Déployeur

Un déployeur au sens du EU AI Act est toute personne physique ou morale, autorité publique, agence ou autre organisme qui utilise un système d'IA sous sa propre autorité, à l'exclusion d'un usage purement personnel, non professionnel. Cette définition est plus large que ce que beaucoup d'organisations imaginent. Si vous utilisez un outil d'IA tiers dans vos opérations, vous êtes probablement un déployeur soumis à des obligations légales spécifiques, même si vous n'avez pas construit le système.

Le règlement établit des obligations distinctes pour les déployeurs, différentes de celles qui pèsent sur les fournisseurs (les entités qui développent et mettent sur le marché des systèmes d'IA). Si les obligations des fournisseurs sont plus étendues, celles des déployeurs sont loin d'être anodines. L'article 26 définit notamment des responsabilités : mise en œuvre de mesures de supervision humaine, surveillance du fonctionnement, conservation des journaux, réalisation d'évaluations de l'impact sur les droits fondamentaux pour certains cas d'usage, et information des personnes concernées de l'utilisation d'un système d'IA. Beaucoup d'organisations se concentrent uniquement sur les obligations des fournisseurs sans reconnaître leur rôle de déployeur. Une banque utilisant un outil d'IA pour le scoring de crédit est un déployeur. Un hôpital utilisant un assistant de diagnostic est un déployeur. Un service RH utilisant un outil de présélection des candidats est un déployeur. Chacun a des obligations de conformité indépendamment du fait d'avoir construit l'IA.

L'article 26 impose aux déployeurs de systèmes à haut risque de : utiliser le système conformément à ses instructions d'utilisation, garantir une supervision humaine par des personnes compétentes et disposant de l'autorité nécessaire, surveiller le fonctionnement et informer le fournisseur de tout incident grave, conserver les journaux générés automatiquement pendant au moins six mois, réaliser une évaluation de l'impact sur les droits fondamentaux avant de déployer certains systèmes à haut risque dans le secteur public ou des services essentiels, et informer les personnes physiques qu'elles sont concernées par des décisions prises par un système d'IA à haut risque.

Point critique : un déployeur devient fournisseur s'il appose son nom ou sa marque sur un système d'IA à haut risque, s'il y apporte une modification substantielle ou s'il modifie sa finalité. Les organisations qui personnalisent ou affinent des systèmes tiers devraient évaluer avec soin si ces modifications franchissent le seuil qui les fait basculer dans le statut de fournisseur.