Serious AI Incidents : le projet de lignes directrices de l'UE sur les obligations de notification pose de nouveaux jalons en matière de conformité à l'IA

Obligations de déclaration des incidents AI graves
Catégories :
Image de  Aristotelis Zervos

Aristotelis Zervos

Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, la conformité informatique et la réglementation de l'IA.

Le 26 septembre 2025, la Commission européenne a lancé une consultation publique sur le thème de l'égalité des chances. Consultation sur Lignes directrices et un formulaire de notification pour les "incidents d'IA graves" conformément au règlement (UE) 2024/1689 sur l'IA. L'objectif est de préciser la manière de traiter les incidents graves de systèmes d'IA à haut risque avant que les obligations de notification ne deviennent obligatoires à partir d'août 2026. L'initiative complète le règlement sur l'IA par des directives pratiques pour les fournisseurs et les exploitants.

Cadre juridique : Article 73 du règlement sur les IC

Conformément à l'article 73, les fournisseurs de systèmes d'IA à haut risque sont tenus de notifier immédiatement les incidents graves (serious incident) aux autorités nationales de surveillance du marché. Un "incident IA grave" comprend notamment les événements qui

  • le décès ou une atteinte grave à la santé d'une personne,
  • une perturbation importante d'infrastructures critiques ; ou
  • causent ou sont susceptibles de causer de graves violations des droits fondamentaux


Dans certains cas, les opérateurs doivent également signaler les cas. Par exemple, lorsqu'ils disposent d'informations relatives à la sécurité dont le fournisseur ne dispose pas.

Le libellé de l'article 73 exige en cas d'incident grave

  1. Définition d'un "incident grave" en rapport avec un système d'IA.
  2. Obligation de signaler ces incidents par les fournisseurs et, dans certains cas, par les exploitants ou les remplaçants.
  3. les délais de notification (dans des délais déterminés après la prise de connaissance).
  4. les informations obligatoires à fournir dans la notification (telles que l'identification du système, la description de l'incident, les conséquences, les mesures à prendre).
  5. coopérer avec les autorités de surveillance du marché et les organismes nationaux, ainsi qu'avec la Commission et l'AI Board, le cas échéant.
  6. Obligations de notification spécifiques à la Commission pour les modèles présentant un risque systémique (par exemple, les grandes IA génératives).


L'essentiel est que cette obligation de déclaration s'ajoute à d'autres obligations de déclaration ou d'information. Obligations d'information (par exemple, en matière de législation sur la protection des données, en cas d'incidents de cybersécurité) intervient.

La Commission insiste sur la coordination avec les obligations de notification existantes, telles que celles prévues par la directive NIS2, le Digital Operational Resilience Act (DORA) ou le RGPD. L'objectif est d'éviter les doubles notifications et de créer des procédures cohérentes. Parallèlement, l'objectif est de s'aligner sur les normes internationales, telles que l'OECD AI Incidents Monitor.

Contenu du projet de lignes directrices sur les obligations de déclaration

Le projet contient

  • Définitions de termes : Précisions sur "serious incident", "malfunction", "unexpected behavior" et "drop in accuracy".
  • Exemples : des scénarios issus de la pratique - par exemple des erreurs de classification, des réactions imprévues du système ou des pertes significatives de précision.
  • Processus de notification : le calendrier, les responsabilités et les voies de communication entre les fournisseurs, les opérateurs, les autorités et la Commission.
  • Structure du formulaire : Formulaire de déclaration uniforme avec des informations obligatoires échelonnées, qui doit également garantir la compatibilité internationale.


La question de savoir dans quelle mesure les informations doivent être détaillées et dans quelle mesure les déclarations provisoires sont autorisées reste ouverte.

Conseil de lien : La deuxième phase du règlement sur l'IA est lancée - qu'en sera-t-il à partir d'août 2025 ?

Questions juridiques en suspens concernant le "serious AI incident

Le projet soulève un certain nombre de questions juridiques et pratiques difficiles :

Délimitation du "serious AI incident

La délimitation exacte des incidents qui doivent être déclarés constitue un point de tension central. Des formulations telles que "baisse importante de la précision", "comportement inattendu" ou "panne du système" laissent déjà une marge d'appréciation considérable. Les exploitants et les fournisseurs doivent développer des critères pour appliquer ces notions normatives de manière fiable.

Le site Lignes directrices pourraient introduire des seuils plus larges, par exemple des seuils quantitatifs. Toutefois, cela comporte le risque que des incidents légitimes ne soient pas signalés parce qu'ils ne dépassent pas le seuil. Ou qu'il y ait de nombreuses fausses déclarations.

Responsabilité des fournisseurs vs. exploitants

L'attribution des obligations de notification entre les fournisseurs, les opérateurs et les autres parties prenantes n'est pas triviale. Les opérateurs ne sont souvent pas en mesure d'obtenir un aperçu technique suffisant pour identifier certaines causes. Inversement, les fournisseurs n'ont souvent pas un accès immédiat à toutes les conditions réelles d'utilisation.

Le site Lignes directrices doivent donc définir clairement les cas dans lesquels seul le fournisseur est tenu de notifier et ceux dans lesquels l'exploitant doit être impliqué (par exemple en tant que personne tenue de notifier ou d'informer).

Seuils de déclaration, délais de déclaration et exhaustivité

Les délais de notification des incidents jouent un rôle central. Le projet mentionne certes des délais de notification. Toutefois, la question de savoir s'il est réaliste de les respecter dans le cas de systèmes d'IA complexes reste ouverte. Dans les situations où les causes ne doivent être identifiées qu'après une analyse détaillée, le risque existe que la notification initiale soit incomplète ou doive être adaptée ultérieurement.

La question se pose également de savoir dans quelle mesure la première déclaration doit être complète. Toutes les informations doivent-elles être disponibles au moment de la déclaration ou est-il possible de faire une déclaration provisoire qui sera complétée ultérieurement ?

Interfaces avec la législation sur la protection des données et la sécurité

De nombreux incidents liés à l'IA pourraient être considérés simultanément comme des violations de la protection des données (par exemple, classification erronée des personnes) ou comme des incidents de sécurité. Il existe un risque d'obligations de notification contradictoires et d'incohérences entre les responsabilités.

Recommandations d'action pour la pratique

1. mise en place d'un système de gestion des incidents

Les entreprises devraient adapter leurs structures de conformité :

  • Définition de critères internes de déclaration,
  • les règles de compétence et les voies d'escalade,
  • la traçabilité technique et Documentation,
  • Formation du personnel concerné.

2. participation à la Consultation

Le site Consultation se poursuit jusqu'à 7 novembre 2025. Les fournisseurs, les opérateurs et les associations sectorielles devraient profiter de l'occasion pour faire part de leurs réactions pratiques et améliorer la conception des Lignes directrices de participer à l'élaboration des politiques.

3. intégration dans les systèmes de conformité existants

Les structures de notification de l'IA devraient être liées aux processus de protection des données et de cyberconformité afin de créer des processus cohérents et des synergies.

4. vote international

Pour les fournisseurs multinationaux, il est recommandé de mettre en place un système de déclaration centralisé qui tienne compte des différences nationales et reproduise les formats de déclaration internationaux.

Le site Lignes directrices pour la notification des incidents graves liés à l'IA constituent une étape importante dans la mise en œuvre pratique de l'AI Act. Elles auront un impact décisif sur la gestion des risques liés à l'IA.

Dans la pratique, c'est le moment de vérifier les processus internes, d'établir des voies de communication et de participer activement à la mise en œuvre de la stratégie. Consultation de participer. C'est la seule façon de s'assurer que les objectifs finaux restent réalisables, juridiquement sûrs et technologiquement réalisables.

Source : Consultation ciblée des parties prenantes sur le projet de lignes directrices de la Commission concernant l'article 73 de la loi sur l'intelligence artificielle - notification des incidents (systèmes d'intelligence artificielle à haut risque)

Solution pratique : Gouvernance de l'IA avec Ailance

Les nouvelles obligations de déclaration du règlement sur l'IA le montrent clairement : Les entreprises ont besoin d'un système de gouvernance de l'IA structuré, compréhensible et conforme aux exigences d'audit. Avec Gouvernance de l'IA Ailance 2B Advice propose une solution qui a fait ses preuves dans la pratique pour la mise en œuvre des exigences réglementaires.Ailance vous soutient dans

  • le Classification des risques et Documentation de systèmes d'IA,

  • le Détection et évaluation des "incidents graves,

  • le Intégration des obligations de déclaration dans les flux de travail de conformité existants,

  • le Création de rapports conformes pour les autorités et les organes de surveillance,

  • ainsi que le gouvernance en cours et capacité d'audit de vos applications d'IA.

Concevez dès maintenant votre conformité à l'IA de manière proactive, avant que les obligations de déclaration ne deviennent un fardeau.

Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, la conformité IT et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, la conformité au RGPD et la gestion des risques. Pour en savoir plus sur lui, consultez son Page du profil de l'auteur.

Les tags :
Partager ce post :