Article 32 : Filiales des organismes notifiés et sous-traitance
L’article 32 de ce guide permet aux organismes notifiés de sous-traiter des tâches spécifiques d’évaluation de la conformité ou de recourir à des filiales, sous conditions strictes : le fournisseur (client) doit consentir, le sous-traitant ou la filiale doit satisfaire aux exigences d’organisme notifié, et l’organisme notifié reste entièrement responsable de tout le travail sous-traité. L’externalisation complète de l’activité d’évaluation de la conformité n’est pas permise. L’organisme notifié doit tenir une liste des filiales et sous-traitants, disponible pour l’autorité notifiante sur demande. Toujours vérifier sur EUR-Lex : dans le JO, l’article 32 s’intitule « Présomption de conformité… » et les filiales figurent à l’article 33.
À qui cela s’applique-t-il ?
- -Organismes notifiés qui recourent à des sous-traitants ou des filiales pour des tâches spécifiques d’évaluation de la conformité
- -Sous-traitants et filiales qui accomplissent des tâches d’évaluation de la conformité pour le compte d’organismes notifiés
- -Fournisseurs (clients) dont le consentement est exigé avant la sous-traitance de leur évaluation de la conformité
Scénarios
Un organisme notifié fort en audit de SMQ mais limité en essais d’apprentissage profond sous-traite les essais de robustesse adverse d’un système d’IA à haut risque à un laboratoire d’essais IA spécialisé.
Un organisme notifié tente de sous-traiter l’intégralité de l’évaluation de la conformité d’un système biométrique à haut risque à un laboratoire tiers, en ne conservant qu’une supervision administrative.
Ce que fait l’article 32 (en clair)
L’article 32 de ce guide reconnaît que l’évaluation de la conformité des systèmes d’IA à haut risque peut exiger une expertise spécialisée qu’un seul organisme notifié ne possède pas en interne. Plutôt que de bloquer tout recours à des ressources externes, il autorise une sous-traitance limitée et le recours à des filiales sous conditions strictes.
Les règles clés sont :
1. Consentement du fournisseur, avant de sous-traiter une tâche, l’organisme notifié doit obtenir le consentement explicite du fournisseur (le client qui commande l’évaluation de la conformité).
2. Respect des exigences, chaque sous-traitant et filiale qui accomplit des tâches d’évaluation de la conformité doit satisfaire aux exigences pertinentes, y compris l’indépendance, la compétence, les procédures documentées et la confidentialité.
3. Pleine responsabilité, l’organisme notifié reste entièrement responsable de toutes les tâches accomplies par des sous-traitants ou des filiales. Il ne peut pas déléguer sa responsabilité juridique.
4. Pas d’externalisation complète, sous-traiter l’intégralité de l’activité d’évaluation de la conformité à un tiers n’est pas autorisé. L’organisme notifié doit conserver un contrôle de fond sur l’évaluation d’ensemble.
5. Liste des sous-traitants / filiales, l’organisme notifié doit tenir une liste à jour et la mettre à disposition de l’autorité notifiante sur demande.
Vérifiez le texte complet sur EUR-Lex, article 32.
Implications pratiques pour les fournisseurs et les organismes notifiés
Pour les fournisseurs qui sollicitent une évaluation de la conformité : - Vous avez un droit de savoir qui accomplit le travail d’évaluation. Si l’organisme notifié propose de sous-traiter, il doit obtenir votre consentement. - Demandez les titres du sous-traitant et vérifiez qu’il satisfait aux exigences, en particulier pour la compétence spécifique à l’IA. - Votre relation contractuelle reste avec l’organisme notifié, qui porte la pleine responsabilité juridique.
Pour les organismes notifiés : - La sous-traitance peut combler des lacunes spécialisées (par exemple essais ML adverses, audit de biais, analyse de risques de domaine) sans exiger chaque capacité en interne. - Vous devez établir des mécanismes de supervision pour garantir que le travail sous-traité satisfait à vos normes de qualité et aux exigences. - Documentez tous les arrangements de sous-traitance et tenez la liste exigée pour l’autorité notifiante.
Lien de l’article 32 avec le reste du règlement
- Article 30, exigences que les sous-traitants et filiales doivent satisfaire indépendamment.
- Article 33, le processus de notification ; l’autorité notifiante peut prendre en compte les arrangements de sous-traitance lorsqu’elle évalue la capacité d’un organisme notifié.
- Article 43, procédures d’évaluation de la conformité pendant lesquelles la sous-traitance peut intervenir.
- Article 28, l’autorité notifiante qui peut demander la liste des sous-traitants / filiales.
- Article 113, dates d’application et entrée en vigueur échelonnée.
Liste de conformité
- En tant qu’organisme notifié, évaluer si des tâches d’évaluation de la conformité exigent une sous-traitance ou l’implication d’une filiale, et documenter le motif.
- Vérifier que chaque sous-traitant et filiale satisfait aux exigences avant de les engager.
- Obtenir le consentement écrit explicite du fournisseur (client) avant de sous-traiter toute tâche d’évaluation de la conformité.
- Veiller à ce que l’activité complète d’évaluation de la conformité ne soit pas entièrement externalisée ; conserver un contrôle de fond sur l’évaluation centrale.
- Tenir une liste à jour de toutes les filiales et de tous les sous-traitants utilisés pour des tâches d’évaluation de la conformité.
- Établir des mécanismes de supervision de la qualité du travail sous-traité, y compris la revue des livrables.
- Mettre la liste des filiales et sous-traitants à disposition de l’autorité notifiante sur demande.
Cartographier vos obligations d’évaluation de la conformité, lancer l’évaluation gratuite.
Démarrer l’évaluation gratuiteArticles connexes
Questions fréquentes
Un organisme notifié peut-il sous-traiter à un organisme hors de l’Union ?
L’article ne restreint pas explicitement la sous-traitance aux entités établies dans l’Union, mais le sous-traitant doit satisfaire aux exigences, y compris l’indépendance et la compétence. L’autorité notifiante devrait être convaincue que la supervision est adéquate, quel que soit le lieu du sous-traitant.
Que se passe-t-il si le fournisseur ne consent pas à la sous-traitance ?
L’organisme notifié ne peut pas procéder à la sous-traitance pour l’évaluation de ce fournisseur. Il doit soit accomplir la tâche en interne, soit le fournisseur peut choisir un autre organisme notifié disposant des capacités internes nécessaires.
La liste des sous-traitants doit-elle être publique ?
La liste doit être disponible pour l’autorité notifiante sur demande. Elle n’impose pas une divulgation publique, mais les fournisseurs concernés par les évaluations devraient être informés de la sous-traitance pertinente.