--- title: "Fournisseur ou déployeur ? La distinction qui décide de vos obligations" slug: "fournisseur-ou-deployeur" description: "Vos obligations IA Act dépendent de votre rôle. La plupart des PME sont déployeurs, avec des obligations allégées. Voici comment savoir, et les pièges qui vous transforment en fournisseur." articles: ["Article 3", "Article 16", "Article 25", "Article 26"] updated: "2026-06-11" reading_minutes: 7 faq: - q: "Quelle est la différence entre fournisseur et déployeur ?" a: "Le fournisseur développe un système d'IA et le met sur le marché ou en service sous son nom ou sa marque (Article 3 §3). Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel (Article 3 §4). Si vous utilisez ChatGPT, Copilot ou un ATS tiers, vous êtes déployeur." - q: "Le rôle de déployeur est-il moins exigeant ?" a: "Oui, nettement. Le fournisseur d'un système haut risque porte la charge principale : documentation technique, gestion des risques, évaluation de conformité, marquage CE (Article 16). Le déployeur a des obligations ciblées et proportionnées : supervision humaine, surveillance, conservation des logs, information des personnes (Article 26)." - q: "Puis-je devenir fournisseur sans le vouloir ?" a: "Oui. L'Article 25 prévoit trois cas où un déployeur devient fournisseur d'un système haut risque : si vous apposez votre nom ou votre marque dessus, si vous le modifiez substantiellement, ou si vous changez sa finalité de façon à le rendre haut risque. Vous héritez alors des obligations du fournisseur." - q: "Si je personnalise un chatbot avec mes données, suis-je fournisseur ?" a: "Pas nécessairement. Configurer ou alimenter un système avec vos contenus reste de l'usage en tant que déployeur. En revanche, le réentraîner en profondeur, le revendre sous votre marque ou le détourner vers un usage haut risque peut vous faire basculer fournisseur (Article 25). La frontière tient à la modification substantielle et au changement de finalité." - q: "Et si je revends une IA sous ma propre marque ?" a: "Vous devenez fournisseur. Apposer votre nom ou votre marque sur un système d'IA déjà sur le marché, en particulier haut risque, vous fait endosser les obligations du fournisseur au sens de l'Article 25 §1 a. C'est le piège le plus courant pour les agences et les revendeurs." - q: "Quelles sont les obligations d'un déployeur de système haut risque ?" a: "L'Article 26 demande notamment d'utiliser le système conformément à sa notice, d'assurer une supervision humaine par des personnes compétentes, de surveiller son fonctionnement, de conserver les journaux générés automatiquement, et d'informer les personnes concernées lorsque le système prend ou assiste une décision les concernant." sources: - label: "Règlement (UE) 2024/1689, Article 3, Définitions, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" - label: "Règlement (UE) 2024/1689, Article 25, Responsabilités tout au long de la chaîne de valeur, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" - label: "Règlement (UE) 2024/1689, Article 26, Obligations des déployeurs, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" - label: "Règlement (UE) 2024/1689, Article 16, Obligations des fournisseurs, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" related: ["suis-je-concerne", "usages-haut-risque", "supervision-humaine-article-14", "logs-registre-article-12"] # Métadonnées d'applicabilité (épic "Profil de conformité personnalisé", PRD §5) applies_to: risk: "transversal" sectors: ["tous"] triggers: ["chatbot", "scoring-cv", "contenu-genere", "revente-marque", "scoring-credit"] actions: - "Déterminer votre rôle pour chaque système IA utilisé : fournisseur ou déployeur (Article 3)" - "Vérifier que vous n'apposez pas votre marque sur un système IA tiers haut risque (Article 25 §1 a)" - "Vérifier que vous ne modifiez pas substantiellement un système ni ne changez sa finalité vers le haut risque (Article 25 §1 b et c)" - "Pour vos systèmes haut risque en tant que déployeur : organiser la supervision humaine et la conservation des logs (Article 26)" --- Avant toute mise en conformité, posez-vous une seule question : pour ce système d'IA, suis-je fournisseur ou déployeur ? La réponse détermine la quasi-totalité de vos obligations. Et dans la grande majorité des PME, la réponse est la même : déployeur, avec des obligations allégées. Le règlement distribue les responsabilités selon la place de chacun dans la chaîne de valeur. Celui qui conçoit et met sur le marché porte la charge lourde. Celui qui se contente d'utiliser porte une charge ciblée et proportionnée. ## Les deux rôles, définis par l'Article 3 **Le fournisseur** (provider, Article 3 §3) développe un système d'IA, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque. OpenAI, Microsoft, Mistral, l'éditeur de votre logiciel de recrutement : ce sont des fournisseurs. **Le déployeur** (deployer, Article 3 §4) utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle. La PME qui utilise ChatGPT pour rédiger, un ATS pour trier des CV, un chatbot pour son support : c'est un déployeur. Le règlement nomme aussi l'importateur et le distributeur, mais pour une entreprise française qui consomme des outils déjà disponibles sur le marché européen, le rôle pertinent est presque toujours déployeur. ## Pourquoi le rôle change tout Les obligations du fournisseur d'un système haut risque sont lourdes (Article 16) : système de gestion des risques, documentation technique, données d'entraînement de qualité, évaluation de conformité, marquage CE, enregistrement dans la base de données européenne, surveillance après commercialisation. Les obligations du déployeur d'un système haut risque sont ciblées (Article 26) : - utiliser le système conformément à sa notice d'utilisation, - confier la supervision humaine à des personnes compétentes et dotées des moyens nécessaires, - surveiller le fonctionnement et signaler les incidents, - conserver les journaux générés automatiquement, lorsque vous les maîtrisez, - informer les personnes concernées lorsque le système prend une décision les concernant ou y contribue, - informer au préalable les représentants du personnel et les travailleurs concernés avant de déployer un système haut risque sur le lieu de travail (Article 26 §7), - pour les organismes publics et les opérateurs privés fournissant des services publics, réaliser une analyse d'impact sur les droits fondamentaux (Article 26 §8). Cette dernière obligation ne vise pas la PME privée standard. Pour les systèmes à risque limité (un chatbot, du contenu généré), le déployeur n'a qu'une obligation de transparence (Article 50). Pour les systèmes à risque minimal, aucune obligation contraignante. > **En pratique** > > Faites l'inventaire de vos systèmes d'IA et, pour chacun, écrivez une ligne : nom de l'outil, fournisseur, votre rôle (déployeur dans 95 % des cas), niveau de risque. Ce tableau d'une page est le point de départ de toute votre conformité. Il vous dit exactement quelles obligations s'appliquent, et lesquelles ne vous concernent pas. ## Les trois pièges qui vous transforment en fournisseur L'Article 25 §1 prévoit qu'un déployeur (ou un distributeur, un importateur, un tiers) devient fournisseur d'un système haut risque dans trois situations. C'est le point de vigilance majeur pour les agences, les revendeurs et les éditeurs qui intègrent de l'IA tierce. ### Piège 1 : vous apposez votre nom ou votre marque Si vous mettez un système d'IA haut risque déjà sur le marché à disposition sous votre propre nom ou votre propre marque, vous en devenez le fournisseur (Article 25 §1 a). Revendre un outil de scoring sous votre marque blanche vous fait hériter des obligations de l'Article 16. ### Piège 2 : vous modifiez substantiellement le système Si vous apportez une modification substantielle à un système haut risque déjà sur le marché, de sorte qu'il reste haut risque, vous devenez fournisseur (Article 25 §1 b). Configurer reste de l'usage. Réentraîner en profondeur, réarchitecturer, changer le comportement du modèle peut constituer une modification substantielle. ### Piège 3 : vous changez la finalité Si vous modifiez la finalité d'un système, y compris un système à finalité générale, de telle sorte qu'il devienne haut risque, vous en devenez le fournisseur (Article 25 §1 c). Détourner un assistant généraliste pour en faire un outil de tri de candidats peut faire basculer votre responsabilité. > **Erreur fréquente** > > Croire que brancher l'API d'un grand modèle dans son produit fait automatiquement de soi un fournisseur. Tant que vous utilisez le modèle pour ce qu'il est, dans sa finalité, en informant vos utilisateurs, vous restez déployeur. Vous ne basculez fournisseur que si vous rebrandez un système haut risque, le modifiez substantiellement, ou le détournez vers un usage haut risque. L'usage normal d'une API ne suffit pas. ## Le cas des modèles à usage général Les fournisseurs de modèles d'IA à usage général (les grands modèles de langage) ont un régime propre, avec leurs propres obligations de transparence et de documentation. En tant que PME qui intègre ces modèles via une API, vous restez déployeur du système que vous construisez par-dessus, sauf si l'un des trois pièges de l'Article 25 se referme sur vous. ## Ce que vous devez retenir Votre rôle décide de vos obligations. Pour chaque système d'IA que vous utilisez, identifiez d'abord si vous êtes fournisseur ou déployeur. Dans une PME, la réponse est presque toujours déployeur, ce qui vous place sous le régime allégé de l'Article 26, ou sous la simple transparence de l'Article 50. Restez déployeur, c'est aussi une stratégie. Évitez d'apposer votre marque sur des systèmes haut risque tiers, de les modifier en profondeur ou de les détourner de leur finalité. Tant que vous utilisez l'IA pour ce qu'elle est, vous gardez la charge la plus légère.