Article 73 Signalement d’incidents graves

Les fournisseurs, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; de systèmes d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; à haut risque, la combinaison de la probabilité d’un préjudice et de la sévérité de celui-ci; mis sur le marché de l’Union signalent tout incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; aux autorités de surveillance du marché des États membres dans lesquels cet incident s’est produit.

Le signalement visé au paragraphe 1 est effectué immédiatement après que le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; a établi un lien de causalité, ou la probabilité raisonnable qu’un tel lien existe, entre le système d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; et l’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; et, en tout état de cause, au plus tard 15 jours après que le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; ou, le cas échéant, le déployeur, une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel; a eu connaissance de l’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement;.

Le délai pour le signalement visé au premier alinéa tient compte de l’ampleur de l’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement;.

Nonobstant le paragraphe 2 du présent article, en cas d’infraction de grande ampleur, tout acte ou toute omission contraire au droit de l’Union en matière de protection des intérêts des personnes, qui:a porté ou est susceptible de porter atteinte aux intérêts collectifs des personnes résidant dans au moins deux États membres autres que celui:où l’acte ou l’omission en question a son origine ou a eu lieu;où le fournisseur concerné ou, le cas échéant, son mandataire, est situé ou établi; ouoù le déployeur est établi, lorsque l’infraction est commise par le déployeur;a porté, porte ou est susceptible de porter atteinte aux intérêts collectifs des personnes, qui présente des caractéristiques communes, notamment la même pratique illégale ou la violation du même intérêt, et qui se produit simultanément, commise par le même opérateur, dans au moins trois États membres; ou d’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; au sens de l’article 3, point 49), b), le signalement visé au paragraphe 1 du présent article est effectué immédiatement, et au plus tard deux jours après que le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; ou, le cas échéant, le déployeur, une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel; a eu connaissance de cet incident.

Nonobstant le paragraphe 2, en cas de décès d’une personne, le signalement est effectué immédiatement après que le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; ou le déployeur, une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel; a établi un lien de causalité entre le système d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; à haut risque, la combinaison de la probabilité d’un préjudice et de la sévérité de celui-ci; et l’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; ou dès qu’il soupçonne un tel lien, mais au plus tard 10 jours après la date à laquelle le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; ou, le cas échéant, le déployeur, une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel; a eu connaissance de l’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement;.

Si cela est nécessaire pour assurer un signalement en temps utile, le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; ou, le cas échéant, le déployeur, une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel; peut soumettre un signalement initial incomplet, suivi d’un signalement complet.

À la suite du signalement d’un incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; en application du paragraphe 1, le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; mène sans tarder les investigations nécessaires liées à l’incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; et au système d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; concerné. Ces investigations comprennent notamment une évaluation des risques, la combinaison de la probabilité d’un préjudice et de la sévérité de celui-ci; résultant de l’incident, ainsi que des mesures correctives.

Le fournisseur, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; coopère avec les autorités compétentes et, le cas échéant, avec l’organisme notifié, un organisme d’évaluation de la conformité notifié en application du présent règlement et d’autres actes législatifs d’harmonisation de l’Union pertinents; concerné, au cours des investigations visées au premier alinéa, et ne mène aucune investigation nécessitant de modifier le système d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; concerné d’une manière susceptible d’avoir une incidence sur toute évaluation ultérieure des causes de l’incident, avant d’informer les autorités compétentes de telles mesures.

Dès réception d’une notification relative à un incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; visé à l’article 3, point 49) c), l’autorité de surveillance du marché, l’autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020; compétente informe les autorités ou organismes publics nationaux visés à l’article 77, paragraphe 1. La Commission élabore des orientations spécifiques pour faciliter le respect des obligations énoncées au paragraphe 1 du présent article. Ces orientations sont publiées au plus tard le 2 août 2025, et font l’objet d’une évaluation régulière.

L’autorité de surveillance du marché, l’autorité nationale assurant la mission et prenant les mesures prévues par le règlement (UE) 2019/1020; prend les mesures qui s’imposent, conformément à l’article 19 du règlement (UE) 2019/1020, dans un délai de sept jours à compter de la date à laquelle elle a reçu la notification visée au paragraphe 1 du présent article, et suit les procédures de notification prévues par ledit règlement.

Pour les systèmes d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; à haut risque, la combinaison de la probabilité d’un préjudice et de la sévérité de celui-ci; visés à l’annexe III qui sont mis sur le marché ou mis en service par des fournisseurs, une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit; qui sont soumis à des instruments législatifs de l’Union établissant des obligations de signalement équivalentes à celles énoncées dans le présent règlement, la notification des incidents graves, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; est limitée à ceux visés à l’article 3, point 49) c).

Pour les systèmes d’IA, un système automatisé qui est conçu pour fonctionner à différents niveaux d’autonomie et peut faire preuve d’une capacité d’adaptation après son déploiement, et qui, pour des objectifs explicites ou implicites, déduit, à partir des entrées qu’il reçoit, la manière de générer des sorties telles que des prédictions, du contenu, des recommandations ou des décisions qui peuvent influencer les environnements physiques ou virtuels; à haut risque, la combinaison de la probabilité d’un préjudice et de la sévérité de celui-ci; qui sont des composants de sécurité, un composant d’un produit ou d’un système d’IA qui remplit une fonction de sécurité pour ce produit ou ce système d’IA, ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens; de dispositifs, ou qui sont eux-mêmes des dispositifs, relevant des règlements (UE) 2017/745 et (UE) 2017/746, la notification des incidents graves, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement; est limitée à ceux qui sont visés à l’article 3, point 49) c), du présent règlement, et est adressée à l’autorité nationale compétente, une autorité notifiante ou une autorité de surveillance du marché; en ce qui concerne les systèmes d’IA mis en service ou utilisés par les institutions, organes ou organismes de l’Union, les références aux autorités nationales compétentes ou aux autorités de surveillance du marché dans le présent règlement s’entendent comme une référence au Contrôleur européen de la protection des données; choisie à cette fin par les États membres dans lesquels l’incident s’est produit.

Les autorités nationales compétentes notifient immédiatement à la Commission tout incident grave, un incident ou dysfonctionnement d’un système d’IA entraînant directement ou indirectement:le décès d’une personne ou une atteinte grave à la santé d’une personne;une perturbation grave et irréversible de la gestion ou du fonctionnement d’infrastructures critiques;la violation des obligations au titre du droit de l’Union visant à protéger les droits fondamentaux;un dommage grave à des biens ou à l’environnement;, qu’elles aient ou non pris des mesures à cet égard, conformément à l’article 20 du règlement (UE) 2019/1020.