Article 30 : Exigences concernant les organismes notifiés

L’article 30 de ce guide pose la barre pour les organismes notifiés. C’est l’article le plus détaillé de la section, car il définit chaque critère de qualité, de compétence et d’organisation. Les exigences comprennent :

a) Personnalité juridique, l’organisme doit être établi selon le droit national d’un État membre et posséder la personnalité juridique.

b) Indépendance, l’organisme doit être organisationnellement et fonctionnellement indépendant des fournisseurs dont il évalue les systèmes d’IA. La direction et le personnel d’évaluation ne doivent pas participer à la conception, au développement, à la fabrication, à la commercialisation, à l’installation, à l’utilisation ou à la maintenance des systèmes d’IA qu’ils évaluent. Cela s’étend à toute société mère, filiale ou entité affiliée.

c) Compétence, l’organisme doit démontrer sa capacité à mener les activités d’évaluation de la conformité, avec une expertise spécifique à l’IA adaptée aux tâches. Cela inclut la connaissance des technologies d’IA, des données et du calcul, des droits fondamentaux, des risques pour la santé et la sécurité, et des normes et du cadre réglementaire existants.

d) Personnel, un effectif suffisant avec les connaissances et l’expérience techniques requises, y compris la compréhension : - des technologies d’IA et de leur fonctionnement - des données et de la gouvernance des données - de l’infrastructure de calcul - des risques pour les droits fondamentaux - des risques pour la santé et la sécurité - des normes harmonisées et des spécifications communes existantes

e) Procédures documentées, des procédures d’évaluation transparentes et reproductibles.

f) Assurance de responsabilité, une assurance professionnelle appropriée pour les activités d’évaluation de la conformité.

g) Délais, la capacité d’accomplir les tâches et de fournir les résultats dans des délais définis.

Le personnel doit respecter la confidentialité des informations obtenues pendant l’évaluation. L’organisme notifié doit aussi participer aux activités de normalisation et aux groupes de coordination pertinents. Vérifiez chaque point sur EUR-Lex, article 30 et, pour les exigences, l’article 31 du JO.

L’exigence d’indépendance vise à prévenir toute situation où les intérêts commerciaux ou les relations d’un organisme notifié compromettraient l’objectivité de l’évaluation. Points clés :

• La direction de premier rang et le personnel d’évaluation doivent être libres de pressions commerciales, financières ou autres susceptibles d’influencer leur jugement.
• L’organisme ne doit pas avoir participé à la conception, au développement ou à la commercialisation du système d’IA évalué, ni directement ni par des entités liées.
• L’organisme doit veiller à ce que les activités de ses filiales ou sous-traitants (article 32) ne portent pas atteinte à son indépendance.
• La rémunération du personnel d’évaluation ne doit pas dépendre du nombre d’évaluations réalisées ni de leurs résultats.

Contrairement aux exigences existantes du nouveau cadre législatif pour les organismes notifiés, le règlement sur l’IA exige explicitement une expertise du domaine de l’IA. Cela reflète la nature particulière des systèmes d’IA, où les essais produits traditionnels (par exemple essais de contrainte mécanique) ne suffisent pas.

Les organismes notifiés doivent démontrer une compétence en : - Technologies d’IA, compréhension des paradigmes d’apprentissage automatique, des réseaux de neurones, de l’IA symbolique et des systèmes hybrides. - Gouvernance des données, capacité d’évaluer la qualité des données d’entraînement, les biais, la représentativité et le respect de la vie privée. - Droits fondamentaux, connaissance de la manière dont les systèmes d’IA peuvent affecter la non-discrimination, la vie privée, la liberté d’expression et la dignité humaine. - Cybersécurité, compréhension des attaques adverses, de la robustesse des modèles et des risques d’empoisonnement des données.

Cela signifie que les organismes notifiés existants au titre de la législation produits de l’annexe I (par exemple RDM, règlement Machines) devront en général renforcer leurs équipes avec des spécialistes de l’IA.

• Article 28, l’autorité notifiante vérifie le respect des exigences.
• Article 29, le processus de demande des organismes qui revendiquent de satisfaire aux exigences.
• Article 31, normes harmonisées qui déclenchent une présomption de conformité.
• Article 32, les filiales et sous-traitants doivent aussi satisfaire aux exigences.
• Article 43, procédures d’évaluation de la conformité que les organismes notifiés mènent.
• Annexe VI, procédure d’évaluation de la conformité par contrôle interne.
• Annexe VII, procédure d’évaluation de la conformité fondée sur l’évaluation du SMQ et de la documentation technique.
• Article 113, dates d’application et entrée en vigueur échelonnée.