EU AI Act : fournisseur, déployeur ou importateur ? Identifiez votre rôle et vos obligations

L'EU AI Act ne traite pas toutes les entreprises de la même manière. Vos obligations de conformité dépendent d'un facteur déterminant : votre rôle dans la chaîne de valeur de l'IA. Êtes-vous celui qui développe le système ? Celui qui l'utilise ? Celui qui l'importe d'un pays tiers ? Chaque rôle à des obligations distinctes — et les confondre peut coûter jusqu'à 35 millions d'euros d'amende.

Les quatre rôles définis par l'AI Act

Le fournisseur (provider)

Le fournisseur est la personne physique ou morale qui developpe un système d'IA ou un modèle d'IA a usage général et le met sur le marche ou en service sous son propre nom ou sa propre marque. C'est le rôle qui porte la responsabilité principale sous l'AI Act.

Exemples concrets : un éditeur de logiciel qui développe un outil de scoring crédit automatise, une startup qui crée un chatbot de diagnostic médical, une entreprise qui entraîne un modèle de détection de fraude pour le vendre à des banques.

Le critère clé est la mise sur le marche sous son propre nom. Si vous développez un système IA en interne pour votre propre usage, vous êtes à la fois fournisseur et déployeur de ce système.

Le déployeur (déployer)

Le déployeur est une personne physique ou morale qui utilise un système d'IA sous sa propre autorité, sauf lorsque le système est utilise dans le cadre d'une activité personnelle non professionnelle. C'est le rôle le plus fréquent pour les entreprises françaises.

Exemples concrets : une entreprise qui utilise un outil de tri de CV automatise achete à un éditeur, un hôpital qui déploie un logiciel d'aide au diagnostic radiologique, une banque qui utilise un système de scoring crédit fourni par un tiers, une PME qui intègre ChatGPT ou Copilot dans ses processus métier.

L'expression sous sa propre autorité est déterminante. Un employe qui utilise l'outil dans le cadre de son travail n'est pas un déployeur — c'est l'entreprise qui l'emploie qui est le déployeur. Les clients finaux qui interagissent avec l'IA (patients, candidats, consommateurs) ne sont pas des déployeurs non plus.

L'importateur

L'importateur est la personne physique ou morale établie dans l'Union européenne qui met sur le marche un système d'IA portant le nom ou la marque d'un fournisseur établi dans un pays tiers.

Exemple : une société française qui distribue en Europe un outil IA développé par une entreprise américaine ou chinoise. L'importateur doit vérifier que le fournisseur hors-UE a effectue les évaluations de conformité requises avant la mise sur le marche.

Le distributeur

Le distributeur est un intermédiaire dans la chaîne d'approvisionnement qui met un système d'IA à disposition sur le marche sans modifier substantiellement le système. Il n'est ni le fournisseur ni l'importateur.

Son rôle principal est de vérifier que le système IA porte bien le marquage CE (pour les systèmes haut risque) et que la documentation d'accompagnement est conforme avant de le commercialiser.

Obligations par rôle : ce que chacun doit faire

Obligations du fournisseur (les plus lourdes)

Le fournisseur de système d'IA à haut risque doit mettre en place un système de gestion des risques documente et mis à jour en continu, un système de gestion de la qualité couvrant l'ensemble du cycle de vie du système, une documentation technique complète (Annexe IV de l'AI Act), des tests et une validation avant la mise sur le marche, un marquage CE et une déclaration de conformité, un enregistrement dans la base de données européenne de l'IA, et un système de surveillance post-commercialisation.

Pour les systèmes à risque limite (la majorité des outils IA en entreprise), le fournisseur à des obligations de transparence (Article 50) : informer que l'utilisateur interagit avec une IA, identifier les contenus générés par IA (watermarking), et fournir une description du fonctionnement du système.

Obligations du déployeur

Le déployeur de système d'IA à haut risque doit utiliser le système conformément aux instructions d'utilisation du fournisseur, garantir que les personnes physiques chargées de la supervision humaine sont formées et compétentes, s'assurer que les données d'entrée sont pertinentes et représentatives au regard de la finalité du système, surveiller le fonctionnement du système et signaler tout incident grave au fournisseur et aux autorités, réaliser une analyse d'impact sur les droits fondamentaux (AIPD) avant la mise en service, et informer les représentants du personnel de l'utilisation du système sur le lieu de travail.

Pour les systèmes à risque limite, le déployeur doit informer de manière claire les personnes qui interagissent avec le système IA (par exemple, indiquer qu'un chatbot est une IA, pas un humain). Si le système genere des deepfakes ou du contenu synthétique, le déployeur doit le signaler explicitement.

Obligations de l'importateur

L'importateur doit vérifier que le fournisseur hors-UE a effectue l'évaluation de conformité, que la documentation technique est disponible, que le marquage CE est appose, et que le fournisseur a désigné un mandataire dans l'Union. En cas de non-conformité détectée, l'importateur ne doit pas mettre le système sur le marche.

Cas pratiques : comment déterminer votre rôle

Cas 1 : Vous utilisez ChatGPT/Copilot dans vos processus

Vous êtes déployeur. OpenAI (ou Microsoft) est le fournisseur. Vos obligations : transparence (informer que du contenu est généré par IA), usage conforme aux instructions du fournisseur, formation de vos équipes. Si vous intégrez l'API dans un produit que vous commercialisez, vous devenez potentiellement fournisseur de ce nouveau système.

Cas 2 : Vous développez un outil IA interne

Vous êtes fournisseur ET déployeur simultanément. Vos obligations sont celles du fournisseur (les plus strictes). Même si l'outil n'est pas commercialise, vous devez respecter les obligations si le système entre dans une catégorie à haut risque (RH, crédit, santé, etc.).

Cas 3 : Vous revendez une solution IA américaine en France

Vous êtes importateur. Vous devez vérifier la conformité du fournisseur américain avant la mise sur le marche européen. Si le fournisseur n'a pas de mandataire dans l'UE, vous portez une part de responsabilité accrue.

Cas 4 : Vous personnalisez significativement un outil IA existant

Attention au basculement de statut. Si vous apportez une modification substantielle à un système IA existant, ou si vous apposez votre nom/marque sur un système haut risque modifie, vous devenez fournisseur de ce système. La frontière entre "configuration" et "modification substantielle" est un enjeu juridique majeur de l'AI Act.

Le piege du basculement de rôle

Le statut de déployeur n'est pas immuable. L'AI Act prévoit explicitement qu'un déployeur peut devenir fournisseur dans trois situations : il apporte une modification substantielle au système IA, il appose son propre nom ou sa marque sur un système IA haut risque existant, ou il modifie la finalité du système IA (utilisation pour un usage different de celui prévu par le fournisseur initial).

Ce basculement entraine l'application immédiate de toutes les obligations du fournisseur, y compris la documentation technique, l'évaluation de conformité et le marquage CE. Les conséquences financières sont majeures.

Calendrier selon votre rôle

Les échéances varient selon le type d'obligation :

2 août 2026 (Digital Omnibus confirme) : obligations de transparence Article 50 pour tous les rôles. Si vous déployer un chatbot, un générateur d'images ou un système de recommendation, vous devez informer les utilisateurs des maintenant.

2 décembre 2027 (Digital Omnibus reporte +16 mois) : obligations complètes pour les systèmes haut risque de l'Annexe III. Si vous êtes fournisseur ou déployeur de systèmes IA dans la santé, le RH, la finance, l'éducation ou la justice, cette date est votre deadline.

2 août 2028 : obligations pour les systèmes haut risque de l'Annexe I (machines, jouets, équipements médicaux). Concerne principalement les fabricants industriels.

Comment MaConformite vous aide à identifier votre rôle

Notre diagnostic gratuit en 3 minutes identifie automatiquement votre rôle (fournisseur, déployeur, importateur) en fonction de vos réponses. L'algorithme analyse votre relation avec les systèmes IA que vous utilisez ou commercialisez, et adapte les obligations affichées dans votre dashboard en conséquence. Pas de confusion, pas de documentation inutile — uniquement les obligations qui correspondent à votre situation réelle.

FAQ

Une PME qui utilise simplement des outils IA est-elle concernée par l'AI Act ?

Oui. En tant que déployeur, la PME à des obligations de transparence (informer que l'IA est utilisée) et, pour les systèmes haut risque, des obligations de supervision humaine et d'analyse d'impact. Les obligations sont proportionnées mais réelles.

Quelle est la différence entre un déployeur et un simple utilisateur ?

Un déployeur utilise le système IA sous sa propre autorité dans un cadre professionnel. Un simple utilisateur (employe, client) utilise le système dans le cadre défini par le déployeur, sans contrôle sur son déploiement. Seul le déployeur à des obligations légales.

Comment savoir si j'ai apporte une modification substantielle à un système IA ?

L'AI Act ne donne pas de définition précise de la modification substantielle. Les critères généralement retenus sont : changement de l'algorithme d'apprentissage, re-entraînement sur des données significativement différentes, modification de la finalité du système, ou ajout de fonctionnalités non prévues par le fournisseur initial. En cas de doute, consultez un juriste spécialisé.

Si je suis déployeur d'un système IA à risque limite, que dois-je faire concrètement ?

Pour un système à risque limite (chatbot, générateur de texte, outil de recommandation), vos obligations sont principalement liées à la transparence : informer clairement les personnes qu'elles interagissent avec une IA, identifier les contenus générés par IA comme tels, et utiliser le système conformément aux instructions du fournisseur.

Le Digital Omnibus change-t-il les obligations des déployeurs ?

Le Digital Omnibus reporte principalement les échéances haut risque (Annexe III au 2 décembre 2027) et simplifie les obligations pour les PME et small mid-caps. Les obligations de transparence Article 50 pour les déployeurs restent au 2 août 2026, sans changement.