Éditeurs de logiciels & AI Act : les obligations du fournisseur

De quoi parle AI Act ?

L’AI Act classe les systèmes en risque inacceptable, haut risque, risque limité et risque minimal, et distingue fournisseur, déployeur, importateur et distributeur. Le fournisseur est celui qui développe le système ou le fait développer pour le mettre sur le marché sous son nom.

Les systèmes à haut risque sont notamment ceux dont l’usage figure à l’annexe III (biométrie, emploi, accès aux services essentiels, etc.) ou qui constituent un composant de sécurité d’un produit réglementé.

Le secteur « Éditeurs de logiciels » est-il concerné ?

Tout éditeur qui commercialise un système d’IA sous sa marque est fournisseur. Un éditeur qui se contente d’intégrer un service d’IA tiers sans le remanier peut n’être que déployeur — mais il peut aussi être requalifié fournisseur s’il modifie substantiellement le système ou l’appose sous sa marque.

Les modèles d’IA à usage général intégrés au produit déclenchent en outre des obligations de documentation et de transparence spécifiques, renforcées pour les modèles présentant un risque systémique.

Obligations détaillées

Sanctions & risques

Jusqu’à 35 M€ ou 7 % du CA mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des systèmes à haut risque, et 7,5 M€ ou 1 % pour des informations inexactes aux autorités.

Pour un éditeur fournisseur, le haut risque mal qualifié est le principal danger : il expose à la fois à la sanction et au retrait du produit du marché.

Calendrier d’application

• 1Entrée en vigueur. 1er août 2024.
• 2Pratiques interdites. Depuis le 2 février 2025.
• 3Modèles à usage général (GPAI). Depuis le 2 août 2025.
• 4Systèmes à haut risque. À partir du 2 août 2026, et 2027 pour certains systèmes intégrés à des produits réglementés.

Erreurs fréquentes dans le secteur

• 1Statut sous-estimé. Se croire simple déployeur alors qu’on appose le système sous sa marque ou qu’on le modifie substantiellement.
• 2Documentation absente. Ne pas disposer de la documentation technique de l’annexe IV.
• 3Pas de post-market. Omettre la surveillance après mise sur le marché et le traitement des incidents.
• 4GPAI ignoré. Intégrer un modèle à usage général sans traiter ses obligations propres.

Cas pratique

Un éditeur intègre un modèle de langage pour générer des synthèses et ajoute un module qui note automatiquement des dossiers de demande. Le module de notation, listé comme usage à haut risque, impose documentation technique, gestion des risques et supervision humaine, tandis que la synthèse relève du risque limité. L’éditeur segmente ses obligations par fonctionnalité plutôt que par produit entier.

Feuille de route de mise en conformité

1. 1

   Inventorier. Recenser tous les composants d’IA du produit et leur provenance.

2. 2

   Qualifier. Déterminer le niveau de risque et le statut (fournisseur ou déployeur) de chacun.

3. 3

   Documenter. Bâtir la documentation technique (annexe IV) et le système de gestion de la qualité.

4. 4

   Encadrer l’usage. Mettre en place transparence, supervision humaine et notice d’utilisation.

5. 5

   Surveiller. Organiser la surveillance post-market et le traitement des incidents.

Questions fréquentes