IA Act · Votre rôle

Fournisseur ou déployeur : la distinction qui détermine vos obligations

Référentiel vérifié le 11 septembre 2026 · Oriq IA

« Nous ne développons pas d’intelligence artificielle, donc l’IA Act ne nous concerne pas. » C’est la phrase que nous entendons le plus souvent, et elle est fausse. Le règlement distingue deux rôles, et le second, celui qui se contente d’utiliser, porte ses propres obligations. Il existe même un cas où une entreprise bascule du second vers le premier sans s’en apercevoir.

Le déployeur, le cas de la quasi-totalité des entreprises

Le déployeur est celui qui utilise un système d’IA sous sa propre autorité, dans son activité. Un cabinet qui fait trier des candidatures par un logiciel du marché, un commerce qui installe un agent conversationnel sur son site, une PME dont les équipes travaillent avec un assistant : ce sont trois déployeurs.

Ce rôle ne se choisit pas et ne se contracte pas. Il découle de l’usage.

Deux obligations touchent tout déployeur aujourd’hui, quel que soit le niveau de risque de ce qu’il utilise.

La littératie IA, article 4, depuis le 2 février 2025 : Prendre des mesures pour soutenir le développement d’un niveau suffisant de littératie IA chez les personnes qui utilisent les systèmes pour leur compte. L’omnibus a transformé une obligation de résultat en obligation de moyens. Aucun niveau individuel n’a à être garanti. L’obligation reste contraignante pour tout déployeur. La supervision nationale sur ce point a commencé le 3 août 2026.

La transparence, article 50, depuis le 2 août 2026. Deux des quatre règles visent nommément le déployeur : informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, et révéler qu’un contenu image, son ou vidéo a été généré ou manipulé.

Si le système utilisé relève du haut risque, et donc à partir du 2 décembre 2027 pour les usages de l’annexe III, le déployeur doit en plus :

• Utiliser le système conformément à la notice.
• Confier le contrôle humain à des personnes compétentes et dotées de l’autorité nécessaire.
• Surveiller le fonctionnement et signaler les incidents graves au fournisseur.
• Conserver les journaux.
• Informer les personnes concernées quand une décision les touche.
• Pour l’emploi, informer les représentants du personnel et les travailleurs concernés avant la mise en service.

Le fournisseur, celui qui met le système sur le marché

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. C’est lui qui porte l’essentiel de la charge réglementaire.

Sur un système à haut risque, ses obligations sont d’un autre ordre :

• Système de gestion des risques sur tout le cycle de vie.
• Gouvernance des données d’entraînement, de validation et de test.
• Documentation technique et journalisation automatique.
• Transparence et information du déployeur, notice d’utilisation.
• Contrôle humain effectif prévu dès la conception.
• Exactitude, robustesse et cybersécurité.
• Système de gestion de la qualité, évaluation de conformité, marquage CE, enregistrement.

Il existe un troisième rôle, plus étroit : le fournisseur de modèle d’IA à usage général, article 53, dont les obligations s’appliquent depuis le 2 août 2025. Concerne les éditeurs de modèles. Une entreprise qui consomme un modèle par abonnement n’est pas visée par cet article.

Le cas piège : quand un déployeur devient fournisseur

C’est l’article 25, et c’est le point qui surprend le plus.

Un déployeur devient fournisseur, avec toutes les obligations qui vont avec, s’il appose son nom ou sa marque sur un système à haut risque, s’il le modifie substantiellement, ou s’il en change la destination.

C’est le cas le plus fréquent chez une entreprise qui habille un outil du marché à ses couleurs et croit rester simple utilisateur.

Le basculement n’est pas une formalité de vocabulaire : il transfère l’ensemble des obligations du fournisseur, documentation technique, évaluation de conformité et marquage CE compris, à une entreprise qui se croyait simple utilisatrice.

Ce que chaque rôle doit faire, concrètement

Pour un déployeur ordinaire, aujourd’hui, la mise en conformité tient en trois gestes : savoir quels outils d’IA tournent dans l’entreprise et pour quoi, former les personnes qui les utilisent, et dire à un client qu’il s’adresse à une machine quand c’est le cas.

Pour un fournisseur, ou pour un déployeur qui a basculé sans le savoir, l’exercice est d’une autre nature : il faut de la documentation, un système de gestion des risques, et une évaluation de conformité. Cela se prépare, cela ne s’improvise pas la veille d’un contrôle.

Savoir où vous en êtes

La question du rôle se tranche sur des faits : ce que vous utilisez, sous quel nom, pour quel usage. Le diagnostic les établit avec vous en quelques questions.

Document d’information. Ne constitue pas un avis juridique opposable. Elle repose sur le Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle et sa modification par le Règlement (UE) 2026/1744 du 8 juillet 2026, dans leur version vérifiée le 11 septembre 2026.