Règlement (UE) 2024/1689, article 26
Les obligations du déployeur sous l'AI Act : ce que doit faire celui qui utilise un système sans l'avoir conçu
La lecture la plus répandue de l'AI Act est qu'il vise les éditeurs de modèles. Elle est fausse pour l'essentiel des organisations concernées. Le règlement (UE) 2024/1689 crée une catégorie distincte, le déployeur, qui supporte ses propres obligations dès lors qu'il utilise un système d'IA à haut risque dans le cadre de son activité professionnelle, y compris quand il l'a simplement acheté sur étagère.
Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Qui est déployeur
L'article 3, point 4, définit le déployeur comme toute personne physique ou morale, autorité publique, agence ou autre organisme utilisant sous sa propre autorité un système d'IA, sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel.
Deux éléments de cette définition méritent d'être relevés. Le premier est l'autorité propre : celui qui décide de l'usage est déployeur, quand bien même l'outil serait exploité techniquement par un prestataire. Le second est l'exclusion du seul usage personnel non professionnel : une association, une collectivité, un cabinet de recrutement et une entreprise industrielle relèvent tous de la même catégorie.
L'article 2.1 étend par ailleurs le champ aux déployeurs établis dans un pays tiers lorsque la sortie produite par le système est utilisée dans l'Union. Un siège hors d'Europe ne met donc pas hors du règlement.
Les obligations de l'article 26, système par système
Ces obligations ne s'appliquent qu'aux systèmes à haut risque. Elles se lisent comme un programme de gouvernance interne, et non comme une exigence technique.
Utiliser conformément à la notice, article 26.1
Le déployeur prend les mesures techniques et organisationnelles appropriées afin de garantir l'utilisation du système conformément aux notices d'utilisation qui l'accompagnent. La notice cesse donc d'être un document contractuel dormant : elle devient la référence à laquelle l'usage réel sera comparé.
Confier le contrôle humain à des personnes qualifiées, article 26.2
Le contrôle humain est confié à des personnes physiques qui disposent des compétences, de la formation et de l'autorité nécessaires, ainsi que du soutien requis. L'exigence d'autorité est la plus exigeante des trois : une personne qui ne peut pas contredire la sortie du système n'exerce pas un contrôle au sens du texte.
Veiller à la pertinence des données d'entrée, article 26.4
Dans la mesure où le déployeur exerce un contrôle sur les données d'entrée, il veille à ce qu'elles soient pertinentes et suffisamment représentatives au regard de la destination du système.
Surveiller et alerter, article 26.5
Le déployeur surveille le fonctionnement du système sur la base de la notice. Lorsqu'il a des raisons de considérer que l'usage conforme peut présenter un risque au sens de l'article 79.1, il en informe sans retard le fournisseur ou le distributeur et l'autorité de surveillance du marché, et suspend l'utilisation. En cas d'incident grave, il en informe d'abord le fournisseur, puis l'importateur ou le distributeur et l'autorité compétente.
Conserver les journaux, article 26.6
Les journaux générés automatiquement par le système, lorsqu'ils sont sous le contrôle du déployeur, sont conservés pendant une période appropriée au regard de la destination du système, d'au moins six mois, sous réserve des dispositions applicables en matière de protection des données.
Informer les travailleurs, article 26.7
Avant de mettre en service ou d'utiliser un système à haut risque sur le lieu de travail, l'employeur déployeur informe les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à son utilisation. Cette information est due indépendamment des procédures de consultation prévues par le droit national, qu'elle ne remplace pas.
Informer les personnes soumises à une décision, article 26.11
Le déployeur d'un système relevant de l'annexe III qui prend des décisions ou aide à en prendre au sujet de personnes physiques informe ces personnes qu'elles sont soumises à son utilisation. L'article 86 leur ouvre par ailleurs, pour les décisions produisant des effets juridiques ou affectant de manière significative leur santé, leur sécurité ou leurs droits fondamentaux, le droit d'obtenir des explications claires et pertinentes sur le rôle du système dans la décision.
L'analyse d'impact sur les droits fondamentaux, article 27
L'article 27 impose une analyse d'impact sur les droits fondamentaux à certains déployeurs seulement : les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs de systèmes relevant de l'annexe III, point 5, sous b) et c), c'est-à-dire l'évaluation de la solvabilité et l'établissement des scores de crédit d'une part, l'évaluation des risques et la tarification en assurance vie et santé d'autre part.
L'analyse décrit les processus dans lesquels le système sera utilisé, la période et la fréquence d'utilisation, les catégories de personnes susceptibles d'être affectées, les risques de préjudice spécifiques pour ces personnes, les mesures de contrôle humain prévues, et les mesures à prendre si ces risques se matérialisent, y compris la gouvernance interne et les mécanismes de traitement des plaintes.
L'article 27.4 organise l'articulation avec le RGPD : lorsque l'une des obligations de l'analyse est déjà satisfaite par l'analyse d'impact relative à la protection des données conduite au titre de l'article 35 du règlement (UE) 2016/679, l'analyse d'impact sur les droits fondamentaux complète cette dernière plutôt que de la dupliquer.
Les trois situations qui font du déployeur un fournisseur
L'article 25.1 prévoit qu'un déployeur est réputé fournisseur d'un système à haut risque, et supporte alors l'ensemble des obligations du chapitre III, section 2, dans trois hypothèses.
Apposition du nom ou de la marque
Le déployeur met son nom ou sa marque sur un système à haut risque déjà mis sur le marché ou en service, sans préjudice des arrangements contractuels prévoyant une autre répartition des obligations.
Modification substantielle
Le déployeur apporte une modification substantielle à un système à haut risque déjà mis sur le marché ou en service, de telle manière qu'il reste à haut risque au sens de l'article 6.
Changement de destination
Le déployeur modifie la destination d'un système d'IA, y compris d'un système à usage général, qui n'était pas classé à haut risque et a déjà été mis sur le marché ou en service, de telle manière que le système devient à haut risque. C'est l'hypothèse la plus courante en pratique : intégrer un modèle généraliste dans un processus de tri de candidatures suffit à la réaliser.
L'obligation qui ne dépend pas de la classification : la littératie
L'article 4 s'applique depuis le 2 février 2025, à tous les fournisseurs et déployeurs, sans considération du niveau de risque du système. Il impose de prendre des mesures pour garantir, dans la mesure du possible, un niveau suffisant de connaissance de l'IA chez le personnel et chez les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes, compte tenu de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte d'utilisation et des personnes sur lesquelles les systèmes sont utilisés.
C'est la seule obligation de l'AI Act qui s'applique à une organisation utilisant exclusivement des systèmes hors annexe III. Elle est aussi la plus simple à documenter, et la plus souvent omise.
L'intervention correspondante
Fournisseur ou déployeur, la qualification se fait système par système et conditionne tout le reste. Une même organisation peut être déployeur pour un outil et fournisseur pour un autre.
Déterminer votre position sous l'AI Act et les obligations qui en découlentTextes et sources cités
Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.