Quinze jours ouvrables au maximum pour mettre en conformité, retirer ou rappeler, et c’est un plafond, pas un droit. C’est le délai de l’article 79, et il court d’un événement que vous ne maîtrisez pas : l’invitation qu’une autorité de surveillance du marché vous adresse une fois la non-conformité constatée.
Cette page décrit ce qui se passe à ce moment-là. C’est une mécanique à quatre régimes, dont trois seulement sont des portes d’entrée.
Le système présente un risque pour la santé, la sécurité ou les droits fondamentaux : article 79, c’est la procédure de droit commun.
Le système a été classé « pas à haut risque » et l’autorité pense le contraire : article 80, avec un régime propre, une aggravation en cas de contournement, et un retour à l’article 79 en cas d’inaction.
Le système est formellement irrégulier, sans qu’aucun risque soit démontré : article 83, sept constatations qui suffisent.
Et une issue, pas une entrée. L’article 82 ne se déclenche pas seul : il suppose une évaluation déjà conduite au titre de l’article 79, qui conclut à la conformité et constate quand même un risque.
Qui peut signaler mon système à une autorité ?
N’importe qui, et sans avoir à justifier d’un intérêt. L’article 85 ouvre la réclamation à « toute personne physique ou morale ayant des motifs de considérer qu’il y a eu violation ». Un concurrent, un client, un salarié, une association : le texte ne filtre ni la qualité du plaignant ni son lien avec le système.
N’importe qui peut vous signaler. L’article 85 est court, et son champ est très large :
« Sans préjudice d’autres recours administratifs ou judiciaires, toute personne physique ou morale ayant des motifs de considérer qu’il y a eu violation des dispositions du présent règlement peut déposer des réclamations auprès de l’autorité de surveillance du marché concernée. »
Un client, un salarié, un concurrent, une association : aucune qualité particulière n’est exigée, aucune démonstration préalable non plus, seulement des « motifs de considérer ».
Ce que le texte ne prévoit pas est aussi instructif que ce qu’il prévoit. Il ne fixe aucun délai de traitement, et n’ouvre au réclamant aucun droit d’être informé de la suite donnée. Les réclamations « sont prises en compte aux fins de l’exercice des activités de surveillance du marché, et sont traitées conformément aux procédures spécifiques établies en conséquence par les autorités de surveillance du marché ». Autrement dit, la réclamation alimente la surveillance ; elle n’ouvre pas un contentieux.
Vos propres salariés sont protégés s’ils signalent. L’article 87 est plus court encore : « La directive (UE) 2019/1937 s’applique aux signalements de violations du présent règlement et à la protection des personnes signalant ces violations. » Le régime des lanceurs d’alerte s’applique donc intégralement, y compris ses protections contre les représailles.
L’article 87 suppose un canal de signalement externe désigné. Au 25 août 2026, date de la dernière vérification de nos sources sur ce point, l’autorité française qui en est chargée n’avait pas pu être établie.
Un outil de dépôt européen existe, et il ne se confond pas avec une procédure de traitement : le premier est en ligne, la seconde n’avait pas pu être établie à la même date.
→ Les canaux officiels de réclamation et de signalement
Que peut m’imposer une autorité, et dans quel délai ?
Une mise en conformité, un retrait ou un rappel — dans quinze jours ouvrables au plus. L’article 79 est la procédure de droit commun. L’autorité évalue d’abord la conformité à l’ensemble du règlement, pas au seul point signalé, puis invite l’opérateur à corriger « dans un délai qu’elle peut prescrire, et en tout état de cause au plus tard dans les 15 jours ouvrables ». Quinze jours est un plafond, pas un droit : l’autorité peut prescrire plus court, et un texte sectoriel plus court encore.
C’est la procédure de droit commun, et elle commence par une évaluation. Lorsque l’autorité « a des raisons suffisantes de considérer qu’un système d’IA présente un risque », elle évalue sa conformité à l’ensemble des exigences et obligations du règlement, et non au seul point qui a motivé le signalement.
Deux précisions du texte méritent d’être connues : « Une attention particulière est accordée aux systèmes d’IA présentant un risque pour les groupes vulnérables », et lorsque des risques pour les droits fondamentaux sont identifiés, l’autorité informe et associe les autorités nationales de protection des droits fondamentaux de l’article 77.
Si la non-conformité est constatée, l’autorité :
« invite sans retard injustifié l’opérateur concerné à prendre toutes les mesures correctives appropriées pour mettre le système d’IA en conformité, le retirer du marché ou le rappeler dans un délai qu’elle peut prescrire, et en tout état de cause au plus tard dans les 15 jours ouvrables, ou dans un délai prévu par la législation d’harmonisation de l’Union concernée, le délai le plus court étant retenu. »
Quinze jours ouvrables est un plafond, pas un droit. Deux lectures fausses circulent, et la phrase les dément toutes deux : l’autorité peut prescrire plus court ; et un texte sectoriel peut imposer un délai plus court encore, « le délai le plus court étant retenu ».
La phrase dit encore autre chose, qu’on lit rarement : les trois branches de l’alternative sont au même niveau. La mise en conformité, le retrait et le rappel.
Et le périmètre n’est pas celui du contrôle. L’article 79, paragraphe 4 impose de prendre les mesures « pour tous les systèmes d’IA concernés qu’il a mis à disposition sur le marché de l’Union ». Les articles 80, paragraphe 5 et 82, paragraphe 2 le répètent. Un contrôle portant sur un système déclenche donc une remédiation portant sur la flotte.
Ce que l’autorité peut exiger de vous
C’est la partie la plus dure du bloc, et elle est à l’article 74.
Un accès à la documentation et aux données, paragraphe 12, « lorsque cela est pertinent et limité à ce qui est nécessaire à l’accomplissement de leurs tâches » : les fournisseurs accordent alors aux autorités de surveillance du marché « un accès complet à la documentation ainsi qu’aux jeux de données d’entraînement, de validation et de test utilisés pour le développement des systèmes d’IA à haut risque », y compris, lorsque cela est approprié et sous réserve de garanties de sécurité, par des interfaces de programmation d’application ou d’autres moyens permettant un accès à distance.
Un accès au code source, paragraphe 13, sur demande motivée, et sous deux conditions cumulatives : cet accès est nécessaire pour évaluer la conformité aux exigences du chapitre III, section 2 ; et les procédures d’essai ou d’audit et les vérifications fondées sur les données et la documentation communiquées par le fournisseur ont été entièrement accomplies ou se sont révélées insuffisantes. L’article 78 protège en contrepartie les secrets d’affaires, code source compris.
Ce que vous devez avoir prêt ne s’improvise donc pas en quinze jours ouvrables : la documentation technique, les journaux, les jeux de données, et la liste des déployeurs à qui le système a été fourni.
Si vous ne corrigez pas dans le délai
L’autorité « prend toutes les mesures provisoires appropriées pour interdire ou restreindre la mise à disposition du système d’IA sur son marché national ou sa mise en service, pour retirer le produit ou le système d’IA autonome de ce marché ou pour le rappeler ». Elle notifie ces mesures sans retard injustifié à la Commission et aux autres États membres.
Et le silence vaut validation. C’est le paragraphe 8, et c’est le mécanisme qui fait tenir la mesure provisoire pour justifiée sans qu’aucune décision ne soit prise :
« Lorsque, dans les trois mois suivant la réception de la notification visée au paragraphe 5, aucune objection n’a été émise par une autorité de surveillance du marché d’un État membre ou par la Commission à l’encontre d’une mesure provisoire prise par une autorité de surveillance du marché d’un autre État membre, cette mesure est réputée justifiée. »
Réputée justifiée ne veut pas dire incontestable, et le paragraphe le dit dans la phrase suivante : cela vaut « sans préjudice des droits procéduraux de l’opérateur concerné conformément à l’article 18 du règlement (UE) 2019/1020 ». Le même article 18 est d’ailleurs déclaré applicable aux mesures correctives du paragraphe 2.
Le même paragraphe ramène ce délai à trente jours en cas de manquement à l’interdiction des pratiques de l’article 5. Passé ce terme, la mesure cesse d’être contestable par les autres États membres.
Et le silence produit lui-même un effet : le paragraphe 9 impose aux autorités de surveillance du marché de veiller « à ce que les mesures restrictives appropriées soient prises sans retard injustifié à l’égard du produit ou du système d’IA concerné, par exemple son retrait de leur marché ». La décision de la Commission de l’article 81, paragraphe 2 n’intervient, elle, que si la mesure a été contestée.
Deux choses ouvrent cette procédure de sauvegarde de l’Union, article 81 : l’objection d’une autorité de surveillance du marché d’un État membre à la mesure prise par une autre, ou le fait que la Commission estime cette mesure contraire au droit de l’Union. La Commission consulte, évalue, et décide dans un délai de six mois, ramené à soixante jours pour l’article 5, à compter de la notification de l’article 79, paragraphe 5 et non de l’objection. Si elle juge la mesure justifiée, tous les États membres prennent des mesures restrictives ; si elle la juge injustifiée, l’État membre la retire.
Que risque un fournisseur qui s’est classé hors du haut risque à tort ?
L’article 6, paragraphe 3 permet à un fournisseur de conclure qu’un système listé à l’annexe III n’est pas à haut risque. C’est une porte de sortie réelle. L’article 80 dit ce qu’elle coûte quand elle est mal invoquée, et il distingue deux cas que l’on confond.
Le classement simplement erroné
L’autorité demande la mise en conformité « dans un délai que l’autorité de surveillance du marché peut prescrire ». L’amende ne vient qu’ensuite, si le fournisseur « ne met pas le système d’IA en conformité avec ces exigences et obligations dans le délai visé ».
Le classement destiné à contourner. Là, l’amende est immédiate :
« Lorsque, au cours de l’évaluation prévue au paragraphe 1 du présent article, l’autorité de surveillance du marché établit que le système d’IA a été classé à tort par le fournisseur comme n’étant pas à haut risque afin de contourner l’application des exigences figurant au chapitre III, section 2, le fournisseur fait l’objet d’amendes conformément à l’article 99. »
Ce qui sépare les deux, c’est l’intention établie par l’autorité. D’où l’intérêt, très concret, de documenter l’analyse qui a conduit à écarter le haut risque plutôt que de la garder implicite : c’est cette trace qui distingue une erreur d’un contournement.
Passé le délai sans mesures correctives adéquates, le paragraphe 6 renvoie à l’article 79, paragraphes 5 à 9 : mesures provisoires, notification, et le même mécanisme de silence valant validation. Le régime propre de l’article 80 n’est donc qu’un premier temps.
Et l’autorité dispose d’un point de départ tout trouvé : le paragraphe 8 l’autorise à effectuer des contrôles « en tenant compte notamment des informations stockées dans la base de données de l’UE visée à l’article 71 ». Or l’article 49, paragraphe 2 impose au fournisseur qui invoque l’article 6, paragraphe 3 de s’enregistrer et d’enregistrer son système, et l’annexe VIII, section B, point 6 précise ce qu’il y inscrit : « la ou les conditions visées à l’article 6, paragraphe 3, sur la base desquelles le système d’IA est considéré comme n’étant pas à haut risque ». Vous déclarez vous-même l’exemption dans la base où l’on ira la vérifier.
→ Le filtre de sortie de l’article 6, paragraphe 3
Un système conforme peut-il quand même être visé ?
Oui, et c’est l’article 82. Une autorité qui a mené l’évaluation de l’article 79 peut exiger des mesures alors même que le système est parfaitement conforme au règlement, dès lors qu’il présente un risque pour la santé, la sécurité, les droits fondamentaux ou l’intérêt public.
C’est la disposition la moins reprise du bloc dans les commentaires que nous avons consultés, et c’est celle qui change le plus la lecture de tout le reste.
« Lorsque, ayant réalisé une évaluation au titre de l’article 79, après avoir consulté l’autorité publique nationale concernée visée à l’article 77, paragraphe 1, l’autorité de surveillance du marché d’un État membre constate que, bien qu’un système d’IA à haut risque soit conforme au présent règlement, il comporte néanmoins un risque pour la santé ou la sécurité des personnes, pour les droits fondamentaux, ou pour d’autres aspects relatifs à la protection de l’intérêt public, elle demande à l’opérateur concerné de prendre toutes les mesures appropriées pour faire en sorte que le système d’IA concerné, une fois mis sur le marché ou mis en service, ne présente plus ce risque, et ce sans retard injustifié, dans un délai qu’elle peut prescrire. »
Trois différences avec l’article 79, et elles jouent toutes dans le même sens. Le champ du risque est plus large : s’y ajoutent « d’autres aspects relatifs à la protection de l’intérêt public ». La consultation de l’autorité nationale de protection des droits fondamentaux est un préalable, et non une simple coopération. Et les États membres informent la Commission immédiatement, sans le mécanisme de silence valant validation.
La conformité protège donc contre le grief de non-conformité. Elle ne protège pas contre le constat de risque.
Peut-on être sanctionné sans qu’aucun risque soit démontré ?
Oui. L’article 83 permet à l’autorité d’exiger la fin d’une non-conformité de pure forme, sur sept constatations qui ne supposent aucune démonstration de risque : marquage CE apposé à tort ou absent, déclaration de conformité manquante, enregistrement non effectué. Le manquement documentaire suffit.
Aucun risque n’a à être démontré. L’autorité « invite le fournisseur concerné à mettre un terme à la non-conformité en question, dans un délai qu’elle peut prescrire » sur l’une des sept constatations suivantes.
| Constatation | Base |
|---|---|
| Le marquage CE a été apposé en violation de l’article 48 | art. 83, §1, a) |
| Le marquage CE n’a pas été apposé | art. 83, §1, b) |
| La déclaration UE de conformité de l’article 47 n’a pas été établie | art. 83, §1, c) |
| La déclaration UE de conformité n’a pas été établie correctement | art. 83, §1, d) |
| L’enregistrement dans la base de données de l’UE de l’article 71 n’a pas été effectué | art. 83, §1, e) |
| Le cas échéant, il n’a pas été désigné de mandataire | art. 83, §1, f) |
| La documentation technique n’est pas disponible | art. 83, §1, g) |
Et si la non-conformité persiste, l’autorité « prend toutes les mesures appropriées et proportionnées pour restreindre ou interdire la mise à disposition du système d’IA à haut risque sur le marché ou pour assurer son rappel ou son retrait sans tarder du marché ».
C’est la voie la plus facile à établir pour une autorité : il n’y a rien à évaluer, seulement à constater. Elle n’est pas pour autant la plus rapide, et c’est une nuance qui compte : comme les articles 80 et 82, il ne porte aucun délai plafond, le texte s’en remettant au délai que l’autorité prescrit. Seul l’article 79 en porte un.
Le point g) mérite une attention particulière. La documentation qui « n’est pas disponible » n’est pas nécessairement une documentation qui n’existe pas : celle qui existe mais que vous ne pouvez pas produire dans le délai prescrit tombe sous la même règle.
Que devez-vous faire sans attendre d’être saisi ?
Deux articles portent des obligations qui vous incombent en propre, avant toute intervention d’une autorité.
L’article 20, les mesures correctives du fournisseur
Le fournisseur qui constate ou a lieu de soupçonner une non-conformité met le système en conformité, le retire, le désactive ou le rappelle sans attendre, et informe les distributeurs et, le cas échéant, les déployeurs, le mandataire et les importateurs. Si le système présente un risque au sens de l’article 79, paragraphe 1, il informe aussi les autorités de surveillance du marché et l’organisme notifié.
L’article 21, la coopération avec l’autorité
Fournir à l’autorité les informations et documents nécessaires dans une langue qu’elle comprend aisément, et donner accès aux journaux qui sont sous le contrôle du fournisseur.
Ce qui compte ici, c’est le seuil de déclenchement. L’obligation de l’article 20 ne suppose pas un constat établi, et elle ne suppose pas non plus qu’une autorité se soit manifestée : le soupçon suffit.
Cette procédure s’applique-t-elle à tous les produits ?
L’article 74, paragraphe 4 écarte les articles 79 à 83 pour les systèmes d’IA liés à des produits couverts par la législation d’harmonisation de l’Union listée à l’annexe I, section A, « lorsque ces actes juridiques prévoient déjà des procédures assurant un niveau de protection équivalent et ayant le même objectif ». Et il désigne ce qui prend le relais : « En pareils cas, ce sont les procédures sectorielles pertinentes qui s’appliquent. »
Un dispositif médical, un dispositif médical de diagnostic in vitro, un jouet embarquant de l’IA relèvent donc de la procédure de leur propre règlement, dès lors que cette condition d’équivalence est remplie.
Attention à ne pas y ranger les machines. Le règlement (UE) 2023/1230 sur les machines a été déplacé de la section A vers la section B de l’annexe I par le règlement (UE) 2026/1744. Les systèmes qui en relèvent échappent aussi à ces procédures, mais pour un tout autre motif : l’article 2, paragraphe 2 ne leur rend applicables que l’article 6, paragraphe 1, l’article 60 bis et les articles 102 à 112.
→ Annexe I ou annexe III : le cas des dispositifs médicaux
Qui exerce ce contrôle en France aujourd’hui ?
Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Cette procédure suppose pourtant une autorité de surveillance du marché désignée pour l’exercer.
Ce qui manque n’est donc pas le pouvoir, qui existe par le règlement lui-même, mais l’autorité nationale qui l’exercerait. Pour les systèmes du périmètre exclusif de l’article 75, paragraphe 1, en revanche, rien n’attend la désignation française : l’autorité compétente est européenne. Et cela ne suspend rien : les obligations déjà exigibles — pratiques interdites, maîtrise de l’IA, transparence de l’article 50, chapitre V pour les modèles — pèsent sur vous sans attendre qu’une autorité soit en place, et les échéances du chapitre III courent indépendamment. Les articles 20 et 21, eux, sont des obligations de fournisseur de système à haut risque : ils suivent le calendrier de la section 3, décembre 2027 et août 2028.
→ Où en est la désignation française
→ Le barème des amendes, et qui peut les infliger
Sur quoi cette page s’appuie
Les articles 2, 5, 6, 20, 21, 47, 48, 49, 60 bis, 71, 74, 75, 77, 78, 79, 80, 81, 82, 83, 85, 87 et 102 à 112, ainsi que les annexes I, III et VIII, du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire.
Une réserve de méthode, et elle est nette. Les articles 74 à 87, l’article 49 et les annexes I et VIII ont été extraits de ce texte, et les citations qui en sont faites sont reproduites mot à mot depuis cette extraction. Les articles 20 et 21 ne l’ont pas été : ce que cette page en dit est une restitution de leur contenu, sans citation, et n’a pas la même garantie que le reste. Le régime de l’article 2, paragraphe 2 est de même restitué sans extraction verbatim.
Trois points sont ouverts et signalés comme tels, tous vérifiés au 25 août 2026 : aucune procédure spécifique de traitement des réclamations au titre de l’article 85 n’a été identifiée ; l’autorité française chargée du canal externe de signalement de l’article 87 n’est pas établie ; et le constat sur l’absence de texte français d’application porte sa propre réserve de méthode, reproduite dans la foire aux questions ci-dessus.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 25 août 2026.
Questions fréquentes
Quel délai ai-je pour corriger un système jugé non conforme ?
Quinze jours ouvrables au maximum, et parfois moins. L’article 79, paragraphe 2 dispose que l’autorité invite l’opérateur « à prendre toutes les mesures correctives appropriées pour mettre le système d’IA en conformité, le retirer du marché ou le rappeler dans un délai qu’elle peut prescrire, et en tout état de cause au plus tard dans les 15 jours ouvrables, ou dans un délai prévu par la législation d’harmonisation de l’Union concernée, le délai le plus court étant retenu ». Quinze jours ouvrables est donc un plafond, pas un droit : l’autorité peut prescrire plus court, et un texte sectoriel peut l’imposer.
Qui peut signaler mon système à une autorité ?
N’importe qui. L’article 85 ouvre le droit de réclamation à « toute personne physique ou morale ayant des motifs de considérer qu’il y a eu violation des dispositions du présent règlement » : un client, un salarié, un concurrent, une association. Le texte ne prévoit ni délai de traitement, ni obligation d’informer le réclamant de la suite donnée : les réclamations « sont prises en compte aux fins de l’exercice des activités de surveillance du marché », et traitées selon les procédures que chaque autorité établit. Et l’article 87 renvoie à la directive (UE) 2019/1937 pour la protection des personnes qui signalent une violation, ce qui vise notamment vos propres salariés.
Mon système est conforme au règlement : suis-je à l’abri ?
Non, et c’est l’article 82 qui le dit. Une autorité peut constater que, « bien qu’un système d’IA à haut risque soit conforme au présent règlement, il comporte néanmoins un risque pour la santé ou la sécurité des personnes, pour les droits fondamentaux, ou pour d’autres aspects relatifs à la protection de l’intérêt public ». Elle demande alors de faire cesser ce risque dans un délai qu’elle peut prescrire. Le champ du risque y est plus large qu’à l’article 79, et la Commission est informée immédiatement, sans le délai de trois mois qui vaut ailleurs.
Que risque-t-on à classer son système comme n’étant pas à haut risque ?
Cela dépend de la raison du classement. Si l’autorité constate simplement que le système est en réalité à haut risque, elle demande la mise en conformité dans un délai qu’elle prescrit, article 80, paragraphe 2 ; l’amende ne vient qu’en cas d’inaction dans ce délai, paragraphe 4. Mais si elle établit que le système « a été classé à tort par le fournisseur comme n’étant pas à haut risque afin de contourner l’application des exigences figurant au chapitre III, section 2 », le fournisseur « fait l’objet d’amendes conformément à l’article 99 » immédiatement, paragraphe 7. L’intention de contournement change donc le régime, pas seulement la sanction.
Faut-il un risque avéré pour qu’une autorité intervienne ?
Non. L’article 83 permet une injonction sur sept constatations de pure forme, sans qu’aucun risque n’ait à être démontré : marquage CE apposé en violation de l’article 48, marquage CE non apposé, déclaration UE de conformité non établie, déclaration établie incorrectement, enregistrement dans la base de données de l’UE non effectué, mandataire non désigné le cas échéant, et documentation technique non disponible. Si la non-conformité persiste, l’autorité peut restreindre, interdire, rappeler ou retirer le système.
Cette procédure s’applique-t-elle en France aujourd’hui ?
Le règlement est d’application directe, mais la procédure suppose une autorité de surveillance du marché désignée. Au 24 août 2026, date de notre dernière vérification, aucun texte français d’application du règlement n’a été identifié comme en vigueur : ni loi, ni ordonnance, ni décret. Ce constat n’a pas pu être vérifié directement sur Legifrance, resté inaccessible ce jour-là avec une erreur HTTP 403 : aucune recherche négative n’a été conduite sur le corpus réglementaire français, décrets et arrêtés compris, et le constat repose sur cinq sources officielles concordantes. Ce qui manque, c’est l’autorité qui exercerait ces pouvoirs, pas les pouvoirs eux-mêmes.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.