Originally published at https://iapro.fr/blog/ai-act-fournisseur-vs-deployeur-10-cas.
Accueil › Blog › AI Act fournisseur vs déployeur : 10 cas de qualification
AI Act & Conformité
23 mai 2026 · 13 min de lecture · Par Mohamed Meguedmi
AI Act fournisseur vs déployeur : 10 cas de qualification
La distinction fournisseur / déployeur structure tout le régime du Règlement (UE) 2024/1689 — l'AI Act. Les obligations divergent fortement : un fournisseur doit constituer la documentation annexe IV, faire une déclaration UE de conformité, organiser la surveillance post-marché. Un déployeur doit assurer la supervision humaine effective, conduire la FRIA, tenir le plan article 4, signaler les incidents graves. Sur les 30+ audits IAPRO conduits depuis février 2025, la mauvaise qualification est l'erreur la plus fréquente : 6 PME sur 10 se croient « simple déployeur » alors qu'elles sont devenues fournisseur dès qu'elles ont fine-tuné un modèle, dérivé une fonctionnalité ou rebrandé un système. Voici les 10 cas concrets de qualification, issus de mes missions de terrain.
En bref
Définitions article 3 : fournisseur (art. 3(3)) = met sur le marché ou en service sous son nom ; déployeur (art. 3(4)) = utilise un système d'IA dans le cadre d'une activité professionnelle.
Le basculement déployeur → fournisseur intervient dès la modification substantielle (article 25), le rebranding, le fine-tuning poussé, l'intégration dans un produit commercialisé sous son nom.
Plus de 60 % des PME mal qualifiées dans nos audits IAPRO 2025 — souvent au profit d'une auto-qualification « déployeur » alors que les faits indiquent fournisseur.
Conséquence financière : un fournisseur de haut risque mal qualifié = absence d'annexe IV + déclaration UE + marquage CE = sanctions cumulables art. 99 du règlement.
Méthode IAPRO : grille de qualification en 7 questions, livrée en 1-2 jours-consultants, validation juridique par notre partenaire Regulia.fr, cofinancement Bpifrance Diag Data IA.
Les définitions du règlement
L'article 3 du règlement (UE) 2024/1689 — disponible en version officielle sur EUR-Lex — pose deux définitions clés.
Fournisseur — article 3(3)
Personne physique ou morale, autorité publique, agence ou autre organisme qui développe un système d'IA ou un modèle GPAI ou fait développer un tel système, et le met sur le marché ou en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit. La notion « fait développer » englobe la sous-traitance — un éditeur SaaS qui sous-traite l'entraînement reste fournisseur.
Déployeur — article 3(4)
Personne physique ou morale, autorité publique, agence ou autre organisme utilisant un système d'IA sous sa propre autorité dans le cadre d'une activité professionnelle. L'usage non professionnel personnel est exclu.
Importateur, distributeur, mandataire
Le règlement définit aussi importateur (art. 3(6)), distributeur (art. 3(7)) et mandataire (art. 3(5)). Pour les PME françaises, les rôles les plus fréquents restent fournisseur et déployeur.
Le cœur du sujet : la modification substantielle (article 25)
L'article 25 du règlement prévoit qu'un déployeur devient fournisseur s'il :
Appose son nom ou sa marque sur un système haut risque déjà mis sur le marché.
Apporte une modification substantielle au système, qui le maintient en haut risque.
Modifie la finalité d'un système non haut risque, le faisant basculer en haut risque.
La notion de modification substantielle est définie à l'art. 3(23) : modification non prévue par le fournisseur initial et qui affecte la conformité du système ou modifie sa finalité prévue. Le fine-tuning poussé d'un LLM open source pour un cas d'usage RH bascule le déployeur en fournisseur.
Les 10 cas de qualification — terrain IAPRO
Cas 1 — PME utilisatrice de ChatGPT Enterprise
PME 80 salariés utilisant ChatGPT Enterprise pour rédaction marketing et support client.
Qualification : déployeur strict d'un système d'IA mis sur le marché par OpenAI. Pas de modification substantielle.
Obligations : plan article 4, transparence article 50, charte interne, journal des incidents. Pas d'annexe IV à constituer.
Cas 2 — Éditeur SaaS RH fine-tunant Mistral pour scoring CV
Start-up RH 18 salariés qui fine-tune Mistral 7B sur un dataset de CV pour proposer un scoring.
Qualification : fournisseur d'un système haut risque (annexe III §4(a)). Le fine-tuning sur un cas d'usage RH crée un nouveau système au sens de l'art. 25.
Obligations : annexe IV complète, déclaration UE de conformité, supervision humaine art. 14, FRIA, enregistrement base européenne (art. 49). Sanction max 3 % CA si manquement.
Cas 3 — Cabinet d'avocats utilisant Lex AI sans modification
Cabinet 12 avocats utilisant un assistant juridique d'éditeur tiers, sans fine-tuning ni intégration interne.
Qualification : déployeur. Pas de modification substantielle.
Obligations : plan article 4, supervision humaine sur chaque sortie utilisée, conformité secret professionnel (article 226-13 du code pénal). Voir notre article cabinet d'avocats due diligence.
Cas 4 — PME industrielle intégrant un RAG sur ses procédures internes
PME industrielle 120 salariés qui déploie Ollama + Mistral 7B + RAG sur sa documentation qualité.
Qualification : déployeur si l'usage reste interne et non commercialisé. La création d'un RAG sur des documents internes n'est pas considérée comme modification substantielle au sens art. 25.
Obligations : plan article 4, registre des systèmes, audit cybersécurité art. 15. Pas d'annexe IV.
Cas 5 — ETI bancaire fine-tunant un modèle pour scoring crédit
ETI bancaire qui fine-tune Llama 3 70B sur ses dossiers de scoring crédit historiques.
Qualification : fournisseur d'un système haut risque (annexe III §5(b)). Le fine-tuning sur un cas d'usage scoring crédit crée un nouveau système.
Obligations : annexe IV, déclaration UE, supervision humaine art. 14, FRIA, articulation avec la supervision ACPR, surveillance post-marché. Voir notre article scoring crédit conforme AI Act.
Cas 6 — Hôpital intégrant un module diagnostic IA dans son SI
CHU intégrant un module diagnostic IA d'un éditeur certifié dispositif médical CE.
Qualification : déployeur. Le SI hospitalier n'apporte pas de modification substantielle.
Obligations : supervision humaine (médecin), plan article 4 médecins + soignants, traçabilité, conformité HDS, déclaration ANSM en cas d'incident grave.
Cas 7 — Distributeur reprenant un système IA sous sa propre marque
Distributeur français rebrandant un système IA développé en Allemagne sous sa propre marque.
Qualification : article 25(1)(a) — apposition du nom/marque sur un système haut risque = fournisseur. Le distributeur devient fournisseur au sens du règlement.
Obligations : reprise de la documentation annexe IV ou production d'une nouvelle, déclaration UE, surveillance post-marché. Coût typique de bascule : 25 000 à 60 000 €. Beaucoup de distributeurs ne mesurent pas cette obligation.
Cas 8 — Cabinet comptable utilisant Pennylane + IA pré-saisie
Cabinet comptable 12 salariés utilisant la fonction IA de pré-saisie comptable intégrée à un logiciel métier.
Qualification : déployeur. Le logiciel comptable est mis sur le marché par son éditeur (fournisseur).
Obligations : plan article 4, charte interne, supervision humaine sur les écritures, conformité doctrine Ordre des Experts-Comptables. Voir Cabinet comptable 12 sal — ROI 6 mois.
Cas 9 — Collectivité 50 000 habitants déployant un chatbot citoyen
Collectivité utilisant un chatbot IA pour répondre aux questions citoyennes, hébergé sur cloud privé souverain.
Qualification : déployeur si le chatbot est un produit acquis ; fournisseur si la collectivité l'a fait développer sous son nom.
Obligations : transparence art. 50, plan article 4 agents, supervision humaine sur les contenus sensibles, conformité RGPD secteur public. Si système classé haut risque (services publics essentiels, annexe III §5(a)), obligations renforcées. Voir AI Act collectivités DSI.
Cas 10 — Sous-traitant IT déployant pour un client
ESN développant un système IA spécifique pour un client français.
Qualification : dépend du contrat. Si le client met le système sur le marché sous son nom, le client est fournisseur ; l'ESN est sous-traitant. Si l'ESN met le système sur le marché sous son nom et licencie au client, l'ESN est fournisseur.
Obligations : alignement contractuel précis, allocation de responsabilité par contrat. Le contrat doit prévoir : qui produit l'annexe IV, qui signe la déclaration UE, qui assume la surveillance post-marché.
La grille de qualification IAPRO en 7 questions
Sur nos audits, nous appliquons cette grille de 7 questions pour qualifier chaque système :
Le système est-il développé en interne ou acquis ?
Si acquis, le système est-il mis sur le marché par un tiers sous son nom ?
Le système subit-il une modification substantielle (fine-tuning, intégration profonde, dérivation) ?
Le système est-il rebrandé / repackagé sous notre nom ?
Le système change-t-il de finalité par rapport à l'usage initial ?
Le système est-il listé haut risque (annexe III) ou intégré dans un produit annexe I ?
Y a-t-il un contrat fournisseur définissant clairement l'allocation des obligations ?
Selon les réponses, qualification claire fournisseur ou déployeur avec documentation des choix. Durée : 1-2 jours-consultants par système.
La bascule déployeur → fournisseur — pièges
Piège n°1 — Le fine-tuning « invisible »
Le fine-tuning sur 500-2000 exemples métier est devenu trivial techniquement. Beaucoup de PME le font sans réaliser qu'elles deviennent fournisseur si le système final est haut risque.
Piège n°2 — Le RAG = pas une modification substantielle
À l'inverse, l'ajout d'un RAG sur documents internes n'est généralement pas une modification substantielle au sens art. 25. La PME reste déployeur.
Piège n°3 — Le rebranding du SaaS
Apposer le logo de l'entreprise sur un chatbot SaaS = peut suffire à basculer en fournisseur si le système est haut risque. Lire les CGU du SaaS avant rebranding.
Piège n°4 — La sous-traitance bidirectionnelle
Si un sous-traitant développe pour vous un système et le met sur le marché sous son nom, il est fournisseur. Si vous le commercialisez sous votre nom, vous devenez fournisseur. Documenter en amont.
Les obligations de chaque rôle — synthèse
Obligation
Fournisseur (haut risque)
Déployeur (haut risque)
Documentation annexe IV
Oui
Reception (lecture)
Déclaration UE de conformité
Oui (signée par fournisseur)
N/A
Marquage CE (si produit)
Oui
N/A
Système gestion risques (art. 9)
Oui
Partage avec fournisseur
Qualité données (art. 10)
Oui
Information au fournisseur
Documentation technique (art. 11)
Oui
Conservation
Journaux automatiques (art. 12)
Oui (capacité)
Tenue (déployeur)
Transparence (art. 13)
Oui (notice usage)
Information utilisateur
Supervision humaine (art. 14)
Conception du système
Mise en œuvre opérationnelle
Exactitude / robustesse (art. 15)
Oui
Surveillance opérationnelle
Système qualité (art. 17)
Oui
N/A
Conservation documentation
10 ans
Pendant durée d'usage
Surveillance post-marché (art. 72)
Oui
Information au fournisseur
Signalement incidents (art. 73)
15 jours (72h droits fondamentaux)
Au fournisseur ET autorité
FRIA (art. 27)
N/A
Oui sur haut risque
Plan article 4
Oui (équipes internes)
Oui (équipes internes)
Pour un panorama complet, voyez notre hub AI Act.
Le coût économique de la qualification
Pour une PME devenant fournisseur de haut risque alors qu'elle se croyait simple déployeur :
Annexe IV first time : 25 000 à 60 000 € HT.
Évaluation de conformité interne : 15 000 à 30 000 € HT.
Surveillance post-marché continue : 6 000 à 15 000 €/an.
Mises à jour annexe IV : 4 000 à 10 000 €/an.
Pour une PME restant déployeur :
Plan article 4 : 8 000 à 18 000 € (cofinancé OPCO).
FRIA + AIPD consolidées : 6 000 à 12 000 € HT.
Audit fournisseurs : 3 000 à 8 000 € HT.
L'écart est massif : x4 à x5 sur les coûts annuels. Qualifier juste, c'est économiser ou provisionner correctement. Voir notre calculateur ROI IA.
Les contrats fournisseurs IA — clauses indispensables
Quand vous êtes déployeur, votre contrat fournisseur doit prévoir :
Engagement de conformité AI Act du fournisseur.
Communication de l'annexe IV à la demande.
Engagement de signalement incident grave dans les 15 jours au déployeur.
Allocation claire des responsabilités en cas de sanction.
Droit d'audit annuel ou en cas de contrôle.
Clauses RGPD article 28 + clauses AI Act articulées.
Modalités de fin de vie du système (export des journaux, suppression des données).
Sans ces clauses, le déployeur supporte seul le risque opérationnel. Notre partenaire Regulia.fr propose des modèles de clauses standardisées.
Cas pratique — ETI services 350 salariés
Pour un cabinet de conseil 350 salariés CA 42 M€, audit de qualification IAPRO en novembre 2025 :
12 systèmes IA identifiés.
10 systèmes en déployeur strict (ChatGPT Enterprise, Notion AI, Otter, etc.).
2 systèmes en fournisseur car fine-tunés en interne pour la pratique métier (un assistant rédaction de notes de cadrage et un outil de structuration de rapports clients).
Conséquence : constitution d'annexe IV pour les 2 systèmes fine-tunés, soit ~110 pages chacun, livré en 12 semaines, budget 48 000 € HT cofinancé à 35 % par Bpifrance Diag Data IA. Si le cabinet ne s'était pas qualifié correctement, exposition théorique 42 M€ × 3 % = 1,26 M€.
FAQ — Fournisseur vs déployeur AI Act
Le fine-tuning d'un LLM open source me rend-il fournisseur ?
Oui dans la grande majorité des cas, surtout si le résultat est destiné à un cas d'usage haut risque (annexe III) ou commercialisé. Le fine-tuning modifie le système au sens de l'article 25 et crée un système dérivé dont vous devenez fournisseur. Exception : un fine-tuning très léger sur un cas d'usage non haut risque, à usage strictement interne, peut rester en zone déployeur — mais documenter le choix.
L'ajout d'un RAG est-il une modification substantielle ?
Généralement non. Le RAG (Retrieval Augmented Generation) ajoute un contexte documentaire à un modèle sans modifier ses paramètres. La doctrine émergente considère que ce n'est pas une modification substantielle au sens art. 25. Le déployeur reste déployeur. Cependant, si le RAG transforme la finalité (par exemple, transforme un modèle générique en outil de scoring), bascule possible.
Rebrander un SaaS me rend-il fournisseur ?
Si le SaaS est haut risque, oui — l'article 25(1)(a) prévoit explicitement ce cas. Apposer son nom ou sa marque sur un système haut risque mis sur le marché par un tiers fait de vous fournisseur. Vous reprenez alors l'ensemble des obligations fournisseur (annexe IV, déclaration UE, surveillance post-marché). Lire les CGU du SaaS avant tout rebranding.
Un consultant IT qui intègre un système IA pour un client est-il fournisseur ?
Cela dépend du contrat. Si le consultant développe le système et le met sur le marché sous son nom (typiquement vend des licences), il est fournisseur. Si le consultant développe pour le compte du client qui met le système en service sous son propre nom, le client est fournisseur. La rédaction contractuelle est décisive. Documentez-la explicitement.
Une collectivité publique peut-elle être fournisseur ?
Oui. Le règlement ne distingue pas selon la nature publique ou privée. Une collectivité qui développe en interne un système d'IA et le met en service sous son nom devient fournisseur, avec les mêmes obligations (annexe IV, etc.). Le secteur public est explicitement visé par les définitions de l'article 3.
Que faire si un fournisseur tiers refuse de communiquer son annexe IV ?
Le déployeur d'un système haut risque doit pouvoir produire l'annexe IV sur demande de l'autorité. Si le fournisseur refuse, options : (1) notifier formellement le fournisseur, (2) déclencher le droit d'audit contractuel, (3) en dernier ressort, suspendre l'usage et chercher une alternative. Conserver l'écrit montrant la diligence du déployeur.
Le mandataire est-il une obligation pour un fournisseur hors UE ?
Oui. Article 22 du règlement : un fournisseur établi hors UE qui met un système d'IA haut risque sur le marché européen doit désigner un mandataire établi dans l'Union, par mandat écrit. Le mandataire est responsable de la documentation, du dialogue avec les autorités et de la conservation des éléments. Sans mandataire, sanction art. 99.
Comment l'AI Act articule-t-il avec le marquage CE existant ?
Pour les systèmes intégrés dans des produits annexe I (dispositifs médicaux, machines, jouets…), le marquage CE intègre une évaluation AI Act conduite par un organisme notifié. La déclaration UE de conformité AI Act peut être combinée à la déclaration produit existante. Cette intégration sera précisée par les lignes directrices de l'AI Office en cours d'élaboration.
Quel est le délai de qualification dans un projet IA ?
Sur nos missions IAPRO, la qualification fournisseur/déployeur se fait en 1-2 jours-consultants au moment du cadrage du projet. Plus on attend, plus le coût d'ajustement est élevé (re-documentation, re-architecture, re-contrats). Idéal : intégrer la grille IAPRO dès la phase d'avant-projet, avec validation juridique par notre partenaire Regulia.fr.
Le déployeur peut-il être sanctionné pour un manquement fournisseur ?
Non — chaque rôle a ses propres obligations. Mais le déployeur peut être sanctionné pour ses propres manquements (supervision humaine, plan article 4, FRIA, journaux). Si le fournisseur est défaillant et que le déployeur s'appuie aveuglément sur cette défaillance, la responsabilité du déployeur peut être engagée (défaut de diligence). D'où l'importance des clauses contractuelles solides.
Pour aller plus loin avec IAPRO
Vous voulez qualifier précisément chacun de vos systèmes IA et constituer le dossier juridique correspondant (annexe IV si fournisseur, FRIA si déployeur) ? Notre formule Audit qualification + Dossier juridique se livre en 4 à 8 semaines, cofinancement Bpifrance Diag Data IA, revue juridique Regulia.fr incluse. Cadrage 30 minutes via le formulaire IAPRO.
Liens utiles
Hub AI Act IAPRO — analyses complètes
Hub aides publiques IA — financements Bpifrance, OPCO
Hub métiers réglementés — secteurs sensibles
