Fournisseur, déployeur, importateur : quel est votre rôle au sens du RIA ?

Le règlement européen sur l'intelligence artificielle ne fait pas peser les mêmes obligations sur celui qui développe un système d'IA et sur celui qui l'utilise. Le texte répartit les responsabilités le long de la chaîne de valeur entre plusieurs opérateurs : fournisseur, déployeur, importateur, distributeur et mandataire. Cette qualification, définie à l'article 3, détermine l'étendue exacte de vos obligations, et elle peut évoluer au fil de la vie du produit. Troisième volet de notre série « Comprendre le RIA », cet article vous aide à identifier votre rôle et les situations où il bascule.

L'essentiel en 30 secondes. Le fournisseur développe ou fait développer un système d'IA et le met sur le marché sous son propre nom : il supporte l'essentiel des obligations. Le déployeur utilise un système d'IA sous sa propre autorité dans un cadre professionnel : ses obligations sont plus légères mais réelles. L'importateur et le distributeur vérifient la conformité de ce qu'ils mettent en circulation. L'article 25 organise les cas de bascule : rebrander un système à haut risque, le modifier substantiellement ou détourner sa destination fait de vous un fournisseur, avec toutes les obligations attachées.

Le fournisseur : la charge principale

Est fournisseur celui qui développe ou fait développer un système d'IA ou un modèle d'IA à usage général et le met sur le marché sous son propre nom ou sa propre marque, à titre onéreux ou gratuit. Deux précisions pratiques méritent attention. La gratuité n'exonère pas : publier un outil d'IA en libre accès sous sa marque fait de vous un fournisseur. Le développement externalisé non plus : celui qui « fait développer » et commercialise sous son nom est fournisseur, pas son prestataire.

Pour les systèmes à haut risque, le fournisseur supporte le corpus complet des exigences : gestion des risques, gouvernance des données, documentation technique, évaluation de conformité, marquage CE, enregistrement. Pour les autres systèmes, ses obligations se limitent à la transparence de l'article 50 le cas échéant et à la maîtrise de l'IA. La qualification de fournisseur s'apprécie système par système : une startup peut être fournisseur de son produit et simple déployeuse des outils qu'elle achète.

Le déployeur : l'utilisateur professionnel responsabilisé

Le déployeur utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel. Toute entreprise qui intègre un outil d'IA dans ses processus est déployeuse : le cabinet qui utilise un outil de rédaction assistée, la PME qui filtre des candidatures avec un module de tri, la fintech qui exploite un scoring externe. Pour les systèmes à haut risque, l'article 26 impose au déployeur d'utiliser le système conformément à sa notice, de confier la supervision humaine à des personnes formées et compétentes, de contrôler la pertinence des données d'entrée qu'il maîtrise et de surveiller le fonctionnement du système.

Certains déployeurs doivent en outre réaliser une analyse d'impact sur les droits fondamentaux avant la mise en service : les organismes de droit public, les entités privées fournissant des services publics et les déployeurs de systèmes de scoring de crédit ou de tarification en assurance vie et santé visés à l'annexe III. Les employeurs qui déploient un système à haut risque sur le lieu de travail informent les travailleurs concernés et leurs représentants.

Importateur, distributeur, mandataire : les maillons intermédiaires

L'importateur met sur le marché de l'Union un système provenant d'un fournisseur établi dans un pays tiers : il vérifie que l'évaluation de conformité a été réalisée et que la documentation existe. Le distributeur met le système à disposition sur le marché sans en modifier les caractéristiques : il contrôle le marquage et la documentation. Le fournisseur établi hors de l'Union désigne un mandataire dans l'Union pour les systèmes à haut risque. Ces rôles concernent directement les startups qui revendent ou intègrent des solutions d'IA extra-européennes : distribuer en Europe un outil américain peut faire de vous son importateur, avec les vérifications qui s'imposent.

L'article 25 : quand l'intégrateur devient fournisseur

La bascule constitue le principal piège de la matière. L'article 25 requalifie en fournisseur tout distributeur, importateur, déployeur ou tiers qui, sur un système à haut risque déjà commercialisé, accomplit l'un de ces trois actes : le commercialiser sous son propre nom ou sa propre marque, lui apporter une modification substantielle, ou modifier sa destination de telle sorte qu'il devient à haut risque. Le fournisseur initial cesse alors d'être responsable au titre du règlement pour ce système et doit transmettre la documentation nécessaire au nouveau fournisseur.

Les conséquences pratiques sont directes pour l'écosystème tech. La marque blanche d'abord : revendre sous votre marque une solution d'IA à haut risque développée par un tiers vous transfère les obligations du fournisseur, même sans accès au code. L'affinage ensuite : personnaliser lourdement un système pour un cas d'usage à haut risque peut constituer une modification substantielle. Vos contrats doivent anticiper ces bascules : clauses de répartition des responsabilités, engagements de transmission de documentation, garanties du fournisseur initial. C'est un point que le cabinet vérifie systématiquement dans les contrats SaaS et les partenariats d'intégration.

Votre rôle au sens du RIA détermine l'ampleur de vos obligations et mérite une analyse avant tout lancement, rebranding ou intégration. Le cabinet sécurise ces qualifications et les contrats qui les encadrent. Prendre rendez-vous pour une consultation

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 (règlement sur l'intelligence artificielle)