Fournisseur, Déployeur, Importateur : Quel est votre rôle dans l'AI Act ?

Le règlement européen sur l'intelligence artificielle, ou AI Act, ne raisonne pas en termes de taille d'entreprise mais en termes de rôles et de risques. Pour une PME, un freelance ou une ETI, la question n'est plus seulement d'utiliser l'IA, mais de définir précisément sa position dans la chaîne de valeur. Êtes-vous un fournisseur, un déployeur (le terme officiel est "utilisateur"), ou un importateur ? Cette distinction est fondamentale : elle détermine l'intégralité de vos obligations, de vos responsabilités et, in fine, de vos risques juridiques et financiers. Comprendre la différence entre être un fournisseur, déployeur ou importateur durant l'AI Act est la première étape de toute stratégie de conformité.

La qualification n'est pas un simple exercice administratif. Elle découle directement de vos activités opérationnelles. Une entreprise qui se contente d'utiliser un logiciel SaaS basé sur l'IA pour sa comptabilité est un déployeur. Mais si cette même entreprise adapte un modèle open-source pour créer un service spécialisé qu'elle revend à ses propres clients, elle bascule dans le rôle de fournisseur, avec un niveau d'exigences radicalement supérieur.

De l'enthousiasme à la régulation : la genèse des rôles

Il y a quelques années encore, l'écosystème de l'IA se divisait de manière informelle entre les créateurs de modèles (principalement des laboratoires de recherche et des géants de la tech) et les utilisateurs. L'explosion des IA génératives a brouillé les pistes, permettant à des acteurs de toutes tailles de s'approprier, de modifier et de rediffuser des technologies complexes. Cette démocratisation a rendu indispensable une clarification des responsabilités, pour éviter que le risque ne soit systématiquement reporté sur l'utilisateur final.

Le législateur européen a donc choisi une approche par la chaîne de valeur. L'idée est de faire porter la charge de la conformité la plus lourde à celui qui conçoit et met le système sur le marché pour la première fois. Cette logique vise à responsabiliser les acteurs en amont. La complexité n'est plus seulement technique, mais aussi juridique : un mauvais positionnement peut entraîner des sanctions sévères.

Fournisseur, déployeur, importateur : la nouvelle cartographie des responsabilités

Comment savoir où vous vous situez ? La réponse dépend de votre action concrète sur le marché. L'AI Act définit plusieurs rôles, mais trois sont centraux pour la majorité des entreprises.

La qualification d'une entreprise dans la chaîne de valeur de l'IA détermine directement son niveau d'obligations réglementaires et de risques.

Le Fournisseur : l'architecte du système

Le fournisseur est l'entité qui développe un système d'IA ou qui fait développer un système d'IA en vue de le mettre sur le marché ou de le mettre en service sous son propre nom ou sa propre marque. C'est le rôle qui concentre le plus d'obligations, surtout si le système est classé "à haut risque".

Ses responsabilités incluent :

• La mise en place d'un système de gestion de la qualité et des risques.
• L'élaboration d'une documentation technique exhaustive.
• La réalisation d'une procédure d'évaluation de la conformité.
• L'enregistrement du système dans la base de données de l'UE.
• La garantie d'un niveau de supervision humaine approprié.

Une PME qui développe un logiciel de diagnostic médical basé sur l'IA est un fournisseur. Un freelance qui crée et vend un agent IA spécialisé pour l'optimisation logistique l'est également.

Le Déployeur (Utilisateur) : l'opérateur au quotidien

Le déployeur est toute personne physique ou morale qui utilise un système d'IA sous sa propre autorité, sauf si l'utilisation a lieu dans le cadre d'une activité personnelle et non professionnelle. C'est le rôle le plus courant pour les TPE et PME.

Ses obligations sont plus légères mais non négligeables :

• Utiliser le système d'IA conformément aux instructions du fournisseur.
• S'assurer que les données d'entrée sont pertinentes pour l'usage prévu.
• Mettre en place une supervision humaine.
• Informer les personnes concernées lorsqu'elles interagissent avec un système d'IA (par exemple, un chatbot).
• Signaler les incidents graves au fournisseur et aux autorités.

La vigilance est cruciale, car un déployeur peut être requalifié en fournisseur s'il modifie substantiellement un système existant. La frontière entre simple usage et modification substantielle sera l'un des points d'attention majeurs des prochaines années, un sujet sur lequel la CNIL sera particulièrement attendue pour ses lignes directrices, notamment sur la gouvernance des données.

L'Importateur et le Distributeur : les maillons de la chaîne

L'importateur est le premier maillon de la chaîne en Europe pour un produit venant d'un pays tiers. Il doit s'assurer que le fournisseur étranger a bien rempli toutes ses obligations de conformité (marquage CE, documentation, etc.). Sa responsabilité est de garantir que seuls des produits conformes entrent sur le marché unique. Le distributeur, quant à lui, se contente de rendre le système disponible sur le marché sans le modifier. Il doit vérifier la présence du marquage CE et des documents requis.

Au-delà des étiquettes : l'impératif commun de la gestion du risque IA

Quel que soit le rôle, une obligation transverse demeure : l'analyse et la gestion du risque. La distinction entre fournisseur, déployeur et importateur ne doit pas masquer le fait que chaque acteur de la chaîne a une part de responsabilité. Un déployeur qui utilise un système à haut risque (par exemple, pour le recrutement) sans comprendre ses biais ou ses limites engage sa responsabilité, même si le fournisseur est le premier responsable de la conception.

Cette culture du risque est un prolongement direct des principes déjà établis par le RGPD. Il ne s'agit plus seulement de protéger les données, mais d'assurer la sécurité, le respect des droits fondamentaux et la robustesse des systèmes. Pour cela, la recherche sur l'IA de confiance devient une ressource stratégique pour les entreprises cherchant à développer des méthodologies d'évaluation robustes. La conformité à l'AI Act n'est pas une simple checklist, mais l'implémentation d'une véritable gouvernance de l'IA en entreprise.

2026 et au-delà : les scénarios de requalification et la chaîne de valeur

L'application pleine et entière de l'AI Act, prévue pour 2026 pour de nombreuses dispositions, va cristalliser ces rôles. Mais la dynamique du marché de l'IA est telle que les positions ne seront pas figées. Le principal enjeu pour les PME sera d'anticiper les risques de "requalification".

Prenons un cas concret : une agence de marketing utilise un modèle d'IA générative open-source (elle est donc "déployeur") pour créer des campagnes pour ses clients. Si elle se contente d'utiliser l'outil, son statut ne change pas. Mais si elle "fine-tune" ce modèle avec les données de ses clients pour créer une solution spécialisée qu'elle commercialise sous forme d'abonnement, elle devient "fournisseur" de ce nouveau système. Si ce système est jugé à haut risque (par exemple, s'il sert à la micro-segmentation publicitaire avec des données sensibles), elle devra assumer toutes les obligations associées. Ce basculement peut avoir des conséquences financières et organisationnelles majeures, qui doivent être anticipées bien avant le calendrier de l'AI Act et ses échéances pour les PME.

Cette fluidité des rôles est une caractéristique centrale du marché de l'IA. Elle impose aux dirigeants une vigilance constante sur leur positionnement et celui de leurs partenaires. Une simple mise à jour de contrat avec un prestataire peut faire basculer la responsabilité.

Ce qu'il faut retenir

L'entrée en vigueur progressive de l'AI Act impose une clarification stratégique à toutes les entreprises intégrant l'intelligence artificielle. La question n'est plus de savoir si l'on est concerné, mais à quel titre.

Le passage d'une IA expérimentale à une IA régulée est un changement de paradigme. Pour les PME et les indépendants, il s'agit moins d'une contrainte que d'une opportunité de structurer leurs pratiques, de se différencier par la confiance et de maîtriser leur exposition juridique dans un marché en pleine consolidation.

Sources & références