Fournisseur ou Déployeur ? Identifier votre Rôle au Sens de l'AI Act

Pourquoi la question du rôle vient en premier#

L'AI Act ne raisonne pas par secteur mais par rôle. Les mêmes faits (un voicebot, un outil d'analyse d'appels) entraînent des obligations différentes selon que l'on est fournisseur, déployeur, distributeur ou importateur. Se tromper de rôle conduit soit à négliger des obligations, soit à en assumer qui reviennent à un autre.

Pour un prestataire établi au Maroc, la question se pose dès que l'AI Act s'applique, c'est-à-dire lorsqu'il met un système sur le marché européen, ou lorsque les résultats de son système sont utilisés dans l'Union (article 2(1)). Les bases sont présentées dans notre guide AI Act et BPO marocains ; cette page entre dans le détail de la qualification.

Les définitions qui comptent#

Deux remarques pratiques. D'abord, « développer » inclut le fait de faire développer : un centre qui confie la création de son voicebot à une agence puis le déploie sous sa marque est fournisseur. Ensuite, le rôle s'apprécie système par système : un même centre peut être fournisseur d'un outil et déployeur d'un autre.

Cinq situations types en centre de relation client#

Ces qualifications sont indicatives. La frontière entre « opérer pour le compte du client » et « utiliser sous sa propre autorité » dépend de qui décide réellement du paramétrage, des scripts et des finalités. Le contrat doit refléter la réalité, pas l'inverse.

Quand un déployeur devient fournisseur : l'article 25#

Pour les systèmes à haut risque, l'article 25(1) prévoit qu'un distributeur, importateur, déployeur ou autre tiers est considéré comme fournisseur, avec toutes les obligations correspondantes, dans trois cas :

1. il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché ;
2. il y apporte une modification substantielle et le système reste à haut risque ;
3. il modifie la destination d'un système qui n'était pas à haut risque, de sorte qu'il le devient.

Exemple : un centre achète un outil généraliste d'analyse de conversations et l'utilise pour évaluer et classer ses conseillers en vue des primes. Il en change la destination vers un usage de l'annexe III (point 4(b), évaluation de la performance). Il risque alors d'être traité comme fournisseur de ce système à haut risque.

Le fournisseur initial doit coopérer avec le nouveau fournisseur (article 25(2)), et le fournisseur d'un système à haut risque doit conclure un accord écrit avec les fournisseurs d'outils, de composants ou de services intégrés (article 25(4)).

Ce que chaque rôle doit faire, et quand#

Les amendes suivent les rôles : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les manquements aux obligations des opérateurs, notamment articles 16, 26 et 50, et jusqu'à 35 millions ou 7 % pour les pratiques interdites. Pour les PME, le plus bas des deux montants s'applique.

Ce qu'il faut écrire dans le contrat#

Le contrat entre le centre, son donneur d'ordre et ses éditeurs est l'outil principal de clarification. Clauses à vérifier ou à proposer :

• Inventaire des systèmes d'IA utilisés dans la prestation, avec le rôle de chaque partie pour chacun.
• Paramétrage : qui rédige et valide les messages d'information du chatbot et du voicebot.
• Interdiction de détourner la destination d'un outil sans accord écrit, pour éviter l'article 25.
• Interdiction des usages prohibés, dont l'analyse des émotions des conseillers.
• Documentation que l'éditeur s'engage à fournir : notice d'utilisation, limites connues, informations utiles à l'analyse d'impact.
• Signalement des incidents et coopération en cas de contrôle.
• Formation des conseillers et superviseurs à l'outil.

Ces clauses complètent, sans les remplacer, celles qui portent sur les données personnelles : un centre déployeur au sens de l'AI Act est souvent aussi sous-traitant au sens du RGPD, et les deux qualifications doivent rester cohérentes. Elles servent également à répondre aux questionnaires de conformité des clients européens.

Méthode en six étapes#

1. Dresser l'inventaire de tous les systèmes d'IA : développés en interne, achetés, imposés par les clients.
2. Pour chacun, noter qui l'a conçu, sous quel nom il est présenté et qui décide de son paramétrage.
3. Déterminer si ses résultats sont utilisés dans l'Union européenne.
4. Attribuer un rôle par système (fournisseur, déployeur, distributeur) et vérifier les déclencheurs de l'article 25.
5. Dériver la liste des obligations et leurs dates à partir du tableau ci-dessus.
6. Mettre les contrats en cohérence et réviser la qualification à chaque nouvel outil ou nouvel usage, dans une logique de cycle de vie des systèmes d'IA.