Article 73 : Signalement d’incidents graves

Un incident grave est défini à l’article 3, point 49 comme un incident ou un dysfonctionnement d’un système d’IA qui entraîne directement ou indirectement :

• le décès d’une personne ;
• une atteinte grave à la santé d’une personne ;
• une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques ;
• la violation d’obligations du droit de l’Union destinées à protéger les droits fondamentaux ;
• un dommage grave à des biens ou à l’environnement.

Le seuil est un préjudice fonctionnel, pas seulement un dysfonctionnement technique. Un presque-incident qui aurait pu causer ce qui précède peut aussi justifier un signalement selon les faits.

L’article 73 fixe trois horloges, et non le délai de 72 heures de l’article 33 du RGPD :

15 jours (paragraphe 2), règle générale : - Signalement immédiatement après que le fournisseur a établi un lien de causalité, ou la probabilité raisonnable d’un tel lien, et en tout état de cause au plus tard 15 jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l’incident grave. Le délai tient compte de l’ampleur de l’incident.

2 jours (paragraphe 3) : - En cas d’infraction de grande ampleur ou d’incident grave au sens de l’article 3, point 49, b) (perturbation grave et irréversible d’infrastructures critiques), le signalement est effectué immédiatement, et au plus tard deux jours après la connaissance.

10 jours (paragraphe 4) : - En cas de décès d’une personne, le signalement est effectué immédiatement après que le fournisseur ou le déployeur a établi un lien de causalité, ou dès qu’il soupçonne un tel lien, et au plus tard 10 jours après la date de connaissance.

Le fournisseur ou le déployeur peut soumettre un signalement initial incomplet, suivi d’un signalement complet, si c’est nécessaire pour tenir le délai. Tous les délais courent à compter de la connaissance : les fournisseurs doivent avoir des processus internes pour faire remonter vite les incidents potentiels depuis la surveillance après mise sur le marché (article 72).

Les signalements doivent au minimum comprendre : - l’identification du fournisseur et du système d’IA à haut risque ; - la description de l’incident grave et des circonstances ; - la date et le lieu de l’incident ; - l’appréciation du lien de causalité ou de la probabilité raisonnable ; - les mesures correctives prises ou prévues.

La Commission peut adopter des actes d’exécution précisant les modèles et formats de signalement. Un signalement initial incomplet peut être complété ensuite (article 73, paragraphe 5).

• Article 3, point 49, définition de l’incident grave.
• Article 17, le SGQ doit inclure des procédures de signalement des incidents (élément 8).
• Article 26, devoir du déployeur d’informer le fournisseur et de coopérer sur les incidents.
• Article 55, paragraphe 1, point c), les fournisseurs de GPAI à risque systémique ont un devoir séparé de signalement des incidents graves au bureau de l’IA.
• Article 72, la surveillance après mise sur le marché doit faire remonter les incidents qui déclenchent l’article 73.
• Article 74, suivi par l’autorité de surveillance du marché et actions correctives.
• Article 99, sanctions pour défaut de signalement.

Note (rédaction). Le dump anglais n’est pas retraduit. Extraits du dispositif français de l’article 73, tels que publiés par le service d’assistance de la Commission. En cas d’écart, le HTML consolidé EUR-Lex, article 73 prévaut.

2. Le signalement visé au paragraphe 1 est effectué immédiatement après que le fournisseur a établi un lien de causalité, ou la probabilité raisonnable qu’un tel lien existe, entre le système d’IA et l’incident grave et, en tout état de cause, au plus tard 15 jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l’incident grave.

3. Nonobstant le paragraphe 2 du présent article, en cas d’infraction de grande ampleur ou d’incident grave au sens de l’article 3, point 49), b), le signalement visé au paragraphe 1 du présent article est effectué immédiatement, et au plus tard deux jours après que le fournisseur ou, le cas échéant, le déployeur a eu connaissance de cet incident.

4. Nonobstant le paragraphe 2, en cas de décès d’une personne, le signalement est effectué immédiatement après que le fournisseur ou le déployeur a établi un lien de causalité entre le système d’IA à haut risque et l’incident grave ou dès qu’il soupçonne un tel lien, mais au plus tard 10 jours après la date à laquelle le fournisseur ou, le cas échéant, le déployeur a eu connaissance de l’incident grave.

Les considérants du même règlement consolidé sur EUR-Lex contextualisent la proportionnalité du signalement, l’interaction avec le signalement sectoriel d’incidents (RDM, sécurité des produits) et l’appréciation du lien de causalité. Utilisez le préambule officiel sur EUR-Lex.