AegidaVous n'êtes pas fournisseur, mais déployeur — et vous avez des obligations
« Nous ne développons pas d'IA, nous en achetons — nous ne sommes donc pas concernés. » C'est l'erreur la plus répandue, et la plus coûteuse. L'AI Act impose des obligations propres à celui qui utilise le système.
Sommaire
Fournisseur, déployeur : la distinction qui commande tout
L'AI Act distingue deux rôles principaux. Le fournisseur développe le système ou le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité, dans le cadre d'une activité professionnelle.
Un hôpital qui achète une aide au diagnostic à un éditeur est déployeur. Une administration qui déploie un assistant conversationnel acheté sur étagère est déployeur. Dans les deux cas, l'essentiel de la charge documentaire pèse sur le fournisseur — mais pas la totalité.
Les obligations du déployeur d'un système à haut risque (art. 26)
Applicables au 2 décembre 2027 pour l'annexe III, au 2 août 2028 pour l'annexe I. Ce sont des obligations de moyens, mais elles se documentent.
Utiliser conformément à la notice
Prendre les mesures techniques et organisationnelles pour que le système soit utilisé selon la notice d'instructions du fournisseur. Sortir du périmètre prévu — l'utiliser sur une population, une indication ou un contexte non couverts — engage votre responsabilité.
Confier la supervision humaine à des personnes compétentes
Les personnes chargées de superviser doivent avoir la compétence, la formation et l'autorité nécessaires, et bénéficier du soutien de l'organisation. Une supervision de façade, confiée à quelqu'un qui n'a pas le pouvoir d'arrêter le système, ne satisfait pas l'obligation.
Veiller à la pertinence des données d'entrée
Dans la mesure où vous exercez un contrôle sur elles, les données que vous injectez doivent être pertinentes et suffisamment représentatives au regard de la destination du système.
Surveiller le fonctionnement
Surveiller le système, et suspendre son usage puis informer le fournisseur en cas de risque identifié. Les incidents graves doivent être signalés.
Conserver les journaux
Conserver les journaux générés automatiquement, dans la mesure où ils sont sous votre contrôle, pendant une durée adaptée à la destination du système et d'au moins six mois, sauf disposition contraire.
Informer les personnes
Informer les travailleurs concernés avant de mettre en service un système sur le lieu de travail. Et lorsque le système prend ou assiste une décision relative à une personne, informer celle-ci.
L'analyse d'impact sur les droits fondamentaux (FRIA)
Certains déployeurs doivent réaliser une analyse d'impact sur les droits fondamentaux avant d'utiliser un système à haut risque de l'annexe III : les organismes de droit public, les entités privées fournissant des services publics, et certains acteurs de l'évaluation de solvabilité ou de la tarification en assurance-vie et santé.
L'analyse décrit les processus concernés, la durée et la fréquence d'usage, les catégories de personnes affectées, les risques de préjudice, les mesures de supervision humaine et les mesures à prendre en cas de matérialisation des risques.
Elle ne se confond pas avec l'AIPD du RGPD, mais les deux se complètent : lorsqu'une AIPD est déjà requise, la FRIA vient la compléter plutôt que la dupliquer.
Ce qui s'applique déjà, quel que soit le report
N'attendez pas 2027 : deux obligations pèsent déjà sur vous.
La littératie en IA (article 4), applicable depuis le 2 février 2025. Vous devez prendre des mesures pour que les personnes qui utilisent vos systèmes d'IA aient un niveau de compétence suffisant, au regard de leur formation, du contexte et des personnes concernées. Le Digital Omnibus en a assoupli la formulation, pas supprimé le principe.
La transparence (article 50), applicable le 2 août 2026 — dans quelques jours. Voir notre guide dédié à l'article 50.
Questions fréquentes
Sommes-nous concernés si nous achetons notre IA à un éditeur ?
Oui. Vous êtes déployeur au sens de l'AI Act, et l'article 26 vous impose des obligations propres : usage conforme à la notice, supervision humaine par des personnes compétentes, surveillance, conservation des journaux, information des personnes concernées.
Quand un déployeur devient-il fournisseur ?
S'il appose son nom ou sa marque sur le système, s'il en modifie substantiellement la destination, ou s'il l'utilise à une fin non prévue par le fournisseur. Il hérite alors de l'ensemble des obligations du fournisseur, qui sont bien plus lourdes.
Combien de temps conserver les journaux ?
Une durée adaptée à la destination du système, et d'au moins six mois, sauf disposition contraire du droit applicable. Dans la santé, il est fréquent d'aligner cette durée sur celle de la traçabilité des soins, qui est plus longue.
La FRIA remplace-t-elle l'AIPD du RGPD ?
Non. Ce sont deux analyses distinctes avec des objets différents. Lorsqu'une AIPD est déjà requise au titre du RGPD, la FRIA la complète sur le volet droits fondamentaux plutôt qu'elle ne la duplique.
Un plan d'actions par système, sourcé sur les articles
Aegida déduit vos obligations de votre rôle et du niveau de risque, avec responsables et échéances. Démonstration interactive, sans inscription.
Voir la démonstration