Fournisseur ou Déployeur : qui est responsable ?

Qu'est-ce que Fournisseur ou Déployeur : qui est responsable ??

La loi européenne sur l'IA répartit les obligations entre le fournisseur qui construit un système d'IA et le déployeur qui le met en œuvre, et l'achat d'un produit conforme ne transfère pas les obligations du déployeur au fournisseur. Vous séparerez les deux rôles, déterminerez quelles obligations vous incombent et évaluerez la documentation de conformité des fournisseurs lors de l'approvisionnement afin que des lacunes apparaissent avant la signature d'un contrat plutôt que lors d'un audit.

Ce que vous apprendrez dans Fournisseur ou Déployeur : qui est responsable ?

• Distinguer les rôles de fournisseur et de déployeur dans le cadre de la loi européenne sur l'IA
• Identifier les obligations spécifiques qui appartiennent à chaque rôle
• Comprendre pourquoi la conformité des fournisseurs ne satisfait pas aux obligations du déployeur
• Reconnaître les produits d'IA mal classés lors de l'examen des achats
• Appliquer une évaluation indépendante des risques dans le cadre de la diligence raisonnable en matière d’approvisionnement

Fournisseur ou Déployeur : qui est responsable ? — Étapes de la formation

1. Fournisseur vs Déployeur

   La loi européenne sur l'IA attribue différentes obligations en fonction de votre rôle dans la chaîne de valeur de l'IA : Provider - L'entreprise qui développe ou fait développer un système d'IA et le met sur le marché ou le met en service sous son propre nom. Responsable de l'évaluation de la conformité, du marquage CE et de la documentation technique. Deployer - L'entreprise qui utilise un système d'IA sous sa propre autorité. Responsable de la surveillance humaine, de la surveillance, de la tenue des journaux, de l'information des personnes concernées et du signalement des incidents. Les organismes publics, les prestataires de services publics et les déployeurs de notation de crédit ou d'assurance doivent également réaliser une évaluation d'impact sur les droits fondamentaux (article 27). BrightPath Consulting est un déployeur. Lorsque l'entreprise achète l'outil d'IA d'un fournisseur, la conformité du fournisseur ne dispense pas BrightPath de ses propres obligations légales en vertu de la loi.

2. E-mail du directeur informatique

   Un e-mail arrive de Rachel Kim, directrice informatique de BrightPath. Trois fournisseurs d'IA ont soumis des propositions et Alice doit évaluer leur conformité avant de prendre des décisions d'achat.

3. Fournisseur 1 : TalentMatch IA

   Alice clicks the TalentMatch AI link in Rachel's email to open the vendor's compliance documentation. This vendor has done their provider obligations well: conformity assessment completed, CE marking obtained, technical documentation available, and intended purpose clearly stated. The system is classified as High Risk under Annex III area 4 (employment).

4. Obligations des déployeurs pour l’IA à haut risque

   Même si TalentMatch AI est un fournisseur conforme, BrightPath, en tant que déployeur, a son propre ensemble d'obligations obligatoires en vertu de la loi européenne sur l'IA. Ces obligations existent indépendamment du statut de conformité du fournisseur. Alice ouvre la liste de contrôle des obligations du déployeur liée dans l'e-mail de Rachel.

5. Vérification des connaissances : responsabilité du déployeur

6. Fournisseur 2 : Bot QuickReply

   The next vendor is QuickReply Bot, a customer service chatbot. Alice clicks the QuickReply Bot link in Rachel's email. This is a Limited Risk AI system. Its main duty is transparency: the provider must build the bot so customers know they are talking to AI, not a human, and it is built that way. BrightPath's part as deployer is simpler: keep that disclosure visible in its own chat widget.

7. Fournisseur 3 : InsightIQ

   Le fournisseur final est InsightIQ, une plateforme d'analyse des performances des employés basée sur l'IA. Alice clique sur le lien InsightIQ dans l'e-mail de Rachel pour ouvrir la page du produit. Quelque chose dans les affirmations de ce fournisseur devrait déclencher un signal d'alarme.

8. Le problème des erreurs de classification

   InsightIQ processes employee performance data to make promotion and team composition recommendations. This is employment-related AI decision-making, which is High Risk under Annex III of the EU AI Act. The vendor either deliberately misclassified the product to avoid compliance costs, or genuinely does not understand the regulation. Either way, BrightPath cannot rely on the vendor's self-classification. As a deployer, the company should verify the risk classification itself before deployment: it must use the system in line with the provider's instructions (Article 26(1)), and a deployer that puts its own name on a high-risk system or changes its purpose takes on the provider's obligations (Article 25).

9. Vérification des connaissances : fournisseur mal classé

10. Envoyer des recommandations d'approvisionnement

    Alice répond à Rachel avec une recommandation par fournisseur : quels outils BrightPath peut déployer, dans quelles conditions de déploiement et lequel doit être carrément rejeté.