La Commission Européenne Publie des Lignes Directrices Draft pour les Incidents Graves d’IA sous la Loi sur l’IA de l’UE
Le 26 septembre 2025, la Commission Européenne a publié les ‘Lignes Directrices Draft Article 73 Loi sur l’IA – Rapport d’Incident’ (les Lignes Directrices). Ces lignes directrices visent à aider les fournisseurs et déployeurs de Systèmes d’IA à Haut Risque (tels que définis sous la Loi sur l’Intelligence Artificielle de l’UE) à se conformer à leurs obligations de surveillance post-commercialisation pour signaler les incidents graves et les violations généralisées des Systèmes d’IA à Haut Risque aux autorités nationales.
Objectifs des Lignes Directrices
Les Lignes Directrices visent à clarifier les définitions et les obligations de rapport en fournissant des explications, par exemple, sur la nature des obligations et sur quoi, quand et comment rapporter. Elles incluent également des exemples pratiques.
Définitions Clés et Obligations de Rapport
Les Lignes Directrices décomposent les composants des définitions clés, telles que ce qui constitue un incident grave (pour lequel des obligations de rapport s’appliquent). Elles examinent également les circonstances dans lesquelles un incident ou un dysfonctionnement du système d’IA cause directement ou indirectement, que ce soit utilisé conformément à ses objectifs prévus ou par une utilisation raisonnablement prévisible, la mort ou des dommages graves.
Par exemple, les Lignes Directrices précisent que le dommage grave d’une violation des droits fondamentaux inclut les droits protégés par la Charte des Droits Fondamentaux de l’UE. Cependant, il y a un focus sur les incidents graves, donc seules les violations qui interfèrent significativement avec les droits protégés par la Charte de l’UE à grande échelle sont reportables. Des exemples incluent :
- L’IA discriminatoire dans le recrutement,
- Le scoring de crédit qui exclut certaines catégories de personnes,
- Ou l’identification biométrique qui identifie fréquemment mal des individus de certains milieux.
Gestion des Obligations de Rapport
Les Lignes Directrices clarifient également qu’un même événement peut déclencher des obligations de rapport sous différentes législations de l’UE. Elles détaillent comment la Loi sur l’IA prévoit de réduire le risque de chevauchement des obligations et de fatigue de rapport, en donnant des exemples de scénarios où un rapport sous la Loi sur l’IA peut être requis.
Par exemple, en vertu de la Directive sur la Résilience des Entités Critiques, les entités dans des secteurs essentiels (y compris l’énergie, l’eau, et l’infrastructure numérique) doivent signaler les incidents qui perturbent les services essentiels dans les 24 heures suivant l’incident. Selon la Loi sur l’IA, pour ces secteurs, seuls les incidents impliquant des violations des droits fondamentaux nécessitent un rapport supplémentaire.
De plus, sous la Digital Operational Resilience Act, les entités financières doivent signaler les incidents majeurs en matière de TIC et les menaces cybernétiques à l’aide de modèles standardisés. Pour les systèmes d’IA dans les services financiers, seuls les incidents impliquant des droits fondamentaux déclenchent un rapport supplémentaire selon la Loi sur l’IA.
Alignement avec les Normes Internationales
Les Lignes Directrices soulignent l’intention de l’UE d’aligner la surveillance des incidents d’IA avec les normes internationales, y compris le Surveillance des Incidents d’IA de l’Organisation de Coopération et de Développement Économiques (OCDE) et le Cadre Commun de Rapport.
Il est important de noter que les Lignes Directrices ne traitent pas des modèles d’IA à usage général avec des risques systémiques et des obligations de rapport associées (ces obligations relèvent de l’Article 55 de la Loi sur l’IA).
Publication d’un Modèle de Rapport d’Incident
La Commission Européenne a également publié un modèle de ‘Rapport d’Incident pour les Incidents Graves sous la Loi sur l’IA (Systèmes d’IA à Haut Risque)’ en parallèle des Lignes Directrices. Les Lignes Directrices et le Modèle de Rapport Draft sont disponibles en ligne, et les commentaires des parties prenantes peuvent être soumis jusqu’au 7 novembre 2025.
