Conformité · 14 août 2026

Depuis le 2 août 2026, une PME qui place un chatbot sur son site est un déployeur au sens de l’AI Act. Elle doit informer les utilisateurs qu’ils parlent à une IA, sauf si c’est évident. Cette phrase, simple, tranche un malentendu tenace: « c’est l’éditeur du modèle qui est responsable ». Non. Le fournisseur et le déployeur ont des obligations distinctes. Les confondre, c’est signer un contrat d’intégration en croyant transférer un risque que le règlement laisse chez vous.

Les deux rôles, tels que le texte les pose

Le fournisseur met un système d’IA sur le marché ou en service sous son nom. C’est, schématiquement, l’éditeur du modèle ou de la solution packagée. Le Bureau de l’IA peut enquêter sur les fournisseurs de modèles à usage général depuis le 2 août 2026. Environ 190 organisations ont signé un code de transparence volontaire (liste du 31 juillet), parmi lesquelles Anthropic, Google, Meta, Microsoft, Mistral et OpenAI côté fournisseurs. Ce code ne redéfinit pas votre rôle.

Le déployeur utilise un système d’IA sous son autorité. Une TPE qui active un agent sur son site, dans sa messagerie interne ou sur un bornage d’accueil est déployeur, même si elle n’a écrit aucune ligne de modèle. L’article 4 sur la littératie IA s’applique aux deux depuis le 2 février 2025: fournisseurs et déployeurs. Vous ne pouvez pas dire « on a juste branché l’API » pour échapper à l’obligation de compétence minimale de vos équipes.

Il existe des cas limites. Si vous prenez un modèle, que vous le fine-tunez, que vous le marquez à votre nom et que vous le revendez à d’autres entreprises, vous pouvez basculer fournisseur. Si vous n’êtes qu’utilisateur d’un SaaS, vous restez déployeur. Le contrat commercial ne tranche pas à lui seul: c’est l’opération réelle qui compte.

Ce que cela change le jour où vous installez un agent « chez vous »

Installer, ici, veut dire: un widget sur le site, un agent dans la messagerie, une box dans l’atelier, un copilote dans l’ERP. Dans tous ces cas, vos clients ou vos salariés parlent à un système que vous avez choisi, paramétré, connecté à vos données. L’article 50 vous impose d’informer sur la nature de l’interlocuteur. Les contenus synthétiques que vous publiez sous votre marque relèvent aussi de vous, y compris le marquage machine (avec un délai au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août) et l’étiquette visible des deepfakes professionnels.

Le fournisseur, de son côté, peut intégrer un filigrane (Anthropic a annoncé un filigrane textuel invisible dans les modèles Claude à compter du 2 août; le détecteur n’est pas encore public) ou un marquage d’image et d’audio (SynthID chez OpenAI, C2PA). Ces briques aident. Elles ne rédigent pas votre bandeau d’accueil, ne choisissent pas vos bases documentaires, ne décident pas si un devis part sans relecture.

Les amendes du volet transparence vont jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Les pratiques interdites, déjà sanctionnables, vont jusqu’à 35 millions d’euros ou 7 %. Un déployeur de TPE n’est pas le premier visé par une enquête du Bureau de l’IA sur un modèle de fondation. Il est le premier visé par son client, son salarié et son assureur.

Cinq questions à trancher avant la mise en production

Qui affiche quoi, où. Le bandeau « vous parlez à une IA » est une obligation de déployeur. Exigez que l’intégrateur le rende non désactivable par un stagiaire pressé.
Qui est responsable des données branchées. Un agent connecté au dossier client, aux mails, aux plans de chantier: vous restez responsable du périmètre. Un audit de conformité RGPD clarifie finalité, base légale et transfert, y compris si le fournisseur est hors UE.
Où tourne le système. Cloud du fournisseur ou box locale Synapse: le rôle de déployeur ne disparaît pas. En local, vous gagnez en maîtrise des flux; vous assumez davantage l’exploitation. En cloud, vous restez déployeur et vous ajoutez un sous-traitant.
Qui forme les utilisateurs internes. L’article 4 ne s’arrête pas à l’éditeur. La personne qui valide les réponses, qui alimente la base, qui coupe le filtre, doit savoir ce qu’elle fait.
Qui parle en cas d’incident. Hallucination tarifaire, fuite de document, deepfake signé de votre charte: prévoyez qui répond au client. Le fournisseur corrigera peut-être le modèle. C’est votre numéro que le client appellera.

Intégrateur, éditeur, client: trois contrats, un règlement

Beaucoup de PME achètent un agent via un intégrateur local. L’intégrateur n’efface pas votre qualité de déployeur. Il peut, contractuellement, s’engager à configurer l’affichage, le journal des conversations, le cloisonnement des données. Faites-le écrire. Ne vous contentez pas d’une slide « conforme AI Act ».

Si vous êtes vous-même intégrateur (vous posez des agents chez vos clients), vous pouvez cumuler les casquettes: déployeur sur votre propre site, et, selon le montage, fournisseur ou mandataire pour le client. C’est précisément le cas où un cadrage sérieux évite de signer des engagements que vous ne tenez pas.

Ce que nous posons avec les TPE et PME

Cybernecs conçoit des solutions d’agents IA en nommant le rôle de chacun: ce que fait le modèle, ce que fait la box ou le cloud, ce que fait le dirigeant, ce que font les salariés. Patrick Dajan Mouelle, dirigeant de l’entreprise, refuse les formules du type « l’IA s’occupe de la conformité ». L’IA n’est pas le déployeur. Vous l’êtes.

Pour une revue de rôle (contrat, affichage, données, formation) avant ou après installation, passez par la page contact. L’objectif est un partage de responsabilités lisible, pas une clause magique.

Sources: règlement sur l’intelligence artificielle (AI Act), Touteleurope, L’Express.