AI Act : fournisseur ou déployeur ? Le test pour PME
Pourquoi cette question vient avant toutes les autres
L'AI Act ne distribue pas ses obligations selon la taille de l'entreprise, mais selon deux critères : le niveau de risque du système d'IA et le rôle que l'on joue vis-à-vis de lui. Le même outil de présélection de candidatures impose au fournisseur une documentation technique complète, et au déployeur principalement de suivre la notice, de garder un humain dans la boucle et d'informer les personnes concernées.
Se tromper de rôle produit deux erreurs symétriques. Soit une PME se croit soumise à des obligations de fabricant et renonce à un outil utile, soit elle se croit « simple utilisatrice » alors qu'elle commercialise en réalité un produit d'IA sous sa marque. Le règlement nomme six catégories d'« opérateurs » (fournisseur, fabricant de produit, déployeur, mandataire, importateur, distributeur), mais pour une TPE ou une PME, la question se réduit presque toujours à ces deux-là.
Les deux définitions, mot pour mot
L'article 3 du règlement (UE) 2024/1689 pose les définitions suivantes :
- Fournisseur (point 3) : une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui développe un système d'IA ou un modèle d'IA à usage général, ou qui fait développer un tel système ou modèle, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit.
- Déployeur (point 4) : une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA, sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel.
Trois enseignements pratiques en découlent. D'abord, la gratuité ne change rien : distribuer un outil d'IA gratuit sous sa marque suffit à être fournisseur. Ensuite, « faire développer » compte autant que développer soi-même : commander un outil sur mesure à une agence et le commercialiser sous son nom fait de vous le fournisseur, pas l'agence. Enfin, un indépendant qui utilise l'IA pour son activité est bien déployeur ; seul l'usage privé échappe à la définition.
Le test en quatre questions
Pour chaque outil d'IA que vous utilisez ou proposez, répondez dans l'ordre :
| Question | Si oui |
|---|---|
| 1. Avez-vous développé l'outil, ou l'avez-vous fait développer, pour le proposer à des tiers sous votre nom ou votre marque ? | Fournisseur de ce système. |
| 2. Sur un système à haut risque acheté à un tiers, apposez-vous votre nom ou votre marque ? | Fournisseur (art. 25, § 1, a), sauf répartition contractuelle différente. |
| 3. Avez-vous modifié substantiellement un système à haut risque, ou détourné un outil vers un usage qui le rend à haut risque (par exemple un assistant généraliste employé pour noter des candidats) ? | Fournisseur (art. 25, § 1, b et c). |
| 4. Utilisez-vous simplement l'outil dans votre activité, selon l'usage prévu par son éditeur ? | Déployeur. |
Le rôle s'apprécie outil par outil. Une même entreprise peut être déployeur de sa messagerie dopée à l'IA et fournisseur du chatbot qu'elle revend à ses clients.
Qui doit faire quoi : le tableau comparatif
Les obligations dépendent aussi du niveau de risque. Ce tableau résume les principales, avec leur date d'application :
| Obligation | Fournisseur | Déployeur | Depuis / à partir du |
|---|---|---|---|
| Littératie IA du personnel (art. 4) | Oui | Oui | 2 février 2025 |
| Signaler qu'on dialogue avec une IA (art. 50, § 1) | Oui — concevoir le système en ce sens | Non, sauf s'il est aussi fournisseur | 2 août 2026 |
| Marquage des contenus générés (art. 50, § 2) | Oui | Non | 2 août 2026 |
| Signaler les hypertrucages et certains textes publiés (art. 50, § 4) | Non | Oui | 2 août 2026 |
| Documentation technique, évaluation de conformité, marquage CE (haut risque) | Oui | Non | 2 décembre 2027 (annexe III) |
| Usage conforme à la notice, contrôle humain, conservation des journaux ≥ 6 mois (art. 26) | Non | Oui | 2 décembre 2027 (annexe III) |
| Informer les salariés et les personnes visées par une décision (art. 26, § 7 et § 11) | Non | Oui | 2 décembre 2027 (annexe III) |
Le détail des mentions de transparence se trouve dans notre guide sur l'article 50. Pour les systèmes à haut risque intégrés à des produits réglementés (annexe I), l'échéance est le 2 août 2028.
Fournisseur, déployeur, ou les deux ?
Le diagnostic gratuit (2 min, sans inscription) vous indique si l'AI Act s'applique et à quel niveau de risque. Le kit documente ensuite votre rôle, outil par outil.
Les trois cas où une PME bascule en fournisseur
L'article 25, paragraphe 1, prévoit que tout distributeur, importateur, déployeur ou autre tiers est considéré comme fournisseur d'un système d'IA à haut risque dans trois situations. Le fournisseur initial cesse alors d'être considéré comme le fournisseur de ce système, mais doit coopérer étroitement avec le nouveau et lui transmettre les informations nécessaires (§ 2).
1. Vous mettez votre nom sur un système à haut risque
Un cabinet de recrutement achète un logiciel de tri de CV et le propose à ses clients sous sa propre marque. Il endosse les obligations du fournisseur, sauf si un contrat répartit les obligations autrement. Revendre en marque blanche n'est donc pas neutre lorsque l'outil relève de l'annexe III.
2. Vous modifiez substantiellement un système à haut risque
Une « modification substantielle » est un changement non prévu dans l'évaluation de conformité initiale et qui affecte la conformité du système ou modifie sa destination (article 3, point 23). Réentraîner un outil de scoring sur vos propres critères peut entrer dans ce cas ; changer un paramètre d'affichage, non.
3. Vous détournez un outil vers un usage à haut risque
C'est le piège le plus courant, et le moins visible. Un assistant d'IA généraliste n'est pas à haut risque. Mais une PME qui l'emploie, via une procédure maison, pour classer automatiquement des candidats ou évaluer ses salariés en change la destination : elle peut alors être considérée comme fournisseur d'un système à haut risque. La bonne réponse n'est pas de s'interdire l'outil, mais de documenter l'usage prévu et de s'y tenir.
Déployeur : ce qui s'applique réellement à une PME aujourd'hui
Pour la plupart des TPE et PME déployeurs d'outils courants (assistants rédactionnels, traduction, CRM, analytics), l'essentiel tient en trois points exigibles dès maintenant :
- Littératie IA (art. 4, depuis le 2 février 2025) : prendre des mesures pour que le personnel qui utilise l'IA en ait une compréhension suffisante. L'accord Digital Omnibus en a assoupli la formulation : il s'agit de soutenir cette montée en compétence plutôt que de garantir un niveau donné. L'obligation reste la vôtre.
- Transparence (art. 50, depuis le 2 août 2026) : signaler les hypertrucages que vous diffusez, et informer lorsqu'un texte généré par IA est publié pour informer le public sur des questions d'intérêt public, sauf relecture humaine avec responsabilité éditoriale. L'accord Omnibus n'a pas reporté ces obligations.
- Cartographie : recenser vos outils et noter, pour chacun, votre rôle et son niveau de risque. Ce n'est pas un article du règlement en soi, mais c'est la seule façon de prouver que les deux points précédents sont traités.
Les obligations de l'article 26 (notice, contrôle humain, journaux, information des salariés) ne visent que les systèmes à haut risque, et s'appliqueront à ceux de l'annexe III le 2 décembre 2027. Certains déployeurs devront en outre réaliser une analyse d'impact sur les droits fondamentaux (article 27) : les organismes publics, les entités privées fournissant des services publics, et les utilisateurs de systèmes de scoring de crédit ou de tarification d'assurance vie et santé. Une PME qui n'est dans aucun de ces cas n'est pas concernée par l'article 27. Rien ne presse de façon alarmante, mais prendre de l'avance coûte peu : si vous utilisez l'IA pour le recrutement ou l'évaluation du personnel, commencez la documentation maintenant.
Le cas du ChatGPT en entreprise est traité à part, et la checklist de conformité reprend ces étapes dans l'ordre.
Verdict : dans le doute, qualifiez outil par outil et écrivez-le
Une PME qui utilise des outils d'IA du marché selon l'usage prévu est déployeur, et ses obligations actuelles sont légères : former, être transparente, documenter. Elle ne devient fournisseur que dans des cas précis — vendre un outil d'IA sous sa marque, ou, sur un système à haut risque, le rebaptiser, le modifier en profondeur ou en changer la destination. Ce sont ces trois gestes qu'il faut repérer avant de signer un contrat de marque blanche ou de bâtir une procédure RH sur un assistant généraliste. Les sanctions de l'article 99 visent tous les opérateurs, avec pour les PME un plafond fixé au plus faible des deux montants (§ 6) : le détail figure dans notre page sanctions.
Qualifiez vos outils en 2 minutes
Le diagnostic gratuit vous dit si l'AI Act s'applique à vous et à quel niveau. Le kit fournit le registre et les modèles pour documenter votre rôle.
Questions fréquentes
Une PME qui utilise ChatGPT est-elle fournisseur ou déployeur ?
Déployeur. Elle utilise sous sa propre autorité un système d'IA développé par un tiers (article 3, point 4). Le fournisseur est l'éditeur de l'outil. Les obligations lourdes de documentation et d'évaluation de conformité restent donc chez l'éditeur.
Peut-on être à la fois fournisseur et déployeur ?
Oui. Une entreprise qui développe un outil d'IA et l'utilise en interne cumule les deux rôles, et donc les deux séries d'obligations. C'est fréquent chez les agences et les éditeurs de logiciels qui intègrent un modèle d'IA dans leur propre produit.
Mettre mon logo sur un outil d'IA acheté fait-il de moi un fournisseur ?
Pour un système à haut risque, oui : l'article 25, paragraphe 1, point a, fait du distributeur, de l'importateur ou du déployeur qui appose son nom ou sa marque sur ce système le nouveau fournisseur, avec toutes les obligations correspondantes, sauf accord contractuel répartissant autrement les obligations. Pour un outil à risque limité, l'effet porte surtout sur la transparence de l'article 50.
Un indépendant est-il déployeur au sens de l'AI Act ?
Oui, dès qu'il utilise un système d'IA dans son activité professionnelle. Seul l'usage dans le cadre d'une activité personnelle à caractère non professionnel est exclu de la définition de déployeur.
Quand les obligations des déployeurs s'appliquent-elles ?
La littératie IA (article 4) s'applique depuis le 2 février 2025, la transparence de l'article 50 depuis le 2 août 2026, et les obligations des déployeurs de systèmes à haut risque de l'annexe III (article 26) à partir du 2 décembre 2027, date fixée par l'accord Digital Omnibus validé par le Conseil de l'UE le 29 juin 2026.
Sources : Règlement (UE) 2024/1689 (AI Act), article 3 (points 3, 4, 8 et 23), articles 4, 25, 26, 27, 50, 99 et 113, consultés le 15 septembre 2026 ; Gibson Dunn, analyse de l'accord Digital Omnibus (report de l'annexe III au 2 décembre 2027, article 50 non reporté, article 4 reformulé) ; accord Digital Omnibus, feu vert du Conseil de l'UE du 29 juin 2026.