Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689) prévoit deux voies de déclaration des incidents graves liés à l’IA. L’article 55 vise les fournisseurs de modèles d’IA à usage général présentant un risque systémique, qui doivent transmettre les informations pertinentes au Bureau européen de l’IA et, le cas échéant, aux autorités nationales compétentes « sans retard indu ». L’article 73 concerne les fournisseurs de systèmes d’IA à haut risque et prévoit des délais chiffrés.
Le Code de bonnes pratiques pour l’IA à usage général donne un calendrier plus précis aux fournisseurs qui s’appuient sur ses engagements. Ses délais ne remplacent pas la règle de l’article 55 et ne s’appliquent pas automatiquement à tous les fournisseurs.
Ce qu’impose l’article 55
L’article 55(1)(c) demande aux fournisseurs de modèles d’IA à usage général présentant un risque systémique de suivre et documenter les incidents graves, puis d’en communiquer les informations pertinentes ainsi que les mesures correctives possibles. Les destinataires sont le Bureau européen de l’IA et, lorsque cela s’avère approprié, les autorités nationales compétentes.
Le texte fixe comme norme un signalement « sans retard indu », sans imposer un nombre précis de jours pour tous les incidents. La Commission européenne indique que les obligations applicables aux fournisseurs de ces modèles sont entrées en application le 2 août 2025.
Le calendrier prévu par le Code
Le Code de bonnes pratiques est un moyen volontaire de démontrer le respect des obligations. La Commission précise que les fournisseurs peuvent aussi recourir à d’autres mesures adéquates. Pour les signataires qui suivent les engagements du Code, la mesure 9.3 prévoit, en cas de cyberincident grave, un premier rapport au plus tard cinq jours après qu’ils ont pris connaissance de l’implication du modèle. Tant que l’incident n’est pas résolu, ils transmettent une mise à jour au moins toutes les quatre semaines, puis un rapport final au plus tard 60 jours après sa résolution.
La mesure 9.4 prévoit de conserver la documentation pendant cinq ans, à compter de la date la plus tardive entre celle de l’incident et celle de la documentation. Ces échéances appartiennent au Code : l’article 55, lui, conserve la formule « sans retard indu ».
En quoi l’article 73 diffère de l’article 55
L’article 73 régit une autre catégorie : les fournisseurs de systèmes d’IA à haut risque mis sur le marché de l’Union. Ils signalent les incidents graves à l’autorité de surveillance du marché de l’État membre où l’incident s’est produit. L’article 55 porte sur les modèles d’IA à usage général présentant un risque systémique et désigne le Bureau européen de l’IA parmi les destinataires.
L’article 73 demande un signalement immédiat dès qu’un lien de causalité, ou une probabilité raisonnable de lien, est établi. Le délai maximal est de 15 jours après la prise de connaissance de l’incident dans le cas général. Il est ramené à deux jours pour les cas définis dans l’article, notamment certaines infractions généralisées ou perturbations graves d’infrastructures critiques, et à dix jours en cas de décès, sous réserve des conditions prévues par le texte. Le fournisseur doit aussi enquêter sans délai, évaluer les risques, prendre des mesures correctives et coopérer avec les autorités.
| Régime | Fournisseurs et incidents concernés | Destinataire | Délai ou norme temporelle | Nature juridique |
| Article 55(1)(c) | Fournisseurs de modèles d’IA à usage général présentant un risque systémique ; incidents graves | Bureau européen de l’IA et, le cas échéant, autorités nationales compétentes | Sans retard indu ; aucun délai chiffré unique dans l’article | Obligation prévue par le règlement |
| Code de bonnes pratiques, mesure 9.3 | Signataires qui suivent ses engagements ; cyberincidents graves impliquant un modèle | Bureau européen de l’IA et, le cas échéant, autorités nationales compétentes | Rapport initial sous cinq jours après connaissance de l’implication du modèle ; mises à jour au moins toutes les quatre semaines si l’incident persiste ; rapport final sous 60 jours après résolution | Engagements d’un dispositif volontaire de conformité |
| Article 73 | Fournisseurs de systèmes d’IA à haut risque mis sur le marché de l’Union ; incidents graves | Autorité de surveillance du marché de l’État membre où l’incident s’est produit | Dès l’établissement d’un lien causal ou d’une probabilité raisonnable de lien ; au plus tard sous 15 jours en règle générale, deux jours pour certains cas et dix jours en cas de décès | Obligation prévue par le règlement |
Cyberincidents et modèles qui agissent comme attaquants
La Commission interprète la déclaration prévue pour les modèles à risque systémique comme couvrant les cyberincidents graves liés au modèle ou à son infrastructure physique. Elle cite notamment l’exfiltration des poids du modèle et les cyberattaques. Ses orientations sont non contraignantes, mais elles exposent l’interprétation de la Commission et guident son action.
Une analyse juridique publiée par Lawfare le 19 octobre 2026 soutient que cette lecture peut aussi couvrir un incident où le modèle mène lui-même une cyberattaque. Cette application est une interprétation juridique de la portée de la règle, et non une conclusion explicitement formulée par la Commission. La gravité de l’incident et l’implication du modèle restent déterminantes.
Les modèles encore en développement
La Commission indique que le règlement ne s’applique généralement pas à la recherche, aux essais ou au développement avant la mise sur le marché ou en service. Elle précise toutefois que certaines obligations relatives aux modèles destinés au marché, notamment l’évaluation et l’atténuation des risques prévues à l’article 55, peuvent concerner leur phase de développement. Le stade de développement ne suffit donc pas, à lui seul, à déterminer quelle obligation s’applique.
