Fournisseur ou déployeur : comment qualifier votre rôle au sens de l'AI Act

Le règlement européen sur l'IA ne traite pas tous les acteurs de la même façon. Les obligations qui pèsent sur vous dépendent d'abord du rôle que vous occupez dans la chaîne de valeur. Un même système d'IA peut ainsi vous imposer une documentation technique complète ou de simples précautions d'usage, selon votre qualification.

C'est la deuxième question à trancher dans toute démarche de conformité, juste après l'inventaire.

Les rôles définis par le règlement

Le texte distingue plusieurs opérateurs. Quatre comptent en pratique.

Le fournisseur

C'est la personne qui développe un système d'IA ou un modèle à usage général, ou qui le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit.

Deux éléments ressortent. Le fournisseur n'est pas nécessairement celui qui code : faire développer suffit. Et le critère décisif est la mise à disposition sous son nom ou sa marque.

C'est le rôle le plus exigeant du règlement.

Le déployeur

C'est la personne qui utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle. L'usage personnel et non professionnel est exclu.

C'est la qualification de l'immense majorité des entreprises. Une PME qui abonne ses équipes à un assistant conversationnel est déployeur.

L'importateur et le distributeur

L'importateur est établi dans l'Union et met sur le marché un système portant le nom d'une personne établie hors de l'Union. Le distributeur met un système à disposition sur le marché sans être ni fournisseur ni importateur.

Ces deux rôles concernent surtout les revendeurs et intégrateurs.

Pourquoi la distinction change tout

Les obligations sont sans commune mesure.

Le fournisseur d'un système à haut risque doit mettre en place un système de gestion des risques, documenter la gouvernance de ses données d'entraînement, établir et tenir à jour une documentation technique, assurer la journalisation, concevoir le système pour permettre un contrôle humain effectif, garantir exactitude et robustesse, mettre en œuvre un système de gestion de la qualité, apposer le marquage CE, enregistrer le système dans la base de données européenne et assurer une surveillance après commercialisation.

Le déployeur du même système doit l'utiliser conformément à la notice, confier la supervision à des personnes compétentes et disposant de l'autorité nécessaire, s'assurer de la pertinence des données d'entrée qu'il maîtrise, surveiller le fonctionnement, conserver les journaux générés, et informer les personnes concernées lorsque le système prend des décisions les affectant.

La charge n'est pas la même. D'où l'importance de ne pas basculer dans le rôle de fournisseur sans l'avoir voulu.

Les quatre cas de bascule

L'article 25 prévoit qu'un déployeur, un distributeur ou un importateur est considéré comme fournisseur d'un système à haut risque, et en supporte toutes les obligations, dans quatre situations.

Il appose son nom ou sa marque sur un système déjà mis sur le marché. C'est le cas classique de la marque blanche.

Il modifie substantiellement un système à haut risque déjà mis sur le marché.

Il modifie la destination d'un système, y compris à usage général, de telle sorte que celui-ci devient un système à haut risque.

Il met un système sur le marché sous son propre nom après l'avoir fait développer par un tiers.

Le troisième cas est le plus insidieux. Une entreprise qui bâtit un outil interne de présélection de candidatures en s'appuyant sur un modèle généraliste du marché transforme un outil à risque minimal en système à haut risque relevant du domaine de l'emploi. Elle en devient fournisseur, avec l'intégralité des obligations correspondantes.

Les situations fréquentes en entreprise

Vous utilisez un outil du marché tel quel. Vous êtes déployeur. Vos obligations sont proportionnées : usage conforme, supervision, formation des équipes, information des personnes le cas échéant.

Vous avez configuré un assistant sur vos propres données, pour un usage interne. Vous restez généralement déployeur, tant que vous ne modifiez pas la destination du système ni ne le proposez à des tiers sous votre marque.

Vous intégrez une IA dans votre produit vendu à des clients. Vous êtes probablement fournisseur. La question se pose dès que l'IA est une fonctionnalité de votre offre, présentée sous votre marque.

Vous développez un outil interne qui décide ou présélectionne sur des personnes. Vous êtes fournisseur d'un système à haut risque. C'est la configuration qui demande le plus d'attention.

Un système, un rôle, une analyse

La qualification s'apprécie système par système. Une même organisation peut être déployeur pour sa suite bureautique augmentée, et fournisseur pour la fonctionnalité d'IA qu'elle a intégrée à son propre logiciel.

Documentez chaque analyse dans votre registre : système, finalité, rôle retenu, motif du choix, date. En cas de contrôle, c'est ce raisonnement qui sera examiné.

La vigilance contractuelle

La qualification étant source d'obligations lourdes, elle doit être traitée dans vos contrats.

Côté achat, demandez à vos fournisseurs leur propre qualification, la classification de risque qu'ils retiennent, et la documentation qu'ils vous transmettent. L'article 13 impose au fournisseur d'un système à haut risque de fournir au déployeur une notice d'utilisation permettant un usage conforme.

Côté vente, soyez attentif aux clauses de marque blanche et de personnalisation : elles peuvent déplacer la qualification vers vous.

Clarifier votre position

Notre diagnostic comporte un point de contrôle sur la qualification du rôle, ainsi que sur les autres dimensions de la conformité.

Pour une analyse de vos systèmes et de vos contrats : victor@antartica-ai.com

---

*Sources : règlement (UE) 2024/1689, article 3 pour les définitions, articles 16 à 22 pour les obligations des fournisseurs, article 25 pour les cas de bascule, article 26 pour les obligations des déployeurs.*

FAQ

Quelle différence entre fournisseur et déployeur ?

Le fournisseur développe un système d'IA ou le fait développer et le met sur le marché sous son propre nom. Le déployeur l'utilise sous sa propre autorité dans le cadre de son activité professionnelle. Les obligations sont nettement plus lourdes pour le fournisseur.

Une entreprise qui utilise ChatGPT est-elle déployeur ?

Oui, dès lors qu'elle l'utilise dans un cadre professionnel sous sa propre autorité. Elle relève alors des obligations du déployeur, dont la littératie IA de l'article 4.

Peut-on devenir fournisseur sans le vouloir ?

Oui, et c'est le piège principal. L'article 25 prévoit qu'un déployeur devient fournisseur s'il met un système à haut risque sur le marché sous son propre nom ou sa propre marque, s'il en modifie substantiellement la finalité, ou s'il y apporte une modification substantielle.

Pourquoi cette qualification est-elle déterminante ?

Parce qu'elle détermine l'étendue de vos obligations. Un fournisseur de système à haut risque doit notamment établir un système de gestion des risques, une documentation technique et une évaluation de conformité, ce qui n'est pas demandé au déployeur.

Pour aller plus loin

Évaluez votre conformité avec le test de maturité IA d'Antartica AI : 23 questions dont un volet dédié au règlement européen sur l'IA. Pour former vos équipes au titre de l'article 4, découvrez notre offre de formation IA certifiée Qualiopi, ou cadrez votre situation avec un audit IA. Pour en discuter, écrivez à victor@antartica-ai.com.

*Cet article présente une lecture du règlement (UE) 2024/1689 à des fins d'information et ne constitue pas un conseil juridique.*