Article 36 : Obligations opérationnelles des organismes notifiés
L’article 36 de ce guide fixe les devoirs opérationnels quotidiens des organismes notifiés qui mènent des évaluations de la conformité au titre du règlement sur l’IA. Il couvre la manière dont les évaluations doivent être menées, ce qui se passe lorsqu’une non-conformité est constatée, les devoirs d’information envers les autorités notifiantes et les autres organismes notifiés, et les devoirs de coopération avec la Commission et les États membres. Dans le JO, l’article 36 s’intitule « Modifications apportées aux notifications » et les obligations opérationnelles figurent à l’article 34.
À qui cela s’applique-t-il ?
- -Organismes notifiés qui mènent des évaluations de la conformité de systèmes d’IA à haut risque au titre de l’article 43
- -Fournisseurs soumis à une évaluation de la conformité par un tiers, concernés par les décisions de l’organisme sur les certificats
- -Autorités notifiantes qui supervisent le fonctionnement des organismes notifiés et reçoivent des informations de statut sur les certificats
Scénarios
Un organisme notifié audite le système de gestion de la qualité d’un fournisseur pour un outil de recrutement à haut risque. Pendant l’audit, l’organisme constate que le fournisseur n’a pas mis en œuvre des procédures adéquates d’essai de biais, exigées au titre de l’article 10.
Un organisme notifié retire un certificat pour un système d’IA d’infrastructure critique après avoir constaté une non-conformité persistante. Un autre organisme notifié dans un autre État membre a déjà délivré un certificat au même fournisseur pour un système connexe.
Les sept obligations opérationnelles
L’article 36 de ce guide impose un ensemble structuré de devoirs aux organismes notifiés :
a) Mener les évaluations correctement, accomplir les évaluations de la conformité conformément aux procédures de l’article 43.
b) Faire appliquer les mesures correctives, lorsqu’une non-conformité est constatée ou que les conditions ne sont plus remplies, exiger du fournisseur qu’il prenne des mesures correctives et, si nécessaire, suspendre, restreindre ou retirer le certificat.
c) Informer l’autorité notifiante, informer l’autorité notifiante des certificats refusés, restreints, suspendus ou retirés.
d) Informer les organismes pairs, notifier aux autres organismes notifiés les certificats refusés ou retirés. Sur demande, partager aussi des informations sur les certificats délivrés.
e) Répondre aux demandes de la Commission et des États membres, fournir des informations sur les décisions de certification négatives et positives lorsque la Commission ou les États membres le demandent.
f) Accorder l’accès de surveillance, permettre à l’autorité notifiante d’accomplir ses activités de surveillance, y compris des visites sur site.
g) Tenir la documentation disponible, maintenir et rendre la documentation accessible à l’autorité notifiante aux fins de supervision.
Ce que cela signifie pour les fournisseurs
Les fournisseurs soumis à une évaluation de la conformité par un tiers doivent s’attendre à ce que les organismes notifiés :
- Demandent un accès complet à la documentation technique, aux enregistrements de gestion de la qualité et aux résultats d’essais
- Émettent des demandes de mesures correctives avec des échéances claires lorsqu’une non-conformité est constatée
- Suspendent ou retirent des certificats si les mesures correctives ne sont pas achevées de façon satisfaisante
- Partagent les issues de certification négatives avec d’autres organismes et l’autorité notifiante
Les fournisseurs devraient construire des processus internes pour répondre rapidement aux demandes de mesures correctives, car les retards peuvent aller jusqu’à la suspension du certificat.
Interaction avec la supervision et le contrôle de l’application
- Article 30, exigences que les organismes notifiés doivent satisfaire pour être désignés.
- Article 43, les procédures d’évaluation de la conformité que l’organisme doit suivre.
- Article 44, certificats délivrés par les organismes notifiés et leur validité.
- Article 45, obligations d’information des fournisseurs envers les organismes notifiés.
- Article 113, dates d’application.
Transparence et information mutuelle
L’article 36 de ce guide crée un réseau de transparence dans l’écosystème des organismes notifiés. L’obligation d’informer les organismes pairs des refus et retraits empêche les fournisseurs de « choisir l’organisme le plus clément » après un échec auprès d’un organisme. L’obligation de répondre aux demandes d’information de la Commission et des États membres permet aux autorités de contrôle de l’application de se faire une image complète de l’activité de certification dans l’Union.
Liste de conformité
- Veiller à ce que votre organisme notifié suive les procédures de l’article 43 ; demander une description claire de la méthodologie d’évaluation.
- Établir un processus interne pour répondre aux demandes de mesures correctives dans les échéances indiquées par l’organisme notifié.
- Demander une confirmation écrite du statut du certificat (délivré, restreint, suspendu ou retiré) et conserver les traces.
- Si votre certificat est suspendu, cesser de mettre le système sur le marché jusqu’à la levée de la suspension.
- Tenir toute la documentation que l’organisme notifié peut demander pour les visites de surveillance de l’autorité notifiante.
- Surveiller si la notification de votre organisme notifié a elle-même été restreinte ou suspendue ; consulter périodiquement la base NANDO.
Se préparer à l’évaluation par un tiers, lancer le contrôle gratuit.
Démarrer l’évaluation gratuiteArticles connexes
Questions fréquentes
Que se passe-t-il si un organisme notifié constate une non-conformité pendant une évaluation ?
L’organisme doit exiger du fournisseur qu’il prenne des mesures correctives. Si le fournisseur ne remédie pas au problème ou si la non-conformité est grave, l’organisme doit suspendre, restreindre ou retirer le certificat et en informer l’autorité notifiante.
Un fournisseur peut-il changer d’organisme notifié après un refus de certificat ?
Un fournisseur peut engager un autre organisme notifié, mais les organismes doivent s’informer mutuellement des refus et retraits. Le nouvel organisme sera informé de l’issue précédente et en tiendra compte dans sa propre évaluation.
L’organisme notifié partage-t-il les résultats d’évaluation avec les autorités de surveillance du marché ?
Oui. L’organisme doit fournir des informations sur les décisions de certification positives et négatives à la Commission et aux États membres sur demande. L’autorité notifiante a aussi un accès direct de surveillance.