Startups IA et éditeurs de logiciels : vos obligations EU AI Act en tant que fournisseur en 2026

Chaque semaine, des fondateurs de startups IA découvrent, parfois tardivement, qu'ils ne sont pas seulement utilisateurs de l'EU AI Act — ils en sont aussi des sujets actifs avec des obligations propres. Si vous développez une application qui intègre de l'intelligence artificielle et la commercialisez, l'EU AI Act vous qualifie de fournisseur. Ce statut implique des obligations bien plus étendues que celles qui pèsent sur les simples deployers.

Voici ce que vous devez savoir — et faire — avant les prochaines échéances.

Fournisseur ou déployer : une distinction qui change tout

L'EU AI Act structure ses obligations autour de deux rôles principaux que les organisations peuvent occuper dans la chaîne de l'IA :

Le fournisseur (provider) est l'entité qui développe un système d'IA ou en fait développer un, et le place sur le marche ou le met en service sous sa propre marque, que ce soit à titre onéreux ou non. En pratique : vous êtes fournisseur si vous commercialisez un SaaS, une API, un plugin ou tout logiciel qui intègre une fonctionnalité IA.

Le déployer est l'entité qui utilise un système d'IA dans le cadre de ses activités professionnelles. En pratique : une PME qui utilise votre logiciel est déployer, pas fournisseur.

La différence est fondamentale. Les deployers ont des obligations limitées — AIPD pour les systèmes haut risque, transparence, supervision humaine. Les fournisseurs doivent, eux, garantir la conformité du système avant de le mettre sur le marche, documenter son fonctionnement de façon exhaustive, obtenir le marquage CE pour les systèmes haut risque, et l'enregistrer dans la base de données européenne.

Qui est fournisseur au sens de l'EU AI Act ?

La définition est plus large que ce que beaucoup anticipent. Vous êtes fournisseur si vous :

Commercialisez un produit IA sous votre marque, même si la couche IA est construite sur un modèle tiers (OpenAI GPT-4o, Mistral, Anthropic Claude). Le fait d'encapsuler une API IA dans votre propre interface, de l'adapter à un cas d'usage métier, et de la proposer à des clients vous positionne comme fournisseur du système final.

Mettez en service un système d'IA pour votre propre usage professionnel interne, si ce système pourrait être qualifie de haut risque. Dans ce cas, vous cumulez les rôles de fournisseur et de déployer.

Modifiez substantiellement un système d'IA tiers pour un usage different de l'usage prévu initialement par le fournisseur original. L'ajout de nouvelles fonctionnalités ou le retraining sur de nouvelles données peut déclencher ce transfert de responsabilité.

Le cas typique des startups B2B : vous construisez un outil d'analyse de CV assiste par IA, un système de notation de crédit, un moteur de recommandation médicale, ou un assistant RH. Quel que soit le modèle sous-jacent utilise, vous êtes fournisseur — et vous devez vous conformer aux obligations correspondantes.

Les obligations spécifiques des fournisseurs de systèmes à haut risque

L'Annexe III de l'EU AI Act liste les systèmes consideres haut risque par défaut. Elle couvre notamment : les systèmes de recrutement et d'évaluation RH, les outils de crédit scoring, les systèmes de diagnostic médical, les outils d'évaluation éducative, et les systèmes utilisés dans l'administration de la justice. Si votre produit tombe dans une de ces catégories, voici ce que vous devez préparer.

1. La documentation technique (Annexe IV)

L'article 11 de l'EU AI Act impose aux fournisseurs de systèmes haut risque de constituer une documentation technique conforme à l'Annexe IV. Cette documentation couvre 9 sections obligatoires : description générale du système et de son usage prévu, architecture détaillée et processus de développement, description des données d'entraînement et de test, méthodes et métriques d'évaluation des performances, mesures de gestion des risques, modifications apportées au long du cycle de vie, normes appliquées et solutions retenues, instructions d'utilisation, et déclaration de conformité UE.

La bonne nouvelle pour les startups et PME : l'article 11 prévoit explicitement que les PME et microentreprises peuvent fournir les éléments de l'Annexe IV de façon simplifiée. La Commission européenne est chargée d'établir un formulaire adapte. En l'absence de normes harmonisées (les normes CEN et CENELEC sont attendues fin 2026), la documentation doit décrire les solutions adoptées pour satisfaire aux exigences du Chapitre III, Section 2.

2. L'évaluation de conformité et le marquage CE

Avant la mise sur le marche d'un système haut risque, le fournisseur doit réaliser une évaluation de conformité. Pour la majorité des systèmes de l'Annexe III, cette évaluation peut être réalisée en interne (auto-évaluation) — un organisme notifie externe n'est obligatoire que pour les systèmes biométriques et certains systèmes d'infrastructure critique. A l'issue de cette évaluation positive, le fournisseur appose le marquage CE sur son système et dans sa documentation.

3. L'enregistrement dans la base de données EU

Avant la mise sur le marche, les fournisseurs de systèmes haut risque doivent enregistrer le système dans la base de données européenne dedicee, accessible au public. Cet enregistrement couvre : la dénomination et coordonnées du fournisseur, le nom commercial du système, l'usage prévu, la classification de risque, le statut de l'évaluation de conformité, et le lien vers la notice d'utilisation. La base de données est maintenue par la Commission européenne et constitue un registre public de tous les systèmes IA haut risque circulant dans l'UE.

4. La surveillance post-commercialisation

Les obligations ne s'arrêtent pas à la mise sur le marche. Les fournisseurs doivent mettre en place un système de surveillance post-commercialisation : collecte et analyse des données de performance en conditions réelles, remontée des incidents graves aux autorités nationales (dans les 15 jours pour les incidents graves, dans les 2 jours pour les incidents mortels ou graves pour la santé), et mise à jour de la documentation technique en cas de modification substantielle.

Ce que change le Digital Omnibus de mai 2026 pour les startups IA

L'accord provisoire conclu le 7 mai 2026 entre le Parlement européen et le Conseil apporte des modifications importantes au calendrier d'application, avec un impact direct sur les startups IA :

Report de 18 mois pour les obligations documentaires Annexe III : la plupart des exigences techniques et documentaires pour les systèmes haut risque de l'Annexe III sont reportées du 2 août 2026 au 2 décembre 2027. Cela concerne notamment la constitution complète de la documentation Annexe IV et l'enregistrement dans la base de données EU pour de nombreux systèmes.

Ce qui reste au 2 août 2026 : les obligations d'Article 50 (transparence et disclosure chatbot) et les interdictions de l'Article 5 (pratiques inacceptables) ne sont pas concernées par le report. Si votre produit déploie des chatbots ou des systèmes conversationnels en interaction directe avec des utilisateurs finaux, l'obligation de disclosure reste en vigueur au 2 août 2026.

Important : le report ne signifie pas l'exemption. Il donne du temps supplémentaire pour préparer la conformité, pas pour l'ignorer. Les organismes de surveillance nationaux (en France, la CNIL pour le volet IA-RGPD) commenceront leurs contrôles des 2027.

Les allegemements spécifiques pour les startups et PME

L'EU AI Act integre plusieurs dispositions spécifiquement congues pour réduire la charge réglementaire des petites structures :

Formulaire de documentation simplifie (Article 11) : les PME et microentreprises peuvent utiliser un format allégé de documentation technique. La Commission établira un formulaire standardise — en attendant sa publication, une description claire et structurée des 9 points de l'Annexe IV dans un format lisible est acceptable.

Accès aux sandboxes réglementaires (Articles 57 à 63) : les autorités nationales peuvent établir des environnements contrôlées (bacs a sable réglementaires) dans lesquels les startups peuvent tester leurs systèmes IA sous supervision des autorités, avant la mise sur le marche, avec un cadre réglementaire allégé. La France, via la CNIL et le réseau des autorités IA, devrait déployer ces sandboxes courant 2026-2027.

Réduction des frais d'évaluation de conformité : pour les PME recourant à un organisme notifie externe, les frais doivent être proportionnés à la taille et au chiffre d'affaires de l'entreprise. Les organismes notifies sont tenus d'appliquer des tarifs adaptes aux microentreprises.

Priorité d'accès aux ressources de l'AIOB : l'AI Office européen (AIOB), instance de coordination créée par l'EU AI Act, doit mettre à disposition des ressources et orientations spécifiques pour les startups, incluant des guides pratiques, des modèles de documentation et un helpdesk dédié.

Plan d'action pour les startups IA — 12 semaines

Semaines 1-2 : Classification. Déterminer si votre système IA entre dans l'Annexe III (haut risque) ou dans une autre catégorie. Pour chaque produit commercial, identifier votre rôle exact : êtes-vous uniquement fournisseur ? Ou aussi déployer si vous utilisez le système en interne ? Si votre produit n'est pas haut risque, les obligations sont limitées à la transparence (Article 50 si vous déployez des chatbots) et aux bonnes pratiques.

Semaines 3-5 : Documentation de base. Constituer la documentation technique Annexe IV dans sa version simplifiée. Documenter l'architecture du système, les données d'entraînement, les métriques de performance, et les mesures de gestion des risques. Ce travail, même sans obligation immédiate au 2 août 2026, vous protege en cas de contrôle et accelere la conformité complète avant décembre 2027.

Semaines 6-8 : Conformité Article 50. Si votre produit inclut un chatbot, assistant conversationnel, ou tout système en interaction directe avec des utilisateurs finaux, implémenter la disclosure obligatoire avant le 2 août 2026. Ce n'est pas techniquement complexe mais doit être documente.

Semaines 9-10 : Gouvernance interne. Nommer un responsable conformité IA (peut être cumule avec le DPO existant). Mettre en place un registre interne des systèmes IA avec leur classification, statut de conformité et date de prochaine revue.

Semaines 11-12 : Revue contrats et fournisseurs. Auditer vos contrats avec vos fournisseurs de modèles IA (OpenAI, Mistral, Anthropic, etc.). Vérifier que les obligations de transparence, de performance et de traceabilite sont couvertes contractuellement. En tant que fournisseur du système final, vous êtes responsable même si la couche IA vient d'un tiers.

Questions fréquentes — startups IA et EU AI Act

Notre SaaS integre GPT-4o via API. OpenAI est-il responsable de notre conformité ?

Non. OpenAI est fournisseur du modèle sous-jacent et responsable de la conformité du modèle lui-même. Vous, en tant que fournisseur du SaaS final, êtes responsable de la conformité de votre système tel qu'il est utilise par vos clients. Si votre usage du modèle cree un système haut risque au sens de l'Annexe III, vous devez en assurer la conformité — même si vous n'avez pas entraine le modèle vous-même.

Notre système n'est pas encore commercialise. Devons-nous être conformes avant le lancement ?

Pour les systèmes haut risque : oui, les obligations s'appliquent avant la mise sur le marche ou la mise en service. Vous ne pouvez pas commercialiser un système haut risque sans documentation technique conforme, évaluation de conformité complétée, et (pour la majorité des cas après décembre 2027) enregistrement dans la base EU. Intégrer la conformité des la phase de développement est infiniment moins coûteux que de devoir retrofitter un produit en production.

Notre startup est en phase pre-seed. Peut-on ignorer l'EU AI Act pour l'instant ?

En phase de prototypage pur, sans utilisateurs extérieurs, les obligations sont minimales. Des que vous avez des utilisateurs, même en bêta, la question de la mise en service se pose. Si votre système est potentiellement haut risque, la prudence est de commencer la documentation des la phase bêta — le sandbox réglementaire (Articles 57-63) est précisément conçu pour accompagner les startups en phase de test supervisée.

Que se passe-t-il si notre système est haut risque mais que nous l'avons commercialise avant le 2 août 2026 ?

L'EU AI Act prévoit des regles de transition. Les systèmes déjà commercialises avant les échéances disposent d'un délai de mise en conformité. L'important est d'engager la demarche de conformité activement — les autorités de surveillance accordent une priorité aux entreprises qui ont initie leur mise en conformité de bonne foi.

Le report Digital Omnibus s'applique-t-il à tous nos systèmes haut risque ?

Le report de 18 mois concerne principalement les exigences techniques et documentaires pour les systèmes de l'Annexe III dans des domaines non couverts par des législations sectorielles existantes. Certains systèmes haut risque — notamment dans les dispositifs médicaux (MDR), les véhicules autonomes, et les composants de sécurité — restent soumis aux calendriers de leurs réglementations sectorielles. Consultez un expert conformité pour vérifier le calendrier applicable à votre cas spécifique.

Conclusion : la conformité fournisseur, un avantage compétitif des 2026

Les startups IA qui abordent l'EU AI Act comme une contrainte passent a cote d'un signal fort : dans le marche B2B européen, la conformité va devenir un critère de qualification aussi important que la sécurité ISO 27001 ou la conformité RGPD. Les acheteurs grands comptes et les administrations publiques incluront systématiquement la conformité EU AI Act dans leurs appels d'offres à partir de 2027.

Les startups qui construisent leur conformité des maintenant — documentation, gouvernance, procédures — pourront la produire instantanément lors d'un appel d'offres, la valoriser dans leur pitch investisseurs, et l'afficher comme differenciateur face à des concurrents non conformes. Le coût de la conformité précoce est marginal compare au coût d'une mise en conformité d'urgence sous pression d'un acheteur grand compte ou d'une autorité de contrôle.

Notre diagnostic sectoriel MaConformite est spécifiquement conçu pour aider les éditeurs de logiciels IA à identifier leur classification de risque, leurs obligations exactes en tant que fournisseur, et les étapes prioritaires de conformité pour leur profil. Gratuit, 12 minutes, sans inscription.

Pour aller plus loin : guide complet EU AI Act entreprises françaises — Article 50 : chatbot disclosure août 2026 — analyse du Digital Omnibus mai 2026.