Votre fournisseur d'IA est-il en règle ?
Depuis le 2 août 2025, les fournisseurs de modèles d'IA à usage général ont des obligations documentaires précises. Depuis le 2 août 2026, les autorités ont les moyens de les contrôler. Voici les quatre documents à réclamer, et ce qu'ils doivent contenir.
Qui doit quoi, en une minute
L'AI Act distingue deux rôles. Le fournisseur est celui qui met le modèle ou le système sur le marché. Le déployeur, c'est vous, l'entreprise qui l'utilise dans son activité.
Ces deux rôles ont des obligations différentes, et elles ne se transfèrent pas. Vous n'êtes pas responsable de la documentation technique d'un modèle que vous n'avez pas construit. En revanche, vous êtes responsable de la manière dont vous l'utilisez, et vous devez pouvoir en rendre compte.
Le point de jonction est là : pour justifier vos propres choix, vous avez besoin d'informations que seul le fournisseur détient. C'est précisément ce que l'AI Act l'oblige à vous transmettre.
Les quatre documents à réclamer
Depuis le 2 août 2025, tout fournisseur d'un modèle d'IA à usage général (les grands modèles de langage entrent dans cette catégorie) doit produire quatre choses.
| Document | Ce qu'il doit contenir |
|---|---|
| Documentation technique du modèle | Description du modèle, de son processus d'entraînement, de ses évaluations, tenue à jour |
| Information aux intégrateurs | Capacités, limites connues, usages pour lesquels le modèle n'est pas adapté |
| Politique de respect du droit d'auteur | Comment le fournisseur respecte le droit d'auteur européen, notamment les réserves d'exploitation |
| Résumé des données d'entraînement | Un résumé suffisamment détaillé des contenus utilisés pour entraîner le modèle, rendu public |
Les grands fournisseurs publient généralement ces éléments sur leur site. Le travail consiste à les retrouver, à vérifier qu'ils sont à jour, et à en conserver une copie datée dans votre dossier de conformité.
Les questions à poser à un intégrateur ou à un éditeur métier
Beaucoup d'entreprises n'utilisent pas un modèle directement, mais un logiciel métier qui en embarque un : un CRM avec assistant intégré, un outil de recrutement, un logiciel de gestion. Dans ce cas, votre interlocuteur n'est pas le fournisseur du modèle, et les questions changent.
- Quel modèle est utilisé sous le capot, et par quel fournisseur est-il édité ?
- Où les données que je saisis sont-elles traitées, et par quelle entité juridique ?
- Mes contenus sont-ils utilisés pour entraîner ou améliorer des modèles ? Si oui, puis-je m'y opposer ?
- Combien de temps mes échanges sont-ils conservés, et sous quelle forme ?
- Le produit sera-t-il classé comme système à haut risque au titre de l'AI Act, et si oui, quel est votre calendrier de mise en conformité ?
Cette dernière question a pris tout son sens depuis le report des obligations haut risque à décembre 2027. Un éditeur sérieux a un calendrier. Un éditeur qui découvre le sujet vous répondra de façon évasive, et c'est déjà une réponse.
Ce que vous devez produire de votre côté
Deux obligations vous incombent directement, quel que soit votre fournisseur, et elles sont en vigueur.
La première est la littératie en IA, entrée en application le 2 février 2025. Les personnes de votre entreprise qui utilisent ces outils doivent avoir un niveau de connaissance suffisant pour comprendre ce qu'elles manipulent. Une demi-journée de formation documentée suffit à répondre à l'exigence pour la plupart des PME.
La seconde est la transparence de l'article 50, applicable depuis le 2 août 2026, qui vous impose d'indiquer quand une personne interagit avec une IA ou quand un contenu a été généré par une IA. Nous détaillons ce point dans un article dédié.
Un dossier de conformité, ce n'est pas un classeur juridique. C'est cinq documents datés dans un dossier partagé, que vous pouvez sortir en dix minutes.
Le dossier minimum, en pratique
Voici ce que nous mettons en place chez nos clients. C'est volontairement léger, parce qu'un dispositif trop lourd n'est jamais tenu à jour.
- La liste des outils d'IA utilisés dans l'entreprise, avec pour chacun le fournisseur, l'usage et le responsable interne.
- Une copie datée de la documentation fournisseur pour chaque outil qui traite des données personnelles.
- Vos règles internes d'usage, deux pages suffisent : ce qui est autorisé, ce qui ne l'est pas, qui valider en cas de doute.
- La trace de la formation suivie par les utilisateurs, avec la date et les participants.
- Les échanges écrits avec vos fournisseurs, y compris les questions restées sans réponse.
Ce dernier point est souvent négligé et pourtant c'est le plus protecteur. La CNIL comme les autorités de surveillance du marché considèrent la documentation des choix comme le point le plus regardé. Une question posée par écrit, même sans réponse, prouve que vous vous êtes posé la question.