Fournisseur ou déployeur : quel est le rôle de votre entreprise dans l'AI Act (et quand une PME devient fournisseur sans le savoir)

Fournisseur ou déployeur : votre rôle décide de vos obligations. Les 4 cas où une PME devient fournisseur sans le savoir, et comment le noter.

En bref : si votre entreprise utilise un outil d'IA conçu par un autre (ChatGPT, Copilot, un logiciel RH, un chatbot acheté clé en main), vous êtes déployeur. Vous devenez fournisseur dès que vous faites développer un système d'IA et le mettez en service sous votre propre nom, ou, pour les systèmes à haut risque, dès que vous apposez votre marque sur l'outil d'un autre, le modifiez en profondeur ou le détournez vers un usage à haut risque (article 25). La plupart des PME sont déployeurs pour presque tous leurs outils, et fournisseurs pour un ou deux, souvent sans le savoir. Savoir lequel est lequel, outil par outil, est la première chose à écrire dans votre registre.

Quelle est la différence entre fournisseur et déployeur ?

L'AI Act (règlement (UE) 2024/1689) répartit les obligations selon le rôle que vous jouez vis-à-vis de chaque outil. Les deux rôles qui concernent une PME sont définis à l'article 3.

Le fournisseur (article 3, point 3) est celui « qui développe ou fait développer un système d'IA » et le met sur le marché ou le met en service « sous son propre nom ou sa propre marque, à titre onéreux ou gratuit ». C'est le concepteur, ou celui qui commande la conception et signe le résultat.

Le déployeur (article 3, point 4) est celui qui utilise un système d'IA « sous sa propre autorité », dans un cadre professionnel. C'est l'utilisateur.

Deux précisions changent tout :

« Fait développer » compte autant que « développe ». Si une agence code pour vous un assistant et que vous le mettez en ligne à votre marque, la loi regarde vers vous, pas vers l'agence.
La « mise en service » inclut l'usage propre. L'article 3, point 11 la définit comme la fourniture d'un système d'IA pour une première utilisation « directement au déployeur ou pour usage propre ». Pas besoin de vendre un outil pour en être le fournisseur : il suffit de l'avoir fait concevoir et de l'utiliser sous votre nom.

Le rôle s'apprécie outil par outil. La même PME peut être déployeur de Copilot, déployeur de son logiciel de paie, et fournisseur du chatbot de son site.

Pourquoi votre rôle change-t-il vos obligations ?

Parce que le règlement adresse chaque obligation à un rôle précis. Voici les principales, telles qu'elles s'appliquent aujourd'hui (texte consolidé au 27 juillet 2026) :

Obligation	Fournisseur	Déployeur	Depuis quand
Agir pour développer la maîtrise de l'IA du personnel (article 4)	Oui	Oui	2 février 2025
Concevoir un chatbot pour qu'il annonce être une IA (article 50 §1)	Oui	Non	2 août 2026
Marquer techniquement les contenus générés (article 50 §2)	Oui	Non	2 août 2026 (sursis au 2 décembre 2026 pour les outils déjà sur le marché)
Signaler les hypertrucages (deepfakes) que vous publiez (article 50 §4)	Non	Oui	2 août 2026
Haut risque : système qualité, documentation technique, évaluation de conformité, marquage CE (article 16)	Oui	Non	2 décembre 2027 (annexe III)
Haut risque : usage conforme à la notice, contrôle humain, conservation des journaux, information des salariés et des personnes concernées (article 26)	Non	Oui	2 décembre 2027 (annexe III)

Pour vos outils courants, l'écart est modeste. L'article 4 vous concerne dans les deux rôles, et c'est une obligation de moyens : depuis le règlement (UE) 2026/1744, il impose de prendre des mesures « pour favoriser le développement de la maîtrise de l'IA » par vos équipes, sans exiger un niveau de maîtrise précis par personne. Notre article sur l'article 4 détaille ce qui fait preuve.

Pour un système à haut risque, l'écart est considérable : le déployeur suit la notice et surveille, le fournisseur porte tout le dossier technique. C'est là qu'une erreur de rôle coûte cher.

Dans quels cas une PME devient-elle fournisseur ?

1. Vous faites développer un outil d'IA à votre nom

C'est le cas le plus fréquent, et le moins identifié. Exemples :

un chatbot sur votre site, construit par une agence à partir de l'API d'OpenAI ou de Mistral, qui porte le nom et les couleurs de votre entreprise ;
un assistant interne qui répond aux questions des équipes à partir de vos documents, développé par votre prestataire informatique ;
un outil que vous proposez à vos clients (simulateur, générateur de devis, assistant de rédaction) et qui repose sur un modèle d'IA.

Dans ces situations, vous êtes le fournisseur du système. Les lignes directrices de la Commission sur l'article 50 le disent pour le chatbot : une entreprise qui a développé un chatbot et le met en service pour son propre usage, sous son nom ou sa marque, en est le fournisseur. Le règlement nomme d'ailleurs cette position : le « fournisseur en aval », qui intègre un modèle d'IA fourni par une autre entité (article 3, point 68). Le fabricant du modèle (OpenAI, Mistral…) garde ses obligations sur le modèle ; vous portez celles du système assemblé.

Bonne nouvelle : pour un chatbot ou un assistant, il ne s'agit pas d'un système à haut risque. Votre principale obligation de fournisseur est celle de l'article 50 §1 : l'outil doit être conçu pour que l'utilisateur sache qu'il parle à une IA, sauf si c'est évident. Une phrase claire dans le message d'accueil suffit. Notre article Chatbot, textes et images IA donne des formulations.

À l'inverse, si vous installez sur votre site le widget d'un éditeur, qui reste présenté sous le nom de cet éditeur et que vous vous contentez de paramétrer, vous êtes déployeur, et c'est l'éditeur qui porte l'obligation de conception. La frontière n'est pas toujours nette, par exemple pour un widget entièrement habillé à vos couleurs, et ni le texte ni les lignes directrices ne tranchent ce cas précis. Dans le doute, appliquez simplement l'obligation vous-même : elle ne coûte qu'une phrase.

2. Vous mettez votre marque sur un système à haut risque

L'article 25, paragraphe 1, point a) fait d'un distributeur, importateur, déployeur ou tiers le fournisseur d'un système à haut risque s'il le commercialise « sous son propre nom ou sa propre marque ». Exemple : un cabinet RH qui revend à ses clients, sous sa propre marque, un logiciel de présélection de candidatures conçu par un éditeur. Le texte réserve les arrangements contractuels qui répartiraient autrement les obligations : lisez donc votre contrat.

3. Vous modifiez en profondeur un système à haut risque

Article 25 §1 b) : apporter une « modification substantielle » à un système à haut risque déjà sur le marché vous en rend fournisseur. Le texte entend par là une modification non prévue par le fournisseur initial, qui affecte la conformité du système ou change sa destination (article 3, point 23). Réentraîner un outil de scoring avec vos propres règles, ou supprimer des garde-fous, peut entrer dans ce cas. Changer un réglage prévu dans la notice, non.

4. Vous détournez un outil généraliste vers un usage à haut risque

C'est le piège le plus actuel. L'article 25 §1 c) vise celui qui modifie la destination d'un système d'IA, « y compris un système d'IA à usage général », non classé à haut risque, de sorte qu'il le devienne.

Exemple concret : vous construisez, avec ChatGPT ou un outil d'automatisation, une chaîne qui lit les CV reçus et classe automatiquement les candidats. ChatGPT n'est pas un système à haut risque ; votre chaîne de tri, elle, relève de l'annexe III (emploi, recrutement). En lui donnant cette destination, vous devenez fournisseur d'un système à haut risque, avec les obligations de l'article 16 à partir du 2 décembre 2027. Notre article AI Act et recrutement détaille ce que l'annexe III couvre dans les RH.

Utiliser ChatGPT pour reformuler une offre d'emploi ne pose aucun problème de ce type : c'est le fait de confier à l'outil la décision ou le tri qui change la nature de l'usage.

Quand restez-vous simplement déployeur ?

Dans la grande majorité de vos usages :

vos salariés utilisent ChatGPT, Copilot, Gemini ou Claude pour rédiger, résumer, traduire ;
vous utilisez un logiciel métier (CRM, paie, comptabilité, ATS) qui intègre des fonctions d'IA, tel que l'éditeur le livre ;
vous paramétrez un outil dans les limites prévues par sa notice.

Vos obligations sont alors celles de l'utilisateur : article 4 pour tous les outils, article 50 §4 si vous publiez des hypertrucages, et article 26 si l'un de vos outils est à haut risque. Notre article Vos salariés utilisent ChatGPT détaille le cas le plus courant.

Ce que vous devez faire, en cinq étapes

Listez vos outils d'IA, y compris ceux intégrés à vos logiciels et les usages non déclarés. Notre méthode pour cartographier les systèmes d'IA tient en une journée.
Ajoutez une colonne « rôle » à votre registre : fournisseur ou déployeur, outil par outil, avec une ligne de justification (« développé par l'agence X, en ligne sous notre marque » ; « logiciel éditeur, utilisé tel quel »).
Passez chaque outil au crible des quatre bascules : développé à votre nom ? votre marque sur un outil à haut risque ? modification profonde ? usage détourné vers une décision sur des personnes ?
Pour chaque outil dont vous êtes fournisseur, vérifiez l'obligation qui s'applique : pour un chatbot, le message d'accueil ; pour un usage à haut risque, un vrai projet de mise en conformité à lancer avant décembre 2027, ou un retour à un usage qui ne l'est pas.
Écrivez-le et datez-le. Votre registre, vos contrats avec les prestataires et la trace de vos décisions forment votre dossier. Notre page Se mettre en conformité reprend la démarche complète.

Pour la plupart des PME, c'est une demi-journée de travail. Les montants en jeu sont présentés dans notre article sur les sanctions de l'AI Act pour une PME.

Questions fréquentes

Une TPE peut-elle être fournisseur au sens de l'AI Act ?

Oui. La définition de l'article 3 ne prévoit aucun seuil de taille ni de chiffre d'affaires, et précise que la mise sur le marché peut être gratuite. Une entreprise de trois personnes qui met en ligne un assistant développé pour elle, à sa marque, en est le fournisseur.

Si mon prestataire a codé le chatbot, n'est-ce pas lui le fournisseur ?

Pas nécessairement. Le fournisseur est celui qui « développe ou fait développer » le système et le met en service sous son nom. Si l'outil porte votre marque et que vous le mettez en service pour votre activité, c'est vous. Prévoyez dans le contrat que le prestataire vous fournit les informations nécessaires (fonctionnement, limites, message d'information des utilisateurs).

Utiliser l'API d'OpenAI ou de Mistral fait-il de moi un fournisseur de modèle d'IA ?

Non. Le fournisseur du modèle reste OpenAI ou Mistral, avec ses obligations propres. Vous êtes, le cas échéant, fournisseur du système que vous avez construit autour (le chatbot, l'assistant), ce que le règlement appelle un « fournisseur en aval ».

Peut-on être fournisseur et déployeur à la fois ?

Oui, et c'est fréquent : si vous faites développer un outil pour votre propre usage, vous êtes fournisseur (vous l'avez mis en service sous votre nom) et déployeur (vous l'utilisez). Les obligations des deux rôles se cumulent pour cet outil.

Pour aller plus loin

Pour savoir en une heure quels outils vous concernent et dans quel rôle, suivez la formation gratuite L'IA Act en 60 min, avec son guide et son tableur.

Pour construire votre registre, attribuer les rôles et produire votre dossier de conformité, la formation Conformité AI Act, la méthode complète (890 €, six modules) vous guide pas à pas.

Sources

Règlement (UE) 2024/1689 (AI Act), texte consolidé au 27 juillet 2026 (intégrant le règlement (UE) 2026/1744), version française publiée par l'AI Act Service Desk de la Commission européenne : article 3, points 3, 4, 11, 23 et 68 ; article 4 ; article 16 ; article 25 ; article 26 ; article 50 ; article 111 §4 (sursis du marquage au 2 décembre 2026) ; article 113 — https://ai-act-service-desk.ec.europa.eu/fr/ai-act/article-25 (et pages des autres articles ; consulté le 11 novembre 2026)
Commission européenne, lignes directrices sur les obligations de transparence de l'article 50 (C(2026) 7702, version du 5 novembre 2026), points 11 et 12 — https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
Règlement (UE) 2024/1689, EUR-Lex, versions consolidées (27 juillet 2026) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj/fra
Règlement (UE) 2026/1744 (omnibus), JO L du 24 juillet 2026 — https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202601744

Article vérifié le 11 novembre 2026.