Déployer au sens de l'AI Act : les obligations méconnues des entreprises qui UTILISENT l'IA en 2026

La majorité des articles sur l'EU AI Act se concentrent sur les fournisseurs — les entreprises qui développent des systèmes d'IA. Mais le règlement cree une seconde catégorie d'acteurs tout aussi importante : les deployers (ou "déployeurs"), c'est-a-dire les entreprises qui utilisent des systèmes d'IA dans un cadre professionnel.

Si votre entreprise utilise un logiciel de recrutement avec tri automatique de CV, un CRM prédictif, un chatbot client, ChatGPT Team, Microsoft Copilot ou un outil d'analyse de données base sur l'IA, vous êtes un déployer. Et vos obligations ne sont pas négligeables.

Déployer vs fournisseur : quelle différence ?

Le fournisseur (provider) est l'entité qui développe ou fait développer un système d'IA et le met sur le marche. Le déployer est l'entité qui utilise ce système dans un contexte professionnel, sous sa propre autorité. La distinction est cruciale car elle déterminé qui porte quelles obligations.

Un cabinet de recrutement qui utilise un ATS avec scoring IA est déployer. L'éditeur de l'ATS est fournisseur. Les deux ont des obligations distinctes mais complémentaires. En pratique, la majorité des PME françaises sont des deployers : elles achètent ou souscrivent à des outils d'IA développés par d'autres.

Les 6 obligations du déployer au 2 août 2026

1. Inventaire de tous vos systèmes d'IA

Votre première obligation est de savoir ce que vous utilisez. Recensez chaque outil, logiciel ou service qui intègre de l'IA dans votre organisation. Incluez les outils évidents (chatbots, scoring) et les moins évidents (filtres anti-spam avances, recommandations produit, suggestions automatiques dans votre CRM). Pour chaque système, documentez : le nom du fournisseur, la finalité d'utilisation, les catégories de personnes affectées et le niveau de risque selon l'AI Act.

2. Classification par niveau de risque

Chaque système doit être classe selon les 4 niveaux de l'AI Act. Les deployers de systèmes haut risque (recrutement IA, crédit scoring, évaluation scolaire, triage médical) portent les obligations les plus lourdes. Les deployers de systèmes a risque limite (chatbots, IA générative) doivent assurer la transparence. Attention : c'est le contexte d'utilisation qui déterminé le risque, pas l'outil lui-même. Un LLM utilise pour générer des descriptions de produits = risque minimal. Le même LLM utilise pour trier des candidatures = haut risque.

3. Supervision humaine effective (Article 14)

Pour les systèmes haut risque, vous devez garantir qu'un humain compétent supervise les décisions de l'IA. Concrètement : toute décision significative générée par un système d'IA haut risque doit être révisable, contestable et corrigeable par une personne qualifiée. Le "bouton de validation automatique" ne suffit pas — la supervision doit être réelle et documentée.

4. Conservation des logs (Article 12)

Les deployers de systèmes haut risque doivent conserver les logs générés automatiquement par le système. Ces journaux d'evenements doivent être conserves pendant une durée adaptée à la finalité du système (minimum 6 mois recommande) et être accessibles aux autorités de surveillance sur demande. En pratique, demandez à votre fournisseur comment accéder aux logs et exportez-les régulièrement.

5. Transparence envers les personnes affectées

Pour tout système d'IA, les personnes affectées par les décisions doivent être informées. Pour un chatbot : un message clair indiquant l'interaction avec une IA. Pour un système de scoring : informer le candidat, le client ou le patient que l'IA participe au processus de décision. Pour l'IA générative : signaler que le contenu est généré par l'IA quand il est susceptible d'être pris pour du contenu humain.

6. Littératie IA des équipes (Article 4)

Obligation souvent sous-estimée : le déployer doit garantir un niveau de compétence suffisant pour toute personne qui manipule des systèmes d'IA. En pratique, cela signifie former vos équipes — même sommairement — sur le fonctionnement général de l'IA, ses limites, ses biais possibles et les réflexes de supervision. Un simple programme de sensibilisation interne (2 heures) suffit pour les systèmes à risque minimal. Pour les systèmes haut risque, une formation structurée est recommandée.

Le due diligence fournisseur : votre bouclier légal

En tant que déployer, vous avez le droit — et la responsabilité — de vérifier que vos fournisseurs respectent leurs propres obligations. Avant de souscrire ou renouveler un outil d'IA, posez ces 5 questions :

1. Votre système est-il classe comme haut risque au sens de l'AI Act ?

2. Disposez-vous de la documentation technique conforme à l'Annexe IV ?

3. Quelles données d'entraînement avez-vous utilisées et comment la représentativité est-elle assurée ?

4. Quels mécanismes de supervision humaine sont intégrés ?

5. Êtes-vous enregistré dans la base de données européenne pour les systèmes haut risque ?

Si le fournisseur ne peut pas répondre, c'est un signal d'alarme. En cas de contrôle, c'est vous — le déployer — qui serez interroge sur ces points.

Les outils IA courants et leur classification

Pour vous aider à évaluer votre situation, voici la classification probable des outils les plus répandus en entreprise :

Haut risque : ATS avec scoring de CV (recrutement), logiciels de crédit scoring, outils d'évaluation de performance des employes, systèmes d'orientation scolaire, outils de triage médical, scoring d'éligibilité aux prestations sociales.

Risque limite (transparence) : chatbots et assistants virtuels clients, outils de génération de contenu (ChatGPT, Claude, Gemini), systèmes de deepfake ou synthèse vocale, moteurs de recommandation visibles.

Risque minimal : filtres anti-spam, correcteurs orthographiques IA, suggestions de recherche interne, catégorisation automatique d'emails, recommandations internes non exposées aux clients.

PME de moins de 750 salariés : les allégements Omnibus

Le Digital Omnibus I (décembre 2025) a étendu aux entreprises de moins de 750 salariés les mesures initialement réservées aux PME stricto sensu. Ces allégements comprennent : accès aux bacs a sable réglementaires nationaux (en France : supervision de la CNIL), documentation simplifiée pour les systèmes haut risque, et accompagnement technique par les autorités nationales. Ces allégements ne suppriment pas les obligations — ils les rendent plus accessibles. L'inventaire, la classification et la supervision humaine restent obligatoires.

Les sanctions pour les deployers

Les deployers sont soumis au même régime de sanctions que les fournisseurs : jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial pour le non-respect des obligations. Pour les PME, les sanctions sont plafonnées mais restent significatives. La CNIL, désignée autorité compétente en France pour la surveillance, dispose des moyens de contrôle et de sanction.

Comment se mettre en conformité en 5 étapes

Étape 1 — Inventaire (1 semaine) : listez tous les outils IA utilisés dans votre organisation. Impliquez chaque département — le marketing peut utiliser un outil de personnalisation IA dont la DSI ignore l'existence.

Étape 2 — Classification (2 jours) : évaluez le niveau de risque de chaque système en fonction de votre contexte d'utilisation, pas du marketing du fournisseur.

Étape 3 — Due diligence fournisseur (1 semaine) : envoyez le questionnaire de conformité à chaque fournisseur de système haut risque.

Étape 4 — Supervision et formation (2 semaines) : mettez en place les mécanismes de supervision humaine et formez vos équipes.

Étape 5 — Documentation (continue) : constituez votre dossier de conformité : inventaire, classifications, réponses fournisseurs, registre de supervision, logs.

Notre plateforme MaConformite automatise les étapes 1 à 5 avec un diagnostic sectoriel guide, la génération automatique de l'inventaire, les checklists par article du règlement et la documentation Annexe IV pre-remplie. Commencez votre diagnostic gratuit en 3 minutes pour évaluer votre exposition.

FAQ — Deployers et EU AI Act

Mon entreprise utilise seulement ChatGPT Team. Suis-je concerne ?

Oui. ChatGPT est un système d'IA a usage général (GPAI). En tant que déployer, votre obligation principale est la transparence : si vous utilisez du contenu généré par ChatGPT vis-à-vis de tiers (clients, candidats), vous devez le signaler. Si vous l'utilisez pour prendre des décisions qui affectent des personnes (évaluation, scoring), le contexte peut le reclasser en haut risque.

Le fournisseur ne veut pas répondre à mes questions de conformité. Que faire ?

Documentez le refus. En cas de contrôle, montrer que vous avez fait preuve de diligence (questions envoyées, relances) vous protege partiellement. À terme, envisagez de changer de fournisseur pour un acteur conforme — la conformité AI Act deviendra un critère de sélection standard d'ici fin 2026.

J'utilise un outil IA hébergé aux États-Unis. L'AI Act s'applique-t-il ?

Oui. L'AI Act s'applique des que le système d'IA est utilise sur le territoire de l'Union européenne, indépendamment de l'hébergement. C'est le lieu d'utilisation et les personnes affectées qui comptent, pas le lieu de développement ou d'hébergement.

Combien coute la mise en conformité pour une PME ?

Pour une PME de 50 salariés utilisant 5 à 10 outils IA (dont 1-2 haut risque), comptez entre 2 000 et 10 000 euros en interne (temps passe) ou via un consultant. Notre plateforme MaConformite réduit ce coût de 60 à 80% grâce à l'automatisation du diagnostic et de la documentation.