AI Act : fournisseur ou déployeur ? Quand votre organisation devient fournisseur sans s’en apercevoir
En bref
Qui utilise un système d’IA est déployeur ; qui le développe ou le met sur le marché sous son nom est fournisseur, avec bien plus d’obligations. L’article 25 de l’AI Act transforme un déployeur en fournisseur s’il propose un système à haut risque sous sa marque, le modifie substantiellement ou détourne un autre système au point qu’il devienne à haut risque. Pour les usages à haut risque de l’annexe III, ces obligations s’appliquent à partir du 2 décembre 2027.
Les deux rôles
| Fournisseur (art. 16) | Déployeur (art. 26) | |
|---|---|---|
| Qui | Développe un système d’IA ou le fait développer et le met sur le marché sous son nom | Utilise un système d’IA sous sa propre autorité, dans un cadre professionnel |
| À haut risque | Gestion des risques, gouvernance des données, documentation technique, évaluation de la conformité, marquage CE, enregistrement, surveillance après commercialisation | Utilisation conforme à la notice, contrôle humain, conservation des journaux, information des salariés, signalement des incidents, parfois analyse d’impact sur les droits fondamentaux |
| Toujours | Maîtrise de l’IA par le personnel (art. 4) et transparence envers les personnes qui interagissent avec l’IA (art. 50) | |
Les obligations de base de toute organisation sont dans L’AI Act en 2026 : ce que votre organisation doit avoir mis en place ; cet article traite du changement de rôle.
Les trois déclencheurs de l’article 25
- Nom ou marque propre. Vous proposez sous votre nom un système à haut risque déjà sur le marché, par exemple comme module de votre propre logiciel. Vous pouvez répartir les obligations avec le fournisseur initial par contrat, mais à l’extérieur, vous êtes le fournisseur.
- Modification substantielle. Vous modifiez un système à haut risque d’une façon non prévue dans l’évaluation de conformité initiale et qui touche aux exigences ou à la destination. Il reste à haut risque, mais désormais sous votre responsabilité.
- Nouvelle destination. Vous prenez un système qui n’était pas à haut risque, y compris un modèle à usage général, et l’utilisez pour une finalité de l’annexe III : recrutement, solvabilité, accès aux prestations, éducation. Rien ne change dans le système, tout change dans votre rôle.
Le troisième cas est le plus fréquent et le plus facile à manquer. Un assistant de chat généraliste que les RH utilisent pour présélectionner des candidatures est un système à haut risque, et qui a mis en place cet usage en est le fournisseur.
Que se passe-t-il si vous exploitez votre propre modèle ?
Exploiter un modèle open-weight sur votre propre nœud ne fait pas de vous un fournisseur de modèle d’IA à usage général : le fournisseur est celui qui développe le modèle et le met sur le marché, comme Meta ou Mistral. Seul celui qui modifie substantiellement un tel modèle, par exemple en l’affinant sur ses propres données, peut devenir fournisseur pour la partie modifiée selon les lignes directrices de la Commission. Utiliser un modèle inchangé et le connecter à ses propres documents, c’est déployer, pas fournir.
Si vous construisez votre propre application à partir du modèle et l’utilisez pour une finalité à haut risque, l’article 25 s’applique de nouveau : vous êtes alors le fournisseur de ce système. Voir Comparer les modèles open-weight pour le volet modèles.
Comment vérifier votre rôle
- Inventaire. Quels systèmes d’IA tournent, qui les a mis en place, à quoi servent-ils réellement ? Un registre de l’IA est la base.
- Confronter à l’annexe III. Un usage touche-t-il l’emploi, l’éducation, le crédit, les services essentiels, la répression, la migration ou les infrastructures critiques ?
- Lire la destination prévue par le fournisseur. Votre usage figure-t-il dans la documentation ? Sinon, vous êtes peut-être le premier à définir cette finalité.
- Consigner les modifications. Évaluer au préalable chaque adaptation d’un système fourni au regard de la substance, et la documenter.
- Contrats. Convenir avec le fournisseur de qui porte quelles obligations en cas de réaffectation, et s’il exclut la transformation en système à haut risque.
Le calendrier après l’omnibus numérique
Le règlement (UE) 2026/1744 a reporté les échéances des systèmes à haut risque : les usages de l’annexe III s’appliquent à partir du 2 décembre 2027, l’IA intégrée dans des produits relevant du droit européen de la sécurité des produits (annexe I) à partir du 2 août 2028. N’ont pas été reportées la maîtrise de l’IA (depuis février 2025), les obligations des modèles à usage général (depuis août 2025) et les obligations de transparence de l’article 50 (depuis août 2026). Qui met en place aujourd’hui un système pour une finalité de l’annexe III a donc du temps, mais le rôle est déjà fixé. Pour la formation, voir La maîtrise de l’IA.
Comment werqly s’y intègre
Avec werqly, vous exploitez des modèles open-weight inchangés sur un nœud à vous, connectés à vos documents ; c’est du déploiement, pas de la fourniture. werqly AI Control consigne quel rôle utilise quelles sources et pour quoi, afin qu’une réaffectation vers un usage à haut risque ne passe pas inaperçue, et fournit le journal que les déployeurs doivent conserver.
Questions fréquentes
Questions sur ce sujet
Sommes-nous fournisseur si nous utilisons ChatGPT ou Copilot ?
Normalement non : vous êtes déployeur. Vous devenez fournisseur si vous configurez l’outil pour une finalité à haut risque de l’annexe III, comme la présélection de candidatures, ou si vous le proposez sous votre nom comme système à haut risque.
Affiner un modèle open-weight fait-il de nous un fournisseur ?
Cela peut faire de vous le fournisseur du modèle modifié, limité à la modification selon les lignes directrices de la Commission. Exploiter un modèle inchangé et le connecter à ses propres documents relève en revanche du déploiement.
Qu’est-ce qu’une modification substantielle ?
Une modification après la mise sur le marché, non prévue dans l’évaluation de conformité initiale, qui touche au respect des exigences ou à la destination. Cela dépend du cas ; documentez chaque adaptation.
À partir de quand s’appliquent les obligations des fournisseurs de systèmes à haut risque ?
Pour les usages de l’annexe III à partir du 2 décembre 2027, pour l’IA intégrée dans des produits réglementés à partir du 2 août 2028, après le report par le règlement (UE) 2026/1744. La maîtrise de l’IA et la transparence s’appliquent déjà.
Sources
- AI Act — Règlement (UE) 2024/1689, article 25
- Commission européenne — AI Act Service Desk, article 25
- Commission européenne — Cadre réglementaire de l’IA (omnibus numérique)
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.