Règlement sur l’IA : obligations du fournisseur et du déployeur comparées

Vous construisez un dispositif médical ou un SaMD ? Voir la version propre à la santé : fournisseur ou déployeur pour l’IA médicale.

L’essentiel

• Le règlement sur l’IA répartit les obligations selon le rôle, et non selon la taille de l’entreprise ou la technologie. Les deux rôles premiers sont le fournisseur (développe l’IA ou la met sur le marché) et le déployeur (utilise l’IA sous sa propre autorité).
• Les fournisseurs portent les obligations les plus lourdes : gestion des risques, documentation technique, évaluation de la conformité, marquage CE, système de gestion de la qualité, surveillance après mise sur le marché et enregistrement dans la base de données de l’UE.
• Les déployeurs doivent assurer le contrôle humain, conserver les journaux, informer les personnes concernées et (pour les organismes publics et les entités fournissant des services essentiels) mener une analyse d’impact sur les droits fondamentaux.
• Un déployeur devient fournisseur au titre de l’article 25 dans trois cas : mise sur le marché du système sous sa propre marque, modification substantielle, ou changement de destination qui rend le système à haut risque.
• Les importateurs et les distributeurs ont leurs propres devoirs de vérification et de documentation.
• Se tromper de rôle est l’un des écarts de conformité les plus fréquents : il rejaillit sur chaque obligation en aval.
• Fournisseurs et déployeurs s’exposent à des amendes pouvant aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial en cas de manquement aux obligations à haut risque.

L’une des décisions les plus lourdes de conséquences au titre du règlement sur l’IA ne porte pas sur la technologie, mais sur le rôle. Êtes-vous fournisseur ou déployeur ? La réponse fixe l’étendue, le coût et l’urgence de vos obligations. Une mauvaise détermination de rôle se répercute sur tout le reste : mauvais périmètre de documentation, mauvaise voie d’évaluation de la conformité, mauvaises obligations de notification.

Ce guide met les obligations de chaque rôle côte à côte, explique les cas où un déployeur devient fournisseur, couvre les rôles souvent oubliés d’importateur et de distributeur, et signale les malentendus les plus fréquents, avec des exemples concrets.

Définitions : fournisseur, déployeur, importateur, distributeur

Le règlement sur l’IA définit tous les rôles de la chaîne d’approvisionnement à l’article 3 :

Fournisseur (article 3, point 3) : une personne physique ou morale qui développe un système d’IA ou un modèle d’IA à usage général, ou qui le fait développer, et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit.

Déployeur (article 3, point 4) : une personne physique ou morale qui utilise sous sa propre autorité un système d’IA, sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel.

Importateur (article 3, point 6) : une personne physique ou morale établie dans l’Union qui met sur le marché de l’Union un système d’IA portant le nom ou la marque d’un fournisseur établi hors de l’Union.

Distributeur (article 3, point 7) : une personne physique ou morale dans la chaîne d’approvisionnement, autre que le fournisseur ou l’importateur, qui met un système d’IA à disposition sur le marché de l’Union.

Comment déterminer votre rôle en pratique

Le rôle découle de ce que vous faites, pas de l’étiquette que vous vous donnez. Posez-vous ces questions :

1. Avez-vous développé, entraîné ou fait développer le système d’IA ? → Probablement fournisseur.
2. Avez-vous mis le système sur le marché sous votre propre nom ou votre propre marque ? → Fournisseur, même si un tiers l’a construit.
3. Avez-vous acheté, pris sous licence ou souscrit un système d’IA et l’utilisez-vous dans vos propres activités ? → Probablement déployeur.
4. Faites-vous entrer sur le marché de l’Union le système d’IA d’un fournisseur établi hors de l’Union ? → Importateur.
5. Mettez-vous à disposition un système d’IA que vous n’avez ni développé ni importé ? → Distributeur.

Exemple concret, entreprise de technologies RH : TalentScore Inc. développe un outil d’IA de présélection de candidatures et le vend aux employeurs européens sous la marque « TalentScore ». TalentScore est le fournisseur. Chaque employeur qui prend une licence sur l’outil et l’utilise pour son propre recrutement est un déployeur. Si le revendeur européen de TalentScore achète le produit et le met à la disposition des employeurs, ce revendeur est un distributeur.

Exemple concret, services financiers : une banque européenne prend une licence sur un modèle d’IA d’évaluation de la solvabilité auprès d’une fintech établie aux États-Unis. L’entreprise américaine est le fournisseur. La banque est le déployeur. Si la filiale de l’Union de la banque importe formellement le système (le met sur le marché de l’Union en portant le nom du fournisseur américain), la filiale est aussi importateur et a des obligations précises de vérification.

Exemple concret, cabinet de conseil : un cabinet de conseil en management développe un système d’IA sur mesure pour l’usage interne d’un client. Si le cabinet le met sur le marché sous sa propre marque, le cabinet est le fournisseur. Si le cabinet le construit dans le cadre d’un contrat de commande et que le client le met sous la marque du client, le client est le fournisseur, même si le cabinet a fait le développement.

Obligations côte à côte pour les systèmes d’IA à haut risque

Le tableau ci-dessous couvre les obligations applicables aux fournisseurs et aux déployeurs de systèmes d’IA à haut risque. Pour le texte légal de chaque disposition, voir le guide complet du règlement sur l’IA.

Quand un déployeur devient fournisseur : article 25

C’est l’une des dispositions les plus sous-estimées du règlement sur l’IA. Au titre de l’article 25, un déployeur est traité comme fournisseur, et assume toutes les obligations du fournisseur, dans trois cas :

Cas 1 : mise sur le marché du système sous votre propre nom ou votre propre marque

Vous prenez une licence sur un moteur d’IA auprès d’un vendeur, vous l’intégrez dans votre produit et vous le vendez sous le nom « YourBrand AI ». Vous êtes désormais le fournisseur d’un système d’IA à haut risque, même si une autre entreprise a construit la technologie sous-jacente.

Exemple concret : une compagnie d’assurance européenne prend une licence sur un modèle d’IA d’évaluation des risques auprès d’un tiers. L’assureur intègre le modèle dans sa plateforme tournée vers les clients et le présente comme partie de son parcours de souscription sous sa marque. Parce que le système est mis sur le marché sous la marque de l’assureur, l’assureur devient fournisseur au titre de l’article 25 et doit remplir toutes les obligations du fournisseur, y compris la documentation technique, l’évaluation de la conformité et le marquage CE.

Cas 2 : apporter une modification substantielle à un système d’IA à haut risque

Vous prenez un système à haut risque déjà déployé et vous y apportez une modification substantielle qui change ses caractéristiques de performance, son profil de risque ou sa conformité à l’évaluation de la conformité d’origine.

Exemple concret : une banque déploie un système d’IA d’évaluation de la solvabilité fourni par un vendeur. L’équipe de science des données de la banque réentraîne le modèle sur des données propriétaires qui incluent des indicateurs de crédit alternatifs absents des données d’entraînement d’origine du vendeur. Ce réentraînement change les caractéristiques de performance et le profil de risque du modèle. La banque a apporté une modification substantielle et devient le fournisseur du système modifié au titre de l’article 25.

Qu’est-ce qui compte comme « substantiel » ? Le règlement sur l’IA ne trace pas une ligne nette, mais le considérant 172 et l’article 25, paragraphe 1, point b), indiquent qu’une modification est substantielle si elle dépasse les paramètres prédéterminés par le fournisseur. Les changements de poids du modèle, de données d’entraînement ou de contexte de déploiement prévu sont de forts indices. La maintenance de routine, les correctifs de sécurité et les ajustements de paramètres dans la plage prévue par le fournisseur ne sont en général pas substantiels.

Cas 3 : modifier la destination pour rendre le système à haut risque

Vous déployez un système d’IA qui n’est pas à haut risque et vous le réorientez vers un cas d’usage qui tombe dans un domaine de l’annexe III, ce qui le rend à haut risque.

Exemple concret : une entreprise déploie un agent conversationnel à usage général pour le service client (risque limité, soumis seulement aux obligations de transparence). Elle réoriente ensuite l’agent comme outil de présélection des candidatures, en aiguillant les candidats selon l’évaluation de leurs réponses par l’agent. La présélection au recrutement entre dans l’annexe III, point 4 (emploi). L’entreprise a changé la destination du système pour le rendre à haut risque et devient fournisseur au titre de l’article 25.

Conséquences du passage au statut de fournisseur

Lorsque l’article 25 s’applique, l’ancien déployeur doit :

• Satisfaire toutes les obligations du fournisseur (gestion des risques, documentation, évaluation de la conformité, etc.)
• Le fournisseur d’origine est tenu de coopérer : fournir les informations techniques, la documentation et l’accès nécessaires pour permettre la conformité du nouveau fournisseur
• Le nouveau fournisseur doit achever l’évaluation de la conformité du système modifié ou de la nouvelle destination avant de poursuivre la mise sur le marché

Ce n’est pas un risque théorique. Les organisations qui procèdent à un réglage fin, remettent sous leur marque ou réorientent des systèmes d’IA sans reconnaître le déclencheur de l’article 25 se retrouveront avec des obligations de fournisseur a posteriori, sans piste documentaire et sans évaluation de la conformité consignée.

Obligations des importateurs et des distributeurs

Si les fournisseurs et les déployeurs retiennent le plus l’attention, les importateurs et les distributeurs ont des obligations opposables qu’il ne faut pas négliger.

Importateurs (article 23)

Avant de mettre un système d’IA à haut risque sur le marché de l’Union, les importateurs doivent vérifier que le fournisseur a achevé l’évaluation de la conformité et la documentation technique selon l’annexe IV, que le système porte le marquage CE, qu’il est accompagné de la déclaration UE de conformité et de la notice d’utilisation, et que le fournisseur a désigné un mandataire dans l’Union le cas échéant. Les importateurs doivent indiquer leur nom et leur adresse sur le système ou l’emballage. Si le système n’est pas conforme, il ne doit pas être mis sur le marché.

Distributeurs (article 24)

Avant de mettre un système d’IA à haut risque à disposition, les distributeurs doivent vérifier le marquage CE, la déclaration UE de conformité et la notice d’utilisation. Les distributeurs ne mènent pas leur propre examen technique, mais agissent comme un filtre de qualité : s’ils ont des raisons de croire qu’un système n’est pas conforme, ils ne doivent pas le mettre à disposition tant que le problème n’est pas résolu.

Scénarios fréquents de confusion des rôles

« Nous utilisons l’IA d’un vendeur pour le recrutement, sommes-nous le fournisseur ? »

Non, vous êtes le déployeur, tant que vous utilisez le système conformément à sa destination et sous le nom du vendeur. Mais vous avez des obligations réelles et substantielles : désigner des personnes compétentes pour le contrôle humain, informer les candidats qu’ils sont soumis à un système d’IA, conserver les journaux du système pendant au moins 6 mois, et (si vous êtes un organisme public ou une entité fournissant des services essentiels) mener une analyse d’impact sur les droits fondamentaux. Vous devez aussi vérifier que le vendeur a achevé l’évaluation de la conformité et peut produire la déclaration UE de conformité.

« Nous avons affiné GPT-4 par réglage fin et nous le proposons comme produit »

Vous êtes le fournisseur. Vous avez mis un système modifié sur le marché sous votre propre nom. L’ensemble des obligations du fournisseur s’applique. Si le système issu du réglage fin tombe dans un domaine de l’annexe III (par exemple vous avez construit un outil de conseil juridique utilisé dans le règlement des litiges), vous devez achever l’évaluation de la conformité, établir la documentation technique de l’annexe IV et vous enregistrer dans la base de données de l’UE. Le fournisseur du modèle GPAI (OpenAI, en l’espèce) a des obligations distinctes aux articles 51 à 55, mais cela ne vous décharge pas de vos devoirs de fournisseur pour l’application en aval.

« Nous commercialisons en marque blanche un produit d’IA d’un autre vendeur »

Vous êtes le fournisseur au titre de l’article 25, paragraphe 1, point a), en mettant le système sur le marché sous votre propre nom ou votre propre marque. Le fait qu’une autre entreprise ait développé la technologie ne réduit pas vos obligations. Vous avez besoin de la pleine coopération du fournisseur d’origine pour obtenir la documentation technique, les traces de gouvernance des données d’entraînement et les éléments d’évaluation de la conformité nécessaires à vos devoirs.

« Nous sommes une plateforme SaaS, nos clients configurent l’IA »

Si vous mettez le système sur le marché et que vos clients le déploient, vous êtes le fournisseur et ils sont déployeurs. Mais si un client modifie substantiellement le système (réentraînement, réglage fin ou changement de destination), il peut devenir co-fournisseur au titre de l’article 25. Votre notice d’utilisation devrait tracer clairement la frontière entre configuration admissible et modification substantielle.

« Nous revendons dans l’Union un système d’IA provenant de l’extérieur de l’Union »

Si vous êtes établi dans l’Union et que vous mettez le système à disposition sur le marché de l’Union en portant le nom du fournisseur hors Union, vous êtes importateur. Si vous êtes dans la chaîne d’approvisionnement de l’Union mais n’avez pas vous-même importé le système, vous êtes distributeur. Les deux rôles portent des obligations de vérification. Si vous mettez le système sous votre propre marque, vous devenez fournisseur, quelle que soit votre place dans la chaîne.

« Nous ne fournissons que le modèle d’IA, pas l’application »

Si vous fournissez un modèle d’IA à usage général que des développeurs en aval intègrent dans des applications, vous êtes fournisseur de modèle GPAI soumis aux articles 51 à 55. Vous n’êtes pas le fournisseur du système d’IA à haut risque en aval : cette responsabilité tombe sur quiconque intègre votre modèle dans l’application précise et la met sur le marché. Vous devez toutefois fournir au fournisseur en aval suffisamment d’informations techniques, de documentation et d’indications sur les capacités du modèle pour lui permettre de se conformer.

« Nous avons construit un système d’IA pour un usage interne seulement »

Si vous avez développé le système d’IA et l’avez mis en service dans votre propre organisation (sans le mettre sur le marché pour autrui), vous êtes à la fois fournisseur et déployeur. Vous portez l’ensemble des obligations du fournisseur pour le développement et celles du déployeur pour l’usage. Il n’existe pas d’exemption pour les systèmes à usage interne seulement qui tombent dans des catégories à haut risque.

Conformité dans la chaîne : qui doit quoi à qui

Le règlement sur l’IA crée une chaîne de responsabilité. Chaque acteur a des obligations envers le suivant :

1. Fournisseur de modèle GPAI → doit fournir aux fournisseurs en aval des fiches de modèle, la documentation technique et les indications de capacités
2. Fournisseur de système d’IA → doit fournir aux déployeurs la notice d’utilisation, le marquage CE, la déclaration UE de conformité et l’accès à la documentation technique
3. Importateur → doit vérifier la conformité du fournisseur avant de mettre le système sur le marché de l’Union
4. Distributeur → doit vérifier le marquage CE et la documentation avant de mettre le système à disposition
5. Déployeur → doit vérifier l’état de conformité du fournisseur, suivre la notice d’utilisation et maintenir la conformité opérationnelle

Une rupture à n’importe quel point de cette chaîne crée un risque pour les acteurs en aval. Les déployeurs ne doivent pas présumer que leurs fournisseurs sont conformes : la vérification est une obligation légale explicite.

Étapes pratiques pour chaque rôle

Si vous êtes fournisseur

1. Classez vos systèmes d’IA par niveau de risque : c’est ce qui fixe l’étendue de vos obligations.
2. Constituez tôt votre documentation technique de l’annexe IV : c’est l’ossature de l’évaluation de la conformité et le livrable de conformité le plus long à produire.
3. Établissez votre système de gestion des risques comme un processus vivant et itératif, pas comme une évaluation ponctuelle.
4. Mettez en place votre système de gestion de la qualité couvrant tout le cycle de vie.
5. Achevez l’évaluation de la conformité avant l’échéance du 2 décembre 2027 (les obligations autonomes à haut risque ont été reportées du 2 août 2026 par le Digital Omnibus, règlement (UE) 2026/1744).
6. Enregistrez-vous dans la base de données de l’UE (article 49).
7. Établissez des processus de surveillance après mise sur le marché et des canaux de signalement d’incidents graves.
8. Préparez une notice d’utilisation claire et complète pour vos déployeurs : c’est une obligation légale, pas un plus.

Si vous êtes déployeur

1. Vérifiez la conformité de votre fournisseur : demandez la déclaration UE de conformité, la preuve du marquage CE et la notice d’utilisation. Si le fournisseur ne peut pas les produire, faites monter le dossier immédiatement : vous déployez un système potentiellement non conforme.
2. Désignez un personnel formé au contrôle humain : identifiez des personnes qui ont la compétence, la formation et l’autorité pour surveiller le fonctionnement du système d’IA et intervenir si nécessaire.
3. Mettez en place la conservation des journaux : conservez les journaux générés automatiquement pendant au moins 6 mois (vérifiez le droit national pour des durées plus longues).
4. Informez les personnes concernées : mettez en place un processus pour les aviser qu’elles sont soumises à un système d’IA à haut risque avant que le système ne soit utilisé à leur égard.
5. Menez votre FRIA si vous êtes un organisme public, une entité fournissant des services essentiels ou un établissement d’enseignement : utilisez le guide FRIA.
6. Enregistrez votre déploiement si vous êtes un organisme de droit public (article 49).
7. Surveillez et signalez : soyez attentif aux dysfonctionnements, à la dégradation des performances et au mauvais usage. Signalez les incidents graves au fournisseur et (le cas échéant) aux autorités de surveillance du marché.

Si vous êtes importateur ou distributeur

1. Établissez une liste de contrôle de vérification : marquage CE, déclaration UE de conformité, notice d’utilisation et preuve de l’évaluation de la conformité.
2. Ne mettez pas à disposition sur le marché de l’Union des systèmes non conformes.
3. Conservez des traces démontrant que vous avez mené la vérification exigée.
4. Signalez les systèmes non conformes aux autorités de surveillance du marché compétentes.

Erreurs fréquentes dans la détermination du rôle

Erreur 1 : supposer que le contrat définit le rôle

Votre contrat commercial peut vous appeler « client » ou « preneur de licence », mais le règlement sur l’IA détermine les rôles selon ce que vous faites réellement. Si vous mettez le système sur le marché sous votre marque, vous êtes le fournisseur, quoi que dise le contrat de licence.

Erreur 2 : ignorer le déclencheur de l’article 25

Beaucoup d’organisations procèdent à un réglage fin, remettent sous leur marque ou réorientent des systèmes d’IA sans voir qu’elles sont passées du côté fournisseur. L’écart d’obligations entre déployeur et fournisseur est énorme. Une évaluation au titre de l’article 25 devrait faire partie de chaque processus d’achat et d’intégration d’IA.

Erreur 3 : omettre de vérifier la conformité du fournisseur

Les déployeurs ont l’obligation explicite de vérifier que leur fournisseur a achevé l’évaluation de la conformité. « Nous pensions que le vendeur était conforme » n’est pas une défense. Demandez la documentation. Si le vendeur ne peut pas la fournir, traitez-le comme un signal d’alerte.

Erreur 4 : négliger la notice d’utilisation

Les fournisseurs doivent produire une notice d’utilisation. Les déployeurs doivent la suivre. En pratique, les notices sont souvent génériques, insuffisantes ou ignorées. Les fournisseurs qui produisent des notices insuffisantes s’exposent à l’exécution ; les déployeurs qui ignorent une notice adéquate perdent la possibilité de se prévaloir d’une conformité de bonne foi.

Erreur 5 : traiter tous les systèmes d’IA comme un seul rôle

Une organisation peut être à la fois fournisseur pour certains systèmes d’IA et déployeur pour d’autres. Une banque qui développe son propre modèle de détection de fraude (fournisseur) et prend aussi une licence sur un outil d’évaluation de la solvabilité d’un tiers (déployeur) doit gérer les deux jeux d’obligations en parallèle.

Déterminez votre rôle et vos obligations

La première étape est de savoir où vous vous situez. Lancez l’évaluation gratuite au titre du règlement sur l’IA pour déterminer votre classification de risque et les obligations liées à votre rôle.

Pour le texte légal de chaque disposition, voir le guide complet du règlement sur l’IA.

Foire aux questions

Une entreprise peut-elle être à la fois fournisseur et déployeur ?

Oui. Si vous développez un système d’IA (fournisseur) et que vous l’utilisez aussi dans votre propre organisation (déployeur), vous portez les deux jeux d’obligations. C’est fréquent pour les entreprises qui construisent des outils d’IA internes pour les RH, l’évaluation de la solvabilité ou les opérations. Vous devez remplir les obligations du fournisseur (documentation, évaluation de la conformité, SGQ) et celles du déployeur (contrôle humain, information des personnes concernées, conservation des journaux) pour le même système.

Que se passe-t-il si mon fournisseur d’IA est établi hors de l’Union ?

Vous avez toujours des obligations de déployeur. En outre, si le fournisseur hors Union n’a pas désigné de mandataire dans l’Union, l’exécution devient plus complexe, mais vos obligations de déployeur restent inchangées. En pratique, exigez que votre fournisseur hors Union démontre une conformité équivalente aux exigences du règlement sur l’IA et prenne des engagements contractuels pour soutenir la vôtre.

Le réglage fin fait-il toujours de moi un fournisseur ?

Pas nécessairement. La question est de savoir si votre modification est « substantielle » au sens de l’article 25. Un réglage fin sur un petit jeu de données, dans les paramètres prévus par la notice d’utilisation du fournisseur d’origine, peut ne pas franchir le seuil. Un réentraînement sur des données entièrement nouvelles, un changement d’architecture du modèle ou une altération des caractéristiques de performance le franchissent presque à coup sûr. Documentez votre évaluation dans les deux cas.

Quelles obligations ont les déployeurs pour les systèmes d’IA qui ne sont pas à haut risque ?

Pour les systèmes d’IA à risque limité (par exemple agents conversationnels, hypertrucages, reconnaissance des émotions hors d’un contexte de l’annexe III), les déployeurs doivent satisfaire les obligations de transparence de l’article 50 : informer les personnes qu’elles interagissent avec une IA, marquer les contenus générés par l’IA et divulguer les hypertrucages. Pour les systèmes à risque minimal, il n’y a pas d’obligations imposées, même si le règlement sur l’IA encourage des codes de conduite volontaires.

Comment fournisseurs et déployeurs doivent-ils traiter un désaccord sur les responsabilités de conformité ?

Le règlement sur l’IA ne crée pas de mécanisme de règlement des différends contractuels : il assigne les obligations par rôle. Si un déployeur estime que le fournisseur n’a pas rempli ses obligations (par exemple notice d’utilisation insuffisante, évaluation de la conformité manquante), le déployeur devrait : (1) notifier formellement le fournisseur par écrit, (2) faire monter le dossier par les voies contractuelles, et (3) si le problème n’est pas résolu, le signaler à l’autorité de surveillance du marché compétente. Les déployeurs ne peuvent pas simplement « hériter » de la non-conformité du fournisseur comme excuse pour la leur.

Existe-t-il une période transitoire pour les systèmes d’IA déjà sur le marché ?

Les systèmes d’IA à haut risque déjà mis sur le marché ou mis en service avant le 2 décembre 2027 doivent se conformer à cette date, sauf s’ils font ensuite l’objet d’une modification substantielle. Il n’existe pas de clause d’antériorité qui exempte indéfiniment les systèmes existants. La liste de contrôle de notre guide de conformité 2026 couvre les étapes pour ramener les systèmes existants dans la conformité.

Legalithm est un outil d’aide à la conformité assisté par l’IA, et non un conseil juridique. Les déterminations de rôle devraient être revues par un conseil juridique qualifié.