Loi européenne sur l'IA
Qui doit se conformer aux règles de transparence de la Loi européenne sur l'IA
Vous devez vous conformer à la Loi européenne sur l’IA si l’une de trois choses est vraie : vous mettez un système d’IA sur le marché de l’UE (peu importe où vous êtes établi), vous êtes établi ou situé dans l’UE et utilisez un système d’IA professionnellement, ou vous êtes situé n’importe où et la sortie produite par votre système d’IA est utilisée dans l’UE. Les obligations que vous devez dépendent ensuite de votre rôle : les fournisseurs (qui construisent le système ou l’offrent sous leur propre nom) doivent le marquage lisible par machine et la transparence des robots conversationnels de l’Article 50, tandis que les déployeurs (qui utilisent un système sous leur autorité dans un contexte professionnel) doivent la divulgation des hypertrucages et des textes d’intérêt public. La même entreprise est souvent les deux.
Cette page est le qualificateur : parcourez-la pour déterminer si les obligations de l’Article 50 s’attachent à vous, et à quel titre.
Les deux rôles : fournisseur et déployeur
La Loi sur l’IA fait reposer presque toutes les obligations sur deux rôles définis à l’Article 3.
Un fournisseur (Article 3(3)) est une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe un système d’IA ou un modèle d’IA à usage général, ou qui en fait développer un, et le met sur le marché ou le met en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit.
Un déployeur (Article 3(4)) est une personne physique ou morale, une autorité publique, une agence ou tout autre organisme utilisant un système d’IA sous son autorité, sauf lorsque le système d’IA est utilisé dans le cadre d’une activité personnelle et non professionnelle.
Trois conséquences de ces définitions prennent les entreprises au dépourvu.
« Sous son propre nom ou sa propre marque » fait des intégrateurs des fournisseurs. Vous n’avez pas entraîné le modèle. Vous appelez un modèle à usage général via une API, l’intégrez dans votre produit et vendez le produit sous votre marque. Pour vos utilisateurs et pour le régulateur, le système d’IA avec lequel ils interagissent est le vôtre : vous en êtes le fournisseur. Le fournisseur du modèle en amont a ses propres obligations au niveau du modèle, mais cela ne vous libère pas des vôtres au niveau du système. Le Considérant 133 anticipe explicitement cet empilement, notant que les techniques de marquage « peuvent être mises en œuvre au niveau du système d’IA ou au niveau du modèle d’IA », de sorte qu’un filigrane au niveau du modèle dont vous héritez peut vous aider à remplir l’obligation; vérifier qu’il est réellement présent et préservé dans votre pipeline demeure votre travail (consultez ce que la conformité en matière de filigranage exige).
« À titre gratuit » ferme l’échappatoire du palier gratuit. Offrir le système gratuitement, en bêta ou en accès libre reste une mise sur le marché.
« Personnel, non professionnel » est la seule exception d’usage. L’Article 2(10) exclut les particuliers utilisant l’IA à titre privé. Tout usage commercial, par une entreprise de toute taille, est un déploiement.
L’arbre de décision
Parcourez quatre questions pour chaque produit ou usage de l’IA dans votre organisation.
1. Un système d’IA génère-t-il du contenu synthétique, interagit-il avec des personnes ou lit-il des personnes, quelque part dans vos opérations? Si aucun système ne génère d’audio, d’image, de vidéo ou de texte, qu’aucun ne converse avec des utilisateurs et qu’aucun ne fait de reconnaissance des émotions ou de catégorisation biométrique, l’Article 50 ne s’applique pas (d’autres parties de la Loi peuvent s’appliquer). Si oui, continuez.
2. Offrez-vous ce système à d’autres sous votre nom, ou ne faites-vous que l’utiliser? Vous l’offrez (le vendez, l’octroyez sous licence, l’exposez comme produit ou fonctionnalité, même gratuitement) : vous êtes un fournisseur. Vous utilisez le système d’un tiers dans votre entreprise (l’équipe marketing génère des vidéos de campagne, le soutien exploite le robot conversationnel d’un fournisseur externe) : vous êtes un déployeur. Vous construisez votre propre outil et l’utilisez uniquement à l’interne : le mettre en service pour votre propre usage sous votre propre nom fait quand même de vous un fournisseur, et vous pouvez simultanément en être le déployeur.
3. Y a-t-il un lien avec l’UE? Un seul suffit :
- Vous mettez le système sur le marché ou le mettez en service dans l’Union, peu importe où vous êtes établi (Article 2(1)(a)).
- Vous êtes un déployeur ayant un lieu d’établissement ou une localisation dans l’Union (Article 2(1)(b)).
- Vous êtes un fournisseur ou déployeur dans un pays tiers, et la sortie produite par le système d’IA est utilisée dans l’Union (Article 2(1)(c)).
4. Quelles obligations en découlent?
| Votre rôle | Vos obligations selon l’Article 50 |
|---|---|
| Fournisseur d’un système qui interagit avec des personnes | Le concevoir pour que les gens sachent que c’est une IA (Art. 50(1)) |
| Fournisseur d’un système générant de l’audio, des images, de la vidéo ou du texte | Marquage lisible par machine de toutes les sorties synthétiques (Art. 50(2)); consultez les exigences d’ingénierie |
| Déployeur de reconnaissance des émotions ou de catégorisation biométrique | Informer les personnes exposées (Art. 50(3)) |
| Déployeur générant ou manipulant du contenu hypertruqué | Divulgation visible qu’il est généré ou manipulé artificiellement (Art. 50(4)); consultez les schémas d’étiquetage |
| Déployeur publiant du texte IA pour informer le public sur des questions d’intérêt public | Divulgation, sauf révision humaine plus responsabilité éditoriale (Art. 50(4)) |
La portée extraterritoriale, concrètement
L’article sur le champ d’application, l’Article 2, est construit pour empêcher exactement l’arbitrage qu’une entreprise hors UE pourrait espérer. Deux de ses volets font le travail.
Article 2(1)(a) : l’accès au marché, pas l’établissement. Les fournisseurs mettant des systèmes d’IA sur le marché dans l’Union sont couverts « que ces fournisseurs soient établis ou situés dans l’Union ou dans un pays tiers ». Si des utilisateurs de l’UE peuvent s’inscrire à votre SaaS génératif, vous l’avez mis sur le marché de l’Union. C’est la même architecture réglementaire que celle du RGPD, et c’est pourquoi « nous n’avons pas d’entité dans l’UE » n’est plus une défense en réglementation numérique européenne depuis des années.
Article 2(1)(c) : la sortie utilisée dans l’Union. Les fournisseurs et déployeurs situés dans un pays tiers sont couverts « lorsque la sortie produite par le système d’IA est utilisée dans l’Union ». Ce volet atteint des arrangements où le système lui-même ne touche jamais l’Europe. Une agence canadienne qui génère une vidéo synthétique que son client diffuse ensuite dans une campagne publicitaire de l’UE; une firme d’analyse américaine dont les rapports de marché écrits par IA sont distribués à des abonnés de l’UE : dans les deux cas, la sortie traverse vers l’Union, et la Loi la suit.
Exemples concrets
| Scénario | Rôle | Visé? | Pourquoi |
|---|---|---|---|
| SaaS américain offrant un générateur d’images IA, les utilisateurs de l’UE peuvent s’abonner | Fournisseur | Oui | Mise sur le marché de l’Union, Art. 2(1)(a) |
| Entreprise canadienne utilisant un outil d’IA américain pour faire des vidéos montrées à des publics de l’UE | Déployeur | Oui | Sortie utilisée dans l’Union, Art. 2(1)(c) |
| Détaillant français exploitant le robot conversationnel de soutien d’un fournisseur externe | Déployeur (le fournisseur externe est le fournisseur) | Oui | Établi dans l’Union, Art. 2(1)(b) |
| Jeune entreprise allemande intégrant l’API d’un modèle à usage général dans sa propre application d’écriture de marque | Fournisseur | Oui | Propre nom ou marque, Art. 3(3) |
| Éditeur américain dont l’infolettre générée par IA n’a aucune distribution dans l’UE et bloque les inscriptions de l’UE | L’un ou l’autre | Généralement non | Aucune mise sur le marché de l’UE et aucune sortie utilisée dans l’Union; la position ne tient que tant que le géoblocage tient |
| Particulier faisant un mème IA pour des amis | Ni l’un ni l’autre | Non | Activité personnelle, non professionnelle, Art. 2(10) |
Le dernier « non » mérite que sa réserve soit énoncée : le champ d’application dépend de l’endroit où la sortie est utilisée, pas de vos intentions. La distribution a tendance à fuir à travers les frontières, ce qui explique pourquoi la plupart des produits mondiaux choisissent de se conformer une fois, partout, plutôt que de maintenir un pipeline de contenu spécifique à l’UE.
Les deux rôles à la fois, et le basculement de rôle
Les organisations réelles se situent rarement proprement d’un seul côté. Une entreprise médiatique qui construit un générateur d’articles à l’interne (fournisseur, obligation de marquage) et publie ses sorties (déployeur, obligation de divulgation pour les textes d’intérêt public) doit les deux ensembles. Un éditeur de logiciels est fournisseur de son produit et déployeur des outils d’IA que son propre personnel utilise.
Notez aussi qu’en vertu de l’Article 25, un déployeur ou un distributeur peut devenir le fournisseur d’un système à haut risque en le rebaptisant ou en le modifiant substantiellement. L’Article 25 est écrit pour le chapitre des systèmes à haut risque, mais la leçon commerciale se généralise aux obligations de transparence : apposer votre marque sur un système d’IA vous fait monter dans la chaîne de responsabilité, parce qu’en vertu de l’Article 3(3), offrir un système sous votre propre nom est ce qui fait un fournisseur.
Ce qu’être visé exige concrètement
Pour la plupart des entreprises qui lisent ceci, la réponse se résout en l’une de trois postures :
- Fournisseur de fonctionnalités génératives : mettre en place le marquage lisible par machine pour chaque modalité de sortie d’ici votre date applicable (2 août 2026, ou 2 décembre 2026 pour les systèmes sur le marché avant le 2 août 2026), plus la transparence des robots conversationnels si le système converse. La construction est spécifiée dans le filigranage selon la Loi européenne sur l’IA.
- Déployeur de contenu génératif : mettre en place le flux de travail d’étiquetage pour les hypertrucages et les textes d’intérêt public, selon les exigences de divulgation.
- Les deux : mener les deux chantiers ensemble, les données de provenance créées par la couche de marquage alimentant les étiquettes que la couche de divulgation affiche.
Se tromper dans la détermination du rôle n’est pas un détail technique : les violations de l’Article 50 entraînent des amendes pouvant atteindre 15 millions d’euros ou 3 pour cent du chiffre d’affaires annuel mondial total en vertu de l’Article 99(4), et la carte complète des obligations, l’échéancier et la structure des sanctions se trouvent sur la page de référence de l’Article 50.
L’avertissement habituel s’applique avec une force particulière sur une question de délimitation : ceci est une orientation, pas un avis juridique, et les cas limites (comarquage, marque blanche, partage d’outils intragroupe) dépendent de détails contractuels et factuels qui relèvent d’un conseiller juridique qualifié en droit de l’UE.
Une fois que vous savez de quel côté de la ligne vous êtes, Webisoft construit la machinerie de conformité elle-même : l’infrastructure de filigranage, de provenance et d’étiquetage dont les fournisseurs et les déployeurs ont besoin en production avant les échéances.
Questions fréquentes
Nous sommes une entreprise américaine sans bureau dans l'UE. La Loi européenne sur l'IA s'applique-t-elle à nous?
Elle le peut, pour deux motifs indépendants. Si vous offrez votre système d'IA à des utilisateurs dans l'UE, vous le mettez sur le marché de l'Union et êtes couvert comme fournisseur, peu importe où vous êtes établi (Article 2(1)(a)). Et même sans l'y offrir, si la sortie que votre système produit est utilisée dans l'UE, l'Article 2(1)(c) vous fait entrer dans le champ d'application. La présence physique n'est pas le critère.
Nous appelons seulement l'API d'OpenAI ou d'Anthropic. Sommes-nous fournisseur ou déployeur?
Utiliser un modèle via une API dans votre propre produit fait typiquement de vous le fournisseur du système d'IA résultant si vous offrez ce produit sous votre propre nom ou marque : vos clients interagissent avec votre système, pas avec le modèle en amont. Si vous utilisez simplement un outil d'IA à l'interne dans vos opérations, vous êtes un déployeur. Beaucoup d'entreprises sont les deux, pour des produits différents.
L'usage personnel, non professionnel, compte-t-il?
Non. La Loi sur l'IA ne s'applique pas aux personnes physiques utilisant des systèmes d'IA dans le cadre d'une activité purement personnelle et non professionnelle (Article 2(10)). Un particulier qui fait un mème hypertruqué pour un clavardage de groupe est en dehors de la Loi, bien que les règles des plateformes et d'autres lois s'appliquent toujours.