Qu'est-ce que la surveillance post-commercialisation ?
C'est l'obligation, pour le fournisseur, de suivre activement le comportement de son système une fois qu'il est utilisé sur le terrain. L'article 72 impose d'établir et de documenter un système de surveillance proportionné à la nature du système et à ses risques, afin de collecter, analyser et exploiter les données pertinentes sur ses performances et sa sécurité pendant toute sa durée de vie. Le but : détecter les dérives et alimenter la gestion des risques.
Qu'est-ce qu'un incident grave ?
L'article 3 définit l'incident grave comme un dysfonctionnement ou une défaillance d'un système d'IA entraînant, directement ou indirectement, l'une des conséquences suivantes : le décès ou une atteinte grave à la santé d'une personne, une perturbation grave et irréversible d'infrastructures critiques, une violation d'obligations du droit de l'Union protégeant les droits fondamentaux, ou une atteinte grave aux biens ou à l'environnement.
Comment notifier un incident grave ?
Dès qu'il établit un lien de causalité — ou une probabilité raisonnable de lien — entre son système et un incident grave, le fournisseur doit le notifier aux autorités de surveillance du marché concernées (article 73). Le règlement encadre les délais de notification, qui varient selon la gravité :
| Situation | Délai de notification (au plus tard) |
|---|---|
| Incident grave (cas général) | 15 jours après la prise de connaissance |
| Perturbation d'infrastructure critique | 2 jours |
| Décès d'une personne | 10 jours |
Ces délais courent à compter du moment où le fournisseur a connaissance de l'incident et établit le lien avec son système. Une première notification peut être suivie d'un rapport complet après enquête.
Quels pouvoirs pour les autorités ?
Les autorités de surveillance du marché disposent des pouvoirs prévus par le cadre général de surveillance des produits de l'Union : accès à la documentation et aux données, évaluation de la conformité, demande de mesures correctives. En cas de non-conformité ou de risque, elles peuvent exiger le retrait ou le rappel du système, voire l'interdire (articles 79 et suivants).
Comment s'organiser en pratique ?
- 01
Mettre en place un plan de surveillance
Définissez comment collecter et analyser les données de performance et de sécurité de vos systèmes en exploitation.
- 02
Définir une procédure d'incident
Établissez qui qualifie un incident grave, qui notifie, dans quels délais et selon quel canal.
- 03
Outiller la remontée d'information
Assurez-vous que déployeurs et utilisateurs disposent d'un canal simple pour signaler les anomalies.
- 04
Documenter et corriger
Tracez chaque incident, son analyse et les mesures correctives : la boucle alimente la gestion des risques (art. 9).
Questions fréquentes
Tous les dysfonctionnements doivent-ils être notifiés ?
Non, seuls les incidents graves au sens de l'article 3 (décès, atteinte grave à la santé, perturbation d'infrastructure critique, atteinte grave aux droits fondamentaux ou aux biens/environnement). Les anomalies mineures relèvent de la surveillance interne, pas de la notification obligatoire.
Dans quel délai faut-il notifier un incident ?
En règle générale, dans les 15 jours suivant la prise de connaissance ; 10 jours en cas de décès ; 2 jours en cas de perturbation d'une infrastructure critique. Une notification initiale peut précéder un rapport complet (article 73).
La surveillance post-commercialisation concerne-t-elle le déployeur ?
Le plan de surveillance relève du fournisseur, mais le déployeur a un rôle d'alerte : il surveille le fonctionnement du système, conserve les journaux et informe le fournisseur (et l'autorité si nécessaire) en cas d'incident ou de risque (article 26).
Que risque une organisation qui ne notifie pas ?
Le défaut de notification constitue un manquement aux obligations du règlement, sanctionnable jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial (article 99 § 4), sans préjudice des conséquences liées à l'incident lui-même.