AI Act : êtes-vous vraiment simple utilisateur de votre IA ?

Une banque achète un logiciel d’intelligence artificielle pour assister ses équipes. Une startup branche un modèle américain à son application. Un éditeur intègre une fonction générative développée par un tiers et revend l’ensemble sous sa propre marque.

Dans les trois cas, l’entreprise pourrait être tentée de répondre la même chose : nous n’avons pas créé l’IA, nous l’utilisons seulement.

L’AI Act ne raisonne pas tout à fait ainsi.

Le règlement européen ne regarde pas uniquement qui a développé le système. Il cherche à savoir qui le met sur le marché, qui l’utilise, qui le modifie et sous quel nom il arrive jusqu’au client.

Derrière ce vocabulaire assez technique se joue une question beaucoup plus concrète : qui devra répondre de la conformité du système si quelque chose tourne mal ?

Fournisseur ou déployeur : la différence n’est pas cosmétique

Le règlement distingue d’abord deux acteurs qui reviendront constamment dans les contrats liés à l’IA.

Le fournisseur est celui qui développe, ou fait développer, un système d’IA et le met sur le marché ou en service sous son propre nom ou sa propre marque.

Le déployeur, lui, utilise un système sous son autorité dans le cadre de son activité professionnelle. Une entreprise qui achète une solution d’IA pour ses propres équipes entre généralement dans cette seconde catégorie.

La distinction semble évidente. Elle ne signifie pourtant pas que le déployeur n’aurait presque rien à faire.

Pour les systèmes classés à haut risque, il devra notamment respecter les instructions d’utilisation, organiser une supervision humaine, surveiller le fonctionnement du système et, lorsqu’il maîtrise les données d’entrée, veiller à ce qu’elles soient pertinentes au regard de l’usage prévu. Le règlement prévoit aussi des obligations particulières lorsque l’outil intervient dans le cadre professionnel.

Le fournisseur supporte néanmoins une charge plus lourde. C’est notamment sur lui que repose une grande partie de la conformité du système avant sa mise sur le marché.

D’où l’importance de la question suivante : une entreprise peut-elle devenir fournisseur sans avoir développé l’IA elle-même ?

Oui.

Et c’est précisément là que l’article 25 de l’AI Act devient intéressant.

Mettre son logo sur l’outil peut changer la donne

Le règlement prévoit plusieurs situations dans lesquelles un déployeur, un distributeur, un importateur ou même un autre tiers doit être considéré comme le fournisseur d’un système d’IA à haut risque.

La première est probablement la plus surprenante : mettre son propre nom ou sa propre marque sur le système.

Imaginons qu’un éditeur achète une solution développée par une autre entreprise, la reconditionne dans son propre produit et la commercialise sous sa marque. Il n’a peut-être pas développé le modèle. Cela ne suffit pas nécessairement à le maintenir dans la position confortable du simple client. Pour l’AI Act, le branding peut déplacer une partie de la responsabilité réglementaire.

Deuxième possibilité : modifier substantiellement un système à haut risque déjà commercialisé.

Toutes les personnalisations ne provoquent évidemment pas ce basculement. Le règlement vise une modification qui n’avait pas été prévue lors de l’évaluation initiale et qui affecte la conformité du système ou sa destination.

La troisième hypothèse est encore plus parlante : changer ce à quoi sert l’IA.

Un système qui n’était pas à haut risque peut le devenir si une entreprise lui attribue une nouvelle finalité entrant dans l’une des catégories sensibles prévues par le règlement.

Un outil conçu pour organiser des documents n’est pas juridiquement regardé de la même manière qu’un système transformé pour participer à la sélection de candidats à un emploi.

La technologie peut être proche.

L’usage, lui, change tout.

Dans ces trois situations, le règlement est clair : l’entreprise qui effectue le changement peut être considérée comme le nouveau fournisseur du système concerné.

Et si l’IA vient des États-Unis ?

Une autre confusion fréquente concerne l’importateur.

Dans le langage courant, une entreprise pourrait penser qu’elle « importe » une IA dès qu’elle achète une solution américaine. La définition juridique est plus précise.

L’importateur est un acteur établi dans l’Union européenne qui met sur le marché européen un système portant le nom ou la marque d’un fournisseur établi dans un pays tiers. Le distributeur, lui, intervient dans la chaîne de commercialisation sans être ni le fournisseur ni l’importateur.

Pourquoi s’en soucier ?

Parce qu’eux aussi ont leurs propres obligations.

Pour les systèmes à haut risque, l’importateur doit notamment vérifier que certaines étapes de conformité ont été accomplies avant la mise sur le marché européen. Le distributeur doit également effectuer plusieurs contrôles avant de rendre le système disponible, puis coopérer avec les autorités si un problème apparaît.

Une entreprise européenne peut donc n’avoir écrit aucune ligne de code et être néanmoins directement concernée par la conformité du système qu’elle introduit sur le marché.

L’AI Act suit la chaîne commerciale aussi attentivement que la chaîne technique.

Le contrat ne décide pas à lui seul de votre statut

C’est probablement le point le plus important pour les juristes d’affaires.

Un contrat peut prévoir que le fournisseur technologique garantit la conformité du produit, prend en charge certaines obligations ou indemnisera son client en cas de problème.

Mais les parties ne peuvent pas simplement écrire : « nous sommes uniquement déployeur » et considérer la question réglée.

La qualification dépend de ce qu’elles font réellement.

Qui commercialise le système ? Sous quelle marque ? Qui a modifié sa finalité ? Qui contrôle certaines fonctionnalités ? Qui l’introduit sur le marché européen ?

Le contrat reste essentiel, mais pour une autre raison : il doit permettre à chacun d’exercer réellement les obligations que le règlement lui attribue.

Une entreprise qui intègre une IA tierce à son propre produit aura par exemple intérêt à savoir si elle pourra obtenir la documentation nécessaire, accéder aux informations utiles en cas d’audit, être avertie des modifications du modèle ou disposer d’une coopération suffisante si son produit entre dans une catégorie réglementée.

L’article 25 prévoit d’ailleurs expressément une coopération entre certains acteurs de la chaîne de valeur afin que le fournisseur du système à haut risque puisse disposer des informations et de l’assistance nécessaires à sa conformité.

Ce qui ressemblait à une question purement réglementaire arrive donc très vite dans les contrats SaaS, les accords de licence, les intégrations technologiques et les opérations de due diligence.

Avant une acquisition, la question pourrait devenir assez simple : la société sait-elle réellement quel rôle elle joue sous l’AI Act ?

Une startup qui se présente comme simple utilisatrice d’un modèle tiers peut en réalité l’avoir profondément modifié, rebrandé et intégré à un produit commercialisé auprès de ses clients. L’écart entre le statut supposé et le statut réel peut alors cacher des obligations que personne n’avait correctement identifiées.

L’AI Act ne demande donc pas seulement aux entreprises de recenser les intelligences artificielles qu’elles utilisent.

Il leur demande aussi de regarder ce qu’elles en font.

Car dans la chaîne de valeur de l’IA, la question n’est pas toujours de savoir qui a construit la machine.

Parfois, il suffit de savoir qui a décidé ce qu’elle allait devenir.