ESN & AI Act : fournisseur ou déployeur, une question de livrable

De quoi parle AI Act ?

L’AI Act distingue fournisseur (qui développe et met sur le marché), déployeur (qui utilise le système sous son autorité), importateur et distributeur, et classe les systèmes par niveau de risque. Une ESN peut endosser plusieurs de ces rôles selon ses missions.

Attention à la requalification : un déployeur qui modifie substantiellement un système ou l’appose sous sa marque devient fournisseur.

Le secteur « Entreprises de services numériques (ESN) » est-il concerné ?

Toute ESN livrant, intégrant ou exploitant de l’IA est concernée. Le développement sur mesure d’une solution d’IA livrée sous la marque de l’ESN la place en fournisseur ; l’exploitation d’outils tiers pour un client la place en déployeur.

Un même contrat peut mêler les deux : développement d’un module (fournisseur) et exploitation d’un outil tiers (déployeur).

Obligations détaillées

Sanctions & risques

Jusqu’à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les manquements du haut risque. Pour une ESN, l’ambiguïté sur le statut est le principal risque : une IA livrée sans documentation alors que l’ESN est en réalité fournisseur.

La clarté contractuelle protège autant l’ESN que son client.

Calendrier d’application

• 1Entrée en vigueur. 1er août 2024.
• 2Pratiques interdites. Depuis le 2 février 2025.
• 3Haut risque. Obligations principales à partir du 2 août 2026.

Erreurs fréquentes dans le secteur

• 1Statut non tranché. Ne pas déterminer si l’ESN est fournisseur ou déployeur.
• 2Documentation absente. Livrer une IA sous sa marque sans documentation technique.
• 3Responsabilités floues. Laisser le contrat muet sur la répartition des obligations IA.
• 4Requalification ignorée. Modifier substantiellement un système tiers sans assumer le statut de fournisseur.

Cas pratique

Une ESN développe pour un client un moteur de recommandation livré sous sa propre marque, et exploite par ailleurs un outil tiers de traitement du langage. Elle est fournisseur pour le premier (documentation technique, gestion des risques) et déployeur pour le second (transparence, supervision). Le contrat précise cette répartition, évitant tout litige de responsabilité.

Feuille de route de mise en conformité

1. 1

   Inventorier. Recenser les projets IA et les composants livrés ou exploités.

2. 2

   Qualifier. Déterminer le statut et le niveau de risque par projet.

3. 3

   Documenter. Produire la documentation technique pour les systèmes fournis.

4. 4

   Contractualiser. Répartir clairement les responsabilités IA avec chaque client.

5. 5

   Surveiller. Organiser la surveillance post-market des systèmes fournis.

Questions fréquentes