AI Act Register PilotObligations du déployeur : ce que l'AI Act impose à qui utilise l'IA
Déployeur : la définition exacte
L'article 3, point 4 du Règlement (UE) 2024/1689 définit le déployeur comme « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA, sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel ».
Trois éléments comptent. Utiliser : il n'est pas nécessaire d'avoir payé, un outil gratuit compte. Sous sa propre autorité : c'est vous qui décidez de la finalité et des modalités d'usage. Hors activité personnelle : l'usage professionnel, même par un salarié isolé, engage l'organisation.
Le corollaire est brutal : une entreprise dont trois collaborateurs utilisent un assistant d'IA générative sans que personne ne l'ait autorisé est déployeur de ce système. L'absence de décision formelle n'exonère pas ; elle empêche seulement de le savoir.
Le shadow AI est un risque de conformité, pas un sujet informatique. Les obligations naissent de l'usage réel. Une cartographie fondée sur les déclarations des équipes sous-estime systématiquement le parc. AI Act Register Pilot détecte localement, par nom de domaine, les outils d'IA effectivement ouverts, sans jamais lire le contenu des pages.
Déployeur vs fournisseur : le test en trois questions
Posez ces trois questions pour chaque système :
- Ai-je développé ce système, ou l'ai-je fait développer pour le mettre sur le marché sous mon nom ? Si oui → fournisseur.
- Ai-je apposé mon nom ou ma marque sur un système à haut risque déjà mis sur le marché ? Si oui → fournisseur (article 25 §1 a).
- Ai-je modifié substantiellement la finalité d'un système, ou le système lui-même, au point d'en changer la destination ? Si oui → fournisseur (article 25 §1 b et c).
Trois « non » : vous êtes déployeur. C'est le cas de l'écrasante majorité des organisations. Le régime est plus léger, mais il n'est pas vide — et l'exposition financière reste de 15 M€ ou 3 % du chiffre d'affaires mondial.
Les obligations de l'article 26, point par point
L'article 26 s'applique aux déployeurs de systèmes d'IA à haut risque (annexes I et III). Ce sont les obligations les plus lourdes du régime déployeur.
§1 — Utiliser conformément à la notice
Prendre les mesures techniques et organisationnelles appropriées pour garantir l'utilisation du système conformément à la notice d'utilisation fournie par le fournisseur. En clair : lire la notice, et documenter que les conditions d'usage prévues sont respectées.
§2 — Confier la supervision humaine à des personnes compétentes
La supervision humaine doit être confiée à des personnes physiques disposant de la compétence, de la formation et de l'autorité nécessaires, ainsi que du soutien requis. Nommer un « responsable » sans lui donner le pouvoir d'arrêter le système ne satisfait pas l'obligation.
§3 — Contrôler les données d'entrée
Lorsque le déployeur exerce un contrôle sur les données d'entrée, il veille à ce qu'elles soient pertinentes et suffisamment représentatives au regard de la destination du système. Un outil de scoring alimenté par un historique biaisé produit des décisions biaisées, et la responsabilité n'est plus seulement celle du fournisseur.
§4 — Surveiller et alerter
Surveiller le fonctionnement du système sur la base de la notice, et informer le fournisseur, le distributeur et l'autorité de surveillance du marché lorsqu'un risque au sens de l'article 79 est identifié. En cas d'incident grave, informer d'abord le fournisseur, puis l'importateur ou le distributeur et l'autorité compétente.
§5 — Conserver les journaux
Conserver les journaux générés automatiquement par le système, dans la mesure où ils sont sous son contrôle, pendant une période appropriée d'au moins six mois, sauf disposition contraire du droit de l'Union ou national.
§7 — Informer les représentants des travailleurs
Avant de mettre en service ou d'utiliser un système d'IA à haut risque sur le lieu de travail, les déployeurs employeurs informent les représentants des travailleurs et les travailleurs concernés qu'ils seront soumis à son utilisation. Cette obligation se cumule avec le droit social national ; en France, elle croise les prérogatives du CSE.
§9 — Analyse d'impact relative à la protection des données
Lorsque cela est pertinent, les déployeurs utilisent les informations fournies au titre de l'article 13 pour réaliser leur analyse d'impact relative à la protection des données (AIPD) au titre de l'article 35 du RGPD. Les deux exercices se nourrissent l'un l'autre : le registre des systèmes d'IA doit référencer l'AIPD correspondante.
§11 — Informer les personnes soumises à une décision
Les déployeurs de systèmes à haut risque visés à l'annexe III qui prennent des décisions ou aident à prendre des décisions concernant des personnes physiques informent ces personnes qu'elles sont soumises à l'utilisation d'un tel système. Combiné à l'article 86, la personne concernée peut obtenir une explication claire du rôle du système dans la décision.
Quand un déployeur devient fournisseur (article 25)
La bascule est le principal angle mort des programmes de conformité. Elle survient dans trois cas :
- vous apposez votre nom ou votre marque sur un système à haut risque déjà sur le marché ;
- vous apportez une modification substantielle à un système à haut risque déjà mis sur le marché, qui reste à haut risque ;
- vous modifiez la destination d'un système, y compris à usage général, de telle sorte qu'il devient un système à haut risque.
Le troisième cas est le plus insidieux. Brancher un modèle généraliste sur un processus de présélection de candidatures transforme un outil « minimal » en système à haut risque de l'annexe III, point 4 — et fait de vous son fournisseur. Vous héritez alors du chapitre III, section 2 : gestion des risques, gouvernance des données, documentation technique, évaluation de la conformité.
Le registre doit donc consigner, pour chaque ligne, la finalité réelle et un indicateur de bascule. C'est précisément l'alerte que produit AI Act Register Pilot lorsqu'une finalité déclarée croise l'annexe III.
Les obligations qui s'appliquent à tous les déployeurs
Même sans système à haut risque, trois obligations vous concernent.
Article 4 — maîtrise de l'IA. Applicable depuis le 2 février 2025. Les déployeurs prennent des mesures pour garantir un niveau suffisant de maîtrise de l'IA de leur personnel, compte tenu des connaissances techniques, de l'expérience, de la formation et du contexte d'utilisation. Une formation générique ne suffit pas : elle doit être calibrée sur les systèmes réellement utilisés — donc sur le registre.
Article 5 — pratiques interdites. Applicable depuis le 2 février 2025. Aucune notation sociale, aucune exploitation des vulnérabilités, aucune reconnaissance des émotions sur le lieu de travail ou dans l'enseignement (hors raisons médicales ou de sécurité), aucun moissonnage non ciblé d'images faciales.
Article 50 — transparence. Applicable le 2 août 2026. Informer les personnes exposées à une reconnaissance des émotions ou à une catégorisation biométrique ; divulguer les deepfakes et certains textes générés. Voir le guide de l'article 50.
S'ajoute, pour certains déployeurs — organismes de droit public, entités privées fournissant des services publics, et opérateurs évaluant la solvabilité ou tarifant l'assurance vie et santé — l'analyse d'impact sur les droits fondamentaux de l'article 27, à réaliser avant la première utilisation d'un système à haut risque de l'annexe III.
Sanctions et calendrier
| Manquement | Plafond (art. 99) |
|---|---|
| Pratique interdite (art. 5) | 35 M€ ou 7 % du CA mondial |
| Obligations du déployeur (art. 26), transparence (art. 50), autres obligations | 15 M€ ou 3 % du CA mondial |
| Informations inexactes ou trompeuses aux autorités | 7,5 M€ ou 1 % du CA mondial |
Le montant retenu est le plus élevé entre la somme fixe et le pourcentage ; pour les PME et les jeunes pousses, c'est le plus faible. Le calendrier : article 5 et article 4 depuis le 2 février 2025, GPAI depuis le 2 août 2025, régime général et article 50 le 2 août 2026, haut risque de l'annexe I le 2 août 2027.
Checklist actionnable
- Cartographier les systèmes d'IA réellement utilisés, y compris ceux qu'aucune direction n'a validés.
- Qualifier le rôle ligne par ligne avec le test en trois questions ; signaler les bascules potentielles vers le statut de fournisseur.
- Isoler les systèmes à haut risque et appliquer l'article 26 : notice, supervision humaine compétente, journaux six mois minimum, surveillance, information des travailleurs.
- Vérifier l'absence de pratique interdite (article 5), en particulier la reconnaissance des émotions au travail.
- Préparer les mentions de transparence pour le 2 août 2026.
- Former les équipes sur les systèmes qu'elles utilisent réellement (article 4) et conserver la preuve de la formation.
- Relier chaque ligne à son AIPD RGPD lorsque des données personnelles sont traitées.
- Horodater et archiver chaque revue du registre : c'est l'historique, pas le fichier courant, qui prouve la diligence.
Ce que fait l'extension. Détection locale des outils d'IA par domaine, pré-remplissage du registre, suggestion du rôle et du niveau de risque, alerte de bascule déployeur → fournisseur, rappels de revue, historique horodaté et attestation de tenue à jour. Aucune donnée ne quitte votre navigateur.
Recevoir le modèle de registre
Modèle de registre des systèmes d'IA (XLSX + CSV)
Colonnes rôle, niveau de risque, base annexe III, obligations, date de revue.
Pour aller plus loin
Ce contenu est fourni à titre informatif. Il reflète l'état du Règlement (UE) 2024/1689 à la date de mise à jour et ne constitue pas un conseil juridique.