Pourquoi la surveillance continue des systèmes d'IA est-elle importante ? L'article 72 du règlement sur l'IA expliqué simplement

Pourquoi la surveillance continue des systèmes d'IA est-elle importante ? Parce qu'un système d'IA ne reste pas le même après son lancement. Les données réelles changent, l'usage change et les performances peuvent baisser. La surveillance continue est essentielle pour garder l'IA à jour et performante. Elle permet aussi de repérer à temps les erreurs et les dommages.

Pour les systèmes d'IA à haut risque, c'est plus qu'une bonne pratique : c'est une obligation du règlement (UE) 2024/1689 sur l'IA. Le fournisseur établit un système de surveillance après commercialisation (article 72). Le déployeur surveille le fonctionnement du système (article 26, paragraphe 5). Les incidents graves sont signalés sous 15, 10 ou 2 jours (article 73).

La réponse au quiz. Beaucoup de QCM posent cette question. La bonne réponse est : « elle est essentielle pour garder l'IA à jour et performante ». Les autres options sont fausses. La surveillance ne sert pas qu'aux systèmes très simples. Elle ne sert pas qu'à contrôler les coûts. Et un système entraîné ne fonctionne pas seul pour toujours.

Cette page suit le texte consolidé en vigueur depuis le 27 juillet 2026 (CELEX 02024R1689-20260727), modifié par le règlement (UE) 2026/1744.

Article 72 : la surveillance après commercialisation par le fournisseur

L'article 3, point 3, définit le fournisseur. Il développe un système d'IA ou le fait développer. Puis il le met sur le marché ou le met en service sous son propre nom ou sa propre marque.

L'article 72, paragraphe 1, impose au fournisseur d'établir et de documenter un système de surveillance après commercialisation. Ce système est proportionné à la nature des technologies d'IA et aux risques. Selon le paragraphe 2, il « collecte, documente et analyse, de manière active et systématique, les données pertinentes » sur les performances des systèmes d'IA à haut risque. Il le fait « tout au long de leur cycle de vie ».

Les données peuvent venir des déployeurs ou d'autres sources. Le fournisseur s'en sert pour vérifier que le système respecte toujours les exigences du chapitre III, section 2. Le cas échéant, la surveillance couvre aussi l'interaction avec d'autres systèmes d'IA.

Le paragraphe 3 ajoute un document : le plan de surveillance après commercialisation. Ce plan fait partie de la documentation technique visée à l'annexe IV, point 9. Notre modèle gratuit de documentation technique de l'annexe IV couvre aussi ce point.

Il n'existe pas encore de modèle officiel du plan. Le paragraphe 3 demande à la Commission d'adopter des orientations, « y compris un modèle », au plus tard le 2 septembre 2027. Le texte de 2024 prévoyait un acte d'exécution au plus tard le 2 février 2026. Le règlement (UE) 2026/1744 a changé cela.

Le paragraphe 4 évite les doublons. Certains produits de l'annexe I, section A, ont déjà un système et un plan de surveillance au titre de leur propre législation. Leur fournisseur peut y intégrer les éléments du règlement sur l'IA, avec un niveau de protection équivalent. La même possibilité vaut pour les établissements financiers qui mettent sur le marché ou en service des systèmes de l'annexe III, point 5.

Article 26, paragraphe 5 : ce que surveille le déployeur

Le déployeur est celui qui utilise un système d'IA sous sa propre autorité, par exemple une entreprise qui trie des CV avec un logiciel. L'article 26, paragraphe 5, demande au déployeur quatre choses :

• surveiller le fonctionnement du système « sur la base de la notice d'utilisation » et, le cas échéant, informer les fournisseurs ;
• si l'utilisation selon la notice peut présenter un risque (article 79, paragraphe 1), informer sans retard injustifié le fournisseur ou le distributeur. Informer aussi l'autorité de surveillance du marché et suspendre l'utilisation du système ;
• s'il détecte un incident grave, informer immédiatement d'abord le fournisseur, puis l'importateur ou le distributeur et les autorités de surveillance du marché ;
• s'il ne peut pas joindre le fournisseur, appliquer l'article 73 « mutatis mutandis » : les règles de signalement valent pour le déployeur, avec les adaptations nécessaires.

Le paragraphe 6 ajoute une obligation sur les journaux. Le déployeur conserve les journaux générés automatiquement par le système, dans la mesure où ils sont sous son contrôle. Il les conserve au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national.

Pour les déployeurs qui sont des établissements financiers, une règle spéciale s'applique (paragraphe 5, deuxième alinéa). Leur obligation de surveillance est réputée remplie s'ils respectent les règles de gouvernance interne du droit des services financiers.

Article 73 : incidents graves et délais de signalement

L'article 3, point 49, définit l'incident grave. C'est un incident ou un dysfonctionnement d'un système d'IA qui entraîne, directement ou indirectement, l'une des conséquences suivantes :

• a) le décès d'une personne ou une atteinte grave à la santé d'une personne ;
• b) une perturbation grave et irréversible de la gestion ou du fonctionnement d'infrastructures critiques ;
• c) la violation des obligations au titre du droit de l'Union visant à protéger les droits fondamentaux ;
• d) un dommage grave à des biens ou à l'environnement.

Le fournisseur signale l'incident aux autorités de surveillance du marché de l'État membre où il s'est produit. Chaque délai court à partir du moment où le fournisseur ou, le cas échéant, le déployeur en a connaissance :

Pour respecter le délai, le fournisseur ou le déployeur peut d'abord soumettre un signalement initial incomplet, puis un signalement complet (paragraphe 5). Le délai de signalement tient aussi compte de l'ampleur de l'incident (paragraphe 2).

Après le signalement, le fournisseur mène sans tarder les investigations nécessaires. Elles comprennent une évaluation des risques résultant de l'incident et des mesures correctives. Avant d'avoir informé les autorités compétentes, il ne modifie pas le système d'une manière qui pourrait affecter l'évaluation ultérieure des causes (paragraphe 6).

Une aide existe pour se préparer. Le 26 septembre 2025, la Commission a publié pour consultation un projet d'orientations et un modèle de signalement des incidents graves.

Aide-mémoire : qui a quelles obligations de surveillance

Ce tableau résume les articles 19, 20, 26, 72 et 73 pour les systèmes d'IA à haut risque. C'est un résumé, pas un formulaire officiel.

À partir de quand s'appliquent les articles 72, 73 et 26 ?

Le règlement s'applique à partir du 2 août 2026 (article 113). Les articles 72 et 73 figurent au chapitre IX, que l'article 113 ne reporte pas.

Depuis le règlement (UE) 2026/1744, le chapitre III, sections 1, 2 et 3, s'applique plus tard. Il s'applique à partir du 2 décembre 2027 aux systèmes de l'annexe III et du 2 août 2028 à ceux de l'annexe I. Ces sections contiennent les règles de classification de l'article 6 et les obligations des articles 19, 20 et 26.

Attention aux systèmes déjà sur le marché. Certains systèmes d'IA à haut risque ont été mis sur le marché ou mis en service avant la date d'application du chapitre III. Le règlement ne s'applique à eux que si leur conception change de façon importante à partir de cette date. En tout état de cause, fournisseurs et déployeurs de systèmes destinés aux autorités publiques s'y conforment d'ici au 2 août 2030 (article 111, paragraphe 2).

Mettre en place une surveillance continue : cinq étapes pratiques

Ces étapes sont une bonne pratique, pas une liste imposée par la loi. Les obligations légales sont celles des sections ci-dessus.

1. Recensez les systèmes d'IA que vous utilisez ou développez. Vérifiez lesquels relèvent de l'annexe III (annexe 3).
2. Pour chaque système, notez votre rôle : fournisseur, déployeur ou les deux.
3. En tant que fournisseur, rédigez le plan de surveillance après commercialisation et intégrez-le à la documentation technique. Indiquez quelles données vous collectez, auprès de quelles sources et qui les analyse.
4. En tant que déployeur, lisez la notice d'utilisation. Décidez qui contrôle le système, ce qu'il regarde et à quelle fréquence.
5. Préparez dès maintenant la procédure pour les incidents graves : qui décide, qui signale et dans quel délai. Conservez la preuve de chaque contrôle et de chaque signalement.

Comment LandingRed vous aide

LandingRed tient pour chaque système d'IA un plan de surveillance après commercialisation. Les alertes de seuil critiques ouvrent automatiquement un incident, et le délai de l'article 73 est calculé pour vous. LandingRed ne dépose pas le signalement auprès de l'autorité. Il enregistre la référence que l'autorité vous communique.

Pour en savoir plus, voyez la page LandingRed sur le règlement sur l'IA, ou commencez par l'auto-évaluation gratuite : en cinq minutes environ, elle estime votre exposition et vos obligations au titre du règlement sur l'IA.

Questions fréquentes sur la surveillance continue des systèmes d'IA

Pourquoi la surveillance continue des systèmes d'IA est-elle importante ?

Parce que les performances d'un système d'IA peuvent changer après son lancement. La surveillance continue garde l'IA à jour et performante, et repère à temps les erreurs et les dommages. Pour les systèmes d'IA à haut risque, c'est une obligation : article 72 pour le fournisseur, article 26, paragraphe 5, pour le déployeur.

Qui doit assurer la surveillance après commercialisation ?

Le fournisseur du système d'IA à haut risque (article 72). Le déployeur ne gère pas le système de surveillance du fournisseur. Il surveille le fonctionnement du système sur la base de la notice d'utilisation et, le cas échéant, informe le fournisseur (article 26, paragraphe 5).

Existe-t-il un modèle officiel du plan de surveillance ?

Pas encore. L'article 72, paragraphe 3, demande à la Commission des orientations, y compris un modèle, au plus tard le 2 septembre 2027. Dans tous les cas, le plan fait partie de la documentation technique visée à l'annexe IV, point 9.

Dans quel délai faut-il signaler un incident grave ?

Immédiatement après l'établissement du lien de causalité, ou de sa probabilité raisonnable. Au plus tard 15 jours après que le fournisseur ou le déployeur en a eu connaissance. Le délai est de 10 jours en cas de décès. Il est de 2 jours pour une infraction de grande ampleur ou une perturbation grave et irréversible d'infrastructures critiques (article 73).

À partir de quand les obligations de surveillance s'appliquent-elles ?

Les articles 72 et 73 figurent au chapitre IX, que l'article 113 ne reporte pas : ils s'appliquent à partir du 2 août 2026. L'article 26, sur les obligations du déployeur, figure au chapitre III, section 3. Il s'applique à partir du 2 décembre 2027 aux systèmes de l'annexe III et du 2 août 2028 à ceux de l'annexe I.

Ressources associées

• Surveiller les systèmes d'IA selon le règlement sur l'IA : les dix dimensions
• Annexe III (annexe 3) : les 8 domaines à haut risque
• Modèle de documentation technique de l'annexe IV
• LandingRed pour le règlement sur l'IA

Ces informations ne constituent pas un conseil juridique. Seuls les textes publiés au Journal officiel de l'Union européenne font foi.

Revu et publié sous la responsabilité éditoriale d'AB Corporate Advisory S.R.L.