Fournisseur ou déployeur AI Act : de quel côté est votre entreprise ?

Une entreprise qui utilise un outil d'IA conçu par quelqu'un d'autre est un déployeur au sens de l'AI Act. Celle qui met un système d'IA sur le marché sous son propre nom est un fournisseur. En pratique, une PME est presque toujours déployeuse. Ce n'est pas un statut confortable pour autant : le déployeur a ses propres obligations, et trois situations font basculer une entreprise côté fournisseur sans qu'elle s'en aperçoive.

Déployeur au sens de l'AI Act : que disent les définitions ?

Le règlement (UE) 2024/1689 raisonne par rôle, et non par taille d'entreprise ou par secteur.

Le fournisseur est l'acteur qui développe un système d'IA, ou le fait développer, puis le met sur le marché ou en service sous son propre nom ou sa propre marque. Peu importe qu'il le fasse à titre payant ou gratuit.

Le déployeur est l'acteur qui utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle. Un cabinet comptable de 14 personnes qui fait rédiger des synthèses par un assistant conversationnel est déployeur. Une PME industrielle qui utilise un outil de maintenance prédictive acheté sur étagère est déployeur.

Deux précisions comptent. Le rôle s'apprécie système par système : la même entreprise peut être déployeuse pour les outils qu'elle achète et fournisseuse pour celui qu'elle édite. Et le rôle ne dépend d'aucun seuil d'effectif ni de chiffre d'affaires.

Que doit faire concrètement un déployeur ?

Le déployeur n'est pas dispensé d'obligations. Trois s'appliquent à toute entreprise utilisatrice, indépendamment du niveau de risque.

• Respecter les pratiques interdites de l'article 5, applicables depuis le 2 février 2025. Elles valent pour tous les acteurs, sans exception de taille.
• Prendre des mesures soutenant la littératie IA des personnes qui utilisent ces systèmes, au titre de l'article 4. C'est une obligation de moyens, dont la preuve attendue est un programme de formation et de sensibilisation documenté.
• Informer les personnes lorsque l'article 50 l'impose, ce qui vaut depuis le 2 août 2026. Le détail figure dans les obligations de transparence de l'article 50 de l'AI Act.

S'ajoutent des obligations propres au déployeur d'un système à haut risque, réunies à l'article 26. Utiliser le système conformément à la notice du fournisseur. Confier la supervision humaine à des personnes compétentes et dotées de l'autorité nécessaire. Conserver les journaux générés par le système, et informer les travailleurs concernés avant la mise en service.

Certains déployeurs doivent en outre réaliser une analyse d'impact sur les droits fondamentaux, au titre de l'article 27. Sont visés les organismes de droit public et les entités privées assurant des services publics.

Ces obligations haut risque ne sont pas immédiates. Elles s'appliqueront à partir du 2 décembre 2027 pour les usages de l'Annexe III, et du 2 août 2028 pour l'Annexe I.

Le règlement n'impose pas au déployeur ordinaire de tenir un registre de ses usages d'IA. C'est pourtant la seule façon de montrer ce qui est utilisé, par qui et avec quelles données, le jour où la question est posée par un client ou une autorité.

Que doit faire concrètement un fournisseur ?

Les obligations du fournisseur sont d'une autre nature. Pour un système à haut risque, il doit mettre en place un système de gestion des risques et documenter la gouvernance de ses données d'entraînement. Il produit aussi une documentation technique, et prévoit la journalisation et la supervision humaine dès la conception.

Il doit ensuite faire passer le système par une procédure d'évaluation de la conformité encadrée par l'article 43. Il établit le document formel prévu à l'article 47, appose le marquage CE et assure une surveillance après commercialisation.

Certains systèmes interagissent avec des personnes ou génèrent des contenus. Pour ceux-là, le fournisseur doit concevoir le système de façon à permettre l'information et le marquage prévus par l'article 50. Cette exigence vaut quel que soit le niveau de risque.

Ce sont des charges de conception et de documentation continues, hors de portée d'une entreprise qui n'avait pas prévu d'entrer dans ce rôle. D'où l'importance de savoir si l'on y est entré.

Trois situations où une PME bascule côté fournisseur

Le règlement prévoit qu'un déployeur devient fournisseur d'un système à haut risque dans plusieurs cas de figure. Trois se rencontrent en PME.

Mettre un système sur le marché sous sa propre marque

Une entreprise qui prend une brique d'IA existante, l'habille de son logo et la propose à ses clients comme son produit devient fournisseuse de ce système. Le cas classique est la revente en marque blanche, ou l'intégration d'un modèle tiers dans une offre commercialisée sous son nom.

L'usage interne ne déclenche rien. C'est la mise à disposition de tiers, sous son nom, qui change le rôle.

Modifier substantiellement un système existant

Une modification qui change le fonctionnement d'un système à haut risque, au point d'affecter sa conformité, fait de l'auteur de la modification un fournisseur pour ce système. Le simple paramétrage prévu par l'éditeur ne suffit pas à basculer.

La frontière se joue sur l'ampleur. Ajuster des options dans une interface n'a rien à voir avec le ré-entraînement d'un modèle sur ses propres données.

Détourner un outil vers un usage à haut risque

Troisième cas, le plus fréquent en pratique : une entreprise utilise un outil généraliste pour une finalité que son éditeur n'avait pas prévue, et cette finalité relève de l'Annexe III. Brancher un modèle de langage sur un tri automatique de candidatures en est l'exemple type.

Changer la destination d'un système au point de le faire entrer dans le haut risque transfère le rôle de fournisseur à celui qui opère ce changement. Là encore, l'échéance est le 2 décembre 2027, mais la décision d'architecture se prend maintenant.

Le cas du chatbot exposé aux clients

Une entreprise qui installe sur son site un agent conversationnel fourni par un éditeur reste déployeuse de ce système. Elle ne devient pas fournisseuse du seul fait que le chatbot porte ses couleurs sur son propre site.

En revanche, l'obligation d'information pèse sur la relation avec ses visiteurs. Le fournisseur doit concevoir le système pour rendre l'information possible ; l'entreprise qui l'expose doit vérifier que la mention est effectivement visible et qu'un visiteur peut demander un interlocuteur humain.

La bascule intervient si cette entreprise décide de commercialiser son chatbot auprès d'autres entreprises, sous son propre nom. Elle devient alors fournisseuse de ce système, avec les obligations correspondantes.

Comment trancher votre cas en trois questions

Posez ces trois questions pour chaque outil d'IA utilisé dans l'entreprise.

1. Ce système est-il mis à disposition de tiers sous votre nom ou votre marque ?
2. Avez-vous modifié son fonctionnement au-delà du paramétrage prévu par l'éditeur ?
3. L'usage que vous en faites relève-t-il d'une des finalités listées à l'Annexe III ?

Trois réponses négatives : vous êtes déployeur pour cet outil. Une seule réponse positive justifie un examen sérieux, car les obligations changent de nature. Les allègements prévus pour les petites structures sont détaillés dans le régime allégé de l'AI Act pour les PME. Le cadre général figure dans ce que le règlement IA européen impose à une PME en 2026.

Questions fréquentes

Une entreprise peut-elle être fournisseur et déployeur en même temps ?

Oui, et c'est fréquent. Le rôle s'apprécie pour chaque système, pas pour l'entreprise dans son ensemble. Un éditeur de logiciel est fournisseur du produit qu'il commercialise et déployeur des assistants d'IA que ses équipes utilisent en interne.

Utiliser l'interface de programmation d'un modèle d'IA dans son propre logiciel, est-ce être fournisseur ?

Cela dépend de ce qui est mis sur le marché. Un appel technique à un modèle tiers, dans un logiciel que vous commercialisez sous votre nom, fait de vous le fournisseur du système que vos clients utilisent. Vous restez déployeur si l'intégration ne sert qu'à un usage interne.

Le statut de déployeur dispense-t-il de toute obligation ?

Non. Un déployeur doit respecter les pratiques interdites, soutenir la littératie IA de ses équipes et assurer l'information des personnes quand elle est due. S'il utilise un système à haut risque, s'y ajouteront la supervision humaine, la conservation des journaux et l'information des travailleurs.

Savez-vous quel rôle vous jouez ?

L'audit de maturité IA d'Harmonia évalue en 3 minutes vos usages, votre exposition et vos priorités. Gratuit, sans création de compte.

Lancer l'audit de maturité IA