Article 71 de l'AI Act Base de données UE pour systèmes IA à haut risque

Analyse juridique de l'article 71

Établissement et maintenance de la base de données par la Commission

L'article 71, paragraphe 1, impose à « la Commission » d'« établir et maintenir » la base de données de l'UE. Cette responsabilité confiée à la Commission (en pratique, au Bureau de l'IA institué par l'article 64) garantit une gestion centralisée et harmonisée à l'échelle européenne, évitant la fragmentation qui résulterait de bases de données nationales disparates.

« Établir » la base de données implique de développer l'infrastructure technique (serveurs, interfaces, bases de données relationnelles, APIs), de définir les formats de données et les standards d'interopérabilité, de créer les interfaces utilisateur (pour la saisie par les fournisseurs, pour la consultation publique, pour l'accès des autorités), et de mettre en place les mécanisures de sécurité, d'authentification, et de confidentialité. Cette mise en place technique devait être achevée avant l'entrée en application complète de l'obligation d'enregistrement (2 août 2026).

« Maintenir » la base de données implique une responsabilité continue d'assurer la disponibilité et la performance technique du système (uptime, temps de réponse), d'effectuer les mises à jour et améliorations techniques, de garantir la sécurité contre les cyberattaques et les accès non autorisés, de fournir un support technique aux utilisateurs (fournisseurs, déployeurs, autorités), et de gérer les évolutions réglementaires ou techniques nécessitant des adaptations.

La base de données contient « des informations relatives aux systèmes d'IA à haut risque visés à l'article 6, paragraphe 2 ». L'article 6, paragraphe 2, définit les systèmes d'IA à haut risque comme ceux listés à l'Annexe III (emploi, éducation, application de la loi, justice, etc.) et ceux constituant des composants de sûreté de produits ou étant eux-mêmes des produits couverts par certaines législations sectorielles. La base de données couvre donc l'ensemble des systèmes à haut risque, offrant une vision complète de ce segment de marché.

Les systèmes enregistrés sont ceux « qui ont été enregistrés conformément à l'article 49 » (par les fournisseurs lors de la mise sur le marché) « et aux systèmes d'IA à haut risque qui ont été enregistrés par les déployeurs conformément à l'article 60, paragraphe 4 » (pour les systèmes utilisés par les autorités publiques). Cette double source d'enregistrement garantit une couverture étendue.

Saisie et mise à jour par les opérateurs

L'article 71, paragraphe 2, précise que « les données contenues dans la base de données de l'UE sont saisies et mises à jour par les fournisseurs, leurs représentants autorisés ou les déployeurs, selon le cas, conformément aux articles 49 et 60 ». Cette responsabilité de saisie confiée aux opérateurs eux-mêmes (plutôt qu'aux autorités) reflète le principe de responsabilité (accountability) : les fournisseurs et déployeurs sont tenus de déclarer publiquement leurs systèmes à haut risque.

Les « fournisseurs » (développeurs/commercialisateurs de systèmes d'IA) saisissent les informations lors de la mise sur le marché d'un système à haut risque (article 49). Les « représentants autorisés » (mandataires établis dans l'UE pour les fournisseurs hors UE) effectuent cette saisie au nom des fournisseurs qu'ils représentent. Les « déployeurs » (utilisateurs professionnels de systèmes d'IA) saisissent les informations pour les systèmes qu'ils utilisent lorsqu'ils sont des autorités publiques ou institutions de l'Union (article 60, paragraphe 4).

La mention « mises à jour » indique que l'enregistrement n'est pas statique : les opérateurs doivent actualiser les informations en cas de modifications significatives du système, de changement de statut (retrait du marché, rappel), de changement de coordonnées du fournisseur, ou de toute autre évolution pertinente. Cette obligation de mise à jour garantit que la base de données reflète en permanence l'état actuel du marché.

Contenu informatif de la base de données

L'article 71, paragraphe 3, détaille « les informations suivantes relatives aux systèmes d'IA à haut risque » devant figurer dans la base de données. Ce contenu vise à fournir les éléments essentiels permettant l'identification, la traçabilité, et la compréhension de chaque système enregistré.

Point a) Identité du fournisseur : « Le nom, l'adresse et les coordonnées du fournisseur ou, le cas échéant, de son représentant autorisé. » Ces informations permettent d'identifier le responsable légal du système, facilitant les contacts pour les autorités, les utilisateurs, ou le public. Pour les fournisseurs hors UE, les coordonnées du représentant autorisé établi dans l'UE sont fournies, garantissant un point de contact européen.

Point b) Identification du système : « Le nom commercial du système d'IA et toute information additionnelle permettant l'identification et la traçabilité du système. » Le nom commercial est l'appellation sous laquelle le système est commercialisé. Les « informations additionnelles » peuvent inclure le numéro de version, le numéro de série ou identifiant unique, la référence commerciale, ou d'autres éléments garantissant une identification univoque (important pour distinguer différentes versions d'un même système).

Point c) Description et finalité : « Une description du système d'IA et de sa finalité prévue. » La description présente les caractéristiques et fonctionnalités principales du système de manière accessible. La « finalité prévue » précise l'usage pour lequel le système est conçu (par exemple : « système d'aide au diagnostic de maladies cardiovasculaires à partir d'échocardiographies », « système de tri de CV pour le recrutement », « système de reconnaissance faciale pour le contrôle d'accès »). Cette information est essentielle pour que les utilisateurs potentiels et le public comprennent l'objet du système et évaluent sa pertinence ou ses risques.

Point d) Statut du système : « Le statut du système (sur le marché, retiré du marché, rappelé). » Cette information dynamique indique si le système est actuellement commercialisé et disponible (« sur le marché »), s'il a été volontairement retiré par le fournisseur (« retiré du marché »), ou s'il fait l'objet d'un rappel ordonné par une autorité en raison de non-conformité ou de risques (« rappelé »). Cette transparence protège les utilisateurs potentiels et permet aux autorités de suivre les évolutions du marché.

Point e) Type d'évaluation de conformité : « L'indication du type d'évaluation de la conformité menée. » Les systèmes à haut risque sont soumis à différentes procédures d'évaluation de conformité selon leur catégorie (évaluation interne par le fournisseur, évaluation par un organisme notifié, etc.). Cette information indique quelle procédure a été suivie, apportant une transparence sur le niveau de vérification externe dont a bénéficié le système.

Point f) Organisme notifié : « Le nom et le numéro d'identification de l'organisme notifié, le cas échéant. » Lorsque l'évaluation de conformité a impliqué un organisme notifié (tiers indépendant accrédité), son identité est indiquée, permettant de tracer la chaîne de responsabilité et de vérification. Cette information renforce la confiance en identifiant l'évaluateur tiers.

Point g) Utilisation par les autorités publiques : « Pour les déployeurs qui sont des autorités publiques ou des institutions de l'Union, l'utilisation prévue du système. » Cette disposition spécifique vise à apporter une transparence renforcée lorsque des systèmes d'IA à haut risque sont utilisés par des acteurs publics (administrations, tribunaux, hôpitaux publics, etc.). Le public a un droit particulier de savoir quels systèmes d'IA influencent les décisions publiques les concernant (recrutement dans la fonction publique, décisions judiciaires, prestations sociales, etc.).

Accès public gratuit et convivial

L'article 71, paragraphe 4, impose que « les informations contenues dans la base de données de l'UE sont accessibles au public gratuitement de manière aisée et conviviale et dans un format lisible par machine ». Cette disposition garantit la transparence effective de la base de données, évitant qu'elle ne devienne un outil théorique inaccessible en pratique.

« Accessibles au public » signifie que toute personne (citoyens, entreprises, chercheurs, journalistes, associations) peut consulter les informations, sans restriction ni besoin d'autorisation préalable. Cette transparence publique est un choix politique fort : les systèmes d'IA à haut risque, compte tenu de leurs impacts, doivent être connus de tous.

« Gratuitement » signifie qu'aucun frais ne peut être exigé pour l'accès ou la consultation de la base de données. Cette gratuité garantit l'accessibilité universelle, évitant que des barrières économiques ne limitent la transparence.

« De manière aisée et conviviale » impose que l'interface de consultation soit intuitive, ergonomique, et accessible techniquement. La base de données doit proposer des fonctionnalités de recherche (par fournisseur, par type de système, par finalité, etc.), des filtres et tris permettant de naviguer efficacement, une présentation claire et lisible des informations, et une accessibilité pour les personnes en situation de handicap (conformité aux standards WCAG).

« Dans un format lisible par machine » impose que les données soient disponibles dans des formats structurés et standardisés (JSON, XML, CSV, etc.) permettant leur extraction et leur traitement automatisé. Cette exigence facilite les analyses statistiques, les études académiques, le développement d'outils tiers de visualisation ou d'analyse, et l'intégration dans d'autres systèmes d'information. Elle reflète les principes de l'open data et de la réutilisation des informations publiques.

Exception pour les autorités répressives et de gestion des migrations

L'article 71, paragraphe 5, prévoit une « dérogation au paragraphe 4 » (accès public) pour les « systèmes d'IA à haut risque visés à l'article 6, paragraphe 2, utilisés par les autorités répressives, les autorités de gestion des migrations, de l'asile ou des contrôles aux frontières ». Pour ces systèmes, les informations « ne sont pas rendues publiques dans la base de données de l'UE mais restent accessibles uniquement aux autorités de surveillance du marché et à la Commission ».

Cette exception reconnaît que la publicité de certaines informations pourrait compromettre l'efficacité opérationnelle ou la sécurité des activités de maintien de l'ordre, de lutte contre la criminalité, ou de gestion des frontières. Par exemple, rendre publiques les caractéristiques précises d'un système d'IA de reconnaissance faciale utilisé par la police pourrait permettre aux criminels de développer des contre-mesures. De même, divulguer les systèmes d'IA utilisés aux frontières pourrait faciliter les tentatives de contournement par des réseaux de passeurs.

Toutefois, l'exception n'est pas absolue : les informations « restent accessibles uniquement aux autorités de surveillance du marché et à la Commission ». Cette accessibilité restreinte garantit que la surveillance réglementaire n'est pas compromise : les autorités compétentes et le Bureau de l'IA peuvent toujours vérifier la conformité de ces systèmes sensibles, enquêter en cas de suspicion de non-conformité, et exercer leurs pouvoirs de contrôle. Seul l'accès public est limité, préservant la supervision tout en protégeant la sécurité opérationnelle.

Cette exception équilibrée reflète la tension entre transparence démocratique et impératifs de sécurité, optant pour une solution pragmatique : transparence publique pour la plupart des systèmes, transparence restreinte aux autorités pour les systèmes les plus sensibles.

Exemples concrets d'application

Articulation avec les autres dispositions de l'AI Act

L'article 71 s'articule directement avec l'article 49 qui impose aux fournisseurs de systèmes d'IA à haut risque de procéder à l'enregistrement dans la base de données UE avant la mise sur le marché. L'article 49 établit l'obligation, tandis que l'article 71 définit le cadre technique et juridique de la base de données support de cette obligation. Les deux articles forment un ensemble cohérent garantissant la traçabilité des systèmes à haut risque.

L'article 71 s'articule également avec l'article 60, paragraphe 4, qui impose aux déployeurs qui sont des autorités publiques ou des institutions de l'Union d'enregistrer les systèmes d'IA à haut risque qu'ils utilisent. Cette obligation complémentaire garantit que les systèmes déployés par le secteur public, même s'ils n'ont pas été mis sur le marché au sens commercial, sont également transparents et traçables.

La base de données UE constitue un outil essentiel pour l'exercice des missions de surveillance du marché par les autorités nationales compétentes (article 70). Elle leur offre une vision centralisée des systèmes à haut risque, facilite l'identification des cibles de contrôle, et permet la vérification de la cohérence entre enregistrements et réalité du marché.

L'exception prévue au paragraphe 5 pour les systèmes utilisés par les autorités répressives et de gestion des migrations s'articule avec le Titre III, Chapitre 4 de l'AI Act (articles 26-32) qui établit les obligations spécifiques applicables aux systèmes d'IA utilisés par les autorités répressives. L'exception de publicité préserve la sécurité opérationnelle tout en maintenant la supervision réglementaire.

Implications pratiques pour les organisations

Pour les fournisseurs de systèmes d'IA à haut risque, l'article 71 impose une obligation pratique d'enregistrement dans la base de données UE avant ou lors de la mise sur le marché. Cette obligation nécessite de se familiariser avec le portail « EU AI Registry », de préparer les informations requises (identité, description, évaluation de conformité), de procéder à l'enregistrement dans les délais impartis, et de maintenir les informations à jour en cas de modifications ou de changements de statut.

L'enregistrement public représente également une opportunité de visibilité et de marketing : les systèmes enregistrés sont consultables par des utilisateurs potentiels recherchant des solutions conformes. Les fournisseurs peuvent mettre en avant leur enregistrement dans « EU AI Registry » comme preuve de conformité et gage de qualité.

Pour les déployeurs, notamment les autorités publiques et institutions de l'Union, l'article 71 impose une obligation d'enregistrement de leurs utilisations de systèmes d'IA à haut risque (article 60, paragraphe 4). Cette transparence renforcée pour le secteur public reflète l'exigence démocratique de redevabilité : le public a le droit de savoir quels systèmes d'IA influencent les décisions publiques.

Pour les utilisateurs potentiels (entreprises, administrations, associations), la base de données UE constitue une ressource précieuse pour identifier des fournisseurs conformes, vérifier la conformité d'un système avant acquisition, et comparer les solutions disponibles sur le marché. La consultation de la base devrait devenir un réflexe systématique dans les processus d'achat de systèmes d'IA à haut risque.

Pour le public, les chercheurs, les journalistes et les organisations de la société civile, la base de données offre une transparence inédite sur le marché européen de l'IA à haut risque, permettant des analyses, des études, des débats publics, et un contrôle citoyen sur le déploiement de ces technologies sensibles.