Avant toute mise en conformité, posez-vous une seule question : pour ce système d'IA, suis-je fournisseur ou déployeur ? La réponse détermine la quasi-totalité de vos obligations. Et dans la grande majorité des PME, la réponse est la même : déployeur, avec des obligations allégées.
Le règlement distribue les responsabilités selon la place de chacun dans la chaîne de valeur. Celui qui conçoit et met sur le marché porte la charge lourde. Celui qui se contente d'utiliser porte une charge ciblée et proportionnée.
Les deux rôles, définis par l'Article 3
Le fournisseur (provider, Article 3 §3) développe un système d'IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque. OpenAI, Microsoft, Mistral, l'éditeur de votre logiciel de recrutement : ce sont des fournisseurs.
Le déployeur (deployer, Article 3 §4) utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle. La PME qui utilise ChatGPT pour rédiger, un ATS pour trier des CV, un chatbot pour son support : c'est un déployeur.
Le règlement nomme aussi l'importateur et le distributeur, mais pour une entreprise française qui consomme des outils déjà disponibles sur le marché européen, le rôle pertinent est presque toujours déployeur.
Pourquoi le rôle change tout
Les obligations du fournisseur d'un système haut risque sont lourdes (Article 16) : système de gestion des risques, documentation technique, données d'entraînement de qualité, évaluation de conformité, marquage CE, enregistrement dans la base de données européenne, surveillance après commercialisation.
Les obligations du déployeur d'un système haut risque sont ciblées (Article 26) :
- utiliser le système conformément à sa notice d'utilisation,
- confier la supervision humaine à des personnes compétentes et dotées des moyens nécessaires,
- surveiller le fonctionnement et signaler les incidents,
- conserver les journaux générés automatiquement, lorsque vous les maîtrisez,
- informer les personnes concernées lorsque le système prend une décision les concernant ou y contribue,
- informer au préalable les représentants du personnel et les travailleurs concernés avant de déployer un système haut risque sur le lieu de travail (Article 26 §7),
- pour les organismes publics et les opérateurs privés fournissant des services publics, réaliser une analyse d'impact sur les droits fondamentaux (Article 26 §8). Cette dernière obligation ne vise pas la PME privée standard.
Pour les systèmes à risque limité (un chatbot, du contenu généré), le déployeur n'a qu'une obligation de transparence (Article 50). Pour les systèmes à risque minimal, aucune obligation contraignante.
En pratique
Faites l'inventaire de vos systèmes d'IA et, pour chacun, écrivez une ligne : nom de l'outil, fournisseur, votre rôle (déployeur dans 95 % des cas), niveau de risque. Ce tableau d'une page est le point de départ de toute votre conformité. Il vous dit exactement quelles obligations s'appliquent, et lesquelles ne vous concernent pas.
Les trois pièges qui vous transforment en fournisseur
L'Article 25 §1 prévoit qu'un déployeur (ou un distributeur, un importateur, un tiers) devient fournisseur d'un système haut risque dans trois situations. C'est le point de vigilance majeur pour les agences, les revendeurs et les éditeurs qui intègrent de l'IA tierce.
Piège 1 : vous apposez votre nom ou votre marque
Si vous mettez un système d'IA haut risque déjà sur le marché à disposition sous votre propre nom ou votre propre marque, vous en devenez le fournisseur (Article 25 §1 a). Revendre un outil de scoring sous votre marque blanche vous fait hériter des obligations de l'Article 16.
Piège 2 : vous modifiez substantiellement le système
Si vous apportez une modification substantielle à un système haut risque déjà sur le marché, de sorte qu'il reste haut risque, vous devenez fournisseur (Article 25 §1 b). Configurer reste de l'usage. Réentraîner en profondeur, réarchitecturer, changer le comportement du modèle peut constituer une modification substantielle.
Piège 3 : vous changez la finalité
Si vous modifiez la finalité d'un système, y compris un système à finalité générale, de telle sorte qu'il devienne haut risque, vous en devenez le fournisseur (Article 25 §1 c). Détourner un assistant généraliste pour en faire un outil de tri de candidats peut faire basculer votre responsabilité.
Erreur fréquente
Croire que brancher l'API d'un grand modèle dans son produit fait automatiquement de soi un fournisseur. Tant que vous utilisez le modèle pour ce qu'il est, dans sa finalité, en informant vos utilisateurs, vous restez déployeur. Vous ne basculez fournisseur que si vous rebrandez un système haut risque, le modifiez substantiellement, ou le détournez vers un usage haut risque. L'usage normal d'une API ne suffit pas.
Le cas des modèles à usage général
Les fournisseurs de modèles d'IA à usage général (les grands modèles de langage) ont un régime propre, avec leurs propres obligations de transparence et de documentation. En tant que PME qui intègre ces modèles via une API, vous restez déployeur du système que vous construisez par-dessus, sauf si l'un des trois pièges de l'Article 25 se referme sur vous.
Ce que vous devez retenir
Votre rôle décide de vos obligations. Pour chaque système d'IA que vous utilisez, identifiez d'abord si vous êtes fournisseur ou déployeur. Dans une PME, la réponse est presque toujours déployeur, ce qui vous place sous le régime allégé de l'Article 26, ou sous la simple transparence de l'Article 50.
Restez déployeur, c'est aussi une stratégie. Évitez d'apposer votre marque sur des systèmes haut risque tiers, de les modifier en profondeur ou de les détourner de leur finalité. Tant que vous utilisez l'IA pour ce qu'elle est, vous gardez la charge la plus légère.