Le règlement ne raisonne pas par métiers mais par rôles, définis à l’article 3. Une même organisation en cumule souvent plusieurs, sur des systèmes différents, et cette qualification n’est pas une formalité : elle détermine l’intégralité des obligations qui suivent.
La qualification se fait système par système, jamais organisation par organisation.
Une entreprise est déployeur sur l’outil qu’elle a acheté, fournisseur sur celui qu’elle a fait développer sous son nom, et redevient fournisseur sur un troisième si elle en modifie la destination au point de le rendre à haut risque. Il n’existe pas de « statut » d’entreprise au sens du règlement.
Quelle est la différence entre fournisseur et déployeur ?
Le fournisseur développe ou fait développer un système d’IA et le met sur le marché sous son propre nom. Le déployeur se contente de l’utiliser sous sa propre autorité, dans un cadre professionnel. Acheter un outil et le donner à ses équipes fait de vous un déployeur, jamais un fournisseur, tant que vous ne le rebaptisez pas et ne le transformez pas.
Ce sont des définitions légales, pas des descriptions de métier, et toute qualification part des quatre phrases qui suivent.
Fournisseur, article 3, point 3
une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou met le système d’IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit;
Deux conditions cumulatives, et c’est là que se joue l’essentiel : développer ou faire développer, et mettre sur le marché ou en service sous son nom.
Faire développer suffit pour la première : commander un système à un prestataire ne vous en dispense pas. Le caractère gratuit est indifférent.
Déployeur, article 3, point 4
une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel;
Le critère est l’autorité, pas la propriété. Utiliser un service en ligne édité par un tiers, dans un cadre professionnel, fait de vous un déployeur.
Importateur, article 3, point 6
Celui qui, situé ou établi dans l’Union, met sur le marché un système « qui porte le nom ou la marque d’une personne physique ou morale établie dans un pays tiers ».
Distributeur, article 3, point 7
Celui qui, dans la chaîne d’approvisionnement et sans être fournisseur ni importateur, met un système à disposition sur le marché de l’Union.
S’y ajoutent le mandataire, point 5, et la notion transversale d’opérateur, point 8, qui désigne collectivement le fournisseur, le fabricant de produits, le déployeur, le mandataire, l’importateur et le distributeur.
Comment déterminer votre rôle, système par système ?
Cinq questions suffisent, posées dans cet ordre et reprises pour chaque système pris séparément. La première décide de la qualité de fournisseur et commande toutes les suivantes.
1. Qui le met sur le marché ou en service sous son propre nom ou sa propre marque ?
Article 3, point 3. C’est la question du fournisseur, et elle se pose avant toutes les autres.
2. Qui l’utilise sous sa propre autorité, hors activité personnelle non professionnelle ?
Article 3, point 4. C’est la question du déployeur, et la réponse peut désigner quelqu’un d’autre que le fournisseur.
3. Y a-t-il modification substantielle ou changement de destination ?
Article 25, paragraphe 1, points b) et c). C’est la question de la bascule, traitée ci-dessous.
4. Les sorties sont-elles utilisées dans l’Union ?
Article 2, paragraphe 1, point c). C’est la question de l’extraterritorialité.
5. Le système est-il un composant de sécurité d’un produit couvert par l’annexe I, section A, et sous quel nom est-il commercialisé ?
Article 3, point 14 et article 25, paragraphe 3. C’est la question du fabricant de produit.
Quand un déployeur devient-il fournisseur ?
Dans trois cas, et trois seulement, énumérés à l’article 25, paragraphe 1. Un déployeur devient fournisseur s’il commercialise le système sous son propre nom, s’il y apporte une modification substantielle, ou s’il en modifie la destination. Les trois supposent que le système soit, ou devienne, à haut risque. Il prend alors les obligations de l’article 16.
L’article 25, paragraphe 1 pose ces trois cas :
a) il commercialise sous son propre nom ou sa propre marque un système d’IA à haut risque déjà mis sur le marché ou mis en service, sans préjudice des dispositions contractuelles prévoyant une autre répartition des obligations; b) il apporte une modification substantielle à un système d’IA à haut risque qui a déjà été mis sur le marché ou a déjà été mis en service de telle manière qu’il reste un système d’IA à haut risque en application de l’article 6; c) il modifie la destination d’un système d’IA, y compris un système d’IA à usage général, qui n’a pas été classé à haut risque et a déjà été mis sur le marché ou mis en service de telle manière que le système d’IA concerné devient un système d’IA à haut risque conformément l’article 6.
Les trois portes supposent le haut risque.
Un rebranding qui ne porte pas sur un système à haut risque, une modification qui ne le rend pas à haut risque, un changement de destination qui n’y aboutit pas : rien de tout cela ne déclenche l’article 25. Écrire « modifier la destination d’un outil fait de vous un fournisseur » sans cette condition est faux.
Le point c) est le plus opérationnel. Brancher un modèle généraliste sur une finalité de l’annexe III fait passer une entreprise du statut de déployeur à celui de fournisseur, sans qu’aucune formalité ne soit nécessaire. Sur la qualification elle-même, le fournisseur initial n’a pas son mot à dire ; sa clause de destination joue ailleurs, sur le devoir de coopération, comme on le voit ci-dessous.
Et le contrat ne rattrape que le premier cas. Le point a) réserve expressément « les dispositions contractuelles prévoyant une autre répartition des obligations ». Les points b) et c) ne comportent pas cette réserve.
Que doit encore le fournisseur initial ?
Le paragraphe 2 de l’article 25, réécrit par l’omnibus, règle le sort de celui qui perd la qualité de fournisseur. Il cesse d’être fournisseur de ce système, mais il doit coopérer : mettre à disposition la documentation technique suffisante, informer des limitations et des modes de défaillance connus, et donner un accès technique ciblé.
Une réserve importante y est attachée : cette obligation ne joue pas s’il a « clairement précisé que son système d’IA ne doit pas être transformé en un système d’IA à haut risque ». Une clause de destination bien rédigée a donc un effet juridique réel.
Un accord écrit est obligatoire, paragraphe 4. Le fournisseur d’un système à haut risque et le tiers qui lui fournit un système, un modèle, des outils, des services, des composants ou des processus précisent par accord écrit les informations, capacités et accès techniques nécessaires.
L’obligation ne s’applique pas aux tiers qui diffusent sous licence libre et ouverte, sauf pour les modèles d’IA à usage général.
Le devoir de coopération a son contrepoids. Le paragraphe 5 précise que les paragraphes 2 et 3 s’appliquent « sans préjudice de la nécessité de respecter et de protéger les droits de propriété intellectuelle, les informations confidentielles de nature commerciale et les secrets d’affaires ». Un fournisseur initial n’a donc pas à livrer ses secrets pour satisfaire à son obligation d’assistance.
Des clauses types sont annoncées, et n’existent pas. Le dernier alinéa du paragraphe 4 prévoit que le Bureau de l’IA « peut élaborer et recommander des clauses types volontaires », publiées et mises à disposition gratuitement. Aucune n’a été identifiée comme publiée à ce jour.
Ce n’est pas sans sanction. L’omnibus a ajouté à l’article 99, paragraphe 4 un point visant « les obligations incombant aux fournisseurs et aux opérateurs en vertu de l’article 25, paragraphes 2 et 4 ». Le manquement au devoir de coopération ou à l’accord écrit relève donc du plafond de 15 000 000 EUR ou 3 % du chiffre d’affaires mondial.
Mandataire, importateur, distributeur : qui vérifie quoi ?
Aucun des trois ne conçoit le système, et aucun n’a d’obligation de conception. Le mandataire représente un fournisseur de pays tiers et conserve son dossier dix ans. L’importateur contrôle quatre points avant la mise sur le marché. Le distributeur contrôle le marquage et la documentation avant la mise à disposition.
Les articles 22, 23 et 24 ne s’appliquent qu’aux systèmes à haut risque, et ne créent aucune obligation de conception. Ce sont des obligations de vérification documentaire, de traçabilité sur dix ans pour le mandataire et l’importateur, et de réaction.
Le mandataire, article 22
Un fournisseur établi dans un pays tiers désigne par mandat écrit un mandataire établi dans l’Union avant de mettre son système à disposition. Cinq tâches lui incombent, dont la conservation pendant dix ans des coordonnées du fournisseur, de la déclaration UE de conformité, de la documentation technique et du certificat éventuel.
Deux points rarement relevés.
Le mandat habilite le mandataire « à servir d’interlocuteur, en plus ou à la place du fournisseur, aux autorités compétentes ». Et le mandataire met fin au mandat s’il considère ou a des raisons de considérer que le fournisseur agit de manière contraire à ses obligations ; il en informe alors immédiatement l’autorité de surveillance du marché et, selon le cas, l’organisme notifié.
L’importateur, article 23
Avant mise sur le marché, il vérifie quatre points : que la procédure d’évaluation de la conformité a été suivie, que la documentation technique a été établie, que le marquage CE est présent avec la déclaration et la notice d’utilisation, et qu’un mandataire a été désigné.
S’il a des raisons suffisantes de considérer le système non conforme, falsifié ou accompagné de documents falsifiés, il ne le met sur le marché qu’après sa mise en conformité. Et lorsque le système présente un risque au sens de l’article 79, paragraphe 1, il en informe le fournisseur, les mandataires et les autorités de surveillance du marché.
Le distributeur, article 24
Avant mise à disposition, il vérifie le marquage CE, la présence de la déclaration et de la notice, et le respect par le fournisseur et l’importateur de leurs obligations d’identification. S’il a déjà mis à disposition un système qu’il considère non conforme, il prend lui-même les mesures correctives nécessaires pour le mettre en conformité, « le retirer ou le rappeler », ou veille à ce que le fournisseur, l’importateur ou tout opérateur concerné les prenne.
Qui est concerné, et qu’est-ce qui y échappe ?
L’article 2, paragraphe 1 vise sept catégories : les fournisseurs, où qu’ils soient établis, dès lors qu’ils mettent sur le marché ou en service dans l’Union ; les déployeurs établis dans l’Union ; les fournisseurs et déployeurs de pays tiers lorsque les sorties sont utilisées dans l’Union ; les importateurs et distributeurs ; les fabricants de produits ; les mandataires ; et les personnes concernées situées dans l’Union.
Les exclusions les plus mobilisées, et leurs limites :
La recherche et le développement, paragraphes 6 et 8
Sont exclus les systèmes et les modèles, ainsi que leurs sorties, développés et mis en service uniquement à des fins de recherche et développement scientifiques, ainsi que les activités de recherche, d’essai et de développement avant mise sur le marché.
Mais le paragraphe 8 précise que les essais en conditions réelles ne sont pas couverts par cette exclusion.
L’usage personnel, paragraphe 10
Il ne vise que les personnes physiques dans une activité strictement personnelle à caractère non professionnel.
La licence libre et ouverte, paragraphe 12
L’exclusion tombe dès que le système est mis sur le marché comme système à haut risque, ou qu’il relève de l’article 5 ou de l’article 50. Autrement dit, l’open source n’échappe ni aux pratiques interdites, ni à la transparence.
Trois réserves qui ne sont pas des exclusions : le règlement préserve le régime de responsabilité des prestataires intermédiaires du règlement (UE) 2022/2065, préserve le droit de la consommation et de la sécurité des produits, et autorise les États membres à être plus protecteurs pour les travailleurs.
Par où commencer sur vos propres systèmes ?
Sous quel nom le système est-il mis à disposition ? C’est la question qui décide de la qualité de fournisseur, et elle se règle en lisant un contrat, pas en observant qui a écrit le code.
Avez-vous fait développer ce système ? Faire développer suffit à remplir la première condition de l’article 3, point 3.
La destination déclarée par le fournisseur exclut-elle le haut risque ? Si oui, une modification de votre part peut vous faire basculer, et le fournisseur initial est dispensé de son devoir de coopération.
Vos accords écrits avec vos fournisseurs de composants existent-ils ? L’article 25, paragraphe 4 les impose au fournisseur d’un système à haut risque, et leur absence est sanctionnée. Hors haut risque, la question ne se pose pas au titre du règlement.
Vos sorties sont-elles utilisées dans l’Union ? Cette seule réponse peut suffire à rattraper une organisation établie ailleurs.
Sur quoi cette page s’appuie
Les articles 2, 3, 16, 22, 23, 24, 25 et 99 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744. Le texte qui fait foi reste celui publié au Journal officiel, la version consolidée n’ayant qu’une valeur documentaire.
Les articles 22 à 25 ont été extraits d’EUR-Lex le 28 août 2026 et les citations qui en sont faites sont reproduites mot à mot.
Un point est ouvert et signalé comme tel : l’article 2, paragraphe 7, qui règle l’articulation entre le règlement et le droit de la protection des données, n’est pas traité ici. Il fera l’objet d’un examen distinct.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 28 août 2026.
Questions fréquentes
Suis-je fournisseur si j’achète un outil et que je le mets à disposition de mes équipes ?
Non, vous êtes déployeur. L’article 3, point 3 pose deux conditions cumulatives pour être fournisseur : développer ou faire développer le système, et le mettre sur le marché ou en service sous son propre nom ou sa propre marque. Acheter et utiliser n’en remplit aucune. Vous devenez déployeur au sens du point 4, dès lors que vous l’utilisez sous votre propre autorité en dehors d’une activité personnelle non professionnelle.
Je construis un produit sur l’interface de programmation (API) d’un modèle. Suis-je fournisseur ?
Du système, oui, si vous le développez ou le faites développer et le mettez sur le marché ou en service sous votre nom ou votre marque. Du modèle, non, tant que vous ne le modifiez pas de façon importante : le fournisseur du modèle garde les obligations du chapitre V. Vous êtes alors fournisseur en aval au sens de l’article 3, point 68, et l’article 89, paragraphe 2 vous ouvre un droit de réclamation contre lui.
Une entreprise établie hors de l’Union est-elle concernée ?
Souvent oui. L’article 2, paragraphe 1, point c) vise les fournisseurs et déployeurs établis dans un pays tiers « lorsque les sorties produites par le système d’IA sont utilisées dans l’Union ». Le critère n’est ni le siège, ni le lieu d’hébergement : c’est l’usage des sorties. Un fournisseur de pays tiers doit en outre désigner un mandataire établi dans l’Union avant de mettre un système à haut risque à disposition, article 22.
Un contrat peut-il répartir les obligations autrement ?
Seulement dans un cas, et le texte le dit expressément. L’article 25, paragraphe 1, point a), celui du système commercialisé sous son propre nom, réserve « les dispositions contractuelles prévoyant une autre répartition des obligations ». Les points b) et c), modification substantielle et changement de destination, ne comportent pas cette réserve.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.