Le règlement européen sur l’IA prévoit une qualification pour chaque acteur de la chaîne de valeur d’un système d’IA : fournisseur, déployeur, importateur, distributeur, mandataire.
Selon le projet, une même structure peut être fournisseur, déployeur, les deux… ou parfois basculer de l’un à l’autre au détour d’une simple personnalisation.
Les cinq rôles de la chaîne de valeur
- Fournisseur (provider) : celui qui développe un système d’IA – ou le fait développer – et le met sur le marché ou en service sous son propre nom ou sa marque. C’est lui qui porte l’essentiel des obligations : transparence « by design », documentation, marquage.
- Déployeur (deployer) : celui qui utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. Il doit notamment informer les personnes exposées et étiqueter certains contenus.
- Importateur : celui qui met sur le marché de l’UE un système portant le nom d’un opérateur établi hors UE.
- Distributeur : celui qui met un système à disposition sur le marché sans être ni fournisseur ni importateur.
- Mandataire : le représentant désigné dans l’UE par un fournisseur établi hors UE.
L’article 25 : attention à la requalification en matière de système à haut risque
Vous êtes déployeur ? L’article 25 peut faire de vous un fournisseur dans trois cas :
- Vous apposez votre nom ou votre marque sur un système d’IA à haut risque déjà sur le marché (sans préjudice de dispositions contractuelles prévoyant une répartition différente) ;
- Vous apportez une modification substantielle à un système d’IA à haut risque déjà sur le marché, qui reste à haut risque ;
- Vous modifiez la destination d’un système d’IA (y compris un système d’IA à usage général) de telle sorte qu’il devient à haut risque.
Dans ces cas, le fournisseur initial n’est plus considéré comme fournisseur de ce système : vous devenez également fournisseur avec les obligations de conformité liées à cette qualification. Le fournisseur initial doit toutefois coopérer et transmettre les informations nécessaires.
En pratique : une agence qui commercialise sous son nom une solution d’IA tierce, un intégrateur qui personnalise en profondeur un outil pour un client, ou un éditeur qui détourne un modèle généraliste vers un usage RH (tri de candidatures, par exemple) peut devenir le fournisseur d’un système à haut risque.
Le règlement admet la possibilité d’aménagements contractuels en la matière : le cadrage contractuel préalable des qualifications respectives entre fournisseur initial et prestataire intermédiaire apparaît donc essentiel.
Formellement, l’article 25 vise les systèmes à haut risque – dont les principales obligations ont été décalées à décembre 2027. Mais la logique des qualifications, elle, s’applique dès aujourd’hui : même hors haut risque, commercialiser un système sous votre marque fait de vous le fournisseur au sens du règlement, y compris pour l’article 50. Le réflexe de vigilance sur la qualification doit donc être pris maintenant, projet par projet.
Check-list : qualifier votre rôle en 5 questions
À chaque projet IA, posez-vous ces questions (et documentez les réponses) :
- Le système est-il commercialisé ou mis en service sous notre nom ou notre marque ?
- Avons-nous développé ou fait développer le système, ou utilisons-nous un outil existant ?
- Nos personnalisations modifient-elles la destination du système ou constituent-elles une modification substantielle ?
- Qui est en contact avec les personnes exposées (nous, ou notre client) ?
- Le système est-il qualifiable en l’état de système d’IA à haut risque, ou susceptible de le devenir suite aux modifications envisagées ?
Cette qualification conditionne votre plan de conformité – et votre exposition aux sanctions, qui peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
Conclusion
Sous l’AI Act, on n’est pas fournisseur ou déployeur « dans l’absolu » : on l’est système par système, projet par projet. La cartographie des rôles est le point de départ de toute démarche de conformité – et un réflexe à installer avant tout déploiement.
FAQ
Un prestataire qui met en place un outil d’IA chez un client est-il fournisseur ou déployeur ?
Cela dépend des conditions concrètes. S’il développe l’outil (ou le fait développer) et le livre sous sa propre marque, il est fournisseur. S’il se contente de déployer un outil tiers et que le client l’exploite ensuite sous sa propre autorité, c’est le client qui est alors déployeur. La qualification s’apprécie projet par projet.
Peut-on être à la fois fournisseur et déployeur ?
Oui, et c’est fréquent. Une même structure peut être fournisseur d’un système qu’elle commercialise et déployeur d’un autre système qu’elle utilise en interne. Le règlement raisonne système par système : à chaque projet sa qualification.
L’article 25 s’applique-t-il seulement aux systèmes à haut risque ?
Oui : son mécanisme de requalification ne joue que pour le haut risque. Mais la logique de rôle, elle, vaut dès aujourd’hui pour toutes les obligations – commercialiser un système sous votre marque fait de vous le fournisseur au sens du règlement, y compris pour les obligations de transparence de l’article 50.
Que change le fait de commercialiser un système d’IA sous ma propre marque ?
Beaucoup : apposer votre nom ou votre marque sur un système fait de vous son fournisseur au sens du règlement – le rôle qui concentre le plus d’obligations. Ce point vaut au-delà du seul haut risque, notamment pour les obligations de transparence de l’article 50.