Directive sur l’IA de l’UE : La Commission Européenne Publie des Orientations sur le Signalement des Incidents
Le 26 septembre 2025, la Commission Européenne (CE) a publié un projet d’orientations concernant les exigences de signalement des incidents graves pour les systèmes d’IA à haut risque, dans le cadre de la Directive sur l’IA de l’UE. Pour les organisations qui développent ou déploient des systèmes d’IA susceptibles de tomber sous le champ d’application de cette directive, il est crucial de comprendre ces nouvelles obligations de signalement pour assurer leur conformité.
Points Clés
- La Commission a publié un modèle de rapport d’incident et un document d’orientation le 26 septembre 2025.
- Les fournisseurs de systèmes d’IA à haut risque devront signaler les « incidents graves » aux autorités nationales.
- Les délais de signalement varient de deux (2) à quinze (15) jours selon la gravité et le type d’incident.
- La consultation publique est ouverte jusqu’au 7 novembre 2025.
Compréhension du Cadre de Signalement des Incidents
L’Article 73 de la Directive sur l’IA de l’UE établit un système de signalement par niveaux pour les incidents graves impliquant des systèmes d’IA à haut risque. Bien que ces exigences ne prennent effet qu’en août 2026, les orientations récemment publiées offrent des aperçus précieux sur les attentes de la Commission.
Le cadre de signalement sert plusieurs objectifs : créer un système d’alerte précoce pour détecter des tendances nuisibles, établir une responsabilité claire pour les fournisseurs et les utilisateurs, permettre des mesures correctives rapides, et favoriser la transparence pour renforcer la confiance du public dans les technologies d’IA.
Qu’est-ce qu’un « Incident Grave » ?
Selon l’Article 3(49) de la Directive, un incident grave se produit lorsqu’un incident ou un dysfonctionnement d’un système d’IA entraîne directement ou indirectement :
- La mort d’une personne, ou des blessures graves à la santé d’une personne ;
- Une perturbation sérieuse et irréversible des infrastructures critiques ;
- Une violation des obligations relatives aux droits fondamentaux en vertu du droit de l’UE ;
- Des dommages graves à la propriété ou à l’environnement.
Il est particulièrement important de noter dans le projet d’orientations l’accent mis sur la causation directe et indirecte. Par exemple, un système d’IA fournissant une analyse médicale incorrecte qui conduit à des préjudices pour le patient par le biais des décisions subséquentes d’un médecin serait qualifié d’incident grave indirect. Cela signifie que les organisations doivent prendre en compte les effets en aval dans leurs cadres de gestion des risques.
Intersection avec les Régimes de Signalement Existants
Pour les clients gérant plusieurs cadres de conformité, les orientations clarifient les obligations de signalement qui se chevauchent. Les systèmes d’IA à haut risque déjà soumis à des obligations de signalement équivalentes en vertu d’autres lois de l’UE (comme le NIS2, le DORA ou le CER) doivent généralement seulement signaler les violations des droits fondamentaux en vertu de la Directive sur l’IA.
Cela reflète l’effort de la Commission pour minimiser les charges de signalement redondantes, bien que sa mise en œuvre pratique nécessite une coordination soigneuse entre les équipes de gouvernance de l’IA, juridiques et de conformité.
Implications Pratiques pour les Organisations
Les organisations devraient commencer à cartographier leurs systèmes d’IA par rapport aux critères de haut risque et préparer des processus internes pour la détection, l’enquête et le signalement des incidents. Les considérations clés incluent :
- Établir des protocoles clairs de réponse aux incidents ;
- Mettre en œuvre des systèmes de surveillance pour détecter les incidents graves potentiels ;
- Développer des procédures d’enquête qui préservent les preuves ;
- Créer des équipes interfonctionnelles pour gérer les obligations de signalement ;
- Mettre à jour les évaluations des risques pour tenir compte des scénarios d’incidents graves.
Prochaines Étapes
Il est conseillé aux clients de participer à la consultation publique, qui reste ouverte jusqu’au 7 novembre 2025. La Commission recherche particulièrement des retours d’expérience et des exemples concernant l’interaction avec d’autres régimes de signalement.
Les organisations devraient également commencer à examiner leurs cadres de gouvernance en matière d’IA pour garantir qu’elles puissent mettre en œuvre efficacement ces exigences de signalement lorsqu’elles deviendront applicables en août 2026.
