Fournisseur, déployeur, importateur : les rôles de l'AI Act

Le règlement appelle opérateurs l'ensemble des acteurs de la chaîne : fournisseur, fabricant de produit, déployeur, mandataire, importateur et distributeur. Leurs définitions sont à l'article 3 :

Deux notions comptent pour savoir qui est fournisseur. La mise sur le marché est la première mise à disposition d'un système dans l'Union. La mise en service est la fourniture d'un système pour un premier usage, directement au déployeur, ou pour usage propre : une entreprise qui développe un système et l'utilise elle-même en est donc le fournisseur, même si elle ne le vend à personne.

Les obligations du déployeur d'un système à haut risque

L'article 26 fixe ce que doit faire l'organisation qui utilise un système à haut risque. Notre article AI Act : les obligations des entreprises qui utilisent l'IA les détaille ; en résumé :

• prendre des mesures techniques et organisationnelles pour utiliser le système conformément à la notice du fournisseur ;
• confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires, et leur donner les moyens d'agir ;
• veiller, dans la mesure où il les maîtrise, à ce que les données d'entrée soient pertinentes et suffisamment représentatives au regard de la destination ;
• surveiller le fonctionnement ; s'il estime que le système présente un risque, prévenir sans délai le fournisseur ou le distributeur et l'autorité de surveillance du marché, et suspendre l'utilisation ; en cas d'incident grave, informer immédiatement le fournisseur, puis l'importateur ou le distributeur et les autorités ;
• conserver les journaux générés automatiquement qu'il contrôle pendant une durée adaptée, d'au moins six mois ;
• en tant qu'employeur, informer les représentants du personnel et les salariés concernés avant de mettre en service ou d'utiliser le système sur le lieu de travail ;
• pour les systèmes de l'annexe III qui prennent des décisions concernant des personnes ou aident à les prendre, informer ces personnes qu'elles sont soumises à un tel système ;
• utiliser les informations de la notice pour réaliser, le cas échéant, l'analyse d'impact relative à la protection des données (AIPD) prévue par le RGPD ;
• coopérer avec les autorités compétentes.

Deux obligations complètent ce socle. L'analyse d'impact sur les droits fondamentaux de l'article 27 ne vise que les organismes de droit public, les entités privées qui fournissent des services publics, et les déployeurs qui évaluent la solvabilité ou tarifient l'assurance vie et santé (annexe III, point 5 b et c) ; elle peut renvoyer à l'AIPD quand celle-ci couvre déjà les mêmes points. Et toute personne visée par une décision prise sur la base d'un système de l'annexe III, qui produit des effets juridiques ou l'affecte de manière significative, peut demander au déployeur des explications claires sur le rôle du système et les principaux éléments de la décision (article 86).

Un distributeur, un importateur, un déployeur ou un autre tiers est considéré comme fournisseur d'un système à haut risque, avec toutes les obligations de l'article 16, dans trois cas :

1. il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché ou en service (un contrat peut toutefois répartir autrement les obligations) ;
2. il apporte une modification substantielle à un système à haut risque, qui reste à haut risque ;
3. il modifie la destination d'un système qui n'était pas à haut risque, y compris un système d'IA à usage général, de sorte qu'il le devient.

Le fournisseur initial n'est alors plus considéré comme le fournisseur de ce système, mais il doit coopérer avec le nouveau : documentation technique, limites et modes de défaillance connus, accès technique pour les essais, sauf s'il avait clairement exclu la transformation de son système en système à haut risque. L'article 25 impose aussi au fournisseur d'un système à haut risque de conclure un accord écrit avec les tiers qui lui fournissent des outils, services, composants ou modèles intégrés, pour obtenir les informations et l'assistance nécessaires.