Le règlement (UE) 2024/1689 est modifié comme suit:
1) À l'article 1er, paragraphe 2, le point g) est remplacé par le texte suivant:
«g) des mesures visant à soutenir l'innovation, en mettant particulièrement l'accent sur les petites entreprises à moyenne capitalisation et les petites et moyennes entreprises (PME), y compris les jeunes pousses.».
2) L'article 2 est modifié comme suit:
a) le paragraphe 2 est remplacé par le texte suivant:
«2.
En ce qui concerne les systèmes d'IA classés à haut risque conformément à l'article 6, paragraphe 1, liés aux produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, seuls l'article 6, paragraphe 1, l'article 60 bis, et les articles 102 à 112 s'appliquent. Les articles 57, 58 et 59 ne s'appliquent que dans la mesure où les exigences applicables aux systèmes d'IA à haut risque au titre du présent règlement ont été intégrées dans ladite législation d'harmonisation de l'Union.»
;
b) le paragraphe 7 est remplacé par le texte suivant:
«7.
Le droit de l'Union en matière de protection des données à caractère personnel, de respect de la vie privée et de confidentialité des communications s'applique aux données à caractère personnel traitées en lien avec les droits et obligations énoncés dans le présent règlement. Sans préjudice des articles 4 bis et 59 du présent règlement, le présent règlement n'a pas d'incidence sur le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ni sur la directive 2002/58/CE ou la directive (UE) 2016/680.».
3) À l'article 2, le paragraphe suivant est ajouté:
«13.
Pour les systèmes d'IA à haut risque visés à l'article 6, paragraphe 1, l'application des exigences ou obligations spécifiques établies aux articles 9 à 15 et 17 à 25 peut être limitée lorsque et dans la mesure où:
a) la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, établit des exigences ou des obligations prévoyant un niveau de protection de la santé, de la sécurité ou des droits fondamentaux équivalent ou supérieur à celui prévu par l'exigence ou l'obligation concernée; et
b) une telle limitation ne réduit pas le niveau global de protection prévu par le présent règlement.
Au plus tard le 2 août 2027, la Commission adopte des actes délégués conformément à l'article 97 afin de compléter le présent règlement afin de préciser les systèmes d'IA à haut risque concernés, les exigences ou obligations qui peuvent être limitées, les conditions dans lesquelles cette limitation s'applique et la portée de la limitation.».
4) L'article 3 est modifié comme suit:
a) le point 14) est modifié comme suit:
«14) “composant de sécurité”, un composant d'un produit ou d'un système d'IA qui remplit une fonction de sécurité pour ce produit ou ce système d'IA, ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens; aux fins de la présente définition, un composant remplit une fonction de sécurité lorsque sa destination est de prévenir ou d'atténuer les risques pour la santé et la sécurité des personnes ou des biens;»
;
b) les points suivants sont insérés:
«14 bis) “micro, petite ou moyenne entreprise” ou “PME”, une micro, petite ou moyenne entreprise telle qu'elle est définie à l'article 2 de l'annexe de la recommandation 2003/361/CE;
14 ter) “petite entreprise à moyenne capitalisation”, une petite entreprise à moyenne capitalisation telle que définie au point 2 de l'annexe de la recommandation (UE) 2025/1099;».
5) L'article 4 est remplacé par le texte suivant:
«Article 4
Maîtrise de l'IA
1. Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu.
2. La Commission et les États membres soutiennent et facilitent les efforts déployés par les fournisseurs et les déployeurs de systèmes d'IA, en particulier les PME, pour s'acquitter de l'obligation qui leur incombe en vertu du paragraphe 1 du présent article. À cette fin, la Commission publie des exemples pratiques sur la manière de respecter cette obligation sur la plateforme d'information unique visée à l'article 62, paragraphe 3, point b).
3. Le Comité IA adopte des recommandations, en tenant compte des cadres européens de compétences, afin d'aider la Commission et les États membres à promouvoir la maîtrise de l'IA requise au titre du paragraphe 1, y compris en fixant des objectifs communs.».
6) L'article suivant est inséré:
«Article 4 bis
Traitement de catégories particulières de données à caractère personnel à des fins de détection et de correction des biais
1. Dans la mesure strictement nécessaire à la détection et à la correction des biais en ce qui concerne les systèmes d'IA à haut risque, conformément à l'article 10, paragraphe 2, points f) et g), du présent règlement, les fournisseurs de ces systèmes peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel, sous réserve de garanties appropriées pour les droits et libertés fondamentaux des personnes physiques. Outre les dispositions prévues dans les règlements (UE) 2016/679 et (UE) 2018/1725 et dans la directive (UE) 2016/680, selon le cas, toutes les conditions suivantes doivent être réunies pour que ce traitement puisse avoir lieu:
a) la détection et la correction des biais ne peuvent être satisfaites de manière efficace en traitant d'autres données, y compris des données synthétiques ou anonymisées;
b) les catégories particulières de données à caractère personnel sont soumises à des limitations techniques relatives à la réutilisation des données à caractère personnel, ainsi qu'aux mesures les plus avancées en matière de sécurité et de protection de la vie privée, y compris la pseudonymisation;
c) les catégories particulières de données à caractère personnel font l'objet de mesures visant à garantir que les données à caractère personnel traitées sont sécurisées, protégées et soumises à des garanties appropriées, y compris des contrôles stricts et une documentation de l'accès, afin d'éviter toute mauvaise utilisation et de veiller à ce que seules les personnes autorisées aient accès à ces données à caractère personnel, avec des obligations de confidentialité appropriées;
d) les catégories particulières de données à caractère personnel ne sont pas transmises, transférées ou consultées d'une autre manière par d'autres parties;
e) les catégories particulières de données à caractère personnel sont supprimées une fois que le biais a été corrigé ou que la période de conservation des données à caractère personnel a expiré, selon celle de ces deux échéances qui arrive en premier; et
f) les registres des activités de traitement en vertu des règlements (UE) 2016/679 et (UE) 2018/1725 et de la directive (UE) 2016/680 comprennent les raisons pour lesquelles le traitement des catégories particulières de données à caractère personnel était strictement nécessaire pour détecter et corriger les biais, ainsi que la raison pour laquelle cet objectif n'a pas pu être atteint par le traitement d'autres données.
2. Les fournisseurs et les déployeurs d'autres systèmes et modèles d'IA et les déployeurs de systèmes d'IA à haut risque peuvent exceptionnellement traiter des catégories particulières de données à caractère personnel dans la mesure où:
a) un tel traitement est strictement nécessaire pour assurer la détection et la correction d'éventuels biais susceptibles de porter atteinte à la santé et à la sécurité des personnes, d'avoir une incidence négative sur les droits fondamentaux ou de conduire à une discrimination interdite en vertu du droit de l'Union, en particulier lorsque les données de sortie influencent les entrées pour les opérations futures; et
b) toutes les conditions et garanties énoncées au paragraphe 1 sont remplies.
Le présent paragraphe ne crée aucune obligation de procéder à cette détection et à cette correction des biais.».
7) L'article 5 est modifié comme suit:
a) au paragraphe 1, premier alinéa, les points suivants sont insérés:
«b bis) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui génère ou manipule des images, des vidéos, des contenus audio ou tout autre matériel similaire réalistes représentant les parties intimes d'une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans le consentement libre, spécifique, éclairé, univoque et explicite de cette personne pour cette production ou manipulation;
b ter) la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui génère ou manipule tout matériel ou spectacle au sens de l'article 2, points c) et e), de la directive 2011/93/UE, sauf lorsqu'une défense “sans droit” s'applique en vertu du droit national;»
;
b) les paragraphes suivants sont insérés:
«1 bis.
Aux fins du paragraphe 1, premier alinéa, points b bis) et b ter):
a) la mise sur le marché ou la mise en service d'un système d'IA qui génère ou manipule le matériel ou les spectacles visés au paragraphe 1, premier alinéa, point b bis) ou b ter), n'est interdite que lorsque:
i) cette production ou manipulation constitue la destination du système d'IA; ou
ii) la conception, l'entraînement, l'architecture, les capacités ou les fonctionnalités destinées aux utilisateurs du système font de cette production ou manipulation un résultat raisonnablement prévisible et reproductible, sans nécessiter de modification technique importante, et le système ne dispose pas de mesures de sécurité techniques raisonnables et adéquates et d'autres garanties pour empêcher de manière fiable cette production ou manipulation, compte tenu d'une mauvaise utilisation raisonnablement prévisible, ni pour corriger une mauvaise utilisation observée ou signalée;
b) l'utilisation d'un système d'IA qui génère ou manipule le matériel ou les spectacles visés au paragraphe 1, premier alinéa, points b bis) et b ter), n'est interdite que lorsque le déployeur utilise le système dans le but de générer ou de manipuler ce matériel ou ces spectacles;
1 ter.
Aux fins du paragraphe 1, premier alinéa, point b bis), un système d'IA qui manipule du matériel d'une manière qui n'accroît pas la visibilité des parties intimes représentées ni ne modifie la nature des activités sexuellement explicites représentées ne constitue pas une manipulation.».
8) À l'article 6, les paragraphes suivants sont insérés:
«1 bis.
Aux fins du présent règlement, y compris le paragraphe 1 du présent article, les systèmes d'IA qui sont uniquement utilisés pour des aspects non liés à la sécurité en ce qui concerne l'assistance aux utilisateurs, l'optimisation des performances, l'efficacité des services, l'automatisation, la commodité ou le contrôle de la qualité ne sont pas considérés comme des composants de sécurité.
1 ter.
Nonobstant le paragraphe 1 bis, les systèmes d'IA dont la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité sont considérés comme des composants de sécurité.
1 quater.
N'est pas considéré comme remplissant la condition énoncée au paragraphe 1, point b), un produit qui doit faire l'objet d'une évaluation de la conformité par un tiers uniquement en raison de risques autres que les risques pour la santé et la sécurité, en particulier les risques liés à la distribution du spectre radioélectrique ou aux interférences électromagnétiques qui n'affectent pas la santé et la sécurité.».
9) L'article 10 est modifié comme suit:
a) le paragraphe 1 est remplacé par le texte suivant:
«1.
Les systèmes d'IA à haut risque faisant appel à des techniques qui impliquent l'entraînement de modèles d'IA au moyen de données sont développés sur la base de jeux de données d'entraînement, de validation et de test qui satisfont aux critères de qualité visés aux paragraphes 2, 3 et 4, du présent article et à l'article 4 bis, paragraphe 1, chaque fois que ces jeux de données sont utilisés.»
;
b) le paragraphe 5 est supprimé;
c) le paragraphe 6 est remplacé par le texte suivant:
«6.
En ce qui concerne le développement de systèmes d'IA à haut risque qui ne font pas appel à des techniques qui impliquent l'entraînement de modèles d'IA, les paragraphes 2, 3 et 4 du présent article et l'article 4 bis, paragraphe 1, s'appliquent uniquement aux jeux de données de test.».
10) À l'article 11, paragraphe 1, le deuxième alinéa est remplacé par le texte suivant:
«Cette documentation technique est établie de manière à démontrer que le système d'IA à haut risque satisfait aux exigences énoncées dans la présente section et à fournir aux autorités nationales compétentes et aux organismes notifiés les informations nécessaires sous une forme claire et intelligible pour évaluer la conformité du système d'IA avec ces exigences. Elle contient, au minimum, les éléments énoncés à l'annexe IV. Les PME, y compris les jeunes pousses, et les petites entreprises à moyenne capitalisation peuvent fournir les éléments de la documentation technique spécifiée à l'annexe IV d'une manière simplifiée. À cette fin, la Commission établit un formulaire de documentation technique simplifié ciblant les besoins des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation. Lorsqu'une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation choisit de fournir les informations requises à l'annexe IV de manière simplifiée, elle utilise le formulaire visé au présent paragraphe. Les organismes notifiés acceptent le formulaire aux fins de l'évaluation de la conformité.».
11) À l'article 17, le paragraphe 2 est remplacé par le texte suivant:
«2.
La mise en œuvre des aspects visés au paragraphe 1 est proportionnée à la taille de l'organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation. Les fournisseurs respectent, en tout état de cause, le degré de rigueur et le niveau de protection requis afin de garantir que leurs systèmes d'IA à haut risque sont conformes au présent règlement.».
12) L'article 25 est modifié comme suit:
a) le paragraphe 2 est remplacé par le texte suivant:
«2.
Lorsque les circonstances visées au paragraphe 1 se produisent, le fournisseur qui a initialement mis sur le marché ou mis en service le système d'IA n'est plus considéré comme un fournisseur de ce système d'IA spécifique aux fins du présent règlement.
Ce fournisseur initial coopère étroitement avec les nouveaux fournisseurs, met à disposition les informations nécessaires et fournit l'accès technique et toute autre assistance raisonnablement attendus nécessaire au respect des obligations énoncées dans le présent règlement, en particulier en ce qui concerne le respect de l'évaluation de la conformité des systèmes d'IA à haut risque.
En particulier, l'obligation établie au deuxième alinéa comprend, lorsque cela est pertinent aux fins qui y sont précisées, les éléments suivants:
a) mettre à disposition une documentation technique suffisante pour évaluer la conformité aux exigences établies à l'article 16;
b) informer les nouveaux fournisseurs des limitations et des modes de défaillance connus; et
c) donner aux nouveaux fournisseurs un accès technique ciblé, y compris à des fins de test et de validation.
Le présent paragraphe ne s'applique pas dans les cas où le fournisseur initial a clairement précisé que son système d'IA ne doit pas être transformé en un système d'IA à haut risque et ne relève donc pas de l'obligation relative à la coopération avec les nouveaux fournisseurs et à la remise de la documentation.»
;
b) au paragraphe 4, le premier alinéa est remplacé par le texte suivant:
«4.
Le fournisseur d'un système d'IA à haut risque et le tiers qui fournit un système d'IA, un modèle d'IA, des outils, services, composants ou processus qui sont utilisés ou intégrés dans un système d'IA à haut risque précisent, par accord écrit, les informations, les capacités, l'accès technique et toute autre assistance nécessaires, sur la base de l'état de la technique généralement reconnu, pour permettre au fournisseur du système d'IA à haut risque de se conformer pleinement aux obligations prévues dans le présent règlement. Le présent paragraphe ne s'applique pas aux tiers qui rendent accessibles au public des outils, services, processus ou composants, autres que des modèles d'IA à usage général, dans le cadre d'une licence libre et ouverte.».
13) L'article 27 est modifié comme suit:
a) le paragraphe 4 est remplacé par le texte suivant:
«4.
Si l'une des obligations prévues au présent article est déjà remplie au moyen de l'analyse d'impact relative à la protection des données réalisée en application de l'article 35 du règlement (UE) 2016/679 ou de l'article 27 de la directive (UE) 2016/680, le déployeur peut, lorsqu'il procède à l'analyse d'impact sur les droits fondamentaux visée au paragraphe 1 du présent article, inclure des renvois aux sections pertinentes de cette analyse d'impact relative à la protection des données ou en intégrer les parties pertinentes dans l'analyse d'impact relative aux droits fondamentaux.»
;
b) le paragraphe 5 est remplacé par le texte suivant:
«5.
Le Bureau de l'IA élabore un modèle de questionnaire, y compris au moyen d'un outil automatisé, afin d'aider les déployeurs à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article. Ce modèle donne, le cas échéant, aux déployeurs la possibilité d'inclure des renvois aux sections pertinentes de l'analyse d'impact relative à la protection des données ou d'inclure des parties pertinentes de celle-ci dans l'analyse d'impact relative aux droits fondamentaux, conformément au paragraphe 4.».
14) À l'article 28, les paragraphes suivants sont ajoutés:
«8.
Les autorités notifiantes désignées en vertu du présent règlement qui sont responsables des systèmes d'IA couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, garantissent que l'organisme d'évaluation de la conformité qui demande la désignation à la fois en vertu du présent règlement et de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, a la possibilité de présenter une demande unique et fait l'objet d'une procédure d'évaluation unifiée en vue de sa désignation en vertu du présent règlement et de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, lorsque la législation d'harmonisation de l'Union applicable permet une telle procédure de demande unique et d'évaluation unifiée. À cette fin, les autorités notifiantes désignées en vertu du présent règlement et celles désignées en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, coopèrent dans le cadre de leurs évaluations.
La procédure de demande unique et d'évaluation unifiée visée au présent paragraphe est également proposée aux organismes notifiés déjà désignés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, lorsque ces organismes notifiés demandent une désignation au titre du présent règlement, pour autant que la législation d'harmonisation de l'Union applicable prévoie une telle procédure.
Un organisme d'évaluation de la conformité qui est désigné en vertu de plus d'un acte de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, ne doit présenter qu'une seule demande de désignation en vertu du présent règlement. Une désignation au titre du présent règlement est applicable à toute la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, pour lesquels l'organisme d'évaluation de la conformité est désigné.
La procédure de demande unique et d'évaluation unifiée évite tout double emploi inutile, s'appuie sur les procédures existantes de désignation conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, et garantit le respect des exigences relatives aux organismes notifiés conformément au présent règlement et conformément à la législation d'harmonisation de l'Union applicable.
9. L'autorité notifiante qui a été désignée en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, est également l'autorité notifiante qui présente la demande unique et se soumet à la procédure d'évaluation unifiée visées au paragraphe 8, à moins que l'État membre ne désigne une autre autorité notifiante aux fins du présent règlement.».
15) À l'article 29, le paragraphe 4 est remplacé par le texte suivant:
«4.
Quant aux organismes notifiés désignés en vertu de toute autre législation d'harmonisation de l'Union, tous les documents et certificats liés à ces désignations peuvent être utilisés pour appuyer et accélérer leur procédure de désignation au titre du présent règlement, le cas échéant.
Les organismes notifiés qui sont désignés en vertu de l'une des législations d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, et qui font l'objet de la procédure d'évaluation unifiée visée à l'article 28, paragraphe 8, soumettent la demande unique d'évaluation à l'autorité notifiante désignée en vertu de cette législation d'harmonisation de l'Union.
L'organisme notifié met à jour la documentation visée aux paragraphes 2 et 3 du présent article dès que des changements pertinents interviennent afin de permettre à l'autorité responsable des organismes notifiés de contrôler et de vérifier que toutes les exigences énoncées à l'article 31 demeurent observées.».
16) À l'article 30, le paragraphe 2 est remplacé par le texte suivant:
«2.
Les autorités notifiantes informent la Commission et les autres États membres, sur la base de la liste des codes, des catégories et des types correspondants de systèmes d'IA visés à l'annexe XIV, et à l'aide de l'outil de notification électronique mis au point et géré par la Commission, quant à chaque organisme d'évaluation de la conformité visé au paragraphe 1.
La Commission est habilitée à adopter des actes délégués conformément à l'article 97 pour modifier l'annexe XIV, à la lumière du progrès technique, de l'évolution des connaissances ou de nouvelles données scientifiques, en ajoutant à la liste des codes, des catégories et des types correspondants de systèmes d'IA un nouveau code, une nouvelle catégorie ou un nouveau type de système d'IA, en retirant un code existant, une catégorie existante ou un type existant de système d'IA de cette liste ou en déplaçant un code ou un type de système d'IA d'une catégorie à une autre.».
17) À l'article 40, paragraphe 2, l'alinéa suivant est ajouté:
«La Commission demande, conformément au règlement (UE) no 1025/2012 du Parlement européen et du Conseil et sans retard injustifié, aux organisations européennes de normalisation d'élaborer des publications en matière de normalisation, y compris, le cas échéant, des normes harmonisées, afin de faciliter la conformité commune et la présomption de conformité aux exigences ou obligations énoncées au chapitre III, sections 2 et 3, du présent règlement, ainsi qu'aux exigences et obligations pertinentes énoncées dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I du présent règlement.».
18) À l'article 42, le paragraphe suivant est ajouté:
«3.
Lorsque des systèmes d'IA à haut risque relèvent du champ d'application du règlement (UE) 2024/2847 et que les conditions énoncées à l'article 12, paragraphe 1, dudit règlement sont remplies, ces systèmes sont réputés conformes aux exigences de cybersécurité énoncées à l'article 15 du présent règlement.».
19) À l'article 43, le paragraphe 3 est remplacé par le texte suivant:
«3.
Pour les systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, le fournisseur du système suit la procédure d'évaluation de la conformité pertinente selon les modalités requises conformément à la législation d'harmonisation de l'Union applicable. Les exigences énoncées à la section 2 du présent chapitre s'appliquent à ces systèmes d'IA à haut risque et font partie de cette évaluation. L'évaluation du système de gestion de la qualité prévue à l'article 17 est également effectuée, et les points 3, 4.3, 4.4 et 4.5, le cinquième paragraphe du point 4.6 et le point 5 de l'annexe VII s'appliquent.
Aux fins de ces évaluations de la conformité, les organismes notifiés qui ont été notifiés en vertu de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, sont habilités à évaluer la conformité des systèmes d'IA à haut risque avec les exigences énoncées à la section 2 du présent chapitre, à condition que le respect, par ces organismes notifiés, des exigences énoncées à l'article 31, paragraphes 4, 5, 10 et 11, ait été évalué dans le cadre de la procédure de notification conformément à la législation d'harmonisation de l'Union applicable, ce qui est attesté par l'évaluation effectuée dans le cadre de la notification existante. Sans préjudice de l'article 28, les organismes notifiés qui ont été notifiés en vertu de la législation d'harmonisation de l'Union figurant à l'annexe I, section A, introduisent une demande de désignation conformément à la section 4 du présent chapitre au plus tard le 28 janvier 2028.
Lorsque la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, confère au fabricant du produit la faculté de se fonder sur une évaluation de la conformité ne faisant pas intervenir un tiers, à condition que ce fabricant ait appliqué les normes harmonisées afin de garantir le respect de toutes les exigences pertinentes, ce fabricant ne peut faire usage de cette faculté que s'il a également appliqué les normes harmonisées ou, le cas échéant, les spécifications communes visées à l'article 41 couvrant toutes les exigences énoncées à la section 2 du présent chapitre. La classification d'un produit en tant que système d'IA à haut risque conformément à l'article 6, paragraphe 1, n'affecte pas le choix de la procédure d'évaluation de la conformité offert aux fabricants de produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, y compris, le cas échéant, la possibilité de se fonder sur des normes harmonisées. Les fabricants de ces produits ne sont pas tenus de choisir une procédure d'évaluation de la conformité impliquant une évaluation par un tiers uniquement parce que le produit intègre un système d'IA à haut risque en tant que composant de sécurité, si cela n'est pas requis par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A.
Lorsqu'un système d'IA à haut risque relève à la fois de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A et de l'une des catégories énumérées à l'annexe III, le fournisseur de ce système suit la procédure d'évaluation de la conformité pertinente selon les modalités requises en vertu de la législation d'harmonisation de l'Union applicable dont la liste figure à l'annexe I, section A.».
20) À l'article 50, le paragraphe 7 est remplacé par le texte suivant:
«7.
La Commission encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union afin de faciliter la mise en œuvre effective des obligations relatives à la détection, au marquage et à l'étiquetage des contenus générés ou manipulés par une IA. La Commission, tenant dûment compte de l'avis du Comité IA, vérifie si l'application de ces codes de bonne pratique est suffisante pour garantir le respect des obligations énoncées aux paragraphes 2 et 4 du présent article, conformément à la procédure établie à l'article 56, paragraphe 6. Si elle estime que le code de bonne pratique n'est pas approprié, la Commission peut adopter un acte d'exécution précisant des règles communes pour la mise en œuvre de ces obligations conformément à la procédure d'examen prévue à l'article 98, paragraphe 2.».
21) À l'article 56, le paragraphe 6 est remplacé par le texte suivant:
«6.
La Commission et le Comité IA contrôlent et évaluent régulièrement la réalisation des objectifs des codes de bonne pratique par les participants et leur contribution à la bonne application du présent règlement. La Commission, tenant dûment compte de l'avis du Comité IA, évalue si les codes de bonne pratique couvrent les obligations prévues aux articles 53 et 55, et contrôle et évalue régulièrement la réalisation de leurs objectifs. La Commission publie son évaluation de l'adéquation des codes de bonne pratique.».
22) L'article 57 est modifié comme suit:
a) au paragraphe 1, le premier alinéa est remplacé par le texte suivant:
«1.
Les États membres veillent à ce que leurs autorités compétentes mettent en place au moins un bac à sable réglementaire de l'IA au niveau national, qui est opérationnel au plus tard le 2 août 2027. Ce bac à sable peut également être établi conjointement avec les autorités compétentes d'autres États membres. La Commission peut fournir un soutien technique, des conseils et des outils pour la mise en place et l'exploitation de bacs à sable réglementaires de l'IA.»
;
b) le paragraphe 3 est remplacé par le texte suivant:
«3.
Le Contrôleur européen de la protection des données peut créer un bac à sable réglementaire de l'IA pour les institutions, organes et organismes de l'Union. À cette fin, les références aux autorités nationales compétentes dans le présent chapitre s'entendent comme une référence au Contrôleur européen de la protection des données.»
;
c) le paragraphe suivant est inséré:
«3 bis.
Le Bureau de l'IA peut mettre en place un bac à sable réglementaire de l'IA au niveau de l'Union pour les systèmes d'IA relevant de l'article 75, paragraphe 1. À cette fin, les références aux autorités nationales compétentes dans le présent chapitre s'entendent, le cas échéant, comme une référence au Bureau de l'IA. Ce bac à sable réglementaire de l'IA est mis en œuvre en étroite coopération avec les autorités compétentes concernées, en particulier lorsque le respect de la législation de l'Union autre que le présent règlement est supervisé dans le cadre du bac à sable réglementaire de l'IA, et fournit un accès prioritaire aux PME, y compris les jeunes pousses, et aux petites entreprises à moyenne capitalisation.
La mise en place d'un bac à sable réglementaire de l'IA au niveau de l'Union par le Bureau de l'IA est sans préjudice des compétences des États membres en matière de mise en place et de surveillance des bacs à sable réglementaires de l'IA pour les systèmes d'IA placés sous leur surveillance.»
;
d) le paragraphe 5 est remplacé par le texte suivant:
«5.
Les bacs à sable réglementaires de l'IA établis en vertu du présent article offrent un environnement contrôlé qui favorise l'innovation et facilite le développement, l'entraînement, la mise à l'essai et la validation de systèmes d'IA innovants pendant une durée limitée avant leur mise sur le marché ou leur mise en service conformément à un plan spécifique de bac à sable convenu entre les fournisseurs ou fournisseurs potentiels et les autorités compétentes, en veillant à ce que des garanties appropriées soient en place. Ces bacs à sable peuvent comprendre des essais en conditions réelles qui y sont supervisés. Le cas échéant, le plan du bac à sable intègre le plan d'essais en conditions réelles visé aux articles 60 et 60 bis.»
;
e) au paragraphe 9, le point e), est remplacé par le texte suivant:
«e) faciliter et accélérer l'accès au marché de l'Union pour les systèmes d'IA, en particulier lorsqu'ils sont fournis par des PME, y compris des jeunes pousses, et des petites entreprises à moyenne capitalisation.»
;
f) le paragraphe 10 est remplacé par le texte suivant:
«10.
Les autorités nationales compétentes veillent, dans la mesure où les systèmes d'IA innovants impliquent le traitement de données à caractère personnel ou relèvent à d'autres titres de la surveillance d'autres autorités nationales ou autorités compétentes assurant ou encadrant l'accès aux données, à ce que les autorités compétentes chargées de la protection des données et ces autres autorités nationales ou autorités compétentes soient associées à l'exploitation du bac à sable réglementaire de l'IA et participent au contrôle des aspects qui relèvent de leurs tâches et pouvoirs respectifs.»
;
g) le paragraphe 14 est remplacé par le texte suivant:
«14.
Les autorités nationales compétentes, le Contrôleur européen de la protection des données et le Bureau de l'IA coordonnent leurs activités et coopèrent, le cas échéant et dans la limite de leurs compétences respectives, dans le cadre du Comité IA. Ils peuvent soutenir la mise en place et l'exploitation conjointes de bacs à sable réglementaires de l'IA, y compris dans des secteurs différents, et échanger les bonnes pratiques sur des questions connexes.».
23) À l'article 58, paragraphe 1, le premier alinéa est modifié comme suit:
a) la partie introductive est remplacée par le texte suivant:
«1.
Afin d'éviter une fragmentation à travers l'Union, la Commission adopte des actes d'exécution précisant les modalités détaillées de mise en place, de développement, de mise en œuvre, d'exploitation, de gouvernance et de surveillance des bacs à sable réglementaires de l'IA. Ces actes d'exécution contiennent des principes communs sur les questions suivantes:»
;
b) le point suivant est ajouté:
«d) les règles détaillées applicables à la gouvernance des bacs à sable réglementaires de l'IA en vertu de l'article 57, y compris en ce qui concerne la participation et la supervision des autorités compétentes en matière de protection des données, le cas échéant, ainsi que la coordination et la coopération aux niveaux national et de l'Union.».
24) L'article 60 est modifié comme suit:
a) au paragraphe 1, le premier alinéa est remplacé par le texte suivant:
«1.
Les essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA peuvent être effectués par les fournisseurs ou fournisseurs potentiels de systèmes d'IA à haut risque énumérés à l'annexe III ou couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, conformément au présent article et au plan d'essais en conditions réelles visé au présent article, sans préjudice des interdictions prévues à l'article 5.»
;
b) le paragraphe 2 est remplacé par le texte suivant:
«2.
Les fournisseurs ou fournisseurs potentiels peuvent effectuer, seuls ou en partenariat avec un ou plusieurs déployeurs ou déployeurs potentiels, des essais des systèmes d'IA à haut risque visés à l'annexe III ou couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A, en conditions réelles, à tout moment avant la mise sur le marché ou la mise en service du système d'IA à haut risque concerné.».
25) L'article suivant est inséré:
«Article 60 bis
Essais des systèmes d'IA à haut risque couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, en conditions réelles en dehors des bacs à sable réglementaires de l'IA
1. Les États membres peuvent autoriser, conformément au présent article, les essais de systèmes d'IA à haut risque en conditions réelles en dehors des bacs à sable réglementaires de l'IA par les fournisseurs ou fournisseurs potentiels de produits dotés d'IA couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, en vue d'évaluer et de vérifier la conformité de ces systèmes avec les exigences établies aux articles 8 à 15.
2. Les États membres qui choisissent d'autoriser les essais visés au paragraphe 1 adoptent, individuellement ou conjointement, des cadres pour les essais en conditions réelles.
3. Chaque État membre notifie à la Commission tout cadre d'essai en conditions réelles qu'il adopte avant de le mettre en œuvre. Cela ne porte pas atteinte aux compétences attribuées à la Commission au titre de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B.
4. Les États membres qui ont adopté un cadre d'essai en conditions réelles veillent à ce que les autorités nationales compétentes concernées, les autorités pertinentes et les autorités publiques chargées de la gestion et de l'exploitation des infrastructures et des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, coopèrent étroitement entre elles et de bonne foi, et suppriment tout obstacle pratique, y compris en ce qui concerne les règles de procédure donnant accès aux infrastructures publiques physiques, lorsque cela est nécessaire, pour mettre en œuvre efficacement ce cadre d'essai en conditions réelles et tester les produits dotés d'IA couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B.
5. Les cadres d'essai en conditions réelles fixent les exigences en vertu desquelles les essais en conditions réelles doivent avoir lieu. Ces cadres:
a) comprennent la mise en place d'un plan obligatoire d'essais en conditions réelles, à convenir entre le fournisseur ou fournisseur potentiel et l'autorité nationale compétente ou l'autorité pertinente, conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B;
b) garantissent le respect des exigences énoncées à l'article 60, paragraphes 2 et 3, paragraphe 4, points d) à j), et paragraphes 5 à 9, dispositions dans lesquelles toute référence aux autorités de surveillance du marché s'entend comme une référence à l'autorité nationale compétente ou à l'autorité pertinente, selon le cas, conformément à la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B;
c) prévoient des dispositions efficaces en matière de gouvernance et d'obligation de rendre compte;
d) garantissent un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux.
6. Les essais en conditions réelles respectent les dispositions applicables établies dans la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section B. Les exigences établies dans ces dispositions ne font pas obstacle à l'application du présent article dans la mesure nécessaire pour permettre les essais visés au paragraphe 1.».
26) À l'article 63, le paragraphe 1 est remplacé par le texte suivant:
«1.
Les PME, y compris les jeunes pousses, peuvent se conformer de manière simplifiée à certains éléments du système de gestion de la qualité requis par l'article 17, pour autant qu'elles n'aient pas d'entreprises partenaires ou d'entreprises liées au sens de la recommandation 2003/361/CE. À cette fin, la Commission élabore des lignes directrices sur les éléments du système de gestion de la qualité qui peuvent être respectés de manière simplifiée en tenant compte des besoins des PME, sans affecter le niveau de protection ni la nécessité de se conformer aux exigences relatives aux systèmes d'IA à haut risque.».
27) À l'article 64, le paragraphe suivant est ajouté:
«3.
Sans préjudice de la procédure budgétaire, il est alloué au Bureau de l'IA les ressources appropriées pour lui permettre de s'acquitter efficacement de ses missions et d'exercer ses pouvoirs en ce qui concerne l'exécution du présent règlement.».
28) À l'article 69, le paragraphe 2 est remplacé par le texte suivant:
«2.
Les États membres peuvent être tenus de payer des honoraires pour les conseils et le soutien fournis par les experts à un taux équivalent aux rémunérations applicables à la Commission en vertu de l'acte d'exécution visé à l'article 68, paragraphe 1.».
29) À l'article 70, le paragraphe 8 est remplacé par le texte suivant:
«8.
Les autorités nationales compétentes peuvent fournir des orientations et des conseils sur la mise en œuvre du présent règlement, en particulier aux PME, y compris les jeunes pousses, et aux petites entreprises à moyenne capitalisation, en tenant compte des orientations et conseils du Comité IA et de la Commission, selon le cas. Chaque fois que les autorités nationales compétentes envisagent de fournir des orientations et des conseils concernant un système d'IA dans des domaines relevant d'autres actes législatifs de l'Union, les autorités compétentes nationales en vertu de ces actes législatifs de l'Union sont consultées, le cas échéant.».
30) À l'article 72, le paragraphe 3 est remplacé par le texte suivant:
«3.
Le système de surveillance après commercialisation repose sur un plan de surveillance après commercialisation. Le plan de surveillance après commercialisation fait partie de la documentation technique visée à l'annexe IV. La Commission, en tenant le plus grand compte de l'avis du Comité IA, adopte des orientations, y compris un modèle, sur le plan de surveillance après commercialisation au plus tard le 2 septembre 2027.».
31) L'article 75 est modifié comme suit:
a) le titre est remplacé par le texte suivant:
«Surveillance du marché et contrôle des systèmes d'IA et assistance mutuelle»
;
b) le paragraphe 1 est remplacé par le texte suivant:
«1.
Le Bureau de l'IA est seul compétent pour la surveillance et le contrôle du respect des obligations au titre du présent règlement en ce qui concerne les systèmes d'IA suivants:
a) les systèmes d'IA fondés sur des modèles d'IA à usage général lorsque le modèle et le système sont développés par le même fournisseur, ou par des fournisseurs faisant partie de la même entreprise que ce fournisseur, à l'exception:
i) des systèmes d'IA liés à des produits couverts par la législation d'harmonisation de l'Union dont la liste figure à l'annexe I;
ii) des systèmes d'IA visés à l'annexe III, point 2;
iii) des systèmes d'IA fournis par les autorités répressives, les autorités chargées de la gestion des frontières et les établissements financiers, dans la mesure où ces systèmes d'IA relèvent de l'article 74, paragraphe 6; et
iv) des systèmes d'IA visés à l'annexe III, point 8, en ce qui concerne l'administration de la justice;
b) les systèmes d'IA qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne ainsi désignés conformément au règlement (UE) 2022/2065, ou qui sont intégrés dans une telle plateforme ou un tel moteur.
La compétence exclusive visée au premier alinéa s'applique aux fournisseurs de ces systèmes. Elle ne s'applique aux déployeurs de ces systèmes que lorsqu'ils sont également le fournisseur ou font partie de la même entreprise que le fournisseur.»
;
c) les paragraphes suivants sont insérés:
«1 bis.
Par dérogation à l'article 73, les fournisseurs de systèmes d'IA à haut risque relevant de la compétence du Bureau de l'IA en vertu du paragraphe 1 du présent article signalent tout incident grave au Bureau de l'IA. L'article 73, paragraphes 2 à 9, s'applique mutatis mutandis. Le Bureau de l'IA transmet rapidement les informations pertinentes à l'autorité de surveillance du marché de l'État membre sur le territoire duquel le fournisseur ou son représentant légal est établi.
1 ter.
Les autorités participant à l'application du présent règlement coopèrent activement avec le Bureau de l'IA et lui fournissent l'assistance nécessaire à l'exercice de ses pouvoirs, y compris, si nécessaire, en ce qui concerne les inspections ou autres mesures d'exécution menées sur le territoire d'un État membre. À cette fin, ces autorités disposent des pouvoirs prévus par le présent règlement et par le règlement (UE) 2019/1020 et, le cas échéant et dans la mesure nécessaire à l'accomplissement de leurs tâches au titre du présent paragraphe, conformément aux procédures nationales applicables.
1 quater.
Lorsqu'il prend, sur le territoire d'un État membre, des mesures d'enquête ou d'exécution qui impliquent l'accès aux données ou au système d'IA d'une autorité publique, le Bureau de l'IA est assisté par l'autorité de surveillance du marché concernée.
1 quinquies.
Avant de prendre une décision qui aurait pour effet d'interdire ou de restreindre la mise à disposition ou la mise en service du système d'IA sur un marché national, ou une décision visant à retirer ou à rappeler le système d'IA de ce marché, le Bureau de l'IA notifie sans retard injustifié à l'autorité de surveillance du marché compétente pour ce marché son intention de prendre une telle décision. Le Bureau de l'IA consulte les autorités participant à l'application du présent règlement, le cas échéant, sur toute question relative à l'application et au contrôle de l'application du présent règlement.
1 sexies.
Le Bureau de l'IA est chargé des évaluations de la conformité et des essais des systèmes d'IA visés au paragraphe 1 du présent article qui sont classés comme étant à haut risque et font l'objet d'une évaluation de la conformité par un tiers en vertu de l'article 43, avant que ces systèmes d'IA ne soient mis sur le marché ou mis en service. Ces essais et évaluations ont pour objet de vérifier que les systèmes sont conformes aux exigences pertinentes du présent règlement et peuvent être mis sur le marché ou mis en service dans l'Union conformément au présent règlement. La Commission confie la réalisation de ces essais ou évaluations à des organismes notifiés désignés conformément au présent règlement, auquel cas l'organisme notifié agit au nom de la Commission. Si un organisme notifié auquel la Commission a délégué des tâches au titre du présent paragraphe ne s'acquitte pas de ces tâches de manière satisfaisante, la Commission peut retirer la délégation avec effet immédiat.
Les redevances pour les activités d'essai et d'évaluation sont perçues auprès du fournisseur d'un système d'IA à haut risque qui a demandé à la Commission une évaluation de la conformité par un tiers. Le fournisseur paye directement à l'organisme notifié les coûts liés aux services confiés par la Commission aux organismes notifiés conformément au présent article.»
;
d) le paragraphe suivant est inséré:
«2 bis.
Lorsqu'une autorité de surveillance du marché a des raisons fondées et suffisantes de suspecter qu'un fournisseur ou un déployeur d'un système d'IA visé au paragraphe 1 du présent article a enfreint le présent règlement, elle peut demander, par l'intermédiaire du point de contact unique pertinent désigné conformément à l'article 70, paragraphe 2, au Bureau de l'IA d'évaluer la question afin de prendre les mesures de surveillance et d'exécution nécessaires pour garantir le respect rapide du présent règlement. Une telle demande est dûment motivée et indique au moins:
a) le nom du fournisseur ou du déployeur concerné;
b) une description des faits pertinents, des dispositions du présent règlement qui auraient été enfreintes, ainsi que de toute raison fondée et suffisante de suspecter une infraction, y compris, le cas échéant, la description des effets négatifs de l'infraction alléguée;
c) l'autorité de surveillance du marché à l'origine de la demande.
Le Bureau de l'IA tient le plus grand compte de la demande et l'autorité de surveillance du marché coopère activement et fournit au Bureau de l'IA l'assistance nécessaire à l'exercice de ses pouvoirs, conformément au paragraphe 1 bis.
Le Bureau de l'IA informe le point de contact unique, sans retard injustifié et en tout état de cause au plus tard quatre mois après la réception de la demande, de son intention d'exercer ses pouvoirs conformément à l'article 75 bis ou des raisons pour lesquelles il ne le fait pas. Si le Bureau de l'IA décide d'exercer ses pouvoirs conformément à l'article 75 bis, il informe périodiquement ce point de contact unique des évolutions importantes de la procédure et de l'issue de celle-ci, sans divulguer d'informations confidentielles.».
32) Les articles suivants sont insérés:
«Article 75 bis
Pouvoirs de surveillance et de contrôle du Bureau de l'IA
1. Lorsqu'il effectue ses tâches de surveillance et de contrôle énoncées à l'article 75, paragraphe 1, du présent règlement, le Bureau de l'IA dispose de tous les pouvoirs d'une autorité de surveillance du marché prévus dans la présente section ainsi qu'à l'article 14, paragraphe 4, et à l'article 16, paragraphe 3, du règlement (UE) 2019/1020. Le Bureau de l'IA est autorisé à réclamer intégralement à l'opérateur concerné le paiement de la totalité des coûts liés à ses activités de surveillance et de contrôle déployées au regard de cas de non-conformité, y compris les coûts des ressources humaines et techniques, conformément à l'article 15 du règlement (UE) 2019/1020. L'article 17 du règlement (UE) 2019/1020 s'applique mutatis mutandis.
2. Lorsque le Bureau de l'IA a des motifs raisonnables de suspecter qu'un fournisseur ou un déployeur d'un système d'IA visé à l'article 75, paragraphe 1, du présent règlement ne se conforme pas au présent règlement, il peut adopter une décision d'engager une enquête sur cette non-conformité, conformément à l'article 14, paragraphe 4, point f), du règlement (UE) 2019/1020. Lorsqu'il engage cette enquête, le Bureau de l'IA informe l'opérateur du système d'IA concerné. Le Bureau de l'IA peut exercer les pouvoirs visés au paragraphe 1 du présent article de sa propre initiative ou à la suite d'une réclamation reçue conformément à l'article 85 du présent règlement, même avant d'engager une enquête conformément à l'article 14, paragraphe 4, point f), du règlement (UE) 2019/1020.
Lorsqu'une autorité de surveillance du marché a des raisons de suspecter qu'un fournisseur ou un déployeur d'un système d'IA visé à l'article 75, paragraphe 1, ne se conforme pas au présent règlement, elle peut envoyer une demande au Bureau de l'IA afin qu'il évalue la question.
3. Le Bureau de l'IA peut exercer les pouvoirs énumérés à l'article 14, paragraphe 4, points a), b) et c), du règlement (UE) 2019/1020 et à l'article 74, paragraphes 12 et 13, du présent règlement, sur simple demande ou sur décision.
Lorsqu'il demande des informations, le Bureau de l'IA indique la base juridique et l'objet de la demande, précise les informations requises et fixe le délai dans lequel ces informations doivent être fournies. Lorsqu'il s'agit d'une simple demande, le Bureau de l'IA indique également que, bien qu'il ne soit pas obligatoire de fournir les informations demandées, en cas de réponse volontaire, les informations doivent être exactes et non trompeuses, et il précise les éventuelles amendes prévues à l'article 99, paragraphe 5, en cas de fourniture d'informations inexactes ou trompeuses. Lorsque la demande fait suite à une décision, le Bureau de l'IA indique également les amendes prévues à l'article 99, paragraphe 5, en cas de fourniture d'informations inexactes, incomplètes ou trompeuses, et il indique le droit de recours ouvert devant la Cour de justice de l'Union européenne contre la décision. Le Bureau de l'IA envoie une copie de la demande à l'autorité de surveillance du marché de l'État membre sur le territoire duquel l'opérateur ou son représentant légal est établi.
4. Aux fins de l'exécution des tâches qui lui sont conférées dans le cadre de la présente section, le Bureau de l'IA peut procéder à toutes les inspections à distance ou sur place nécessaires, en vertu des pouvoirs énoncés à l'article 14, paragraphe 4, points d) et e), du règlement (UE) 2019/1020 et à l'article 74, paragraphe 5, du présent règlement. Lorsqu'il procède à une inspection, le Bureau de l'IA informe le fournisseur concerné de l'objet et du but de l'inspection, des amendes pertinentes visées à l'article 99, paragraphe 5, du présent règlement, et du droit de recours ouvert devant la Cour de justice de l'Union européenne contre la décision. Avant de procéder à une inspection, le Bureau de l'IA informe l'autorité de surveillance du marché de l'État membre sur le territoire duquel l'opérateur ou son représentant légal est établi.
Au cours de cette inspection, les agents du Bureau de l'IA sont habilités:
a) à pénétrer dans tous les locaux commerciaux, sur tous les terrains ou dans tous les biens immobiliers de l'opérateur concerné situés dans l'Union;
b) à examiner les livres, données et autres documents pertinents pour l'exécution de leurs tâches, quel que soit leur support;
c) à prendre ou à obtenir sous quelque forme que ce soit une copie ou un extrait des livres, données et autres registres;
d) à demander à toute personne faisant l'objet de l'inspection, ou à ses représentants ou à des membres de son personnel, de fournir oralement ou par écrit des explications sur des facteurs ou des documents en rapport avec l'objet et le but de l'inspection, et à enregistrer ses réponses;
e) à apposer des scellés sur tous les locaux commerciaux et livres ou registres pendant la durée de l'inspection et dans la mesure où cela est nécessaire aux fins de celle-ci.
Lorsque le Bureau de l'IA constate qu'une personne physique ou morale s'oppose ou fait obstacle à une inspection, l'autorité nationale compétente de l'État membre concerné lui apporte l'assistance nécessaire en demandant, le cas échéant, l'assistance de la police ou d'une autorité répressive équivalente, afin de lui permettre de procéder à son inspection sur place.
Si une inspection sur place des locaux commerciaux, des terrains ou des biens immobiliers nécessite l'autorisation d'une autorité judiciaire conformément au droit national, le Bureau de l'IA demande cette autorisation. Cette autorisation peut également être demandée par le Bureau de l'IA à titre préventif. Lorsque cette autorisation est demandée, l'autorité judiciaire nationale vérifie rapidement que les mesures coercitives envisagées ne sont ni arbitraires ni excessives au regard de l'objet de l'enquête ou de l'inspection et des documents fournis par le Bureau de l'IA avec la décision. Lorsqu'elle vérifie la proportionnalité des mesures coercitives, l'autorité judiciaire nationale peut demander au Bureau de l'IA des explications détaillées, en particulier sur les motifs qui incitent le Bureau de l'IA à suspecter qu'une infraction au présent règlement a été commise, ainsi que sur la gravité de l'infraction suspectée et, le cas échéant, sur la nature de l'implication de la personne qui fait l'objet des mesures coercitives. L'autorité judiciaire nationale ne réexamine pas la nécessité de l'enquête ou de l'inspection ni n'exige la communication des renseignements figurant dans le dossier du Bureau de l'IA. Conformément aux traités, le contrôle de légalité de la décision du Bureau de l'IA relève de la seule compétence de la Cour de justice de l'Union européenne.
5. À la demande du Bureau de l'IA, l'autorité de surveillance du marché compétente d'un État membre peut exécuter sur son propre territoire toute enquête, inspection ou autre mesure d'enquête au nom et pour le compte du Bureau de l'IA afin d'établir une infraction au présent règlement. Les agents des autorités compétentes des États membres chargés d'exécuter ces enquêtes, inspections ou mesures d'enquête ainsi que les agents habilités ou nommés par celles-ci exercent leurs pouvoirs dans le respect du droit national.
6. Outre les pouvoirs énoncés au paragraphe 1 du présent article, le Bureau de l'IA, dans l'exercice de ses compétences visées à l'article 75, paragraphe 1, peut:
a) ordonner aux opérateurs de donner accès à leurs systèmes d'IA, ainsi que de fournir des explications à leur sujet;
b) obliger un opérateur à conserver l'ensemble des données et documents jugés nécessaires à l'évaluation de la mise en œuvre et du respect des obligations au titre du présent règlement.
7. Afin de l'aider à surveiller la mise en œuvre et le respect effectifs des dispositions pertinentes du présent règlement et de lui fournir une expertise ou des connaissances spécifiques dans l'exercice de ses compétences dans le cadre de l'article 75, paragraphe 1, le Bureau de l'IA peut désigner des experts et des auditeurs externes indépendants, ainsi que des experts, des équipes d'enquête et des auditeurs des autorités nationales compétentes avec l'accord de l'autorité concernée. Les informations obtenues grâce à ces mesures de surveillance sont communiquées aux autorités compétentes concernées des États membres.
8. Les informations recueillies en vertu du présent article ne sont utilisées qu'aux fins du présent règlement.
Article 75 ter
Engagements
Si, au cours d'une procédure dans le cadre de l'article 75 bis, paragraphe 2, l'opérateur concerné s'engage à veiller au respect des dispositions pertinentes du présent règlement, le Bureau de l'IA peut, par une décision, rendre ces engagements contraignants pour l'opérateur concerné et déclarer qu'il n'y a plus lieu d'agir. Le Bureau de l'IA peut rouvrir la procédure, sur demande ou de sa propre initiative, lorsque:
a) l'un des faits sur lesquels la décision repose subit un changement important;
b) l'opérateur agit contrairement à ses engagements; ou
c) la décision repose sur des informations incomplètes, inexactes ou trompeuses fournies par l'opérateur concerné.
Si le Bureau de l'IA estime que les engagements proposés par l'opérateur concerné ne permettent pas de garantir le respect effectif des dispositions pertinentes du présent règlement, il rejette ces engagements dans une décision motivée lors de la clôture de la procédure.
Article 75 quater
Non-conformité, amendes et astreintes
1. Lorsque le Bureau de l'IA constate qu'un opérateur relevant du champ d'application de l'article 75, paragraphe 1, ne respecte pas les dispositions pertinentes du présent règlement ou les engagements rendus contraignants au titre de l'article 75 ter, il adopte une décision établissant cette non-conformité.
2. Avant d'adopter une décision en vertu du paragraphe 1, le Bureau de l'IA fait part de ses constatations préliminaires à l'opérateur concerné. Dans ses constatations préliminaires, le Bureau de l'IA explique les mesures qu'il envisage de prendre, ou que l'opérateur concerné devrait prendre, selon lui, afin de donner suite de manière effective aux constatations préliminaires.
3. Dans la décision adoptée en application du paragraphe 1 du présent article, le Bureau de l'IA ordonne à l'opérateur concerné, le cas échéant, de prendre les mesures nécessaires pour assurer le respect des dispositions pertinentes du présent règlement dans un délai raisonnable qui y est précisé et de fournir des informations relatives aux mesures que l'opérateur entend adopter pour se mettre en conformité avec la décision. L'opérateur concerné fournit au Bureau de l'IA une description des mesures qu'il a prises pour assurer le respect de la décision lors de leur mise en œuvre. Avant de demander une mesure, le Bureau de l'IA peut entamer un dialogue structuré avec l'opérateur du système d'IA concerné. Au cours de ce dialogue, l'opérateur peut proposer des engagements conformément à l'article 75 ter.
4. Une décision adoptée en vertu du paragraphe 1 du présent article peut s'accompagner de l'imposition de sanctions conformément à l'article 99, paragraphes 3 à 7, dont les dispositions s'appliquent mutatis mutandis au Bureau de l'IA dans l'exécution de ses tâches de surveillance et de contrôle visées à l'article 75, paragraphe 1.
En particulier, fait l'objet d'une amende administrative visée à l'article 99, paragraphe 4:
a) la violation de toute disposition applicable du présent règlement, y compris les dispositions qui ne sont pas énumérées à l'article 99, paragraphe 4;
b) le non-respect des décisions ou des mesures adoptées conformément aux pouvoirs énumérés à l'article 14, paragraphe 4, ou à l'article 16, paragraphe 3, du règlement (UE) 2019/1020, ainsi qu'aux pouvoirs précisés à l'article 75 bis du présent règlement;
c) le non-respect d'un engagement rendu contraignant par voie de décision en vertu de l'article 75 ter.
La fourniture d'informations inexactes, incomplètes ou trompeuses au Bureau de l'IA en réponse à une demande fait l'objet d'une amende administrative visée à l'article 99, paragraphe 5.
5. Le Bureau de l'IA peut adopter une décision imposant des astreintes afin de forcer les opérateurs qui relèvent de sa compétence en vertu de l'article 75, paragraphe 1:
a) à se soumettre à une enquête;
b) à donner suite à une demande d'informations ordonnée par voie de décision adoptée au titre de l'article 75 bis, paragraphe 3;
c) à se soumettre à une inspection ordonnée par voie de décision prise en vertu de l'article 75 bis, paragraphe 4;
d) à fournir des réponses ou des explications exactes ou complètes dans le contexte d'une inspection ordonnée par voie de décision prise en vertu de l'article 75 bis, paragraphe 4;
e) à se conformer aux mesures correctives ordonnées en vertu des pouvoirs énumérés à l'article 16 du règlement (UE) 2019/1020;
f) à respecter les engagements rendus juridiquement contraignants par décision en vertu de l'article 75 ter; ou
g) à se conformer à une décision en vertu du paragraphe 1 du présent article.
Ces astreintes sont effectives et proportionnées et, le cas échéant, elles n'excèdent pas 5 % du revenu journalier moyen ou du chiffre d'affaires annuel mondial au cours de l'exercice précédent par jour, à compter de la date précisée dans la décision concernée.
6. La Cour de justice de l'Union européenne statue avec compétence de pleine juridiction sur les recours formés contre les décisions du Bureau de l'IA d'infliger une amende ou une astreinte en vertu du présent article. Elle peut supprimer, réduire ou majorer l'amende ou l'astreinte infligée.
7. Les fonds collectés en imposant des amendes ou des astreintes en vertu du présent article contribuent au budget général de l'Union.
8. Les pouvoirs conférés au Bureau de l'IA par le présent article sont soumis à un délai de prescription de cinq ans. Le délai de prescription court à compter du jour où l'infraction a été commise. Toutefois, en cas d'infractions continues ou répétées, le délai de prescription ne court qu'à compter du jour où l'infraction prend fin.
Le pouvoir du Bureau de l'IA d'exécuter les décisions prises en vertu du présent article est soumis à un délai de prescription de cinq ans. Le délai de prescription court à compter du jour où la décision est devenue définitive.
L'acte d'exécution visé à l'article 75 quinquies, paragraphe 3, précise les premier et deuxième alinéas du présent paragraphe, y compris les circonstances dans lesquelles les délais de prescription sont interrompus.
9. Lorsque le Bureau de l'IA conclut qu'il n'existe aucun motif pour adopter une décision de non-conformité, il clôt la procédure au moyen d'une décision. Cette décision est applicable avec effet immédiat.
Article 75 quinquies
Garanties et autres précisions
1. L'article 18 du règlement (UE) 2019/1020 s'applique mutatis mutandis aux opérateurs relevant de la compétence du Bureau de l'IA en vertu de l'article 75, paragraphe 1, du présent règlement, sans préjudice des droits procéduraux plus spécifiques prévus par le présent règlement.
2. Le droit de la défense et le droit d'accès au dossier des opérateurs relevant du champ d'application de l'article 75, paragraphe 1, sont pleinement respectés au cours des procédures. Compte tenu de l'adoption possible de décisions sur le fondement de l'article 75 quater, paragraphe 1, ces opérateurs ont le droit d'avoir accès au dossier du Bureau de l'IA dans le cadre des modalités de divulgation négociée, sous réserve de l'intérêt légitime de l'opérateur ou de l'autre personne concernée à ce que ses secrets d'affaires soient protégés. Le Bureau de l'IA est habilité à adopter des décisions fixant ces modalités de divulgation en cas de désaccord entre les parties. Le droit d'accès au dossier ne s'étend pas aux informations confidentielles et aux documents internes du Bureau de l'IA, du Comité IA, des autorités de surveillance du marché compétentes ou d'autres autorités publiques des États membres. En particulier, le droit d'accès ne s'étend pas à la correspondance entre le Bureau de l'IA et ces autorités. Aucune disposition du présent paragraphe n'empêche le Bureau de l'IA de divulguer et d'utiliser des informations nécessaires pour apporter la preuve d'une infraction.
3. La Commission peut adopter des actes d'exécution concernant les modalités pratiques d'accès au dossier et la divulgation négociée d'informations prévue au paragraphe 2.
4. Le Bureau de l'IA publie les décisions qu'il adopte en application des articles 75 ter et 75 quater. Cette publication mentionne le nom des parties intéressées et l'essentiel de la décision, y compris les sanctions imposées. La publication tient compte des droits et des intérêts légitimes de toutes les personnes concernées à ce que leurs informations confidentielles ne soient pas divulguées.».
33) À l'article 76, paragraphe 1, l'alinéa suivant est ajouté:
«Lorsque les essais en conditions réelles sont fondés sur l'article 60 bis, toute référence à une autorité de surveillance du marché au présent article s'entend comme une référence à l'autorité nationale compétente ou à l'autorité appropriée au titre des législations d'harmonisation de l'Union dont la liste figure à l'annexe I, section B, et les références à l'article 60 s'entendent comme des références à l'article 60 bis, le cas échéant.».
34) L'article 77 est modifié comme suit:
a) le titre est remplacé par le texte suivant:
«Pouvoirs des autorités de protection des droits fondamentaux et coopération avec les autorités de surveillance du marché»
;
b) le paragraphe 1 est remplacé par le texte suivant:
«1.
Les autorités ou organismes publics nationaux qui supervisent ou font respecter les obligations au titre du droit de l'Union visant à protéger les droits fondamentaux, y compris le droit à la non-discrimination, sont habilités à demander à l'autorité de surveillance du marché concernée en vertu du présent règlement toute information ou documentation créée ou conservée, et d'y accéder, dans une langue et un format lisible par machine accessibles, par voie électronique, lorsque l'accès à ces informations ou à cette documentation est nécessaire à l'accomplissement effectif de leur mandat dans les limites de leurs compétences. Le présent article est sans préjudice des compétences, des tâches, des pouvoirs et de l'indépendance des autorités ou organismes publics nationaux compétents dans le cadre de leurs mandats.»
;
c) les paragraphes suivants sont insérés:
«1 bis.
Sous réserve des conditions précisées dans le présent article, l'autorité de surveillance du marché accorde à l'autorité publique ou à l'organisme public concerné visé au paragraphe 1 l'accès à ces informations ou à cette documentation, y compris en demandant ces informations ou cette documentation au fournisseur ou au déployeur, si nécessaire et sans retard injustifié.
1 ter.
Les autorités de surveillance du marché et les autorités ou organismes publics visés au paragraphe 1 coopèrent étroitement et se prêtent mutuellement l'assistance nécessaire à l'exercice de leurs mandats respectifs, en vue d'assurer une application cohérente du présent règlement et du droit de l'Union en matière de protection des droits fondamentaux et de rationalisation des procédures dans le respect de leurs compétences, tâches, pouvoirs et indépendance respectifs. Cela inclut, en particulier, l'échange d'informations lorsque cela est nécessaire à la surveillance ou au contrôle de l'application effectifs du présent règlement et des autres actes législatifs respectifs de l'Union.».
35) À l'article 95, le paragraphe 4 est remplacé par le texte suivant:
«4.
Le Bureau de l'IA et les États membres prennent en considération les intérêts et les besoins spécifiques des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation lorsqu'ils encouragent et facilitent l'élaboration de codes de conduite.».
36) À l'article 96, le paragraphe 1 est modifié comme suit:
a) au premier alinéa, le point a) est remplacé par le texte suivant:
«a) l'application des exigences et obligations visées aux articles 8 à 15 et aux articles 25 et 26;»
;
b) au premier alinéa, le point suivant est ajouté:
«g) la mise en œuvre pratique de l'article 8, paragraphe 2, de l'article 9, paragraphe 10, et de l'article 17, paragraphe 3, conformément au principe de complémentarité et de proportionnalité, en vue d'assurer la cohérence, d'éviter les duplications et de réduire à un minimum les charges supplémentaires lors de la mise en conformité avec les exigences du présent règlement et avec les exigences de la législation d'harmonisation de l'Union dont la liste figure à l'annexe I, section A; ces lignes directrices sont publiées le 1er août 2027 au plus tard.»
;
c) le deuxième alinéa est remplacé par le texte suivant:
«Lorsqu'elle publie ces lignes directrices, la Commission associe le Comité et accorde une attention particulière aux besoins des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, des pouvoirs publics locaux et des secteurs les plus susceptibles d'être affectés par le présent règlement.».
37) L'article 97 est modifié comme suit:
a) les paragraphes 2 et 3 sont remplacés par le texte suivant:
«2.
Le pouvoir d'adopter des actes délégués visé à l'article 6, paragraphes 6 et 7, à l'article 7, paragraphes 1 et 3, à l'article 11, paragraphe 3, à l'article 43, paragraphes 5 et 6, à l'article 47, paragraphe 5, à l'article 51, paragraphe 3, à l'article 52, paragraphe 4, et à l'article 53, paragraphes 5 et 6, est conféré à la Commission pour une période de cinq ans à compter du 1er août 2024. Le pouvoir d'adopter des actes délégués visé à l'article 2, paragraphe 13, et à l'article 30, paragraphe 2, est conféré à la Commission pour une période de cinq ans à compter du 27 juillet 2026. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d'une durée identique, sauf si le Parlement européen ou le Conseil s'oppose à cette prorogation trois mois au plus tard avant la fin de chaque période.
3. La délégation de pouvoir visée à l'article 2, paragraphe 13, à l'article 6, paragraphes 6 et 7, à l'article 7, paragraphes 1 et 3, à l'article 11, paragraphe 3, à l'article 30, paragraphe 2, à l'article 43, paragraphes 5 et 6, à l'article 47, paragraphe 5, à l'article 51, paragraphe 3, à l'article 52, paragraphe 4, et à l'article 53, paragraphes 5 et 6, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l'Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.»
;
b) le paragraphe 6 est remplacé par le texte suivant:
«6)
Un acte délégué adopté en vertu de l'article 2, paragraphe 13, de l'article 6, paragraphe 6 ou 7, de l'article 7, paragraphe 1 ou 3, de l'article 11, paragraphe 3, de l'article 30, paragraphe 2, de l'article 43, paragraphe 5 ou 6, de l'article 47, paragraphe 5, de l'article 51, paragraphe 3, de l'article 52, paragraphe 4, ou de l'article 53, paragraphe 5 ou 6, n'entre en vigueur que si le Parlement européen ou le Conseil n'a pas exprimé d'objections dans un délai de trois mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l'expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d'objections. Ce délai est prolongé de trois mois à l'initiative du Parlement européen ou du Conseil.».
38) L'article 99 est modifié comme suit:
a) le paragraphe 1 est remplacé par le texte suivant:
«1.
Conformément aux conditions établies dans le présent règlement, les États membres déterminent le régime des sanctions et autres mesures d'exécution, qui peuvent également comprendre des amendes administratives, des avertissements et des mesures non monétaires, applicables à toute violation du présent règlement commise par des opérateurs, et prennent toute mesure nécessaire pour veiller à la mise en œuvre correcte et effective de ces sanctions, tenant ainsi compte des lignes directrices publiées par la Commission en vertu de l'article 96. Ces sanctions doivent être effectives, proportionnées et dissuasives. Lorsqu'ils imposent des sanctions, les États membres tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique.»
;
b) au paragraphe 4, le point suivant est inséré:
«d bis) les obligations incombant aux fournisseurs et aux opérateurs en vertu de l'article 25, paragraphes 2 et 4;»
;
c) le paragraphe suivant est inséré:
«6 bis.
Dans le cas des petites entreprises à moyenne capitalisation, chaque amende visée aux paragraphes 4 et 5 s'élève au maximum aux pourcentages ou montants qui y sont visés, le chiffre le plus faible étant retenu.».
39) L'article 111 est modifié comme suit:
a) le paragraphe 2 est remplacé par le texte suivant:
«2.
Sans préjudice de l'application de l'article 5 visée à l'article 113, troisième alinéa, point a), le présent règlement s'applique aux opérateurs de systèmes d'IA à haut risque, autres que les systèmes visés au paragraphe 1 du présent article, qui ont été mis sur le marché ou mis en service avant la date d'application du chapitre III visée à l'article 113, uniquement si, à compter de cette date, ces systèmes subissent d'importantes modifications de leurs conceptions. En tout état de cause, les fournisseurs et les déployeurs de systèmes d'IA à haut risque destinés à être utilisés par des autorités publiques prennent les mesures nécessaires pour se conformer aux exigences et obligations prévues dans le présent règlement au plus tard le 2 août 2030.»
;
b) le paragraphe suivant est ajouté:
«4.
Les fournisseurs de systèmes d'IA, y compris les systèmes d'IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, qui ont été mis sur le marché avant le 2 août 2026 prennent les mesures nécessaires pour se conformer à l'article 50, paragraphe 2, d'ici au 2 décembre 2026.».
40) À l'article 113, le troisième alinéa est modifié comme suit:
a) le point a) est remplacé par le texte suivant:
«a) les chapitres I et II s'appliquent à partir du 2 février 2025, à l'exception de l'article 5, paragraphe 1, premier alinéa, points b bis) et b ter), et de l'article 5, paragraphes 1 bis et 1 ter, qui s'appliquent à partir du 2 décembre 2026;»
;
b) le point c) est remplacé par le texte suivant:
«c) le chapitre III, sections 1, 2 et 3, à l'exception de l'article 6, paragraphe 5, s'applique à partir:
i) du 2 décembre 2027 en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III; et
ii) du 2 août 2028 en ce qui concerne les systèmes d'IA classés à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I.»
;
c) le point suivant est ajouté:
«d) les articles 102 à 110 sont applicables à partir du 27 juillet 2026.».
41) L'annexe I est modifiée comme suit:
a) à la section A, le point 1 est supprimé;
b) à la section B, le point suivant est ajouté:
«21. Règlement (UE) 2023/1230 du Parlement européen et du Conseil du 14 juin 2023 sur les machines, abrogeant la directive 2006/42/CE du Parlement européen et du Conseil et la directive 73/361/CEE du Conseil (JO L 165 du 29.6.2023, p. 1, ELI: http://data.europa.eu/eli/reg/2023/1230/oj).».
42) À l'annexe VIII, section B, les points 7 et 9 sont supprimés.
43) L'annexe suivante est ajoutée: