Articles 3, 16, 25 et 26 · Rôles · Responsabilité
Fournisseur et déployeur dans l'AI Act européen
Réponse courte : le fournisseur développe ou fait développer un système d'IA et le met sur le marché ou en service sous son nom. Le déployeur l'utilise sous son autorité. Acheter un produit ne transfère pas toutes les responsabilités au vendeur ; modifier le système ou changer sa marque peut conduire à devenir fournisseur.
01La différence en un regard
Les rôles de l'AI Act désignent des activités concrètes. Une organisation peut avoir des rôles différents selon les systèmes, voire cumuler plusieurs rôles dans une même chaîne de valeur.
| Question | Fournisseur | Déployeur |
|---|---|---|
| Que fait-il ? | Développe ou fait développer le système, puis le met sur le marché ou en service sous son nom ou sa marque, à titre onéreux ou gratuit. | Utilise le système sous son autorité, sauf dans le cadre d'une activité personnelle non professionnelle. |
| Exemple | Une entreprise commercialise une plateforme de recrutement automatisé sous sa marque. | Un employeur utilise cette plateforme pour filtrer les candidatures. |
| Question centrale | Qui définit le système proposé, sa destination et les conditions déclarées ? | Qui détermine le contexte réel, les données d'entrée et les actions fondées sur les sorties ? |
| Erreur courante | Supposer qu'il s'agit toujours de la personne qui a écrit le code. | Le considérer comme un client passif sans obligations propres. |
02Des obligations différentes pour le haut risque
Pour les systèmes à haut risque, la distinction devient opérationnelle. Le fournisseur conçoit et documente la conformité ; le déployeur encadre l'usage réel. Cette présentation simplifiée ne remplace ni les articles applicables ni le droit sectoriel.
| Fournisseur | Déployeur |
|---|---|
| Veille au respect des exigences du haut risque : gestion des risques, gouvernance des données, documentation, enregistrement, transparence, contrôle humain et robustesse. | Utilise le système conformément aux instructions et adopte des mesures techniques et organisationnelles appropriées. |
| Met en place un système de gestion de la qualité, conserve la documentation et prend les mesures correctives nécessaires. | Confie le contrôle à des personnes dotées des compétences, de la formation, de l'autorité et du soutien nécessaires pour intervenir. |
| Fournit aux intégrateurs et utilisateurs les informations nécessaires pour comprendre et exploiter le système. | Contrôle les données d'entrée lorsqu'il en a la maîtrise, surveille le fonctionnement, conserve les journaux sous son contrôle et signale les risques ou incidents. |
03Quand un déployeur devient fournisseur
L'article 25 prévoit des changements de rôle importants pour les systèmes à haut risque. Un déployeur, distributeur, importateur ou autre tiers peut porter les obligations du fournisseur lorsqu'il :
- appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché ou en service ;
- effectue une modification substantielle d'un système qui reste à haut risque ;
- change la destination d'un système non classé à haut risque de manière à le rendre à haut risque.
Et le fournisseur initial ? Le règlement (UE) 2026/1744, dit Digital Omnibus, a réécrit l'article 25, paragraphe 2. Dans ces circonstances, il cesse d'être fournisseur du système concerné, mais doit coopérer étroitement avec les nouveaux fournisseurs : documentation permettant d'évaluer la conformité à l'article 16, informations sur les limites et défaillances connues, accès technique ciblé pour les essais et la validation. Une exception existe lorsqu'il a clairement indiqué que son système ne devait pas être transformé en système à haut risque. L'acheteur qui transforme le système ne peut donc pas présumer cette coopération : les indications du fournisseur comptent.
Intégrer un modèle à usage général, personnaliser un produit ou changer son usage ne conduit pas toujours au même résultat. Destination, documentation, modification effective et risque résultant comptent. Il faut demander ce qui a été transformé et sous quel nom le système est mis en service, au-delà du simple achat.
Pour une entreprise, l'AI Act pour les entreprises organise ces questions dans un ordre pratique.
04Avant d'acheter ou d'utiliser un système
- Cartographier la chaîne : qui développe, intègre, vend, choisit la destination et agit sur les sorties.
- Définir le contexte : personnes concernées, décisions influencées, données et conséquences des défaillances.
- Vérifier la classification : pratique interdite, haut risque, transparence ou autre régime.
- Demander des preuves : instructions, limites, journaux, qualité des données, performances, contrôle, incidents et mises à jour.
- Attribuer une autorité interne : quelqu'un doit pouvoir interrompre ou corriger l'usage, pas seulement l'observer.
- Suivre les changements : nouvelles finalités, ajustement du modèle, intégrations et changement de marque peuvent modifier le rôle.
05La transparence répartit aussi les tâches
L'article 50 montre que les rôles ne sont pas interchangeables. En simplifiant, les fournisseurs rendent reconnaissables certaines interactions ou sorties de synthèse ; la publication d'hypertrucages ou l'usage de certains systèmes biométriques impose aussi des obligations aux déployeurs. Voir les obligations de transparence.
06Pourquoi le jeu demande qui est responsable
Dans NO AI ACT, reconnaître le risque ne suffit pas. Dans « L'appel d'offres opaque », un organisme public achète un système sans obtenir sa documentation ni encadrer son usage. Imputer tout au vendeur fragilise le rapport : le fournisseur doit rendre le système vérifiable, tandis que le déployeur détermine son insertion dans le processus et son contrôle.
07Sources officielles et limites
La source faisant autorité est le règlement (UE) 2024/1689 sur EUR-Lex. Le service d'assistance de la Commission permet de consulter les articles 3, 25 et 26, ainsi que la FAQ de la Commission. Vérifiez le texte consolidé et le droit sectoriel applicables.