Ressources pour l'IA Gouvernance

Responsabilités du fournisseur vs déployeur d'IA selon l'EU AI Act

L'une des distinctions structurelles les plus déterminantes de l'EU AI Act réside dans la séparation des responsabilités entre le Fournisseur (Provider) et le Déployeur (Deployer).

AI Liability

Compliance

EU AI Act

Legal Framework

L'une des distinctions structurelles les plus déterminantes de l'EU AI Act réside dans la séparation des responsabilités entre le Fournisseur (Provider) et le Déployeur (Deployer). La confusion entre ces deux statuts expose les entreprises à des risques juridiques majeurs, notamment lors de l'intégration d'API tierces ou de l'adaptation de modèles fondation open source.

Définition des statuts juridiques

L'EU AI Act fixe des définitions juridiques précises selon le niveau de contrôle opérationnel :

Fournisseur (Article 3(3)) : Toute personne physique ou morale qui développe un système d'IA ou un modèle d'IA à usage général, ou qui le fait développer, et le met sur le marché ou en service sous son propre nom ou sa marque.
Déployeur (Article 3(4)) : Toute personne physique ou morale qui utilise un système d'IA sous son autorité, sauf dans le cadre d'une activité personnelle non professionnelle.

Le basculement de l'Article 25 : Quand le déployeur devient fournisseur

En vertu de l'article 25 de l'EU AI Act, un déployeur, importateur ou distributeur assume automatiquement l'ensemble des obligations légales d'un Fournisseur s'il :

Appose son propre nom ou sa marque commerciale sur un système d'IA à haut risque existant ;
Apporte une modification substantielle à un système d'IA à haut risque existant altérant ses performances, sa classification de risque ou sa conformité ; ou
Modifie la destination prévue d'un système d'IA de manière à ce qu'il bascule dans la catégorie Haut Risque de l'annexe III.

Par exemple, réentraîner un modèle open source avec des données internes de recrutement ou médicales peut faire passer l'entreprise du statut de simple utilisateur à celui de Fournisseur, lui transférant l'obligation d'évaluation de la conformité, de documentation technique et de marquage CE.

Matrice comparative des obligations

Domaine de responsabilité	Obligations du Déployeur	Obligations du Fournisseur
Gestion des risques	Respecter les consignes d'utilisation fournies par le fournisseur (Art. 26).	Concevoir, mettre en œuvre et maintenir un système formel de gestion des risques (Art. 9).
Gouvernance des données	Fournir des données d'entrée conformes et pertinentes sous son contrôle.	Garantir une gouvernance rigoureuse des données d'entraînement, de test et de validation (Art. 10).
Documentation technique	Conserver les journaux d'événements générés pendant les durées légales obligatoires.	Établir et tenir à jour la documentation technique de l'annexe IV et les déclarations UE de conformité.
Contrôle humain	Assigner du personnel qualifié disposant des ressources et du pouvoir d'intervention nécessaires.	Concevoir des interfaces et des verrous système facilitant une surveillance humaine effective (Art. 14).
Évaluation de la conformité	Vérifier la réalisation des démarches de conformité par le fournisseur avant la mise en service.	Réaliser les procédures d'évaluation de la conformité et apposer le marquage CE (Art. 43).

Maîtriser et documenter ces frontières contractuelles et techniques est indispensable pour pérenniser la conformité des projets d'IA en entreprise.