Fournisseur : Fournisseur (« provider »), au sens du règlement (UE) 2024/1689 sur l'intelligence artificielle
IA
Dans l'AI Act (article 3, point 3), personne physique ou morale, autorité publique ou autre organisme qui développe ou fait développer un système d'IA ou un modèle d'IA à usage général, puis le met sur le marché ou en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit. Pendant du déployeur, c'est l'opérateur qui porte le gros des obligations du règlement.
Critère décisif : Peu importe qui écrit le code : on devient fournisseur dès qu'on fait développer le système et qu'on le diffuse sous son nom ou sa marque. La gratuité n'exonère de rien ; un modèle offert reste un modèle mis sur le marché.
Les autres opérateurs : Le déployeur utilise le système sous sa propre autorité ; le mandataire représente dans l'Union un fournisseur établi hors de l'Union ; l'importateur introduit dans l'Union un système portant le nom d'un fournisseur établi ailleurs ; le distributeur le met à disposition sans en être ni le fournisseur ni l'importateur. Chacun a ses obligations, plus légères que celles du fournisseur.
Bascule de rôle : Pour les systèmes à haut risque, l'article 25 requalifie en fournisseur le distributeur, l'importateur ou le déployeur qui appose son nom, modifie substantiellement le système ou en change la destination au point de le rendre à haut risque. Le statut de fournisseur ne se négocie pas dans un contrat, il se constate, ce qui déçoit régulièrement les clauses rédigées pour l'éviter.
Sens général : Hors AI Act, le fournisseur désigne un prestataire ou un tiers de la chaîne d'approvisionnement logicielle, dont le risque est encadré par NIS 2 (sécurité de la chaîne d'approvisionnement) et DORA (risque lié aux prestataires tiers de services numériques). Rien à voir avec le FAI, qui a sa propre fiche.
Ce qui arrive si on s'en passe
Sans fournisseur identifié, les obligations que l'AI Act fait peser sur cet opérateur ne reposent sur personne : pour un système à haut risque, aucune évaluation de conformité, aucune documentation technique, aucun système de gestion des risques ni aucune surveillance après commercialisation n'est assuré. Les incidents graves ne sont signalés à aucune autorité, faute de responsable désigné pour le faire, et le déployeur ne reçoit pas la notice d'utilisation dont dépend son propre contrôle humain. La traçabilité se perd aussi : quand aucun nom ni aucune marque n'est rattaché au système, il devient impossible de savoir qui l'a conçu ou modifié. Le rôle ne disparaît pas pour autant. Selon l'article 25, un déployeur qui appose son nom sur un système à haut risque ou qui le modifie substantiellement devient fournisseur, et il hérite alors d'obligations qu'il n'a pas organisées.
Explication de la marmotte
Imagine une entreprise qui crée un robot de cuisine intelligent et le vend sous sa marque. C'est elle le « fournisseur » : celle qui fabrique le produit, ou le fait fabriquer par d'autres, puis le propose au public avec son nom dessus, même gratuitement. En Europe, une loi sur l'intelligence artificielle lui confie la plus grosse part des responsabilités : vérifier que son programme ne présente pas de danger, expliquer comment s'en servir, corriger les problèmes. Le magasin qui revend le robot ou le restaurant qui l'utilise ont aussi des devoirs, mais plus légers. Attention quand même : si le restaurant transforme fortement le robot ou colle son propre logo dessus, c'est lui qui devient le fournisseur.
Où ce terme est utilisé
- AI Act : fournisseur, déployeur, importateur et requalification en fournisseur (55 occurrences)
- Cloud IaaS, PaaS, SaaS et modèles de déploiement, qui sécurise quoi (48 occurrences)
- AI Act : mandataire, importateur et distributeur d'une IA à haut risque (articles 22 à 24) (45 occurrences)
- AI Act : enregistrement dans la base de données de l'UE (articles 49 et 71) (38 occurrences)
- Ce que « hébergé en France » garantit (38 occurrences)
- AI Act : transparence des chatbots, hypertrucages et contenus générés (article 50) (31 occurrences)
- Comment auditer la responsabilité partagée cloud (29 occurrences)
- AI Act : obligations du fournisseur d'un modèle d'IA à usage général (article 53, annexes XI et XII) (27 occurrences)
- AI Act : normes harmonisées et organismes notifiés (articles 28 à 41) (26 occurrences)
- AI Act : obligations du déployeur d'une IA à haut risque (article 26) (26 occurrences)