Qu'est-ce qu'un « incident grave » ?
Un incident grave est un dysfonctionnement ou une défaillance d'un système d'IA qui entraîne, directement ou indirectement : le décès ou une atteinte grave à la santé d'une personne ; une perturbation grave et irréversible d'infrastructures critiques ; une violation des obligations du droit de l'Union protégeant les droits fondamentaux ; ou une atteinte grave aux biens ou à l'environnement. La qualification conditionne l'obligation de signalement : en cas de doute, la prudence commande de traiter l'événement comme potentiellement grave.
Les délais de signalement
| Situation | Délai maximal de signalement |
|---|---|
| Incident grave (cas général) | 15 jours après la prise de connaissance |
| Décès d'une personne | 10 jours |
| Incident généralisé ou de grande ampleur | Sans retard indu, dans les délais applicables |
| Perturbation d'infrastructures critiques | 2 jours |
| Rapport initial incomplet | Suivi d'un rapport complet ultérieur |
La structure du registre d'incidents
| Champ | À renseigner |
|---|---|
| Référence incident | Identifiant interne unique |
| Date de survenance / de connaissance | Quand l'incident a eu lieu et a été connu |
| Système concerné | Système d'IA en cause (lien avec le registre des systèmes) |
| Description | Faits, contexte, personnes ou biens affectés |
| Qualification | Type d'incident grave (décès, santé, droits, infrastructures…) |
| Lien de causalité | Établi ou raisonnablement probable avec le système |
| Mesures immédiates | Suspension, correctifs, information des personnes |
| Signalement autorité | Date, destinataire, référence du signalement |
| Suivi / clôture | Rapport complet, mesures correctives, clôture |
La procédure à anticiper
- 01
Détecter et qualifier
Identifiez l'incident (via la surveillance et les journaux) et déterminez s'il s'agit d'un incident grave au sens de l'article 3.
- 02
Prendre les mesures immédiates
Le cas échéant, suspendez l'usage, protégez les personnes et engagez les correctifs nécessaires.
- 03
Signaler dans les délais
Notifiez l'autorité de surveillance du marché compétente dans le délai applicable, même par un rapport initial si l'analyse est en cours.
- 04
Investiguer et documenter
Menez l'analyse des causes, complétez le registre, transmettez le rapport complet et conservez toutes les preuves.
Questions fréquentes
Qui doit signaler un incident grave ?
En premier lieu le fournisseur du système d'IA à haut risque, auprès de l'autorité de surveillance du marché (article 73). Le déployeur, lui, doit informer le fournisseur dès qu'il constate un incident grave, et peut avoir à alerter l'autorité selon les situations. La chaîne d'alerte doit être organisée à l'avance.
Dans quels délais faut-il signaler ?
Au plus tard 15 jours après avoir eu connaissance de l'incident dans le cas général. Ce délai est réduit à 10 jours en cas de décès, et jusqu'à 2 jours en cas de perturbation d'infrastructures critiques. Un rapport initial peut être transmis, complété ensuite par un rapport complet.
L'obligation concerne-t-elle tous les systèmes d'IA ?
Le signalement des incidents graves de l'article 73 vise les systèmes d'IA à haut risque. Les modèles à usage général présentant un risque systémique ont par ailleurs leurs propres obligations de suivi des incidents. Les systèmes à risque minimal ne sont pas soumis à ce régime.
Pourquoi tenir un registre en interne ?
Parce que la rapidité et la rigueur exigées le jour d'un incident supposent d'être préparé. Un registre structuré et une fiche d'incident prêts à l'emploi permettent de qualifier, tracer et signaler sans improviser, et de constituer les preuves de votre réactivité en cas de contrôle.
Ressource gratuite
Accédez à la ressource complète
Renseignez vos coordonnées professionnelles pour déverrouiller l’intégralité du contenu, téléchargeable en PDF.