Article 55 : obligations incombant aux fournisseurs de modèles GPAI présentant un risque systémique

Les fournisseurs de modèles GPAI présentant un risque systémique doivent, en plus des devoirs de base de l’article 53 :

(a) Évaluation du modèle y compris essais contradictoires : - Effectuer une évaluation du modèle selon des protocoles et outils normalisés reflétant l’état de la technique, y compris en réalisant et en documentant des essais contradictoires du modèle - Objectif : identifier et atténuer les risques systémiques

(b) Évaluer et atténuer les risques systémiques : - Évaluer et atténuer les risques systémiques possibles au niveau de l’Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation du modèle - L’évaluation doit être proportionnée aux capacités du modèle

(c) Signalement des incidents graves : - Suivre, documenter et communiquer au Bureau de l’IA et, le cas échéant, aux autorités nationales compétentes, les incidents graves et les mesures correctives possibles - Sans retard injustifié après que le fournisseur en a connaissance

(d) Protection en matière de cybersécurité : - Garantir un niveau approprié de protection en matière de cybersécurité pour le modèle et son infrastructure physique

Jusqu’à l’adoption de normes harmonisées, les fournisseurs peuvent démontrer le respect des obligations de l’article 55 par l’adhésion à des codes de bonne pratique au titre de l’article 56. Le Bureau de l’IA facilite l’élaboration de ces codes. Lorsqu’un fournisseur n’adhère pas à un code de bonne pratique, il doit démontrer des autres moyens appropriés de mise en conformité à la satisfaction du Bureau de l’IA.

Les codes de bonne pratique ne sont pas du droit contraignant, mais créent un abri pratique : les suivre déplace la charge de la preuve vers l’autorité pour montrer la non-conformité.

• Article 51, critères de classification qui déclenchent les devoirs de l’article 55.
• Article 52, procédure de désignation du risque systémique.
• Article 53, obligations GPAI de base (l’article 55 s’ajoute à celles-ci, il ne les remplace pas).
• Article 56, codes de bonne pratique comme voie de mise en conformité.
• Annexe XI, section 2, exigences de documentation pour les stratégies d’évaluation, les essais contradictoires et l’architecture du système.
• Annexe XIII, critères de classification du risque systémique (les déclencheurs).
• Article 64, pouvoirs du Bureau de l’IA pour l’exécution et les demandes d’information.
• Article 101, sanctions pour les fournisseurs GPAI.
• Article 113, dates d’application (chapitre V depuis le 2 août 2025).

Note (rédaction). Le texte anglais de l’article 55 n’est pas traduit ici. Ci-dessous, le français publié par le guichet unique de la Commission, version du 13 juin 2024. Pour toute décision, lisez le texte consolidé sur EUR-Lex.

1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d’IA à usage général présentant un risque systémique :

a) effectuent une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d’identifier et d’atténuer les risques systémiques ;

b) évaluent et atténuent les risques systémiques éventuels au niveau de l’Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation de modèles d’IA à usage général présentant un risque systémique ;

c) suivent, documentent et communiquent sans retard injustifié au Bureau de l’IA et, le cas échéant, aux autorités nationales compétentes les informations pertinentes concernant les incidents graves ainsi que les éventuelles mesures correctives pour y remédier ;

d) garantissent un niveau approprié de protection en matière de cybersécurité pour le modèle d’IA à usage général présentant un risque systémique et l’infrastructure physique du modèle.

2. Les fournisseurs de modèles d’IA à usage général présentant un risque systémique peuvent s’appuyer sur des codes de bonne pratique au sens de l’article 56 pour démontrer qu’ils respectent les obligations énoncées au paragraphe 1 du présent article, jusqu’à la publication d’une norme harmonisée. Le respect des normes européennes harmonisées confère au fournisseur une présomption de conformité dans la mesure où lesdites normes couvrent ces obligations. Les fournisseurs de modèles d’IA à usage général présentant un risque systémique qui n’adhèrent pas à un code de bonnes pratiques approuvé ou ne respectent pas une norme européenne harmonisée démontrent qu’ils disposent d’autres moyens appropriés de mise en conformité et les soumettent à l’appréciation de la Commission.

3. Toute information ou documentation obtenue en vertu du présent article, y compris les secrets d’affaires, est traitée conformément aux obligations de confidentialité énoncées à l’article 78.

Les considérants du même règlement consolidé sur EUR-Lex contextualisent l’atténuation du risque systémique, les essais contradictoires, le signalement d’incidents et la cybersécurité pour les modèles de frontière. Utilisez le préambule officiel sur EUR-Lex.