IA ACT

Obligations du déployeur d'un système d'IA : ce que vous devez faire

Acheter un outil d'IA ne transfère pas la responsabilité au fournisseur. L'entreprise qui l'utilise est déployeur au sens du règlement européen, et supporte ses propres obligations.

Research Lab NoolyaPublié le 24 août 20268 min

Une entreprise qui utilise un système d'IA fourni par un tiers est déployeur au sens du règlement européen sur l'IA, et supporte à ce titre ses propres obligations. L'achat ne transfère pas la responsabilité au fournisseur : il la partage.

C'est le contresens le plus répandu sur l'AI Act. La lecture courante veut que le règlement vise les grands laboratoires qui construisent les modèles. En réalité, la catégorie qui concerne la quasi-totalité des entreprises françaises est celle du déployeur — et ses obligations sont modestes, mais réelles, et certaines sont déjà dues.

Qui est déployeur, et qui ne l'est pas ?

Est déployeur toute personne physique ou morale qui utilise un système d'IA sous sa propre autorité, dans le cadre d'une activité professionnelle. L'usage strictement personnel est exclu.

La distinction avec le fournisseur est simple sur le principe : le fournisseur développe ou fait développer un système et le met sur le marché sous son nom ; le déployeur l'utilise. Mais deux situations font basculer un déployeur dans le statut de fournisseur, avec des obligations sensiblement plus lourdes :

Vous apposez votre marque sur un système d'IA existant et le proposez à des clients ;
Vous modifiez substantiellement un système à haut risque, ou vous détournez un système vers une finalité qui le rend à haut risque.

Le second cas mérite attention. Une entreprise qui construit une application interne à partir d'une API de modèle, et l'utilise pour trier des candidatures, ne se contente pas de déployer : elle crée un système à haut risque dont elle devient fournisseur. La frontière se franchit sans que personne ne s'en aperçoive.

Quelles obligations sont déjà applicables ?

Deux obligations s'appliquent depuis le 2 août 2026, quel que soit le niveau de risque du système, et elles sont souvent ignorées.

La littératie IA (article 4). Les organisations doivent veiller à ce que les personnes qui utilisent des systèmes d'IA pour leur compte disposent d'un niveau suffisant de compréhension — capacités du système, limites, risques, façon d'interpréter une sortie. Le texte n'impose pas de format : une sensibilisation courte, documentée, adaptée au rôle de chacun suffit. Ce qui compte est de pouvoir démontrer qu'elle a eu lieu.

La transparence (article 50). Lorsqu'un système interagit avec une personne, elle doit savoir qu'elle s'adresse à une IA. Lorsqu'un contenu est généré ou manipulé, il doit être identifiable comme tel. Pour un déployeur, cela se traduit très concrètement : signaler un agent conversationnel, marquer les contenus générés diffusés publiquement, informer avant un enregistrement analysé automatiquement.

Ces deux obligations coûtent peu et se règlent en quelques semaines. Elles sont aussi les plus faciles à contrôler pour une autorité, précisément parce qu'elles sont visibles de l'extérieur.

Que devrez-vous faire si le système est à haut risque ?

Les obligations des systèmes à haut risque de l'annexe III s'appliquent au 2 décembre 2027, après le report introduit par le règlement omnibus de juillet 2026. Pour un déployeur, elles se résument à six devoirs.

Obligation	Ce que cela signifie en pratique
Usage conforme à la notice	Utiliser le système pour ce à quoi il est destiné, et pas au-delà
Supervision humaine	Confier le contrôle à des personnes formées, compétentes et dotées de l'autorité pour passer outre
Qualité des données d'entrée	S'assurer que les données que vous injectez sont pertinentes et représentatives
Surveillance du fonctionnement	Suivre le système en service, signaler les incidents graves au fournisseur et à l'autorité
Conservation des journaux	Garder les journaux générés automatiquement, au moins six mois sauf disposition contraire
Information des personnes	Prévenir les travailleurs concernés avant la mise en service, et informer les personnes soumises à une décision

Deux devoirs sont plus lourds qu'ils n'en ont l'air. La supervision humaine ne se satisfait pas d'un humain nominalement dans la boucle : la personne doit avoir la compétence, le temps et l'autorité réelle de contredire le système. Un opérateur qui valide trois cents décisions par jour ne supervise pas, il tamponne.

L'information des travailleurs intervient avant la mise en service, et elle passe par les représentants du personnel. Une entreprise qui déploie un outil d'évaluation sans cette étape est en défaut, quelle que soit la qualité technique de l'outil.

Dans certains cas — autorités publiques, et déployeurs privés fournissant des services publics ou évaluant la solvabilité — s'ajoute une analyse d'impact sur les droits fondamentaux, distincte de l'analyse d'impact RGPD.

Comment couvrir ces obligations sans monter une usine à gaz ?

Cinq gestes suffisent pour une organisation de taille moyenne, et ils se mettent en place en quelques semaines.

Tenir un registre des systèmes d'IA utilisés, y compris l'IA embarquée dans les logiciels achetés. C'est le socle : aucune autre obligation ne peut être remplie sans lui.
Classer chaque système et écrire le raisonnement. Cinq lignes par système suffisent, à condition qu'elles existent.
Nommer un responsable métier par système. Pas un référent IA transversal : le responsable du processus concerné.
Documenter la sensibilisation des utilisateurs, par rôle et par date.
Ouvrir un circuit d'incident : qui prévenir, sous quel délai, qui décide de suspendre.

Ce dispositif tient dans un tableur pour une PME et dans un outil de gouvernance pour un grand groupe. Ce qui compte n'est pas l'outil mais le fait qu'il soit tenu à jour.

Ce que vous devez exiger de vos fournisseurs

Une partie de vos obligations ne peut être remplie qu'avec des informations que vous ne détenez pas. Elles se demandent par écrit, contrat par contrat.

Quatre questions minimum : le système est-il classé à haut risque par le fournisseur, et sur quel fondement ? La notice d'utilisation précise-t-elle la destination prévue et les limites connues ? Quels journaux le système génère-t-il, et pouvez-vous y accéder ? Quelle procédure en cas d'incident, et sous quel délai êtes-vous averti ?

Une demande écrite restée sans réponse est en soi une pièce de votre dossier : elle démontre votre diligence et déplace la charge. Si le système touche à une décision sensible, c'est aussi un argument sérieux pour évaluer une alternative.

Questions fréquentes

Une PME a-t-elle les mêmes obligations qu'un grand groupe ? Les obligations sont les mêmes, mais leur mise en œuvre est proportionnée. Le règlement prévoit des allègements documentaires pour les PME, et l'article 99 réserve aux PME et jeunes pousses le plafond de sanction le plus bas des deux applicables, là où les grandes entreprises se voient appliquer le plus élevé.

Utiliser ChatGPT ou Copilot au bureau crée-t-il des obligations ? Oui, deux au minimum, déjà applicables : la littératie des utilisateurs, et la transparence si des contenus générés sont diffusés. S'ajoutent les obligations RGPD dès que des données personnelles sont saisies — ce qui est le point le plus souvent négligé, et le plus immédiatement risqué.

Que se passe-t-il si le fournisseur est hors Union européenne ? Le règlement s'applique dès lors que les résultats du système sont utilisés dans l'Union. Un fournisseur établi hors UE doit désigner un mandataire ; en tant que déployeur, vos obligations sont identiques, et la difficulté pratique est d'obtenir la documentation exigible.

Faut-il désigner un responsable IA dans l'entreprise ? Le règlement ne l'impose pas comme le RGPD impose un DPO dans certains cas. Mais sans arbitre désigné, les questions se renvoient entre juridique, DSI et métiers, et le registre n'est tenu par personne. Une responsabilité nommée, même à temps partiel, est ce qui fait la différence entre un dispositif qui vit et un classeur.

Conclusion

Le statut de déployeur est celui de la quasi-totalité des entreprises, et ses obligations sont largement à leur portée. Deux sont déjà dues, les autres arrivent en décembre 2027 pour les systèmes à haut risque.

Ce qui coûte cher n'est pas de s'y conformer, c'est de découvrir tardivement qu'un outil acheté comme une simple fonctionnalité relevait du haut risque. La parade tient en un mot : l'inventaire.

Pour situer ce sujet dans une démarche complète, Noolya détaille l'audit de conformité IA et l'AI Act.