA est l'évaluation des risques, les mesures d'atténuation et les obligations d'audit prescrites par les articles 34, 35 et 37 du règlement (UE) 2022/2065, sans préjudice des pouvoirs du Bureau de l'IA d'enquêter sur les cas de non-conformité ex post des règles du règlement (UE) 2024/1689 et de les faire respecter. Dans le cadre de l'analyse de cette évaluation des risques, des mesures d'atténuation et des audits, les services de la Commission chargés de l'application du règlement (UE) 2022/2065 peuvent demander l'avis du Bureau de l'IA sur les résultats d'une éventuelle évaluation des risques antérieure ou parallèle effectuée conformément au règlement (UE) 2024/1689 et sur l'applicabilité des interdictions en vertu du règlement (UE) 2024/1689. En outre, le Bureau de l'IA et les autorités nationales compétentes devraient, conformément au règlement (UE) 2024/1689, coordonner leurs efforts de contrôle de l'application avec les autorités compétentes pour la surveillance et le contrôle de l'application du règlement (UE) 2022/2065, dont la Commission, afin de garantir le respect des principes de coopération loyale, de proportionnalité et de ne bis in idem, tandis que les informations obtenues en vertu d'un règlement ne seraient utilisées aux fins de la surveillance et du contrôle de l'application de l'autre que si l'entreprise y consent. En particulier, ces autorités devraient procéder à des échanges de vues réguliers et tenir compte, dans leurs domaines de compétence respectifs, de toute amende ou sanction infligée au même fournisseur pour le même comportement au moyen d'une décision finale dans le cadre d'une procédure relative à une infraction à d'autres règles de l'Union ou nationales, de manière à garantir que les amendes et sanctions globales imposées sont proportionnées et correspondent à la gravité des infractions commises.

(33) Lorsqu'il supervise et contrôle le respect des obligations relatives aux systèmes d'IA relevant de sa compétence, le Bureau de l'IA a le même rôle et la même responsabilité qu'une autorité de surveillance du marché en vertu du règlement (UE) 2024/1689. Par conséquent, il est nécessaire que le Bureau de l'IA dispose de tous les pouvoirs et responsabilités dont disposent les autorités de surveillance du marché en vertu dudit règlement et du règlement (UE) 2019/1020 du Parlement européen et du Conseil (17) (ci-après dénommés «pouvoirs généraux»). Ceux-ci doivent permettre de garantir l'application appropriée et effective des exigences et obligations énoncées dans le règlement (UE) 2024/1689. Toutefois, il est nécessaire de préciser, de compléter et de délimiter certains éléments essentiels et d'autres aspects des compétences générales, ainsi que des garanties connexes (ci-après dénommées «dispositions spécifiques»). En particulier, il est nécessaire d'établir des dispositions régissant les relations entre le Bureau de l'IA et les autorités nationales; des dispositions qui précisent, complètent et limitent les pouvoirs de demander des informations et de procéder à des inspections sur place; des dispositions régissant les enquêtes, y compris la possibilité de prendre des engagements contraignants; et des dispositions qui précisent et délimitent le pouvoir de constater la non-conformité avec la réglementation et d'infliger des amendes et des astreintes. Lorsqu'un type de pouvoir général a été ainsi spécifié, le Bureau de l'IA ne peut pas contourner les conditions et limites associées à ces pouvoirs en s'appuyant sur un pouvoir général connexe. À l'inverse, les types de pouvoirs généraux qui ne sont pas spécifiés et encadrés en ce qui concerne le Bureau de l'IA, tels que le pouvoir d'adopter des mesures visé à l'article 16, paragraphe 3, du règlement (UE) 2019/1020, peuvent être invoqués par le Bureau de l'IA. Si nécessaire aux fins de la bonne mise en oeuvre du règlement (UE) 2024/1689, la Commission devrait pouvoir adopter des actes d'exécution définissant plus précisément les règles et les procédures concernant l'application des délais de prescription, l'accès au dossier et la divulgation négociée d'informations. Dans l'exercice de tous ces pouvoirs, le Bureau de l'IA doit respecter la Charte. En outre, le Bureau de l'IA est soumis aux garanties et protections relatives aux droits fondamentaux prévues dans les dispositions spécifiques.

(34) Outre ces garanties relatives aux procédures et aux droits fondamentaux, les droits procéduraux prévus à l'article 18 du règlement (UE) 2019/1020 devraient s'appliquer mutatis mutandis aux fournisseurs de systèmes d'IA, sans préjudice des droits procéduraux plus spécifiques prévus par le règlement (UE) 2024/1689. Lorsque les autorités nationales de surveillance du marché demandent au Bureau de l'IA, par l'intermédiaire du point de contact unique, de prendre des mesures de contrôle et d'exécution en ce qui concerne les systèmes d'IA placés sous sa surveillance exclusive, le Bureau de l'IA devrait informer le point de contact unique, au plus tard quatre mois après la réception de cette demande, de son intention d'exercer ses pouvoirs de contrôle et d'exécution ou des raisons pour lesquelles il ne le fait pas. Si le Bureau de l'IA décide d'exercer ses pouvoirs de surveillance et d'exécution, il devrait également informer le point de contact unique, du résultat final de ces procédures et des évolutions intermédiaires que le Bureau de l'IA considère comme ayant une incidence majeure sur l'enquête, y compris de la décision d'ouvrir une procédure, d'infliger une amende et de retirer ou de rappeler le système d'IA du marché.

(35) Afin de permettre l'accès au marché de l'Union des systèmes d'IA qui sont placés sous la supervision du Bureau de l'IA en vertu de l'article 75 du règlement (UE) 2024/1689 et soumis à une évaluation de la conformité par un tiers, la Commission devrait être responsable d'évaluer la conformité de ces systèmes avant leur commercialisation.

(36) L'article 77 et les dispositions connexes du règlement (UE) 2024/1689 constituent un mécanisme de gouvernance important, car ils visent à permettre aux autorités ou organismes chargés de faire appliquer ou de surveiller le droit de l'Union destiné à protéger les droits fondamentaux de remplir leur mandat dans des conditions spécifiques et de favoriser la coopération avec les autorités de surveillance du marché chargées de la surveillance et de l'application dudit règlement. Il est nécessaire de préciser le champ d'application de cette coopération, ainsi que les autorités ou organismes publics qui en bénéficient. En vue de renforcer la coopération, il convient de préciser que les demandes d'accès aux informations et à la documentation devraient être adressées à l'autorité de surveillance du marché compétente, qui devrait répondre à ces demandes sans retard injustifié, et que les autorités ou organismes concernés devraient avoir une obligation mutuelle de coopérer. Il convient de préciser que ces dispositions sont sans préjudice des compétences, des tâches, des pouvoirs et de l'indépendance des autorités ou organismes publics nationaux compétents dans le cadre de leurs mandats. En particulier, ces dispositions ne limitent pas les pouvoirs dont disposent ces autorités et organismes pour demander des informations en vertu d'autres dispositions du droit de l'Union ou du droit national. En conséquence, ces autorités et organismes conservent leur pouvoir de demander directement des informations aux opérateurs en vertu de leur mandat ou du droit européen ou national.

(37) Les exigences applicables aux systèmes d'IA à haut risque énoncées dans le règlement (UE) 2024/1689 portent sur les risques spécifiques inhérents aux systèmes d'IA, notamment les biais, le comportement imprévisible des modèles, le manque de fiabilité ou d'exactitude, les vulnérabilités face aux attaques de tiers et le manque de transparence du système d'IA. En traitant les risques spécifiques à l'IA, ce règlement complète les exigences énoncées dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement, sans les dupliquer. Le règlement (UE) 2024/1689 prévoit des mécanismes permettant aux opérateurs économiques de réduire au minimum la charge réglementaire. En particulier, l'article 8, paragraphe 2, sur l'interaction avec la législation sectorielle, l'article 9, paragraphe 10, sur la gestion des risques et l'article 17, paragraphe 3, sur la gestion de la qualité, permettent aux opérateurs économiques d'intégrer, lorsque cela est nécessaire et approprié, une évaluation des risques spécifiques à l'IA dans les systèmes existants de gestion des risques et de la qualité. L'article 40 du règlement (UE) 2024/1689 impose en outre à la Commission de préciser que les normes harmonisées élaborées en vertu dudit règlement doivent être cohérentes avec les normes élaborées en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I dudit règlement. La Commission devrait fournir des lignes directrices pour aider les opérateurs économiques de systèmes d'IA à haut risque relevant de l'annexe I du règlement (UE) 2024/1689 à se conformer audit règlement, y compris en formulant des orientations sur l'application de l'article 8, paragraphe 2, de l'article 9, paragraphe 10, et de l'article 17, paragraphe 3, dudit règlement, en tant que mécanismes visant à réduire au minimum la charge réglementaire, conformément aux principes de complémentarité et de proportionnalité. Ces lignes directrices devraient être publiées au plus tard le 1er août 2027.

(38) Afin de laisser suffisamment de temps aux fournisseurs de systèmes d'IA générative soumis aux obligations de marquage énoncées à l'article 50, paragraphe 2, du règlement (UE) 2024/1689 pour adapter leurs pratiques dans un délai raisonnable sans perturber le marché, il convient d'introduire une période transitoire de quatre mois pour les fournisseurs qui ont déjà mis leurs systèmes sur le marché avant le 2 août 2026.

(39) Afin de laisser suffisamment de temps aux fournisseurs de systèmes d'IA à haut risque et de clarifier les règles applicables aux systèmes d'IA déjà mis sur le marché ou mis en service avant que les dispositions pertinentes du règlement (UE) 2024/1689 ne s'appliquent, il convient de préciser le champ d'application du délai de grâce prévu à l'article 111, paragraphe 2, dudit règlement. Aux fins de l'article 111, paragraphe 2, le délai de grâce devrait s'appliquer à un type et à un modèle de systèmes d'IA déjà mis sur le marché. Cela signifie que, si au moins une unité individuelle du système d'IA à haut risque a été légalement mise sur le marché ou mise en service avant la date spécifiée à l'article 111, paragraphe 2, les autres unités individuelles du même type et modèle de système d'IA à haut risque sont soumises au délai de grâce prévu audit article 111, paragraphe 2, et peuvent donc continuer à être mises sur le marché, mises à disposition ou mises en service sur le marché de l'Union sans obligations ni exigences supplémentaires ni nécessité d'une certification supplémentaire, tant que la conception de ce système d'IA à haut risque reste inchangée. Aux fins de l'application du délai de grâce prévu à l'article 111, paragraphe 2, le facteur déterminant est la date à laquelle la première unité de ce type et modèle de système d'IA à haut risque a été mise sur le marché ou mise en service pour la première fois sur le marché de l'Union. Toute modification importante de la conception de ce système d'IA après la date spécifiée à l'article 111, paragraphe 2, devrait entraîner l'obligation pour le fournisseur de se conformer pleinement à toutes les dispositions pertinentes dudit règlement applicables aux systèmes d'IA à haut risque, y compris les exigences en matière d'évaluation de la conformité.

(40) L'article 113 du règlement (UE) 2024/1689 fixe les dates d'entrée en vigueur et d'application dudit règlement, en précisant en particulier que la date générale d'application est le 2 août 2026. En ce qui concerne les obligations relatives aux systèmes d'IA à haut risque énoncées au chapitre III, sections 1, 2 et 3, du règlement (UE) 2024/1689, les retards dans la disponibilité des normes, des spécifications communes et des orientations de substitution, ainsi que dans la mise en place des autorités nationales compétentes, entraînent des difficultés qui compromettent l'entrée en application effective desdites obligations et risquent d'augmenter considérablement les coûts de mise en oeuvre d'une manière qui ne justifie pas le maintien de leur date d'application initiale, à savoir le 2 août 2026. Il convient donc de fixer la date d'entrée en application des sections 1, 2 et 3 du chapitre III au 2 décembre 2027 pour tous les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III, et au 2 août 2028 pour les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I. La distinction entre l'entrée en application des règles en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III, de l'article 6, paragraphe 1, et de l'annexe I dudit règlement est cohérente avec la différence entre les dates d'application initiales prévues dans le règlement (UE) 2024/1689 et vise à prévoir le temps nécessaire à l'adaptation et à la mise en oeuvre des obligations correspondantes. La disponibilité en temps utile des instruments d'appui, notamment des orientations, des normes pertinentes, des spécifications communes et des codes de bonnes pratiques, est importante afin de faciliter le respect de la réglementation et de réduire le risque d'interprétation divergente et d'application inégale des règles dans les différents États membres. Afin de garantir la sécurité juridique et d'éviter de nouveaux retards dans l'application du règlement (UE) 2024/1689, la Commission devrait veiller à ce que des mesures à l'appui du respect du chapitre III, sections 1, 2 et 3 dudit règlement soient mises en place en temps utile pour garantir la mise en oeuvre effective et en temps utile des dispositions nécessaires.

(41) Compte tenu de l'objectif visant à réduire les difficultés de mise en oeuvre pour les citoyens, les entreprises et les administrations publiques, il est essentiel que des conditions harmonisées pour la mise en oeuvre de certaines règles ne soient adoptées que lorsque cela est strictement nécessaire. À cette fin, il convient de supprimer certaines habilitations conférées à la Commission pour adopter de telles conditions harmonisées au moyen d'actes d'exécution dans les cas où ce n'est pas strictement nécessaire. Il convient dès lors de modifier l'article 50, paragraphe 7, à l'article 56, paragraphe 6, et à l'article 72, paragraphe 3 du règlement (UE) 2024/1689 afin de supprimer les habilitations conférées à la Commission lui permettant d'adopter des actes d'exécution. Étant donné que les codes de bonne pratique visés à l'article 50, paragraphe 7, et à l'article 56, paragraphe 6, ont un effet juridique limité et, en particulier, ne sont pas assortis d'une présomption de conformité, il n'est pas strictement nécessaire que ces codes soient approuvés par un acte d'exécution. Les fournisseurs devraient pouvoir s'appuyer, en vertu de l'article 53, paragraphe 4, et de l'article 54, paragraphe 2, du règlement (UE) 2024/1689, sur des codes de bonnes pratiques jugés adéquats en vertu de l'article 56, paragraphe 6, dudit règlement. La suppression de l'habilitation à adopter un modèle harmonisé de plan de surveillance après commercialisation prévue à l'article 72, paragraphe 3, du règlement (UE) 2024/1689 présente l'avantage supplémentaire d'offrir aux fournisseurs de systèmes d'IA à haut risque une plus grande souplesse pour mettre en place un système de surveillance après commercialisation adapté à leur organisation. Dans le même temps, compte tenu de la nécessité de clarifier la manière dont les fournisseurs de systèmes d'IA à haut risque sont tenus de se conformer à l'obligation qui leur incombe au titre de l'article 72, paragraphe 1, du règlement (UE) 2024/1689, la Commission devrait être tenue de publier des orientations, y compris un modèle volontaire, sur le plan de surveillance après commercialisation au plus tard le 2 septembre 2027.

(42) L'utilisation de l'intelligence artificielle dans les machines peut contribuer à favoriser l'innovation et à améliorer l'efficacité de ces machines. L'application du règlement (UE) 2023/1230 du Parlement européen et du Conseil (18) et du règlement (UE) 2024/1689 pourrait entraîner des chevauchements. Dans le même temps, il importe de garantir un niveau de protection contre les risques liés à l'utilisation de l'intelligence artificielle dans les machines qui soit cohérent avec le niveau de protection prévu par le règlement (UE) 2024/1689 en ce qui concerne les systèmes d'IA à haut risque. Compte tenu de la spécificité des machines et du secteur des machines, et afin de répondre à la nécessité de simplifier le cadre réglementaire pour les machines qui utilisent l'IA, il convient de passer à une approche sectorielle en déplaçant le règlement (UE) 2023/1230 de la section A à la section B de l'annexe I du règlement (UE) 2024/1689. En premier lieu, l'application du règlement (UE) 2024/1689 à ces machines devrait donc être limitée aux dispositions visées à l'article 2, paragraphe 2, dudit règlement. La référence à la directive 2006/42/CE devrait être déplacée de la section A à la section B de l'annexe I du règlement (UE) 2024/1689 et mise à jour afin de renvoyer au règlement (UE) 2023/1230. En second lieu, il est essentiel de veiller à ce que le règlement (UE) 2023/1230 intègre des exigences essentielles de santé et de sécurité pour les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 1, du règlement (UE) 2024/1689 et utilisés comme composants de sécurité dans des machines ou des systèmes d'IA à haut risque constituant des machines qui garantissent un niveau de protection conforme au règlement (UE) 2024/1689. À cette fin, la Commission devrait être tenue d'adopter des actes délégués modifiant l'annexe III du règlement (UE) 2023/1230 afin de tenir compte des exigences pertinentes énoncées au chapitre III, section 2, et aux articles 17, 19, 72 et 73 du règlement (UE) 2024/1689. Afin d'éviter un vide juridique et de garantir l'alignement sur l'entrée en application des règles pertinentes relatives aux systèmes d'IA à haut risque énoncées dans le règlement (UE) 2024/1689, ces actes délégués devraient s'appliquer au plus tard le 2 août 2028. Pour les mêmes raisons, les fabricants devraient être libres de s'appuyer sur des normes harmonisées ou des spécifications communes référencées ou adoptées en vertu du règlement (UE) 2024/1689 qui couvrent les exigences essentielles pertinentes pour la présomption de conformité au sens de l'article 20 du règlement (UE) 2023/1230 jusqu'à ce que des normes harmonisées ou des spécifications communes concernant l'IA soient référencées ou adoptées en vertu du règlement (UE) 2023/1230.

(43) L'évaluation de la conformité des systèmes d'IA à haut risque en vertu du règlement (UE) 2024/1689 peut nécessiter l'intervention d'organismes d'évaluation de la conformité. Seuls les organismes d'évaluation de la conformité qui ont été désignés en vertu dudit règlement peuvent effectuer des évaluations de la conformité et uniquement pour les activités liées aux catégories et types de systèmes d'IA concernés. Afin qu'il soit possible de préciser le champ couvert par la désignation des organismes d'évaluation de la conformité notifiés en vertu de l'article 30 du règlement (UE) 2024/1689, il convient de dresser une liste des codes, des catégories et des types correspondants de systèmes d'IA. La liste des codes devrait tenir compte de la question de savoir si le système d'IA est un composant d'un produit ou lui-même un produit couvert par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I du règlement (UE) 2024/1689 (ci-après dénommés «codes IAP», pour les systèmes d'IA couverts par la législation sur les produits) ou un système listé à l'annexe III dudit règlement, qui ne concerne actuellement que les systèmes d'IA biométriques visés à l'annexe III, paragraphe 1 (appelés «codes IAB», pour les systèmes d'IA biométriques). Les codes IAP et IAB sont des codes verticaux. Les codes IAP sont des codes de référence destinés à fournir un lien vers la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, du règlement (UE) 2024/1689. Les codes IAB sont de nouveaux codes spécifiques au règlement (UE) 2024/1689 permettant d'identifier les systèmes d'IA biométriques visés à l'annexe III, point 1, dudit règlement. La liste des codes devrait également tenir compte des types spécifiques et des technologies sous-jacentes des systèmes d'IA (appelés «codes IAH», pour les codes des systèmes d'IA horizontaux). Les codes IAH sont de nouveaux codes spécifiques à la technologie d'IA et peuvent être appliqués conjointement avec les codes verticaux IAP ou IAB. Les codes IAH couvrent les types et technologies sous-jacents des systèmes d'IA. La liste des codes, qui regroupe trois catégories, devrait prévoir une typologie multidimensionnelle des systèmes d'IA qui garantisse que les organismes d'évaluation de la conformité désignés comme organismes notifiés sont pleinement compétents en ce qui concerne les systèmes d'IA qu'ils sont tenus d'évaluer.

(44) Le règlement (UE) 2018/1139 du Parlement européen et du Conseil (19) énonce des règles communes dans le domaine de l'aviation civile. L'article 108 du règlement (UE) 2024/1689 modifie le règlement (UE) 2018/1139 afin de veiller à ce que la Commission, lors de l'adoption de tout acte délégué ou d'exécution pertinent en vertu du règlement (UE) 2018/1139, tienne compte, sur la base des spécificités techniques et réglementaires du secteur de l'aviation civile, et sans interférer avec les mécanismes de gouvernance, d'évaluation de la conformité et d'exécution existants et les autorités qui y sont établies, des exigences obligatoires applicables aux systèmes d'IA à haut risque énoncées dans le règlement (UE) 2024/1689. Une correction technique modifiant des articles supplémentaires du règlement (UE) 2018/1139 est nécessaire pour garantir que ces exigences obligatoires pour les systèmes d'IA à haut risque énoncées dans le règlement (UE) 2024/1689 sont pleinement couvertes lors de l'adoption des actes délégués ou des actes d'exécution pertinents en vertu du règlement (UE) 2018/1139.

(45) Afin de modifier certains éléments non essentiels des règlements (UE) 2024/1689 et (UE) 2023/1230, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en ce qui concerne:

• la limitation de l'application des exigences ou obligations spécifiques énoncées dans le règlement (UE) 2024/1689 lorsque la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, dudit règlement énonce des exigences garantissant un niveau de protection équivalent,
• la modification de la liste des codes, des catégories et des types correspondants de systèmes d'IA figurant à l'annexe XIV du règlement (UE) 2024/1689, et
• modifier l'annexe III du règlement (UE) 2023/1230 afin de refléter les exigences pertinentes du règlement (UE) 2024/1689.

Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016 «Mieux légiférer» (20). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.

(46) Afin de garantir la sécurité juridique sans retard, en vue de l'application générale imminente du règlement (UE) 2024/1689, il convient que le présent règlement entre en vigueur d'urgence, le troisième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

(47) Le Contrôleur européen de la protection des données et le comité européen de la protection des données ont été consultés conformément à l'article 42, paragraphes 1 et 2, du règlement (UE) 2018/1725 et ont rendu leur avis conjoint le 20 janvier 2026,

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

Article premier
Modifications du règlement (UE) 2024/1689

Le règlement (UE) 2024/1689 est modifié comme suit:

1) À l'article 1er, paragraphe 2, le point g) est remplacé par le texte suivant:

• «g) des mesures visant à soutenir l'innovation, en mettant particulièrement l'accent sur les petites entreprises à moyenne capitalisation et les petites et moyennes entreprises (PME), y compris les jeunes pousses.».

2) L'article 2 est modifié comme suit:

• a) le paragraphe 2 est remplacé par le texte suivant:
  • «2. En ce qui concerne les systèmes d'IA classés à haut risque conformément à l'article 6, paragraphe 1, liés aux produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, seuls l'article 6, paragraphe 1, l'article 60 bis, et les articles 102 à 112 s'appliquent. Les articles 57, 58 et 59 ne s'appliquent que dans la mesure où les exigences applicables aux systèmes d'IA à haut risque au titre du présent règlement ont été intégrées dans ladite législation d'harmonisation de l'Union.»;
• b) le paragraphe 7 est remplacé par le texte suivant:
  • «7. Le droit de l'Union en matière de protection des données à caractère personnel, de respect de la vie privée et de confidentialité des communications s'applique aux données à caractère personnel traitées en lien avec les droits et obligations énoncés dans le présent règlement. Sans préjudice des articles 4 bis et 59 du présent règlement, le présent règlement n'a pas d'incidence sur le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ni sur la directive 2002/58/CE ou la directive (UE) 2016/680.».

3) À l'article 2, le paragraphe suivant est ajouté:

• «13. Pour les systèmes d'IA à haut risque visés à l'article 6, paragraphe 1, l'application des exigences ou obligations spécifiques établies aux articles 9 à 15 et 17 à 25 peut être limitée lorsque et dans la mesure où:
  • a) la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, établit des exigences ou des obligations prévoyant un niveau de protection de la santé, de la sécurité ou des droits fondamentaux équivalent ou supérieur à celui prévu par l'exigence ou l'obligation concernée; et
  • b) une telle limitation ne réduit pas le niveau global de protection prévu par le présent règlement.
• Au plus tard le 2 août 2027, la Commission adopte des actes délégués conformément à l'article 97 afin de compléter le présent règlement afin de préciser les systèmes d'IA à haut risque concernés, les exigences ou obligations qui peuvent être limitées, les conditions dans lesquelles cette limitation s'applique et la portée de la limitation.».

4) L'article 3 est modifié comme suit:

• a) le point 14) est modifié comme suit:
  • «14) “composant de sécurité”, un composant d'un produit ou d'un système d'IA qui remplit une fonction de sécurité pour ce produit ou ce système d'IA, ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens; aux fins de la présente définition, un composant remplit une fonction de sécurité lorsque sa destination est de prévenir ou d'atténuer les risques pour la santé et la sécurité des personnes ou des biens;»;
• b) les points suivants sont insérés:
  • «14 bis) “micro, petite ou moyenne entreprise” ou “PME”, une micro, petite ou moyenne entreprise telle qu'elle est définie à l'article 2 de l'annexe de la recommandation 2003/361/CE;
  • 14 ter) “petite entreprise à moyenne capitalisation”, une petite entreprise à moyenne capitalisation telle que définie au point 2 de l'annexe de la recommandation (UE) 2025/1099;».

5) L'article 4 est remplacé par le texte suivant:

«Article 4
Maîtrise de l'IA

1. Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu.

2. La Commission et les États membres soutiennent et facilitent les efforts déployés par les fournisseurs et les déployeurs de systèmes d'IA, en particulier les PME, pour s'acquitter de l'obligation qui leur incombe en vertu du paragraphe 1 du présent article. À cette fin, la Commission publie des exemples pratiques sur la manière de respecter cette obligation sur la plateforme d'information unique visée à l'article 62, paragraphe 3, point b).

3. Le Comité IA adopte des recommandations, en tenant compte des cadres européens de compétences, afin d'aider la Commission et les États membres à promouvoir la maîtrise de l'IA requise au titre du paragraphe 1, y compris en fixant des objectifs communs.».

6) L'article suivant est inséré:

«Article 4 bis
Traitement de catégories particulières de données à caractère personnel à des fins de détection et de correction des biais

1. Dans la mesure strictement nécessaire à la détection et à la correction des biais en ce qui concerne les systèmes d'IA à haut risque, conformément à l'article 10, paragraphe 2, points f) et g), du présent règlement, les fournisseurs de ces systèmes peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques. Outre les dispositions prévues dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680, selon le cas, toutes les conditions suivantes doivent être réunies pour que ce traitement puisse avoir lieu:

• a) la détection et la correction des biais ne peuvent être satisfaites de manière efficace en traitant d'autres données, y compris des données synthétiques ou anonymisées;
• b) les catégories particulières de données à caractère personnel sont soumises à des limitations techniques relatives à la réutilisation des données à caractère personnel, ainsi qu'aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation;
• c) les catégories particulières de données à caractère personnel font l'objet de mesures visant à garantir que les données à caractère personnel traitées sont sécurisées, protégées et soumises à des garanties appropriées, y compris des contrôles stricts et une documentation de l'accès, afin d'éviter toute mauvaise utilisation et de veiller à ce que seules les personnes autorisées aient accès à ces données à caractère personnel, avec des obligations de confidentialité appropriées;
• d) les catégories particulières de données à caractère personnel ne sont pas transmises, transférées ou consultées d'une autre manière par d'autres parties;
• e) les catégories particulières de données à caractère personnel sont supprimées une fois que le biais a été corrigé ou que la période de conservation des données à caractère personnel a expiré, selon celle de ces deux échéances qui arrive en premier; et
• f) les registres des activités de traitement en vertu des règlements (UE) 2016/679 et (UE) 2018/1725 et de la directive (UE) 2016/680 comprennent les raisons pour lesquelles le traitement des catégories particulières de données à caractère personnel était strictement nécessaire pour détecter et corriger les biais, ainsi que la raison pour laquelle cet objectif n'a pas pu être atteint par le traitement d'autres données.

2. Les fournisseurs et les déployeurs d'autres systèmes et modèles d'IA et les déployeurs de systèmes d'IA à haut risque peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel dans la mesure où:

• a) un tel traitement est strictement nécessaire pour assurer la détection et la correction d'éventuels biais susceptibles de porter atteinte à la santé et à la sécurité des personnes, d'avoir une incidence négative sur les droits fondamentaux ou de conduire à une discrimination interdite en vertu du droit de l'Union, en particulier lorsque les données de sortie influencent les entrées pour les opérations futures; et
• b) toutes les conditions et garanties énoncées au paragraphe 1 sont remplies.

Le présent paragraphe ne crée aucune obligation de procéder à cette détection et à cette correction des biais.».

7) L'article 5 est modifié comme suit:

• a) au paragraphe 1, premier alinéa, les points suivants sont insérés:
  • «b bis) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui génère ou manipule des images, des vidéos, des contenus audio ou tout autre matériel similaire réalistes représentant les parties intimes d'une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans le consentement libre, spécifique, éclairé, univoque et explicite de cette personne pour cette production ou manipulation;
  • b ter) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui génère ou manipule tout matériel ou spectacle au sens de l'article 2, points c) et e), de la directive 2011/93/UE, sauf lorsqu'une défense “sans droit” s'applique en vertu du droit national;»;
• b) les paragraphes suivants sont insérés:
  • «1 bis. Aux fins du paragraphe 1, premier alinéa, points b bis) et b ter):
    • a) la mise sur le marché ou la mise en service d'un système d'IA qui génère ou manipule le matériel ou les spectacles visés au paragraphe 1, premier alinéa, point b bis) ou b ter), n'est interdite que lorsque:
      • i) cette production ou manipulation constitue la destination du système d'IA; ou
      • ii) la conception, l'entraînement, l'architecture, les capacités ou les fonctionnalités destinées aux utilisateurs du système font de cette production ou manipulation un résultat raisonnablement prévisible et reproductible, sans nécessiter de modification technique importante, et le système ne dispose pas de mesures de sécurité techniques raisonnables et adéquates et d'autres garanties pour empêcher de manière fiable cette production ou manipulation, compte tenu d'une mauvaise utilisation raisonnablement prévisible, ni pour corriger une mauvaise utilisation observée ou signalée;
    • b) l'utilisation d'un système d'IA qui génère ou manipule le matériel ou les spectacles visés au paragraphe 1, premier alinéa, points b bis) et b ter), n'est interdite que lorsque le déployeur utilise le système dans le but de générer ou de manipuler ce matériel ou ces spectacles;
  • 1 ter. Aux fins du paragraphe 1, premier alinéa, point b bis), un système d'IA qui manipule du matériel d'une manière qui n'accroît pas la visibilité des parties intimes représentées ni ne modifie la nature des activités sexuellement explicites représentées ne constitue pas une manipulation.».

8) À l'article 6, les paragraphes suivants sont insérés:

• «1 bis.Aux fins du présent règlement, y compris le paragraphe 1 du présent article, les systèmes d'IA qui sont uniquement utilisés pour des aspects non liés à la sécurité en ce qui concerne l'assistance aux utilisateurs, l'optimisation des performances, l'efficacité des services, l'automatisation, la commodité ou le contrôle de la qualité ne sont pas considérés comme des composants de sécurité.
• 1 ter.Nonobstant le paragraphe 1 bis, les systèmes d'IA dont la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité sont considérés comme des composants de sécurité.
• 1 quater.N'est pas considéré comme remplissant la condition énoncée au paragraphe 1, point b), un produit qui doit faire l'objet d'une évaluation de la conformité par un tiers uniquement en raison de risques autres que les risques pour la santé et la sécurité, en particulier les risques liés à la distribution du spectre radioélectrique ou aux interférences électromagnétiques qui n'affectent pas la santé et la sécurité.».

9) L'article 10 est modifié comme suit:

• a) le paragraphe 1 est remplacé par le texte suivant:
  • «1. Les systèmes d'IA à haut risque faisant appel à des techniques qui impliquent l'entraînement de modèles d'IA au moyen de données sont développés sur la base de jeux de données d'entraînement, de validation et de test qui satisfont aux critères de qualité visés aux paragraphes 2, 3 et 4, du présent article et à l'article 4 bis, paragraphe 1, chaque fois que ces jeux de données sont utilisés.»;
• b) le paragraphe 5 est supprimé;
• c) le paragraphe 6 est remplacé par le texte suivant:
  • «6. En ce qui concerne le développement de systèmes d'IA à haut risque qui ne font pas appel à des techniques qui impliquent l'entraînement de modèles d'IA, les paragraphes 2, 3 et 4 du présent article et l'article 4 bis, paragraphe 1, s'appliquent uniquement aux jeux de données de test.».

10) À l'article 11, paragraphe 1, le deuxième alinéa est remplacé par le texte suivant:

• « Cette documentation technique est établie de manière à démontrer que le système d'IA à haut risque satisfait aux exigences énoncées dans la présente section et à fournir aux autorités nationales compétentes et aux organismes notifiés les informations nécessaires sous une forme claire et intelligible pour évaluer la conformité du système d'IA avec ces exigences. Elle contient, au minimum, les éléments énoncés à l'annexe IV. Les PME, y compris les jeunes pousses, et les petites entreprises à moyenne capitalisation peuvent fournir les éléments de la documentation technique spécifiée à l'annexe IV d'une manière simplifiée. À cette fin, la Commission établit un formulaire de documentation technique simplifié ciblant les besoins des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation. Lorsqu'une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation choisit de fournir les informations requises à l'annexe IV de manière simplifiée, elle utilise le formulaire visé au présent paragraphe. Les organismes notifiés acceptent le formulaire aux fins de l'évaluation de la conformité.».

11) À l'article 17, le paragraphe 2 est remplacé par le texte suivant:

• «2. La mise en oeuvre des aspects visés au paragraphe 1 est proportionnée à la taille de l'organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation. Les fournisseurs respectent, en tout état de cause, le degré de rigueur et le niveau de protection requis afin de garantir que leurs systèmes d'IA à haut risque sont conformes au présent règlement.».

12) L'article 25 est modifié comme suit:

• a) le paragraphe 2 est remplacé par le texte suivant:
  • «2. Lorsque les circonstances visées au paragraphe 1 se produisent, le fournisseur qui a initialement mis sur le marché ou mis en service le système d'IA n'est plus considéré comme un fournisseur de ce système d'IA spécifique aux fins du présent règlement.
  • Ce fournisseur initial coopère étroitement avec les nouveaux fournisseurs, met à disposition les informations nécessaires et fournit l'accès technique et toute autre assistance raisonnablement attendus nécessaire au respect des obligations énoncées dans le présent règlement, en particulier en ce qui concerne le respect de l'évaluation de la conformité des systèmes d'IA à haut risque.
  • En particulier, l'obligation établie au deuxième alinéa comprend, lorsque cela est pertinent aux fins qui y sont précisées, les éléments suivants:
    • a) mettre à disposition une documentation technique suffisante pour évaluer la conformité aux exigences établies à l'article 16;
    • b) informer les nouveaux fournisseurs des limitations et des modes de défaillance connus; et
    • c) donner aux nouveaux fournisseurs un accès technique ciblé, y compris à des fins de test et de validation.
  • Le présent paragraphe ne s'applique pas dans les cas où le fournisseur initial a clairement précisé que son système d'IA ne doit pas être transformé en un système d'IA à haut risque et ne relève donc pas de l'obligation relative à la coopération avec les nouveaux fournisseurs et à la remise de la documentation.»;
• b) au paragraphe 4, le premier alinéa est remplacé par le texte suivant:
  • «4. Le fournisseur d'un système d'IA à haut risque et le tiers qui fournit un système d'IA, un modèle d'IA, des outils, services, composants ou processus qui sont utilisés ou intégrés dans un système d'IA à haut risque précisent, par accord écrit, les informations, les capacités, l'accès technique et toute autre assistance nécessaires, sur la base de l'état de la technique généralement reconnu, pour permettre au fournisseur du système d'IA à haut risque de se conformer pleinement aux obligations prévues dans le présent règlement. Le présent paragraphe ne s'applique pas aux tiers qui rendent accessibles au public des outils, services, processus ou composants, autres que des modèles d'IA à usage général, dans le cadre d'une licence libre et ouverte.».

13) L'article 27 est modifié comme suit:

• a) le paragraphe 4 est remplacé par le texte suivant:
  • «4. Si l'une des obligations prévues au présent article est déjà remplie au moyen de l'analyse d'impact relative à la protection des données réalisée en application de l'article 35 du règlement (UE) 2016/679 ou de l'article 27 de la directive (UE) 2016/680, le déployeur peut, lorsqu'il procède à l'analyse d'impact sur les droits fondamentaux visée au paragraphe 1 du présent article, inclure des renvois aux sections pertinentes de cette analyse d'impact relative à la protection des données ou en intégrer les parties pertinentes dans l'analyse d'impact relative aux droits fondamentaux.»;
• b) le paragraphe 5 est remplacé par le texte suivant:
  • «5. Le Bureau de l'IA élabore un modèle de questionnaire, y compris au moyen d'un outil automatisé, afin d'aider les déployeurs à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article. Ce modèle donne, le cas échéant, aux déployeurs la possibilité d'inclure des renvois aux sections pertinentes de l'analyse d'impact relative à la protection des données ou d'inclure des parties pertinentes de celle-ci dans l'analyse d'impact relative aux droits fondamentaux, conformément au paragraphe 4.».

14) À l'article 28, les paragraphes suivants sont ajoutés:

• «8. Les autorités notifiantes désignées en vertu du présent règlement qui sont responsables des systèmes d'IA couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, garantissent que l'organisme d'évaluation de la conformité qui demande la désignation à la fois en vertu du présent règlement et de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, a la possibilité de présenter une demande unique et fait l'objet d'une procédure d'évaluation unifiée en vue de sa désignation en vertu du présent règlement et de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, lorsque la législation d'harmonisation de l'Union applicable permet une telle procédure de demande unique et d'évaluation unifiée. À cette fin, les autorités notifiantes désignées en vertu du présent règlement et celles désignées en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, coopèrent dans le cadre de leurs évaluations.
• La procédure de demande unique et d'évaluation unifiée visée au présent paragraphe est également proposée aux organismes notifiés déjà désignés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, lorsque ces organismes notifiés demandent une désignation au titre du présent règlement, pour autant que la législation d'harmonisation de l'Union applicable prévoie une telle procédure.
• Un organisme d'évaluation de la conformité qui est désigné en vertu de plus d'un acte de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, ne doit présenter qu'une seule demande de désignation en vertu du présent règlement. Une désignation au titre du présent règlement est applicable à toute la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, pour lesquels l'organisme d'évaluation de la conformité est désigné.
• La procédure de demande unique et d'évaluation unifiée évite tout double emploi inutile, s'appuie sur les procédures existantes de désignation conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, et garantit le respect des exigences relatives aux organismes notifiés conformément au présent règlement et conformément à la législation d'harmonisation de l'Union applicable.
• 9. L'autorité notifiante qui a été désignée en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, est également l'autorité notifiante qui présente la demande unique et se soumet à la procédure d'évaluation unifiée visées au paragraphe 8, à moins que l'État membre ne désigne une autre autorité notifiante aux fins du présent règlement.».

15) À l'article 29, le paragraphe 4 est remplacé par le texte suivant:

• «4. Quant aux organismes notifiés désignés en vertu de toute autre législation d'harmonisation de l'Union, tous les documents et certificats liés à ces désignations peuvent être utilisés pour appuyer et accélérer leur procédure de désignation au titre du présent règlement, le cas échéant.
• Les organismes notifiés qui sont désignés en vertu de l'une des législations d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, et qui font l'objet de la procédure d'évaluation unifiée visée à l'article 28, paragraphe 8, soumettent la demande unique d'évaluation à l'autorité notifiante désignée en vertu de cette législation d'harmonisation de l'Union.
• L'organisme notifié met à jour la documentation visée aux paragraphes 2 et 3 du présent article dès que des changements pertinents interviennent afin de permettre à l'autorité responsable des organismes notifiés de contrôler et de vérifier que toutes les exigences énoncées à l'article 31 demeurent observées.».

16) À l'article 30, le paragraphe 2 est remplacé par le texte suivant:

• «2. Les autorités notifiantes informent la Commission et les autres États membres, sur la base de la liste des codes, des catégories et des types correspondants de systèmes d'IA visés à l'annexe XIV, et à l'aide de l'outil de notification électronique mis au point et géré par la Commission, quant à chaque organisme d'évaluation de la conformité visé au paragraphe 1.
• La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'annexe XIV, à la lumière du progrès technique, de l'évolution des connaissances ou de nouvelles données scientifiques, en ajoutant à la liste des codes, des catégories et des types correspondants de systèmes d'IA un nouveau code, une nouvelle catégorie ou un nouveau type de système d'IA, en retirant un code existant, une catégorie existante ou un type existant de système d'IA de cette liste ou en déplaçant un code ou un type de système d'IA d'une catégorie à une autre.».

17) À l'article 40, paragraphe 2, l'alinéa suivant est ajouté:

• «La Commission demande, conformément au règlement (UE) n°1025/2012 du Parlement européen et du Conseil(*)et sans retard injustifié, aux organisations européennes de normalisation d'élaborer des publications en matière de normalisation, y compris, le cas échéant, des normes harmonisées, afin de faciliter la conformité commune et la présomption de conformité aux exigences ou obligations énoncées au chapitre III, sections 2 et 3, du présent règlement, ainsi qu'aux exigences et obligations pertinentes énoncées dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I du présent règlement.».

(*) Règlement (UE) n°1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n°1673/2006/CE du Parlement européen et du Conseil (JO L 316 du 14.11.2012, p. 12, ELI: http://data.europa.eu/eli/reg/2012/ 1025/oj).

18) À l'article 42, le paragraphe suivant est ajouté:

• «3. Lorsque des systèmes d'IA à haut risque relèvent du champ d'application du règlement (UE) 2024/2847 et que les conditions énoncées à l'article 12, paragraphe 1, dudit règlement sont remplies, ces systèmes sont réputés conformes aux exigences de cybersécurité énoncées à l'article 15 du présent règlement.».

19) À l'article 43, le paragraphe 3 est remplacé par le texte suivant:

• «3. Pour les systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fournisseur du système suit la procédure d'évaluation de la conformité pertinente selon les modalités requises conformément à la législation d'harmonisation de l'Union applicable. Les exigences énoncées à la section 2 du présent chapitre s'appliquent à ces systèmes d'IA à haut risque et font partie de cette évaluation. L'évaluation du système de gestion de la qualité prévue à l'article 17 est également effectuée, et les points 3, 4.3, 4.4 et 4.5, le cinquième paragraphe du point 4.6 et le point 5 de l'annexe VII s'appliquent.
• Aux fins de ces évaluations de la conformité, les organismes notifiés qui ont été notifiés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, sont habilités à évaluer la conformité des systèmes d'IA à haut risque avec les exigences énoncées à la section 2 du présent chapitre, à condition que le respect, par ces organismes notifiés, des exigences énoncées à l'article 31, paragraphes 4, 5, 10 et 11, ait été évalué dans le cadre de la procédure de notification conformément à la législation d'harmonisation de l'Union applicable, ce qui est attesté par l'évaluation effectuée dans le cadre de la notification existante. Sans préjudice de l'article 28, les organismes notifiés qui ont été notifiés en vertu de la législation d'harmonisation de l'Union figurant à l'annexe I, section A, introduisent une demande de désignation conformément à la section 4 du présent chapitre au plus tard le 28 janvier 2028.
• Lorsque la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, confère au fabricant du produit la faculté de se fonder sur une évaluation de la conformité ne faisant pas intervenir un tiers, à condition que ce fabricant ait appliqué les normes harmonisées afin de garantir le respect de toutes les exigences pertinentes, ce fabricant ne peut faire usage de cette faculté que s'il a également appliqué les normes harmonisées ou, le cas échéant, les spécifications communes visées à l'article 41 couvrant toutes les exigences énoncées à la section 2 du présent chapitre. La classification d'un produit en tant que système d'IA à haut risque conformément à l'article 6, paragraphe 1, n'affecte pas le choix de la procédure d'évaluation de la conformité offert aux fabricants de produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, y compris, le cas échéant, la possibilité de se fonder sur des normes harmonisées. Les fabricants de ces produits ne sont pas tenus de choisir une procédure d'évaluation de la conformité impliquant une évaluation par un tiers uniquement parce que le produit intègre un système d'IA à haut risque en tant que composant de sécurité, si cela n'est pas requis par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A.
• Lorsqu'un système d'IA à haut risque relève à la fois de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A et de l'une des catégories énumérées à l'annexe III, le fournisseur de ce système suit la procédure d'évaluation de la conformité pertinente selon les modalités requises en vertu de la législation d'harmonisation de l'Union applicable dont la liste figure à l'annexe I, section A.».

20) À l'article 50, le paragraphe 7 est remplacé par le texte suivant:

• «7. La Commission encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union afin de faciliter la mise en oeuvre effective des obligations relatives à la détection, au marquage et à l'étiquetage des contenus générés ou manipulés par une IA. La Commission, tenant dûment compte de l'avis du Comité IA, vérifie si l'application de ces codes de bonne pratique est suffisante pour garantir le respect des obligations énoncées aux paragraphes 2 et 4 du présent article, conformément à la procédure établie à l'article 56, paragraphe 6. Si elle estime que le code de bonne pratique n'est pas approprié, la Commission peut adopter un acte d'exécution précisant des règles communes pour la mise en oeuvre de ces obligations conformément à la procédure d'examen prévue à l'article 98, paragraphe 2.».

21) À l'article 56, le paragraphe 6 est remplacé par le texte suivant:

• «6. La Commission et le Comité IA contrôlent et évaluent régulièrement la réalisation des objectifs des codes de bonne pratique par les participants et leur contribution à la bonne application du présent règlement. La Commission, tenant dûment compte de l'avis du Comité IA, évalue si les codes de bonne pratique couvrent les obligations prévues aux articles 53 et 55, et contrôle et évalue régulièrement la réalisation de leurs objectifs. La Commission publie son évaluation de l'adéquation des codes de bonne pratique.».

22) L'article 57 est modifié comme suit:

• a) au paragraphe 1, le premier alinéa est remplacé par le texte suivant:
  • «1. Les États membres veillent à ce que leurs autorités compétentes mettent en place au moins un bac à sable réglementaire de l'IA au niveau national, qui est opérationnel au plus tard le 2 août 2027. Ce bac à sable peut également être établi conjointement avec les autorités compétentes d'autres États membres. La Commission peut fournir un soutien technique, des conseils et des outils pour la mise en place et l'exploitation de bacs à sable réglementaires de l'IA.»;
• b) le paragraphe 3 est remplacé par le texte suivant:
  • «3. Le Contrôleur européen de la protection des données peut créer un bac à sable réglementaire de l'IA pour les institutions, organes et organismes de l'Union. À cette fin, les références aux autorités nationales compétentes dans le présent chapitre s'entendent comme une référence au Contrôleur européen de la protection des données.»;
• c) le paragraphe suivant est inséré:
  • «3 bis. Le Bureau de l'IA peut mettre en place un bac à sable réglementaire de l'IA au niveau de l'Union pour les systèmes d'IA relevant de l'article 75, paragraphe 1. À cette fin, les références aux autorités nationales compétentes dans le présent chapitre s'entendent, le cas échéant, comme une référence au Bureau de l'IA. Ce bac à sable réglementaire de l'IA est mis en oeuvre en étroite coopération avec les autorités compétentes concernées, en particulier lorsque le respect de la législation de l'Union autre que le présent règlement est supervisé dans le cadre du bac à sable réglementaire de l'IA, et fournit un accès prioritaire aux PME, y compris les jeunes pousses, et aux petites entreprises à moyenne capitalisation.
  • La mise en place d'un bac à sable réglementaire de l'IA au niveau de l'Union par le Bureau de l'IA est sans préjudice des compétences des États membres en matière de mise en place et de surveillance des bacs à sable réglementaires de l'IA pour les systèmes d'IA placés sous leur surveillance.»;
• d) le paragraphe 5 est remplacé par le texte suivant:
  • «5. Les bacs à sable réglementaires de l'IA établis en vertu du présent article offrent un environnement contrôlé qui favorise l'innovation et facilite le développement, l'entraînement, la mise à l'essai et la validation de systèmes d'IA innovants pendant une durée limitée avant leur mise sur le marché ou leur mise en service conformément à un plan spécifique de bac à sable convenu entre les fournisseurs ou fournisseurs potentiels et les autorités compétentes, en veillant à ce que des garanties appropriées soient en place. Ces bacs à sable peuvent comprendre des essais en conditions réelles qui y sont supervisés. Le cas échéant, le plan du bac à sable intègre le plan d'essais en conditions réelles visé aux articles 60 et 60 bis.»;
• e) au paragraphe 9, le point e), est remplacé par le texte suivant:
  • «e) faciliter et accélérer l'accès au marché de l'Union pour les systèmes d'IA, en particulier lorsqu'ils sont fournis par des PME, y compris des jeunes pousses, et des petites entreprises à moyenne capitalisation.»;
• f) le paragraphe 10 est remplacé par le texte suivant:
  • «10. Les autorités nationales compétentes veillent, dans la mesure où les systèmes d'IA innovants impliquent le traitement de données à caractère personnel ou relèvent à d'autres titres de la surveillance d'autres autorités nationales ou autorités compétentes assurant ou encadrant l'accès aux données, à ce que les autorités compétentes chargées de la protection des données et ces autres autorités nationales ou autorités compétentes soient associées à l'exploitation du bac à sable réglementaire de l'IA et participent au contrôle des aspects qui relèvent de leurs tâches et pouvoirs respectifs.»;
• g) le paragraphe 14 est remplacé par le texte suivant:
  • «14. Les autorités nationales compétentes, le Contrôleur européen de la protection des données et le Bureau de l'IA coordonnent leurs activités et coopèrent, le cas échéant et dans la limite de leurs compétences respectives, dans le cadre du Comité IA. Ils peuvent soutenir la mise en place et l'exploitation conjointes de bacs à sable réglementaires de l'IA, y compris dans des secteurs différents, et échanger les bonnes pratiques sur des questions connexes.».

23) À l'article 58, paragraphe 1, le premier alinéa est modifié comme suit:

• a) la partie introductive est remplacée par le texte suivant:
  • «1. Afin d'éviter une fragmentation à travers l'Union, la Commission adopte des actes d'exécution précisant les modalités détaillées de mise en place, de développement, de mise en oeuvre, d'exploitation, de gouvernance et de surveillance des bacs à sable réglementaires de l'IA. Ces actes d'exécution contiennent des principes communs sur les questions suivantes:»;
• b) le point suivant est ajouté:
  • «d) les règles détaillées applicables à la gouvernance des bacs à sable réglementaires de l'IA en vertu de l'article 57, y compris en ce qui concerne la participation et la supervision des autorités compétentes en matière de protection des données, le cas échéant, ainsi que la coordination et la coopération aux niveaux national et de l'Union.».

24) L'article 60 est modifié comme suit:

• a) au paragraphe 1, le premier alinéa est remplacé par le texte suivant:
  • «1. Les essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA peuvent être effectués par les fournisseurs ou fournisseurs potentiels de systèmes d'IA à haut risque énumérés à l'annexe III ou couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, conformément au présent article et au plan d'essais en conditions réelles visé au présent article, sans préjudice des interdictions prévues à l'article 5.»;
• b) le paragraphe 2 est remplacé par le texte suivant:
  • «2. Les fournisseurs ou fournisseurs potentiels peuvent effectuer, seuls ou en partenariat avec un ou plusieurs déployeurs ou déployeurs potentiels, des essais des systèmes d'IA à haut risque visés à l'annexe III ou couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, en conditions réelles, à tout moment avant la mise sur le marché ou la mise en service du système d'IA à haut risque concerné.».

25) L'article suivant est inséré:

«Article 60 bis
Essais des systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, en conditions réelles en dehors des bacs à sable réglementaires de l'IA

1. Les États membres peuvent autoriser, conformément au présent article, les essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA par les fournisseurs ou fournisseurs potentiels de produits dotés d'IA couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, en vue d'évaluer et de vérifier la conformité de ces systèmes avec les exigences établies aux articles 8 à 15.

2. Les États membres qui choisissent d'autoriser les essais visés au paragraphe 1 adoptent, individuellement ou conjointement, des cadres pour les essais en conditions réelles.

3. Chaque État membre notifie à la Commission tout cadre d'essai en conditions réelles qu'il adopte avant de le mettre en oeuvre. Cela ne porte pas atteinte aux compétences attribuées à la Commission au titre de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B.

4. Les États membres qui ont adopté un cadre d'essai en conditions réelles veillent à ce que les autorités nationales compétentes concernées, les autorités pertinentes et les autorités publiques chargées de la gestion et de l'exploitation des infrastructures et des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, coopèrent étroitement entre elles et de bonne foi, et suppriment tout obstacle pratique, y compris en ce qui concerne les règles de procédure donnant accès aux infrastructures publiques physiques, lorsque cela est nécessaire, pour mettre en oeuvre efficacement ce cadre d'essai en conditions réelles et tester les produits dotés d'IA couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B.

5. Les cadres d'essai en conditions réelles fixent les exigences en vertu desquelles les essais en conditions réelles doivent avoir lieu. Ces cadres:

• a) comprennent la mise en place d'un plan obligatoire d'essais en conditions réelles, à convenir entre le fournisseur ou fournisseur potentiel et l'autorité nationale compétente ou l'autorité pertinente, conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B;
• b) garantissent le respect des exigences énoncées à l'article 60, paragraphes 2 et 3, paragraphe 4, points d) à j), et paragraphes 5 à 9, dispositions dans lesquelles toute référence aux autorités de surveillance du marché s'entend comme une référence à l'autorité nationale compétente ou à l'autorité pertinente, selon le cas, conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B;
• c) prévoient des dispositions efficaces en matière de gouvernance et d'obligation de rendre compte;
• d) garantissent un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux.

6. Les essais en conditions réelles respectent les dispositions applicables établies dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B. Les exigences établies dans ces dispositions ne font pas obstacle à l'application du présent article dans la mesure nécessaire pour permettre les essais visés au paragraphe 1.».

26) À l'article 63, le paragraphe 1 est remplacé par le texte suivant:

• «1. Les PME, y compris les jeunes pousses, peuvent se conformer de manière simplifiée à certains éléments du système de gestion de la qualité requis par l'article 17, pour autant qu'elles n'aient pas d'entreprises partenaires ou d'entreprises liées au sens de la recommandation 2003/361/CE. À cette fin, la Commission élabore des lignes directrices sur les éléments du système de gestion de la qualité qui peuvent être respectés de manière simplifiée en tenant compte des besoins des PME, sans affecter le niveau de protection ni la nécessité de se conformer aux exigences relatives aux systèmes d'IA à haut risque.».

27) À l'article 64, le paragraphe suivant est ajouté:

• «3. Sans préjudice de la procédure budgétaire, il est alloué au Bureau de l'IA les ressources appropriées pour lui permettre de s'acquitter efficacement de ses missions et d'exercer ses pouvoirs en ce qui concerne l'exécution du présent règlement.».

28) À l'article 69, le paragraphe 2 est remplacé par le texte suivant:

• «2. Les États membres peuvent être tenus de payer des honoraires pour les conseils et le soutien fournis par les experts à un taux équivalent aux rémunérations applicables à la Commission en vertu de l'acte d'exécution visé à l'article 68, paragraphe 1.».

29) À l'article 70, le paragraphe 8 est remplacé par le texte suivant:

• «8. Les autorités nationales compétentes peuvent fournir des orientations et des conseils sur la mise en oeuvre du présent règlement, en particulier aux PME, y compris les jeunes pousses, et aux petites entreprises à moyenne capitalisation, en tenant compte des orientations et conseils du Comité IA et de la Commission, selon le cas. Chaque fois que les autorités nationales compétentes envisagent de fournir des orientations et des conseils concernant un système d'IA dans des domaines relevant d'autres actes législatifs de l'Union, les autorités compétentes nationales en vertu de ces actes législatifs de l'Union sont consultées, le cas échéant.».

30) À l'article 72, le paragraphe 3 est remplacé par le texte suivant:

• «3. Le système de surveillance après commercialisation repose sur un plan de surveillance après commercialisation. Le plan de surveillance après commercialisation fait partie de la documentation technique visée à l'annexe IV. La Commission, en tenant le plus grand compte de l'avis du Comité IA, adopte des orientations, y compris un modèle, sur le plan de surveillance après commercialisation au plus tard le 2 septembre 2027.».

31) L'article 75 est modifié comme suit:

• a) le titre est remplacé par le texte suivant:
  • « Surveillance du marché et contrôle des systèmes d'IA et assistance mutuelle»;
• b) le paragraphe 1 est remplacé par le texte suivant:
  • «1. Le Bureau de l'IA est seul compétent pour la surveillance et le contrôle du respect des obligations au titre du présent règlement en ce qui concerne les systèmes d'IA suivants:
    • a) les systèmes d'IA fondés sur des modèles d'IA à usage général lorsque le modèle et le système sont développés par le même fournisseur, ou par des fournisseurs faisant partie de la même entreprise que ce fournisseur, à l'exception:
      • i) des systèmes d'IA liés à des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I;
      • ii) des systèmes d'IA visés à l'annexe III, point 2;
      • iii) des systèmes d'IA fournis par les autorités répressives, les autorités chargées de la gestion des frontières et les établissements financiers, dans la mesure où ces systèmes d'IA relèvent de l'article 74, paragraphe 6; et
      • iv) des systèmes d'IA visés à l'annexe III, point 8, en ce qui concerne l'administration de la justice;
    • b) les systèmes d'IA qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne ainsi désignés conformément au règlement (UE) 2022/2065, ou qui sont intégrés dans une telle plateforme ou un tel moteur.
    • La compétence exclusive visée au premier alinéa s'applique aux fournisseurs de ces systèmes. Elle ne s'applique aux déployeurs de ces systèmes que lorsqu'ils sont également le fournisseur ou font partie de la même entreprise que le fournisseur.»;
• c) les paragraphes suivants sont insérés:
  • «1 bis. Par dérogation à l'article 73, les fournisseurs de systèmes d'IA à haut risque relevant de la compétence du Bureau de l'IA en vertu du paragraphe 1 du présent article signalent tout incident grave au Bureau de l'IA. L'article 73, paragraphes 2 à 9, s'applique mutatis mutandis. Le Bureau de l'IA transmet rapidement les informations pertinentes à l'autorité de surveillance du marché de l'État membre sur le territoire duquel le fournisseur ou son représentant légal est établi.
  • 1 ter. Les autorités participant à l'application du présent règlement coopèrent activement avec le Bureau de l'IA et lui fournissent l'assistance nécessaire à l'exercice de ses pouvoirs, y compris, si nécessaire, en ce qui concerne les inspections ou autres mesures d'exécution menées sur le territoire d'un État membre. À cette fin, ces autorités disposent des pouvoirs prévus par le présent règlement et par le règlement (UE) 2019/1020 et, le cas échéant et dans la mesure nécessaire à l'accomplissement de leurs tâches au titre du présent paragraphe, conformément aux procédures nationales applicables.
  • 1 quater. Lorsqu'il prend, sur le territoire d'un État membre, des mesures d'enquête ou d'exécution qui impliquent l'accès aux données ou au système d'IA d'une autorité publique, le Bureau de l'IA est assisté par l'autorité de surveillance du marché concernée.
  • 1 quinquies. Avant de prendre une décision qui aurait pour effet d'interdire ou de restreindre la mise à disposition ou la mise en service du système d'IA sur un marché national, ou une décision visant à retirer ou à rappeler le système d'IA de ce marché, le Bureau de l'IA notifie sans retard injustifié à l'autorité de surveillance du marché compétente pour ce marché son intention de prendre une telle décision. Le Bureau de l'IA consulte les autorités participant à l'application du présent règlement, le cas échéant, sur toute question relative à l'application et au contrôle de l'application du présent règlement.
  • 1 sexies. Le Bureau de l'IA est chargé des évaluations de la conformité et des essais des systèmes d'IA visés au paragraphe 1 du présent article qui sont classés comme étant à haut risque et font l'objet d'une évaluation de la conformité par un tiers en vertu de l'article 43, avant que ces systèmes d'IA ne soient mis sur le marché ou mis en service. Ces essais et évaluations ont pour objet de vérifier que les systèmes sont conformes aux exigences pertinentes du présent règlement et peuvent être mis sur le marché ou mis en service dans l'Union conformément au présent règlement. La Commission confie la réalisation de ces essais ou évaluations à des organismes notifiés désignés conformément au présent règlement, auquel cas l'organisme notifié agit au nom de la Commission. Si un organisme notifié auquel la Commission a délégué des tâches au titre du présent paragraphe ne s'acquitte pas de ces tâches de manière satisfaisante, la Commission peut retirer la délégation avec effet immédiat.
  • Les redevances pour les activités d'essai et d'évaluation sont perçues auprès du fournisseur d'un système d'IA à haut risque qui a demandé à la Commission une évaluation de la conformité par un tiers. Le fournisseur paye directement à l'organisme notifié les coûts liés aux services confiés par la Commission aux organismes notifiés conformément au présent article.»;
• d) le paragraphe suivant est inséré:
  • «2 bis. Lorsqu'une autorité de surveillance du marché a des raisons fondées et suffisantes de suspecter qu'un fournisseur ou un déployeur d'un système d'IA visé au paragraphe 1 du présent article a enfreint le présent règlement, elle peut demander, par l'intermédiaire du point de contact unique pertinent désigné conformément à l'article 70, paragraphe 2, au Bureau de l'IA d'évaluer la question afin de prendre les mesures de surveillance et d'exécution nécessaires pour garantir le respect rapide du présent règlement. Une telle demande est dûment motivée et indique au moins:
    • a) le nom du fournisseur ou du déployeur concerné;
    • b) une description des faits pertinents, des dispositions du présent règlement qui auraient été enfreintes, ainsi que de toute raison fondée et suffisante de suspecter une infraction, y compris, le cas échéant, la description des effets négatifs de l'infraction alléguée;
    • c) l'autorité de surveillance du marché à l'origine de la demande.
  • Le Bureau de l'IA tient le plus grand compte de la demande et l'autorité de surveillance du marché coopère activement et fournit au Bureau de l'IA l'assistance nécessaire à l'exercice de ses pouvoirs, conformément au paragraphe 1 bis.
  • Le Bureau de l'IA informe le point de contact unique, sans retard injustifié et en tout état de cause au plus tard quatre mois après la réception de la demande, de son intention d'exercer ses pouvoirs conformément à l'article 75 bis ou des raisons pour lesquelles il ne le fait pas. Si le Bureau de l'IA décide d'exercer ses pouvoirs conformément à l'article 75 bis, il informe périodiquement ce point de contact unique des évolutions importantes de la procédure et de l'issue de celle-ci, sans divulguer d'informations confidentielles.».

32) Les articles suivants sont insérés:

«Article 75 bis
Pouvoirs de surveillance et de contrôle du Bureau de l'IA

1. Lorsqu'il effectue ses tâches de surveillance et de contrôle énoncées à l'article 75, paragraphe 1, du présent règlement, le Bureau de l'IA dispose de tous les pouvoirs d'une autorité de surveillance du marché prévus dans la présente section ainsi qu'à l'article 14, paragraphe 4, et à l'article 16, paragraphe 3, du règlement (UE) 2019/1020. Le Bureau de l'IA est autorisé à réclamer intégralement à l'opérateur concerné le paiement de la totalité des coûts liés à ses activités de surveillance et de contrôle déployées au regard de cas de non-conformité, y compris les coûts des ressources humaines et techniques, conformément à l'article 15 du règlement (UE) 2019/1020. L'article 17 du règlement (UE) 2019/1020 s'applique mutatis mutandis.

2. Lorsque le Bureau de l'IA a des motifs raisonnables de suspecter qu'un fournisseur ou un déployeur d'un système d'IA visé à l'article 75, paragraphe 1, du présent règlement ne se conforme pas au présent règlement, il peut adopter une décision d'engager une enquête sur cette non-conformité, conformément à l'article 14, paragraphe 4, point f), du règlement (UE) 2019/1020. Lorsqu'il engage cette enquête, le Bureau de l'IA informe l'opérateur du système d'IA concerné. Le Bureau de l'IA peut exercer les pouvoirs visés au paragraphe 1 du présent article de sa propre initiative ou à la suite d'une réclamation reçue conformément à l'article 85 du présent règlement, même avant d'engager une enquête conformément à l'article 14, paragraphe 4, point f), du règlement (UE) 2019/1020.

Lorsqu'une autorité de surveillance du marché a des raisons de suspecter qu'un fournisseur ou un déployeur d'un système d'IA visé à l'article 75, paragraphe 1, ne se conforme pas au présent règlement, elle peut envoyer une demande au Bureau de l'IA afin qu'il évalue la question.

3. Le Bureau de l'IA peut exercer les pouvoirs énumérés à l'article 14, paragraphe 4, points a), b) et c), du règlement (UE) 2019/1020 et à l'article 74, paragraphes 12 et 13, du présent règlement, sur simple demande ou sur décision.

Lorsqu'il demande des informations, le Bureau de l'IA indique la base juridique et l'objet de la demande, précise les informations requises et fixe le délai dans lequel ces informations doivent être fournies. Lorsqu'il s'agit d'une simple demande, le Bureau de l'IA indique également que, bien qu'il ne soit pas obligatoire de fournir les informations demandées, en cas de réponse volontaire, les informations doivent être exactes et non trompeuses, et il précise les éventuelles amendes prévues à l'article 99, paragraphe 5, en cas de fourniture d'informations inexactes ou trompeuses. Lorsque la demande fait suite à une décision, le Bureau de l'IA indique également les amendes prévues à l'article 99, paragraphe 5, en cas de fourniture d'informations inexactes, incomplètes ou trompeuses, et il indique le droit de recours ouvert devant la Cour de justice de l'Union européenne contre la décision. Le Bureau de l'IA envoie une copie de la demande à l'autorité de surveillance du marché de l'État membre sur le territoire duquel l'opérateur ou son représentant légal est établi.

4. Aux fins de l'exécution des tâches qui lui sont conférées dans le cadre de la présente section, le Bureau de l'IA peut procéder à toutes les inspections à distance ou sur place nécessaires, en vertu des pouvoirs énoncés à l'article 14, paragraphe 4, points d) et e), du règlement (UE) 2019/1020 et à l'article 74, paragraphe 5, du présent règlement. Lorsqu'il procède à une inspection, le Bureau de l'IA informe le fournisseur concerné de l'objet et du but de l'inspection, des amendes pertinentes visées à l'article 99, paragraphe 5, du présent règlement, et du droit de recours ouvert devant la Cour de justice de l'Union européenne contre la décision. Avant de procéder à une inspection, le Bureau de l'IA informe l'autorité de surveillance du marché de l'État membre sur le territoire duquel l'opérateur ou son représentant légal est établi.

Au cours de cette inspection, les agents du Bureau de l'IA sont habilités:

• a) à pénétrer dans tous les locaux commerciaux, sur tous les terrains ou dans tous les biens immobiliers de l'opérateur concerné situés dans l'Union;
• b) à examiner les livres, données et autres documents pertinents pour l'exécution de leurs tâches, quel que soit leur support;
• c) à prendre ou à obtenir sous quelque forme que ce soit une copie ou un extrait des livres, données et autres registres;
• d) à demander à toute personne faisant l'objet de l'inspection, ou à ses représentants ou à des membres de son personnel, de fournir oralement ou par écrit des explications sur des facteurs ou des documents en rapport avec l'objet et le but de l'inspection, et à enregistrer ses réponses;
• e) à apposer des scellés sur tous les locaux commerciaux et livres ou registres pendant la durée de l'inspection et dans la mesure où cela est nécessaire aux fins de celle-ci.

Lorsque le Bureau de l'IA constate qu'une personne physique ou morale s'oppose ou fait obstacle à une inspection, l'autorité nationale compétente de l'État membre concerné lui apporte l'assistance nécessaire en demandant, le cas échéant, l'assistance de la police ou d'une autorité répressive équivalente, afin de lui permettre de procéder à son inspection sur place.

Si une inspection sur place des locaux commerciaux, des terrains ou des biens immobiliers nécessite l'autorisation d'une autorité judiciaire conformément au droit national, le Bureau de l'IA demande cette autorisation. Cette autorisation peut également être demandée par le Bureau de l'IA à titre préventif. Lorsque cette autorisation est demandée, l'autorité judiciaire nationale vérifie rapidement que les mesures coercitives envisagées ne sont ni arbitraires ni excessives au regard de l'objet de l'enquête ou de l'inspection et des documents fournis par le Bureau de l'IA avec la décision. Lorsqu'elle vérifie la proportionnalité des mesures coercitives, l'autorité judiciaire nationale peut demander au Bureau de l'IA des explications détaillées, en particulier sur les motifs qui incitent le Bureau de l'IA à suspecter qu'une infraction au présent règlement a été commise, ainsi que sur la gravité de l'infraction suspectée et, le cas échéant, sur la nature de l'implication de la personne qui fait l'objet des mesures coercitives. L'autorité judiciaire nationale ne réexamine pas la nécessité de l'enquête ou de l'inspection ni n'exige la communication des renseignements figurant dans le dossier du Bureau de l'IA. Conformément aux traités, le contrôle de légalité de la décision du Bureau de l'IA relève de la seule compétence de la Cour de justice de l'Union européenne.

5. À la demande du Bureau de l'IA, l'autorité de surveillance du marché compétente d'un État membre peut exécuter sur son propre territoire toute enquête, inspection ou autre mesure d'enquête au nom et pour le compte du Bureau de l'IA afin d'établir une infraction au présent règlement. Les agents des autorités compétentes des États membres chargés d'exécuter ces enquêtes, inspections ou mesures d'enquête ainsi que les agents habilités ou nommés par celles-ci exercent leurs pouvoirs dans le respect du droit national.

6. Outre les pouvoirs énoncés au paragraphe 1 du présent article, le Bureau de l'IA, dans l'exercice de ses compétences visées à l'article 75, paragraphe 1, peut:

• a) ordonner aux opérateurs de donner accès à leurs systèmes d'IA, ainsi que de fournir des explications à leur sujet;
• b) obliger un opérateur à conserver l'ensemble des données et documents jugés nécessaires à l'évaluation de la mise en oeuvre et du respect des obligations au titre du présent règlement.

7. Afin de l'aider à surveiller la mise en oeuvre et le respect effectifs des dispositions pertinentes du présent règlement et de lui fournir une expertise ou des connaissances spécifiques dans l'exercice de ses compétences dans le cadre de l'article 75, paragraphe 1, le Bureau de l'IA peut désigner des experts et des auditeurs externes indépendants, ainsi que des experts, des équipes d'enquête et des auditeurs des autorités nationales compétentes avec l'accord de l'autorité concernée. Les informations obtenues grâce à ces mesures de surveillance sont communiquées aux autorités compétentes concernées des États membres.

8. Les informations recueillies en vertu du présent article ne sont utilisées qu'aux fins du présent règlement.

Article 75 ter
Engagements

Si, au cours d'une procédure dans le cadre de l'article 75 bis, paragraphe 2, l'opérateur concerné s'engage à veiller au respect des dispositions pertinentes du présent règlement, le Bureau de l'IA peut, par une décision, rendre ces engagements contraignants pour l'opérateur concerné et déclarer qu'il n'y a plus lieu d'agir. Le Bureau de l'IA peut rouvrir la procédure, sur demande ou de sa propre initiative, lorsque:

• a) l'un des faits sur lesquels la décision repose subit un changement important;
• b) l'opérateur agit contrairement à ses engagements; ou
• c) la décision repose sur des informations incomplètes, inexactes ou trompeuses fournies par l'opérateur concerné.

Si le Bureau de l'IA estime que les engagements proposés par l'opérateur concerné ne permettent pas de garantir le respect effectif des dispositions pertinentes du présent règlement, il rejette ces engagements dans une décision motivée lors de la clôture de la procédure.

Article 75 quater
Non-conformité, amendes et astreintes

1. Lorsque le Bureau de l'IA constate qu'un opérateur relevant du champ d'application de l'article 75, paragraphe 1, ne respecte pas les dispositions pertinentes du présent règlement ou les engagements rendus contraignants au titre de l'article 75 ter, il adopte une décision établissant cette non-conformité.

2. Avant d'adopter une décision en vertu du paragraphe 1, le Bureau de l'IA fait part de ses constatations préliminaires à l'opérateur concerné. Dans ses constatations préliminaires, le Bureau de l'IA explique les mesures qu'il envisage de prendre, ou que l'opérateur concerné devrait prendre, selon lui, afin de donner suite de manière effective aux constatations préliminaires.

3. Dans la décision adoptée en application du paragraphe 1 du présent article, le Bureau de l'IA ordonne à l'opérateur concerné, le cas échéant, de prendre les mesures nécessaires pour assurer le respect des dispositions pertinentes du présent règlement dans un délai raisonnable qui y est précisé et de fournir des informations relatives aux mesures que l'opérateur entend adopter pour se mettre en conformité avec la décision. L'opérateur concerné fournit au Bureau de l'IA une description des mesures qu'il a prises pour assurer le respect de la décision lors de leur mise en oeuvre. Avant de demander une mesure, le Bureau de l'IA peut entamer un dialogue structuré avec l'opérateur du système d'IA concerné. Au cours de ce dialogue, l'opérateur peut proposer des engagements conformément à l'article 75 ter.

4. Une décision adoptée en vertu du paragraphe 1 du présent article peut s'accompagner de l'imposition de sanctions conformément à l'article 99, paragraphes 3 à 7, dont les dispositions s'appliquent mutatis mutandis au Bureau de l'IA dans l'exécution de ses tâches de surveillance et de contrôle visées à l'article 75, paragraphe 1.

En particulier, fait l'objet d'une amende administrative visée à l'article 99, paragraphe 4:

• a) la violation de toute disposition applicable du présent règlement, y compris les dispositions qui ne sont pas énumérées à l'article 99, paragraphe 4;
• b) le non-respect des décisions ou des mesures adoptées conformément aux pouvoirs énumérés à l'article 14, paragraphe 4, ou à l'article 16, paragraphe 3, du règlement (UE) 2019/1020, ainsi qu'aux pouvoirs précisés à l'article 75 bis du présent règlement;
• c) le non-respect d'un engagement rendu contraignant par voie de décision en vertu de l'article 75 ter.

La fourniture d'informations inexactes, incomplètes ou trompeuses au Bureau de l'IA en réponse à une demande fait l'objet d'une amende administrative visée à l'article 99, paragraphe 5.

5. Le Bureau de l'IA peut adopter une décision imposant des astreintes afin de forcer les opérateurs qui relèvent de sa compétence en vertu de l'article 75, paragraphe 1:

• a) à se soumettre à une enquête;
• b) à donner suite à une demande d'informations ordonnée par voie de décision adoptée au titre de l'article 75 bis, paragraphe 3;
• c) à se soumettre à une inspection ordonnée par voie de décision prise en vertu de l'article 75 bis, paragraphe 4;
• d) à fournir des réponses ou des explications exactes ou complètes dans le contexte d'une inspection ordonnée par voie de décision prise en vertu de l'article 75 bis, paragraphe 4;
• e) à se conformer aux mesures correctives ordonnées en vertu des pouvoirs énumérés à l'article 16 du règlement (UE) 2019/1020;
• f) à respecter les engagements rendus juridiquement contraignants par décision en vertu de l'article 75 ter; ou
• g) à se conformer à une décision en vertu du paragraphe 1 du présent article.

Ces astreintes sont effectives et proportionnées et, le cas échéant, elles n'excèdent pas 5 % du revenu journalier moyen ou du chiffre d'affaires annuel mondial au cours de l'exercice précédent par jour, à compter de la date précisée dans la décision concernée.

6. La Cour de justice de l'Union européenne statue avec compétence de pleine juridiction sur les recours formés contre les décisions du Bureau de l'IA d'infliger une amende ou une astreinte en vertu du présent article. Elle peut supprimer, réduire ou majorer l'amende ou l'astreinte infligée.

7. Les fonds collectés en imposant des amendes ou des astreintes en vertu du présent article contribuent au budget général de l'Union.

8. Les pouvoirs conférés au Bureau de l'IA par le présent article sont soumis à un délai de prescription de cinq ans. Le délai de prescription court à compter du jour où l'infraction a été commise. Toutefois, en cas d'infractions continues ou répétées, le délai de prescription ne court qu'à compter du jour où l'infraction prend fin.

Le pouvoir du Bureau de l'IA d'exécuter les décisions prises en vertu du présent article est soumis à un délai de prescription de cinq ans. Le délai de prescription court à compter du jour où la décision est devenue définitive.

L'acte d'exécution visé à l'article 75 quinquies, paragraphe 3, précise les premier et deuxième alinéas du présent paragraphe, y compris les circonstances dans lesquelles les délais de prescription sont interrompus.

9. Lorsque le Bureau de l'IA conclut qu'il n'existe aucun motif pour adopter une décision de non-conformité, il clôt la procédure au moyen d'une décision. Cette décision est applicable avec effet immédiat.

Article 75 quinquies
Garanties et autres précisions

1. L'article 18 du règlement (UE) 2019/1020 s'applique mutatis mutandis aux opérateurs relevant de la compétence du Bureau de l'IA en vertu de l'article 75, paragraphe 1, du présent règlement, sans préjudice des droits procéduraux plus spécifiques prévus par le présent règlement.

2. Le droit de la défense et le droit d'accès au dossier des opérateurs relevant du champ d'application de l'article 75, paragraphe 1, sont pleinement respectés au cours des procédures. Compte tenu de l'adoption possible de décisions sur le fondement de l'article 75 quater, paragraphe 1, ces opérateurs ont le droit d'avoir accès au dossier du Bureau de l'IA dans le cadre des modalités de divulgation négociée, sous réserve de l'intérêt légitime de l'opérateur ou de l'autre personne concernée à ce que ses secrets d'affaires soient protégés. Le Bureau de l'IA est habilité à adopter des décisions fixant ces modalités de divulgation en cas de désaccord entre les parties. Le droit d'accès au dossier ne s'étend pas aux informations confidentielles et aux documents internes du Bureau de l'IA, du Comité IA, des autorités de surveillance du marché compétentes ou d'autres autorités publiques des États membres. En particulier, le droit d'accès ne s'étend pas à la correspondance entre le Bureau de l'IA et ces autorités. Aucune disposition du présent paragraphe n'empêche le Bureau de l'IA de divulguer et d'utiliser des informations nécessaires pour apporter la preuve d'une infraction.

3. La Commission peut adopter des actes d'exécution concernant les modalités pratiques d'accès au dossier et la divulgation négociée d'informations prévue au paragraphe 2.

4. Le Bureau de l'IA publie les décisions qu'il adopte en application des articles 75 ter et 75 quater. Cette publication mentionne le nom des parties intéressées et l'essentiel de la décision, y compris les sanctions imposées. La publication tient compte des droits et des intérêts légitimes de toutes les personnes concernées à ce que leurs informations confidentielles ne soient pas divulguées.».

33) À l'article 76, paragraphe 1, l'alinéa suivant est ajouté:

• «Lorsque les essais en conditions réelles sont fondés sur l'article 60 bis, toute référence à une autorité de surveillance du marché au présent article s'entend comme une référence à l'autorité nationale compétente ou à l'autorité appropriée au titre des législations d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, et les références à l'article 60 s'entendent comme des références à l'article 60 bis, le cas échéant.».

34) L'article 77 est modifié comme suit:

• a) le titre est remplacé par le texte suivant:
  • « Pouvoirs des autorités de protection des droits fondamentaux et coopération avec les autorités de surveillance du marché»;
• b) le paragraphe 1 est remplacé par le texte suivant:
  • «1. Les autorités ou organismes publics nationaux qui supervisent ou font respecter les obligations au titre du droit de l'Union visant à protéger les droits fondamentaux, y compris le droit à la non-discrimination, sont habilités à demander à l'autorité de surveillance du marché concernée en vertu du présent règlement toute information ou documentation créée ou conservée, et d'y accéder, dans une langue et un format lisible par machine accessibles, par voie électronique, lorsque l'accès à ces informations ou à cette documentation est nécessaire à l'accomplissement effectif de leur mandat dans les limites de leurs compétences. Le présent article est sans préjudice des compétences, des tâches, des pouvoirs et de l'indépendance des autorités ou organismes publics nationaux compétents dans le cadre de leurs mandats.»;
• c) les paragraphes suivants sont insérés:
  • «1 bis. Sous réserve des conditions précisées dans le présent article, l'autorité de surveillance du marché accorde à l'autorité publique ou à l'organisme public concerné visé au paragraphe 1 l'accès à ces informations ou à cette documentation, y compris en demandant ces informations ou cette documentation au fournisseur ou au déployeur, si nécessaire et sans retard injustifié.
  • 1 ter. Les autorités de surveillance du marché et les autorités ou organismes publics visés au paragraphe 1 coopèrent étroitement et se prêtent mutuellement l'assistance nécessaire à l'exercice de leurs mandats respectifs, en vue d'assurer une application cohérente du présent règlement et du droit de l'Union en matière de protection des droits fondamentaux et de rationalisation des procédures dans le respect de leurs compétences, tâches, pouvoirs et indépendance respectifs. Cela inclut, en particulier, l'échange d'informations lorsque cela est nécessaire à la surveillance ou au contrôle de l'application effectifs du présent règlement et des autres actes législatifs respectifs de l'Union.».

35) À l'article 95, le paragraphe 4 est remplacé par le texte suivant:

• «4. Le Bureau de l'IA et les États membres prennent en considération les intérêts et les besoins spécifiques des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation lorsqu'ils encouragent et facilitent l'élaboration de codes de conduite.».

36) À l'article 96, le paragraphe 1 est modifié comme suit:

• a) au premier alinéa, le point a) est remplacé par le texte suivant:
  • «a) l'application des exigences et obligations visées aux articles 8 à 15 et aux articles 25 et 26;»;
• b) au premier alinéa, le point suivant est ajouté:
  • «g) la mise en oeuvre pratique de l'article 8, paragraphe 2, de l'article 9, paragraphe 10, et de l'article 17, paragraphe 3, conformément au principe de complémentarité et de proportionnalité, en vue d'assurer la cohérence, d'éviter les duplications et de réduire à un minimum les charges supplémentaires lors de la mise en conformité avec les exigences du présent règlement et avec les exigences de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A; ces lignes directrices sont publiées le 1er août 2027 au plus tard.»;
• c) le deuxième alinéa est remplacé par le texte suivant:
  • « Lorsqu'elle publie ces lignes directrices, la Commission associe le Comité et accorde une attention particulière aux besoins des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, des pouvoirs publics locaux et des secteurs les plus susceptibles d'être affectés par le présent règlement.».

37) L'article 97 est modifié comme suit:

• a) les paragraphes 2 et 3 sont remplacés par le texte suivant:
  • «2. Le pouvoir d'adopter des actes délégués visé à l'article 6, paragraphes 6 et 7, à l'article 7, paragraphes 1 et 3, à l'article 11, paragraphe 3, à l'article 43, paragraphes 5 et 6, à l'article 47, paragraphe 5, à l'article 51, paragraphe 3, à l'article 52, paragraphe 4, et à l'article 53, paragraphes 5 et 6, est conféré à la Commission pour une période de cinq ans à compter du 1er août 2024. Le pouvoir d'adopter des actes délégués visé à l'article 2, paragraphe 13, et à l'article 30, paragraphe 2, est conféré à la Commission pour une période de cinq ans à compter du 27 juillet 2026. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d'une durée identique, sauf si le Parlement européen ou le Conseil s'oppose à cette prorogation trois mois au plus tard avant la fin de chaque période.
  • 3.La délégation de pouvoir visée à l'article 2, paragraphe 13, à l'article 6, paragraphes 6 et 7, à l'article 7, paragraphes 1 et 3, à l'article 11, paragraphe 3, à l'article 30, paragraphe 2, à l'article 43, paragraphes 5 et 6, à l'article 47, paragraphe 5, à l'article 51, paragraphe 3, à l'article 52, paragraphe 4, et à l'article 53, paragraphes 5 et 6, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.»;
• b) le paragraphe 6 est remplacé par le texte suivant:
  • «6) Un acte délégué adopté en vertu de l'article 2, paragraphe 13, de l'article 6, paragraphe 6 ou 7, de l'article 7, paragraphe 1 ou 3, de l'article 11, paragraphe 3, de l'article 30, paragraphe 2, de l'article 43, paragraphe 5 ou 6, de l'article 47, paragraphe 5, de l'article 51, paragraphe 3, de l'article 52, paragraphe 4, ou de l'article 53, paragraphe 5 ou 6, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de trois mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de trois mois à l'initiative du Parlement européen ou du Conseil.».

38) L'article 99 est modifié comme suit:

• a) le paragraphe 1 est remplacé par le texte suivant:
  • «1. Conformément aux conditions établies dans le présent règlement, les États membres déterminent le régime des sanctions et autres mesures d'exécution, qui peuvent également comprendre des amendes administratives, des avertissements et des mesures non monétaires, applicables à toute violation du présent règlement commise par des opérateurs, et prennent toute mesure nécessaire pour veiller à la mise en oeuvre correcte et effective de ces sanctions, tenant ainsi compte des lignes directrices publiées par la Commission en vertu de l'article 96. Ces sanctions doivent être effectives, proportionnées et dissuasives. Lorsqu'ils imposent des sanctions, les États membres tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique.»;
• b) au paragraphe 4, le point suivant est inséré:
  • «d bis) les obligations incombant aux fournisseurs et aux opérateurs en vertu de l'article 25, paragraphes 2 et 4;»;
• c) le paragraphe suivant est inséré:
  • «6 bis. Dans le cas des petites entreprises à moyenne capitalisation, chaque amende visée aux paragraphes 4 et 5 s'élève au maximum aux pourcentages ou montants qui y sont visés, le chiffre le plus faible étant retenu.».

39) L'article 111 est modifié comme suit:

• a) le paragraphe 2 est remplacé par le texte suivant:
  • «2. Sans préjudice de l'application de l'article 5 visée à l'article 113, troisième alinéa, point a), le présent règlement s'applique aux opérateurs de systèmes d'IA à haut risque, autres que les systèmes visés au paragraphe 1 du présent article, qui ont été mis sur le marché ou mis en service avant la date d'application du chapitre III visée à l'article 113, uniquement si, à compter de cette date, ces systèmes subissent d'importantes modifications de leurs conceptions. En tout état de cause, les fournisseurs et les déployeurs de systèmes d'IA à haut risque destinés à être utilisés par des autorités publiques prennent les mesures nécessaires pour se conformer aux exigences et obligations prévues dans le présent règlement au plus tard le 2 août 2030.»;
• b) le paragraphe suivant est ajouté:
  • «4. Les fournisseurs de systèmes d'IA, y compris les systèmes d'IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, qui ont été mis sur le marché avant le 2 août 2026 prennent les mesures nécessaires pour se conformer à l'article 50, paragraphe 2, d'ici au 2 décembre 2026.».

40) À l'article 113, le troisième alinéa est modifié comme suit:

• a) le point a) est remplacé par le texte suivant:
  • «a) les chapitres I et II s'appliquent à partir du 2 février 2025, à l'exception de l'article 5, paragraphe 1, premier alinéa, points b bis) et b ter), et de l'article 5, paragraphes 1 bis et 1 ter, qui s'appliquent à partir du 2 décembre 2026;»;
• b) le point c) est remplacé par le texte suivant:
  • «c) le chapitre III, sections 1, 2 et 3, à l'exception de l'article 6, paragraphe 5, s'applique à partir:
    • i) du 2 décembre 2027 en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III; et
    • ii) du 2 août 2028 en ce qui concerne les systèmes d'IA classés à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I.»;
• c) le point suivant est ajouté:
  • «d) les articles 102 à 110 sont applicables à partir du 27 juillet 2026.».

41) L'annexe I est modifiée comme suit:

• a) à la section A, le point 1 est supprimé;
• b) à la section B, le point suivant est ajouté:
  • «21. Règlement (UE) 2023/1230 du Parlement européen et du Conseil du 14 juin 2023 sur les machines, abrogeant la directive 2006/42/CE du Parlement européen et du Conseil et la directive 73/361/CEE du Conseil (JO L 165 du 29.6.2023, p. 1, ELI: http://data.europa.eu/eli/reg/2023/1230/oj).».

42) À l'annexe VIII, section B, les points 7 et 9 sont supprimés.

43) L'annexe suivante est ajoutée:

«Annexe XIV
Liste des codes, des catégories et des types correspondants de systèmes d'IA aux fins de la procédure de notification visée à l'article 30, précisant le champ d'application de la désignation en tant qu'organismes notifiés

1. Introduction

L'évaluation de la conformité des systèmes d'IA à haut risque en vertu du présent règlement peut nécessiter l'intervention d'organismes d'évaluation de la conformité. Seuls les organismes d'évaluation de la conformité qui ont été désignés conformément au présent règlement peuvent effectuer des évaluations de la conformité et uniquement pour les activités liées aux types de systèmes d'IA concernés. La liste des codes, des catégories et des types correspondants de systèmes d'IA définit le champ d'application de la désignation des organismes d'évaluation de la conformité notifiés en vertu de l'article 30.

2. Liste des codes, des catégories et des systèmes d'IA correspondants

• a) Systèmes d'IA relevant de l'annexe I

  • Code AIA
    AIP 0102	Systèmes d'IA relevant de l'annexe I, section A, point 2
    AIP 0103	Systèmes d'IA relevant de l'annexe I, section A, point 3
    AIP 0104	Systèmes d'IA relevant de l'annexe I, section A, point 4
    AIP 0105	Systèmes d'IA relevant de l'annexe I, section A, point 5
    AIP 0106	Systèmes d'IA relevant de l'annexe I, section A, point.6
    AIP 0107	Systèmes d'IA relevant de l'annexe I, section A, point 7
    AIP 0108	Systèmes d'IA relevant de l'annexe I, section A, point 8
    AIP 0109	Systèmes d'IA relevant de l'annexe I, section A, point 9
    AIP 0110	Systèmes d'IA relevant de l'annexe I, section A, point 10
    AIP 0111	Systèmes d'IA relevant de l'annexe I, section A, point 11
    AIP 0112	Systèmes d'IA relevant de l'annexe I, section A, point 12

• b) Systèmes d'IA relevant de l'annexe III, point 1

  • Code AIA
    AIB 0201	Systèmes d'identification biométrique à distance
    AIB 0202	Systèmes d'IA pour la catégorisation biométrique
    AIB 0203	Systèmes d'IA pour la reconnaissance des émotions

3. Codes spécifiques à la technologie de l'IA

• a) IA symbolique et systèmes experts

  • Code AIA
    AIH 0101	Systèmes d'IA fondés sur l'IA symbolique, les systèmes experts et les systèmes fondés sur les connaissances, et systèmes d'IA fondés sur la recherche et l'optimisation

• b) Apprentissage automatique, à l'exclusion de l'IA générative et de l'IA à usage général

  • Code AIA
    AIH 0201	Systèmes d'IA qui traitent des données structurées
    AIH 0202	Systèmes d'IA qui traitent des signaux et des données audio
    AIH 0203	Systèmes d'IA qui traitent des données textuelles
    AIH 0204	Systèmes d'IA qui traitent des images et des vidéos
    AIH 0205	Systèmes d'IA qui tirent des enseignements de leur environnement, à l'exclusion des systèmes d'IA couverts par le code AIH 0401

• c) Systèmes d'IA fondés sur des modèles d'IA à usage général ou l'IA générative

  • Code AIA
    AIH 0301	Systèmes d'IA générative, y compris les systèmes d'IA fondés sur des modèles d'IA à usage général

• d) Technologies d'IA émergentes

  • Code AIA
    AIH 0401	Systèmes d'IA fondés sur d'autres technologies d'IA émergentes non couvertes par d'autres codes, notamment l'IA agentique

4. Demande de notification

Les organismes d'évaluation de la conformité utilisent les listes de codes, de catégories et de types correspondants de systèmes d'IA figurant dans la présente annexe lorsqu'ils précisent les types de systèmes d'IA dans la demande de notification visée à l'article 29.».

Article 2
Modifications du règlement (UE) 2018/1139

Le règlement (UE) 2018/1139 est modifié comme suit:

1) À l'article 27, le paragraphe suivant est ajouté:

• «3. Sans préjudice du paragraphe 2, lors de l'adoption d'actes d'exécution en vertu du paragraphe 1 en ce qui concerne les systèmes d'intelligence artificielle (IA) qui sont des composants de sécurité au sens du règlement (UE) 2024/1689 du Parlement européen et du Conseil (*), il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.

(*) Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n°300/2008, (UE) n°167/2013, (UE) n°168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l'intelligence artificielle) (JO L, 2024/1689, 12.7.2024, ELI: http:// data.europa.eu/eli/reg/2024/1689/oj).».

2) À l'article 31, le paragraphe suivant est ajouté:

• «3. Sans préjudice du paragraphe 2, lors de l'adoption d'actes d'exécution en vertu du paragraphe 1 en ce qui concerne les systèmes d'IA qui sont des composants de sécurité au sens du règlement (UE) 2024/1689, il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.».

3) À l'article 32, le paragraphe suivant est ajouté:

• «3. Lors de l'adoption d'actes délégués en vertu du paragraphe 1 en ce qui concerne les systèmes d'IA qui sont des composants de sécurité au sens du règlement (UE) 2024/1689, il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.».

4) À l'article 36, le paragraphe suivant est ajouté:

• «3. Sans préjudice du paragraphe 2, lors de l'adoption d'actes d'exécution en vertu du paragraphe 1 en ce qui concerne les systèmes d'IA qui sont des composants de sécurité au sens du règlement (UE) 2024/1689, il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.».

5) À l'article 39, le paragraphe suivant est ajouté:

• «3. Lors de l'adoption d'actes délégués en vertu du paragraphe 1 en ce qui concerne les systèmes d'IA qui sont des composants de sécurité au sens du règlement (UE) 2024/1689, il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.».

6) À l'article 50, le paragraphe suivant est ajouté:

• «3. Sans préjudice du paragraphe 2, lors de l'adoption d'actes d'exécution en vertu du paragraphe 1 en ce qui concerne les systèmes d'IA qui sont des composants de sécurité au sens du règlement (UE) 2024/1689, il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.».

7) À l'article 53, le paragraphe suivant est ajouté:

• «3. Sans préjudice du paragraphe 2, lors de l'adoption d'actes d'exécution en vertu du paragraphe 1 en ce qui concerne les systèmes d'IA qui sont des composants de sécurité au sens du règlement (UE) 2024/1689, il est tenu compte des exigences énoncées au chapitre III, section 2, dudit règlement.».

Article 3
Modifications du règlement (UE) 2023/1230

Le règlement (UE) 2023/1230 est modifié comme suit:

1) À l'article 8, les alinéas suivants sont ajoutés:

• «La Commission adopte des actes délégués conformément à l'article 47 du présent règlement afin de modifier l'annexe III du présent règlement en ajoutant des exigences de santé et de sécurité en ce qui concerne les systèmes d'intelligence artificielle (IA) classés à haut risque en vertu de l'article 6, paragraphe 1, du règlement (UE) 2024/1689 du Parlement européen et du Conseil (*) parce qu'ils sont des composants de sécurité d'un produit couvert par le présent règlement, ou parce qu'ils sont eux-mêmes un produit couvert par le présent règlement. Ces exigences veillent à refléter les exigences pertinentes énoncées au chapitre III, section 2, et aux articles 17, 19, 72 et 73 du règlement (UE) 2024/1689.
• Lorsqu'elle adopte les actes délégués visés au troisième alinéa, la Commission tient compte des objectifs du règlement (UE) 2024/1689 et assure un niveau de protection cohérent avec ledit règlement. Ces actes délégués sont applicables le 2 août 2028 au plus tard.

(*) Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n°300/2008, (UE) n°167/2013, (UE) n°168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l'intelligence artificielle) (JO L, 2024/1689, 12.7.2024, ELI: http:// data.europa.eu/eli/reg/2024/1689/oj).».

2) À l'article 20, le paragraphe suivant est ajouté:

• «10. Jusqu'à ce que des normes harmonisées ou des spécifications communes aient été référencées ou adoptées en vertu du présent article en ce qui concerne les systèmes d'IA à haut risque, les systèmes d'IA à haut risque qui relèvent du champ d'application du présent règlement et qui sont conformes aux normes harmonisées pertinentes référencées à l'article 40 du règlement (UE) 2024/1689 ou aux spécifications communes adoptées en vertu de l'article 41 de ce même règlement, sont présumés conformes aux exigences essentielles de santé et de sécurité énoncées à l'annexe III du présent règlement en ce qui concerne les systèmes d'IA à haut risque.».

3) L'article 47 est modifié comme suit:

• a) les paragraphes 2 et 3 sont remplacés par le texte suivant:
  • «2. Le pouvoir d'adopter des actes délégués visé à l'article 6, paragraphes 2 et 11, et à l'article 7, paragraphe 2, est conféré à la Commission pour une période de cinq ans à compter du 19 juillet 2023. Le pouvoir d'adopter des actes délégués visé à l'article 8, paragraphe 3, est conféré à la Commission pour une période de cinq ans à compter du 27 juillet 2026. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d'une durée identique, sauf si le Parlement européen ou le Conseil s'oppose à cette prorogation trois mois au plus tard avant la fin de chaque période.
  • 3. La délégation de pouvoir visée à l'article 6, paragraphes 2 et 11, à l'article 7, paragraphe 2, et à l'article 8, troisième alinéa, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.»;
• b) le paragraphe 6 est remplacé par le texte suivant:
  • «6. Un acte délégué adopté en vertu de l'article 6, paragraphes 2 et 11, de l'article 7, paragraphe 2, ou de l'article 8, troisième alinéa, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de trois mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de trois mois à l'initiative du Parlement européen ou du Conseil.».

Article 4
Entrée en vigueur et application

Le présent règlement entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.

Fait à Strasbourg, le 8 juillet 2026.

Par le Parlement européen
La présidente
R. METSOLA

Par le Conseil
Le président
T. BYRNE
                
(1) JO C, C/2026/2285, 15.4.2026, ELI: http://data.europa.eu/eli/C/2026/2285/oj.
(2) Avis du 18 mars 2026 (non encore paru au Journal officiel).
(3) Avis du 7 mai 2026 (non encore paru au Journal officiel).
(4) Position du Parlement européen du 16 juin 2026 (non encore parue au Journal officiel) et décision du Conseil du 29 juin 2026.
(5) Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n°300/2008, (UE) n°167/2013, (UE) n°168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l'intelligence artificielle) (JO L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj).
(6) Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises (JO L 124 du 20.5.2003, p. 36, ELI: http://data.europa.eu/eli/reco/2003/361/oj).
(7) Recommandation (UE) 2025/1099 de la Commission du 21 mai 2025 concernant la définition des petites entreprises à moyenne capitalisation (JO L, 2025/1099, 28.5.2025, ELI: http://data.europa.eu/eli/reco/2025/1099/oj).
(8) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(9) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE (JO L 295 du 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(10) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89, ELI: http://data.europa.eu/eli/dir/ 2016/680/oj).
(11) Directive 2011/93/UE du Parlement européen et du Conseil du 13 décembre 2011 relative à la lutte contre les abus sexuels et l'exploitation sexuelle des enfants, ainsi que la pédopornographie et remplaçant la décision-cadre 2004/68/JAI du Conseil (JO L 335 du 17.12.2011, p. 1, ELI: http://data.europa.eu/eli/dir/2011/93/oj).
(12) Directive (UE) 2024/1385 du Parlement européen et du Conseil du 14 mai 2024 sur la lutte contre la violence à l'égard des femmes et la violence domestique (JO L, 2024/1385, 24.5.2024, ELI: http://data.europa.eu/eli/dir/2024/1385/oj).
(13) Règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, modifiant la directive 2001/83/CE, le règlement (CE) n°178/2002 et le règlement (CE) n°1223/2009 et abrogeant les directives du Conseil 90/385/CEE et 93/42/CEE (JO L 117 du 5.5.2017, p. 1, ELI: http://data.europa.eu/eli/reg/2017/745/oj).
(14) Règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux de diagnostic in vitro et abrogeant la directive 98/79/CE et la décision 2010/227/UE de la Commission (JO L 117 du 5.5.2017, p. 176, ELI: http:// data.europa.eu/eli/reg/2017/746/oj).
(15) Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n°168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience) (JO L, 2024/2847, 20.11.2024, ELI: http://data.europa. eu/eli/reg/2024/2847/oj).
(16) Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) (JO L 277 du 27.10.2022, p. 1, ELI: http:// data.europa.eu/eli/reg/2022/2065/oj).
(17) Règlement (UE) 2019/1020 du Parlement européen et du Conseil du 20 juin 2019 sur la surveillance du marché et la conformité des produits, et modifiant la directive 2004/42/CE et les règlements (CE) n°765/2008 et (UE) n°305/2011 (JO L 169 du 25.6.2019, p. 1, ELI: http://data.europa.eu/eli/reg/2019/1020/oj).
(18) Règlement (UE) 2023/1230 du Parlement européen et du Conseil du 14 juin 2023 sur les machines, abrogeant la directive 2006/42/CE du Parlement européen et du Conseil et la directive 73/361/CEE du Conseil (JO L 165 du 29.6.2023, p. 1, ELI: http:// data.europa.eu/eli/reg/2023/1230/oj).
(19) Règlement (UE) 2018/1139 du Parlement européen et du Conseil du 4 juillet 2018 concernant des règles communes dans le domaine de l'aviation civile et instituant une Agence de l'Union européenne pour la sécurité aérienne, et modifiant les règlements (CE) n°2111/2005, (CE) n°1008/2008, (UE) n°996/2010, (UE) n°376/2014 et les directives 2014/30/UE et 2014/53/UE du Parlement européen et du Conseil, et abrogeant les règlements (CE) n°552/2004 et (CE) n°216/2008 du Parlement européen et du Conseil ainsi que le règlement (CEE) n°3922/91 du Conseil (JO L 212 du 22.8.2018, p. 1, ELI: http://data.europa.eu/eli/reg/2018/ 1139/oj).
(20) JO L 123 du 12.5.2016, p. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.