Fournisseur ou déployeur ? Rôles du règlement sur l’IA pour l’IA médicale (fabricants MDR)

L’essentiel

Le règlement sur l’IA répartit les obligations selon les rôles, et presque tout le poids repose sur le fournisseur :

• Si vous construisez ou fabriquez l’IA médicale, vous êtes le fournisseur. Pour les dispositifs médicaux, la FAQ MDCG 2025-6 de la Commission indique que le fabricant MDR/IVDR est le fournisseur au titre du règlement sur l’IA. Vous portez l’ensemble des obligations applicables aux systèmes à haut risque (article 16).
• Si vous n’utilisez que l’IA médicale d’un tiers, vous êtes le déployeur (par exemple une clinique). Vos devoirs sont plus légers (article 26). Le « déployeur » du règlement sur l’IA n’est pas le « user » du MDR.
• Si vous êtes établi hors de l’Union, vous devez aussi désigner un mandataire dans l’UE avant de mettre le système à disposition sur le marché (article 22).
• Vous pouvez basculer de déployeur à fournisseur sans l’avoir voulu si vous apposez votre marque, apportez une modification substantielle, ou changez la destination d’un système (article 25).

Si vous êtes une jeune pousse de technologies médicales qui met sur le marché un logiciel en tant que dispositif médical (SaMD), vous êtes presque certainement le fournisseur. Trancher ce point d’abord, parce que c’est lui qui décide qui porte les obligations.

Chaque affirmation juridique ci-dessous est citée. Voir Sources.

Pourquoi le rôle décide de tout

Le règlement sur l’IA ne répartit pas ses obligations à parts égales. Le fournisseur d’un système d’IA à haut risque porte le système de gestion des risques, la gouvernance des données, la documentation technique, l’enregistrement automatique, l’évaluation de la conformité, le marquage CE et l’enregistrement. Le déployeur doit surtout utiliser le système correctement et le surveiller. La première question de toute conversation sur la conformité de l’IA médicale n’est donc pas « que fait-on », mais « dans quel rôle sommes-nous », parce que la réponse réassigne l’essentiel du travail.

Pour une jeune pousse, c’est en général simple : vous fabriquez le produit, donc vous êtes le fournisseur. Cela se nuance lorsque des hôpitaux, des distributeurs ou des partenaires de plateforme entrent dans le tableau, et lorsque vous construisez par-dessus le modèle d’un tiers.

La distribution complète : qui est qui dans la chaîne de valeur de l’IA

Le règlement sur l’IA nomme plusieurs rôles, chacun avec son article :

• Fournisseur (article 16) : développe le système d’IA à haut risque (ou le fait développer) et le met sur le marché sous son propre nom. C’est vous, le fabricant de technologies médicales, et le fabricant MDR/IVDR.
• Déployeur (article 26) : utilise le système sous sa propre autorité dans un cadre professionnel. L’hôpital ou la clinique.
• Importateur (article 23) et distributeur (article 24) : les parties qui font entrer le système d’un fournisseur hors UE sur le marché de l’Union, ou le font circuler, avec des devoirs de vérification.
• Mandataire (article 22) : la partie établie dans l’Union qu’un fournisseur hors UE doit désigner pour agir pour son compte.

La plupart de ces rôles font écho à ceux que vous connaissez déjà du MDR (fabricant, importateur, distributeur, mandataire dans l’UE). Le règlement sur l’IA reprend largement cette structure, ce qui explique en partie pourquoi les deux régimes s’articulent.

Vous êtes le fournisseur si vous fabriquez le système

Un fournisseur est la partie qui développe un système d’IA à haut risque, ou le fait développer, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque. Pour l’IA médicale, la MDCG 2025-6 trace la ligne nettement : le fabricant MDR/IVDR est le fournisseur au titre du règlement sur l’IA. Si votre nom figure sur le dispositif marqué CE, vous êtes les deux.

En tant que fournisseur, l’article 16 vous rend responsable de :

• Veiller à ce que le système satisfasse les exigences applicables aux systèmes à haut risque (articles 9 à 15).
• Un système de gestion de la qualité (article 17), qui pour l’IA médicale est votre SMQ ISO 13485 étendu pour l’IA.
• La conservation des documents et les journaux générés automatiquement (articles 18 et 19).
• L’évaluation de la conformité, la déclaration UE de conformité, le marquage CE et l’enregistrement (articles 43, 47, 48 et 49), qui pour un dispositif médical passent par votre voie MDR/IVDR existante au titre de l’article 43, paragraphe 3.
• Les mesures correctives et le devoir d’information (article 20), et la coopération avec les autorités.

Le point pratique : pour un dispositif médical, ce n’est pas une seconde pile de travail. Ces éléments sont repliés dans les obligations MDR/IVDR que vous portez déjà. Voir notre guide de l’IA médicale à haut risque pour l’articulation des deux régimes. Pour l’IA dans les produits de l’annexe I, ces obligations de système à haut risque s’appliquent à compter du 2 août 2028 (Digital Omnibus, règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026).

Vous êtes le déployeur si vous ne faites que l’utiliser

Un déployeur est quiconque utilise un système d’IA à haut risque sous sa propre autorité dans un cadre professionnel, par exemple un hôpital ou une clinique qui fait tourner un modèle diagnostique construit par un tiers. Les devoirs du déployeur au titre de l’article 26 sont réels, mais plus légers :

• Utiliser le système conformément à la notice d’utilisation.
• Confier le contrôle humain à des personnes compétentes, dotées de l’autorité d’intervenir.
• Lorsque le déployeur contrôle les données d’entrée, veiller à ce qu’elles soient pertinentes et suffisamment représentatives.
• Surveiller le fonctionnement, informer le fournisseur et l’autorité de surveillance du marché d’un risque au sens de l’article 79 ou d’un incident grave, et suspendre l’usage le cas échéant.
• Assurer la tenue des journaux générés automatiquement (au moins six mois, lorsqu’ils sont sous son contrôle).
• Informer les travailleurs concernés et, le cas échéant, les personnes physiques concernées (par exemple les patients) que le système est utilisé.

Un piège de vocabulaire à signaler : le « déployeur » du règlement sur l’IA n’est pas le « user » du MDR. La MDCG 2025-6 trace cette distinction explicitement ; ne supposez pas que les deux régimes étiquettent les rôles de la même façon.

Hors UE ? Vous avez aussi besoin d’un mandataire dans l’Union

Si votre société est établie hors de l’Union (technologies médicales des États-Unis, du Royaume-Uni, de Suisse ou d’un autre pays tiers), l’article 22 exige, avant de mettre un système d’IA à haut risque à disposition sur le marché de l’Union, de désigner par mandat écrit un mandataire établi dans l’Union. Ce mandataire vérifie que la déclaration UE de conformité et la documentation technique ont été établies, tient les dossiers à la disposition des autorités pendant dix ans après la mise sur le marché ou la mise en service, veille le cas échéant aux obligations d’enregistrement, et sert d’interlocuteur pour la surveillance du marché. Cette désignation est distincte de celle de votre mandataire MDR dans l’UE, même si le même partenaire peut parfois couvrir les deux mandats. Les équipes hors UE qui vendent de l’IA médicale en Europe ont intérêt à la prévoir tôt.

Le piège : comment un déployeur devient fournisseur (article 25)

C’est là que les équipes d’IA médicale se font prendre. Au titre de l’article 25, paragraphe 1, un déployeur, un distributeur, un importateur ou un autre tiers prend l’ensemble des obligations du fournisseur s’il :

• (a) met sur le marché sous son propre nom ou sa propre marque un système à haut risque déjà mis sur le marché (marque blanche ou changement de marque) ;
• (b) apporte une modification substantielle à un système à haut risque de telle manière qu’il reste à haut risque ; ou
• (c) modifie la destination d’un système d’IA (y compris un système d’IA à usage général) de telle manière qu’il devient à haut risque.

Lorsque cela se produit, le fournisseur initial n’est plus considéré comme fournisseur de ce système ; il coopère étroitement et met à disposition les informations nécessaires. Les responsabilités peuvent être réparties par accord écrit entre les parties. Mais le défaut est clair : le modificateur hérite de l’article 16.

Pour les technologies médicales, les cas qui se présentent sont : un hôpital qui affine ou change matériellement le modèle d’un vendeur sur ses propres données de patients ; un distributeur qui appose sa marque sur un dispositif ; ou une plateforme qui requalifie un outil général en outil clinique. Chacun de ces cas peut convertir silencieusement un « déployeur » en « fournisseur », et, si le changement est assez substantiel au titre du MDR, déclencher aussi une nouvelle évaluation de la conformité. Traitez les changements de modèle comme un événement réglementaire, pas seulement comme de l’ingénierie.

Exemples concrets

Erreurs fréquentes

• Supposer que « user » et « déployeur » sont la même chose. Ils sont définis différemment dans le MDR et dans le règlement sur l’IA.
• Affiner le modèle d’un vendeur sans vérifier l’article 25. Une modification substantielle peut faire de vous le fournisseur, avec la pile complète d’obligations et éventuellement une nouvelle évaluation MDR.
• Oublier le mandataire hors UE. Pour les fournisseurs de pays tiers, c’est une condition d’accès au marché, pas un plus.
• Croire qu’un contrat peut décharger entièrement les devoirs de fournisseur. Les parties peuvent répartir les responsabilités par accord, mais le rôle s’attache par la loi à ce que vous faites réellement.

Récapitulatif de décision

1. Développez-vous l’IA médicale et la mettez-vous sur le marché sous votre nom ? Vous êtes le fournisseur (et le fabricant MDR/IVDR). Obligations complètes de l’article 16, repliées dans votre voie MDR/IVDR.
2. N’utilisez-vous que l’IA médicale d’un tiers en pratique ? Vous êtes le déployeur. Devoirs de l’article 26 : usage conforme, contrôle, surveillance, journaux.
3. Établis hors de l’Union ? Désignez un mandataire dans l’UE (article 22) avant de mettre le système à disposition sur le marché.
4. Apposez-vous votre marque, apportez-vous une modification substantielle, ou changez-vous la destination d’un système ? L’article 25 peut faire de vous un fournisseur quel que soit votre rôle d’avant. Vérifiez avant de toucher au modèle.

Pas encore sûr de la classification de votre système ? Lancez l’évaluation gratuite, essayez le contrôle interactif de risque de l’IA médicale, ou lisez Mon IA médicale est-elle à haut risque ?. Si vous construisez sur un modèle à usage général, lisez ensuite construire une IA médicale sur des LLM.

Un hôpital qui se sert d’une IA diagnostique est-il fournisseur ou déployeur ?

Déployeur, tant qu’il n’utilise le système que conformément à la notice d’utilisation. Ses devoirs relèvent de l’article 26 : usage conforme, contrôle humain, surveillance, information du fournisseur en cas d’incident, et conservation des journaux. Il ne devient fournisseur que s’il appose sa marque, apporte une modification substantielle, ou change la destination du système au titre de l’article 25.

Le fabricant MDR est-il le même que le fournisseur au titre du règlement sur l’IA ?

Oui. La MDCG 2025-6 confirme que le fabricant au titre du MDR ou de l’IVDR est le fournisseur au titre du règlement sur l’IA. Si votre nom figure sur le dispositif médical marqué CE, vous tenez les deux rôles et les obligations de fournisseur de l’article 16.

Si nous affinons le modèle d’un vendeur sur nos propres données cliniques, devenons-nous le fournisseur ?

Potentiellement. Si cela compte comme une modification substantielle qui maintient le système à haut risque, l’article 25, paragraphe 1, point b), fait de vous un fournisseur avec l’ensemble des obligations de l’article 16, et au titre du MDR un changement substantiel peut aussi déclencher une nouvelle évaluation de la conformité. Traitez les changements de modèle comme un événement réglementaire.

Nous sommes une société américaine. Avons-nous besoin de quelqu’un dans l’UE ?

Oui. En tant que fournisseur hors UE, vous devez désigner un mandataire dans l’Union au titre de l’article 22 avant de mettre votre système d’IA à haut risque à disposition sur le marché de l’Union. Cette désignation est distincte de, quoique parfois combinée avec, celle de votre mandataire MDR dans l’UE.

Les obligations du déployeur sont-elles plus légères que celles du fournisseur ?

Oui, nettement. Les déployeurs au titre de l’article 26 doivent surtout utiliser le système correctement, assurer le contrôle humain, le surveiller, tenir les journaux et signaler les problèmes. Les fournisseurs au titre de l’article 16 portent les exigences de conception, la documentation technique, l’évaluation de la conformité, le marquage CE et l’enregistrement.

Sources (officiel)

• Règlement sur l’IA, règlement (UE) 2024/1689 : article par article sur le guichet du règlement sur l’IA de la Commission européenne. Cités : article 3 (définitions de fournisseur et de déployeur), article 16 (obligations incombant aux fournisseurs), article 22 (mandataires des fournisseurs hors UE), articles 23 et 24 (importateurs et distributeurs), article 25 (responsabilités tout au long de la chaîne de valeur), article 26 (obligations incombant aux déployeurs) ; texte officiel sur EUR-Lex.
• MDCG 2025-6, FAQ sur l’articulation entre le MDR/IVDR et le règlement sur l’IA (19 juin 2025) : page de la Commission. Citée pour : le fabricant MDR/IVDR correspond au fournisseur au titre du règlement sur l’IA ; le déployeur n’est pas le « user » du MDR.

Legalithm fournit des informations de conformité et des outils, pas un conseil juridique. La qualification du rôle dépend de vos arrangements ; confirmez-la auprès d’un conseil réglementaire qualifié. Les références d’articles visent le règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle).