Article 60 de l'AI Act Tests en conditions réelles hors bacs à sable

Analyse juridique de l'article 60

Principe général et maintien des exigences essentielles

L'article 60, paragraphe 1, autorise les tests en conditions réelles de systèmes d'IA à haut risque « à toute étape avant leur mise sur le marché ou leur mise en service », offrant ainsi une flexibilité temporelle importante. Les fournisseurs peuvent tester des prototypes relativement précoces ou des systèmes quasi-finalisés, selon leurs besoins de validation.

Toutefois, cette autorisation est subordonnée à une condition essentielle : les tests doivent se faire « sans préjudice des exigences énoncées aux articles 9 à 15 ». Cette formulation signifie que les systèmes testés doivent déjà satisfaire aux exigences essentielles de l'AI Act en matière de gestion des risques (article 9), gouvernance des données (article 10), documentation technique (article 11), conservation des registres (article 12), transparence (article 13), surveillance humaine (article 14), et exactitude, robustesse et cybersécurité (article 15).

Cette exigence distingue fondamentalement l'article 60 des bacs à sable (article 57) : alors que les bacs à sable peuvent offrir certaines flexibilités temporaires sur ces exigences sous supervision de l'autorité, l'article 60 impose une conformité complète dès le stade des tests. Cette approche vise à garantir que seuls des systèmes déjà robustes et sûrs sont testés en conditions réelles hors environnement contrôlé.

Consentement éclairé et spécifique

L'article 60, paragraphe 1, point a), impose que « le fournisseur ou le futur déployeur testant le système d'IA à haut risque a obtenu le consentement éclairé et spécifique des personnes participant au test en conditions réelles ou les a informées de manière appropriée avant de les inclure dans le test ». Cette double alternative (consentement OU information appropriée) reflète la diversité des situations de test.

Le « consentement éclairé et spécifique » doit satisfaire aux exigences du RGPD (article 4, point 11, et article 7) : le consentement doit être libre (donné sans contrainte), éclairé (la personne comprend à quoi elle consent), spécifique (relatif précisément au test en question), et univoque (manifesté par un acte positif clair). L'information fournie avant le consentement doit inclure : la nature du système d'IA testé, les finalités du test, les données collectées et leur utilisation, les risques potentiels, la durée du test, et le droit de retrait.

L'alternative de l'information « de manière appropriée » (sans consentement explicite) peut s'appliquer dans des situations où le test n'implique pas de traitement de données personnelles nécessitant un consentement, ou lorsqu'une autre base légale est applicable. Toutefois, même dans ce cas, une information claire et préalable des personnes concernées est requise, garantissant la transparence.

Droit de retrait facilité

L'article 60, paragraphe 1, point b), garantit que « les personnes qui participent aux tests en conditions réelles peuvent retirer leur consentement à tout moment sans détriment et peuvent facilement faire valoir leur droit de retrait ». Cette disposition offre une protection importante aux participants, reflétant le principe du droit de retrait du consentement prévu à l'article 7, paragraphe 3, du RGPD.

Le retrait doit pouvoir s'effectuer « à tout moment », sans limitation temporelle. Il doit être « sans détriment », c'est-à-dire que la personne ne doit subir aucune conséquence négative du fait de son retrait (pas de pénalités, de discrimination, ou de refus de service). Le retrait doit pouvoir être exercé « facilement », impliquant que les fournisseurs mettent en place des mécanismes simples et accessibles (par exemple, lien de désabonnement, formulaire en ligne, contact dédié).

Cette facilité de retrait constitue une garantie essentielle pour l'acceptabilité éthique des tests : les personnes conservent leur autonomie et peuvent cesser leur participation si elles le souhaitent, pour quelque raison que ce soit.

Conformité RGPD et protection des données

L'article 60, paragraphe 1, point c), impose que « les données personnelles collectées dans le cadre des tests en conditions réelles sont traitées conformément au règlement (UE) 2016/679 ». Cette disposition rappelle que l'AI Act ne déroge pas au RGPD et que tous les tests impliquant des données personnelles doivent satisfaire pleinement aux exigences de protection des données.

La conformité RGPD implique notamment : l'identification d'une base légale appropriée pour le traitement (souvent le consentement pour les tests, mais d'autres bases peuvent être applicables), le respect des principes de licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité (article 5 du RGPD), la fourniture d'informations complètes aux personnes concernées (articles 13-14 du RGPD), le respect des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition - articles 15-21 du RGPD), et la mise en œuvre de mesures de sécurité appropriées (article 32 du RGPD).

Si le test implique un traitement de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés, une analyse d'impact relative à la protection des données (AIPD) doit être réalisée conformément à l'article 35 du RGPD.

Garanties pour les droits et supervision humaine

L'article 60, paragraphe 1, point d), impose que « des garanties appropriées sont mises en place pour protéger les droits et libertés des personnes, notamment en ce qui concerne la supervision humaine appropriée ». Cette disposition reconnaît que, même avec un consentement éclairé et le respect du RGPD, des garanties supplémentaires sont nécessaires pour protéger les personnes exposées à des systèmes d'IA à haut risque en phase de test.

Ces garanties peuvent inclure : une supervision humaine renforcée garantissant qu'aucune décision défavorable n'est prise automatiquement sans intervention humaine, des mécanismes de détection et d'intervention en cas d'anomalie ou de dysfonctionnement, des procédures de recours permettant aux personnes de contester des décisions ou de signaler des problèmes, une limitation de la portée et de la durée des tests pour minimiser l'exposition aux risques, et des assurances couvrant les éventuels préjudices.

La mention explicite de la « supervision humaine appropriée » renvoie à l'article 14 de l'AI Act qui impose des mesures de surveillance humaine pour les systèmes à haut risque. Durant les tests en conditions réelles, cette supervision doit être particulièrement vigilante compte tenu du caractère expérimental du système.

Notification préalable à l'autorité de surveillance

L'article 60, paragraphe 1, point e), impose que « les tests en conditions réelles sont notifiés à l'autorité de surveillance compétente avant leur début, conformément aux procédures établies par cette autorité ». Cette notification préalable permet à l'autorité de superviser les tests, de vérifier que les conditions de l'article 60 sont remplies, et d'intervenir si nécessaire pour protéger les personnes.

La notification doit être effectuée « avant leur début », garantissant que l'autorité dispose d'un temps suffisant pour examiner le projet de test et, le cas échéant, formuler des observations ou demander des compléments. Les « procédures établies par cette autorité » seront précisées par chaque autorité de surveillance, mais devront probablement inclure la fourniture d'informations sur : le système d'IA testé et ses caractéristiques, les objectifs et la méthodologie du test, le périmètre (nombre de personnes, durée, lieux), les mesures de protection mises en place, les modalités de consentement/information des personnes, et les mesures de conformité aux exigences des articles 9 à 15.

Cette notification ne constitue pas nécessairement une demande d'autorisation préalable, mais un mécanisme d'information et de supervision permettant à l'autorité d'exercer ses pouvoirs de surveillance. Toutefois, certaines autorités pourraient mettre en place des procédures impliquant une validation ou un délai d'opposition avant le début effectif des tests.

Responsabilité civile du testeur

L'article 60, paragraphe 2, établit un principe de responsabilité clair : « Les fournisseurs ou futurs déployeurs testant le système d'IA à haut risque dans le cadre de tests en conditions réelles assument la responsabilité de tout préjudice causé par le système d'IA à haut risque, conformément aux règles de responsabilité civile applicables. »

Cette disposition garantit que les personnes affectées par des dysfonctionnements ou des préjudices durant les tests disposent d'un recours contre le testeur. La responsabilité s'applique « conformément aux règles de responsabilité civile applicables », c'est-à-dire selon le droit de la responsabilité de chaque État membre (responsabilité pour faute, responsabilité du fait des produits défectueux, etc.) et selon la future législation européenne sur la responsabilité en matière d'IA (AI Liability Directive en cours d'élaboration).

Cette règle incite les testeurs à mettre en place des garanties robustes et des assurances appropriées pour couvrir les risques potentiels. Elle contribue également à la confiance du public en garantissant que les personnes participant aux tests ne supporteront pas les conséquences de défaillances du système testé.

Exemples concrets d'application

Articulation avec les autres dispositions de l'AI Act

L'article 60 complète le cadre des mesures de soutien à l'innovation établi par les articles 57 à 59 relatifs aux bacs à sable réglementaires. Il offre une voie alternative pour les fournisseurs souhaitant tester leurs systèmes en conditions réelles avec moins d'accompagnement et de structure que dans un bac à sable, mais en contrepartie avec des exigences de conformité plus strictes (pas de flexibilité sur les articles 9 à 15) et une autonomie plus grande (notification préalable plutôt que plan convenu).

L'article 60 s'applique aux systèmes d'IA à haut risque au sens du Titre III du règlement. Il s'inscrit donc dans la logique de l'approche fondée sur les risques : les systèmes présentant les risques les plus élevés sont soumis aux obligations les plus strictes, y compris pour leurs tests en conditions réelles. L'article 60 garantit que même à ce stade précommercialisation, les exigences essentielles de sécurité et de protection des droits sont respectées.

L'exigence de conformité RGPD (paragraphe 1, point c) crée un lien direct avec le Règlement Général sur la Protection des Données. Comme pour l'article 59 relatif aux bacs à sable, l'article 60 reconnaît que l'AI Act et le RGPD s'appliquent de manière cumulative et cohérente, garantissant un niveau élevé de protection des données personnelles y compris dans les phases d'expérimentation.

Le principe de responsabilité civile établi au paragraphe 2 s'articulera avec la future législation européenne sur la responsabilité en matière d'IA (AI Liability Directive) actuellement en cours d'élaboration. Cette future directive précisera les régimes de responsabilité applicables aux systèmes d'IA, complétant le cadre général posé par l'article 60.

Implications pratiques pour les organisations

Pour les fournisseurs de systèmes d'IA à haut risque, l'article 60 offre une voie précieuse pour valider leurs systèmes en conditions réelles avant la mise sur le marché officielle. Cette validation est souvent essentielle pour démontrer les performances effectives du système, identifier les limites et les améliorations nécessaires, et constituer un dossier technique robuste pour l'évaluation de conformité et le marquage CE.

Toutefois, l'article 60 impose des exigences strictes qui nécessitent une préparation minutieuse. Les fournisseurs doivent notamment : garantir que leur système satisfait pleinement aux exigences des articles 9 à 15 avant le début des tests, ce qui implique un niveau de maturité déjà avancé, concevoir et mettre en œuvre des processus de consentement éclairé ou d'information appropriée des personnes concernées, garantir une conformité RGPD complète incluant la réalisation d'une AIPD si nécessaire, mettre en place des garanties robustes incluant une supervision humaine renforcée, préparer une notification complète pour l'autorité de surveillance, et souscrire une assurance responsabilité civile appropriée couvrant les risques potentiels des tests.

Les organisations devront également établir des partenariats avec des déployeurs acceptant de participer aux tests (hôpitaux, entreprises, administrations selon le domaine), et garantir que ces déployeurs comprennent leurs obligations et les risques. Une gouvernance claire du test, incluant un comité de surveillance, des procédures de gestion des incidents, et des mécanismes de reporting régulier, est essentielle pour garantir le déroulement éthique et conforme des tests.

Pour les autorités de surveillance, l'article 60 impose de mettre en place des procédures de notification et d'examen des projets de tests en conditions réelles. Ces procédures devront trouver un équilibre entre la nécessité de superviser efficacement les tests pour protéger les personnes et celle de ne pas alourdir excessivement les charges pour les fournisseurs ni retarder indûment l'innovation.