Article 26 : Obligations incombant aux déployeurs de systèmes d’IA à haut risque

L’article 26 construit la moitié déployeur du cadre de gouvernance à haut risque (les fournisseurs portent les obligations de conception aux articles 8 à 21 ; les déployeurs portent les devoirs opérationnels). Devoirs clés :

1. Usage conforme à la notice, mettre en œuvre le système comme le décrit la notice d’utilisation du fournisseur (article 13). 2. Contrôle humain, désigner des personnes physiques disposant de la compétence, de la formation, de l’autorité et des ressources pour exercer le contrôle conçu au titre de l’article 14. 3. Sans préjudice, les paragraphes 1 et 2 ne font pas obstacle aux autres obligations du déployeur au titre du droit de l’Union ou national, ni à la liberté du déployeur d’organiser ses propres ressources pour mettre en œuvre les mesures de contrôle humain. 4. Pertinence des données d’entrée, veiller à ce que les données d’entrée soient pertinentes et suffisamment représentatives au regard de la destination, dans la mesure où le déployeur en a le contrôle. 5. Surveillance, observer le fonctionnement pour détecter les risques et, le cas échéant, informer le fournisseur ou le distributeur et suspendre l’usage si nécessaire ; informer immédiatement le fournisseur et les autorités des incidents graves. 6. Conservation des journaux, conserver les journaux générés automatiquement par le système pendant au moins six mois (sauf durée plus courte ou plus longue fixée par le droit de l’Union ou national), adaptée à la destination. L’article 12 (enregistrement) n’est pas cette obligation de conservation ; la conservation de six mois relève des articles 19 et 26, paragraphe 6. 7. Information des travailleurs, avant un déploiement sur le lieu de travail, informer les représentants des travailleurs et les travailleurs concernés qu’ils seront soumis au système d’IA à haut risque. 8. Base de données de l’UE, les autorités publiques et les organes de l’Union doivent respecter l’enregistrement de l’article 49 et ne pas utiliser de systèmes non enregistrés. 9. AIPD, mener une analyse d’impact relative à la protection des données au titre de l’article 35 du RGPD lorsque le traitement déclenche cette obligation, en s’appuyant sur les informations de la notice de l’article 13. 10. Identification biométrique à distance a posteriori, les déployeurs d’autorités répressives doivent obtenir une autorisation judiciaire ou administrative préalable (ou dans les 48 heures) pour les recherches biométriques ciblées, avec des limitations strictes. 11. Informer les personnes concernées, les déployeurs de systèmes de l’annexe III qui prennent ou aident à prendre des décisions relatives à des personnes physiques doivent informer celles-ci qu’elles sont soumises à un système d’IA à haut risque. 12. Coopération, coopérer avec les autorités compétentes et fournir informations et accès sur demande.

Les déployeurs ne sont pas des clients passifs. Au titre de l’article 25, un déployeur qui :

• Appose son propre nom ou sa propre marque sur un système à haut risque déjà sur le marché
• Apporte une modification substantielle à un système à haut risque
• Modifie la destination de sorte que le système devient à haut risque

…est traité comme fournisseur et doit respecter les obligations du fournisseur (gestion des risques, documentation technique, évaluation de la conformité, etc.).

Les arrangements contractuels entre fournisseur et déployeur doivent clairement répartir les responsabilités, mais les devoirs réglementaires ne peuvent pas être écartés par contrat.

• Article 13, les déployeurs s’appuient sur la notice d’utilisation pour un usage licite ; l’article 13 est l’obligation du fournisseur de la fournir.
• Article 14, les mesures de contrôle humain doivent être mises en œuvre par les déployeurs telles que conçues ou identifiées par les fournisseurs.
• Article 25, requalification du déployeur en fournisseur en cas de modification substantielle ou de re-marquage.
• Article 27, FRIA pour les déployeurs qui sont des organismes du secteur public ou des entités agissant pour leur compte, et certains déployeurs privés.
• Article 49, enregistrement dans la base de données de l’UE et devoirs d’information.
• Article 72, la surveillance du déployeur alimente la boucle de surveillance après mise sur le marché du fournisseur.
• Article 73, signalement d’incidents graves par les déployeurs (délais 15 / 2 / 10 jours selon le cas).
• Article 9, l’analyse des risques du fournisseur doit anticiper les contextes opérationnels du déployeur.
• Article 6 + Annexe III, l’activation des devoirs du déployeur dépend de la classification à haut risque.
• Article 99, sanctions pour manquements du déployeur.
• Article 113, dates d’application.

Note de rédaction. Cette page ne reproduit pas le dispositif de l’article 26. Le texte anglais consolidé ne doit pas être traduit mécaniquement. Lisez le texte français authentique sur EUR-Lex, article 26 (JO L 2024/1689) avant toute décision. Un résumé non contraignant est aussi publié par le bureau d’assistance de la Commission.

En substance, l’article 26 fixe les devoirs opérationnels du déployeur : usage conforme à la notice, contrôle humain, données d’entrée, surveillance et incidents graves, conservation des journaux d’au moins six mois, information des travailleurs, enregistrement (article 49) pour certaines autorités, AIPD, régime spécifique de l’identification biométrique à distance a posteriori, information des personnes concernées, et coopération avec les autorités. Vérifiez chaque paragraphe sur EUR-Lex.

Les considérants du règlement consolidé sur EUR-Lex contextualisent la responsabilité du déployeur, les obligations partagées le long de la chaîne de valeur, les droits d’information des travailleurs et les analyses d’impact sur les droits fondamentaux. Utilisez le préambule officiel sur EUR-Lex ; ne vous fiez pas à des listes officieuses de considérants sans vérifier l’ordre et le libellé du texte authentique.