Lexique · Gouvernance & conformité
Fournisseur et déployeur
Rôles définis par l'AI Act (article 3, points 3 et 4) : le fournisseur développe ou fait développer un système d'IA ou un modèle d'IA à usage général et le met sur le marché, ou met le système en service, sous son nom ; le déployeur utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel. Les obligations dépendent du rôle.
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 1
Notions liées
Sources · 4
- [1] Article 2 : Champ d'application (AI Act Service Desk, Commission européenne)
- [2] Article 3 : Définitions (AI Act Service Desk, Commission européenne)
- [3] Article 25 : Responsabilités tout au long de la chaîne de valeur de l'IA (AI Act Service Desk, Commission européenne)
- [4] Article 26 : Obligations incombant aux déployeurs de systèmes d'IA à haut risque (AI Act Service Desk, Commission européenne)
Ce que ça change pour une organisation
L’AI Act répartit les obligations selon le rôle. Pour un système à haut risque, le fournisseur supporte la charge principale, avec notamment un système de gestion de la qualité (articles 16 et 17). Le déployeur doit suivre la notice d’utilisation, confier le contrôle humain à des personnes compétentes, surveiller le fonctionnement du système, conserver les journaux au moins six mois et informer les travailleurs avant une mise en service sur le lieu de travail (article 26).
Le rôle peut changer : un déployeur, un distributeur ou un importateur devient fournisseur d’un système à haut risque lorsqu’il le commercialise sous son nom ou sa marque, lui apporte une modification substantielle ou modifie sa destination de sorte qu’il devient à haut risque (article 25, paragraphe 1). Le champ est large : fournisseurs mettant des systèmes sur le marché de l’Union où qu’ils soient établis, déployeurs situés dans l’Union, et fournisseurs et déployeurs de pays tiers dont les sorties sont utilisées dans l’Union (article 2).
Concrètement, il s’agit de cartographier ses systèmes d’IA, de déterminer son rôle pour chacun et d’encadrer par contrat l’échange de documentation avec ses fournisseurs.
Exemple
Exemple générique : une banque achète à un éditeur un outil d’évaluation de la solvabilité de particuliers, usage que l’annexe III classe à haut risque. L’éditeur est le fournisseur et la banque le déployeur. Si la banque le commercialisait ensuite auprès d’autres établissements sous sa propre marque, elle serait considérée comme fournisseur (article 25, paragraphe 1, point a).
À ne pas confondre avec
- Le responsable de traitement et le sous-traitant du RGPD : rôles d’un autre règlement, déterminés séparément ; une même organisation peut être déployeur et responsable de traitement, et l’article 26, paragraphe 9, relie les deux pour l’analyse d’impact.
- L’utilisateur à titre personnel : celui qui emploie un système d’IA dans une activité personnelle non professionnelle n’est pas un déployeur (article 3, point 4).
- L’importateur, le distributeur et le mandataire : autres opérateurs, définis aux points 5 à 7 de l’article 3.
