Qui est fournisseur, qui est déployeur dans une chaîne SaaS ?
La qualification suit le rôle réel de chaque acteur, pas son étiquette commerciale.
| Acteur | Rôle probable | Obligations |
|---|---|---|
| Éditeur SaaS (met le système sur le marché) | Fournisseur | Art. 8-22 si haut risque |
| Client utilisateur (sous son autorité) | Déployeur | Art. 26-27 |
| Fournisseur du modèle sous-jacent (GPAI) | Fournisseur de GPAI | Art. 53 |
| Hébergeur cloud (infrastructure pure) | Ni fournisseur ni déployeur du système | Obligations propres à l'hébergement |
| Intégrateur (personnalise / rebrande) | Peut devenir fournisseur | Art. 25 |
L'hébergeur cloud est-il concerné ?
Un hébergeur qui se contente de fournir de la puissance de calcul et du stockage, sans intervenir sur le système d'IA lui-même, n'est en principe ni fournisseur ni déployeur de ce système au sens de l'AI Act. Il reste soumis à ses obligations propres (sécurité, RGPD en tant que sous-traitant, éventuellement NIS 2). En revanche, un fournisseur cloud qui propose ses propres services d'IA (modèles, API) devient fournisseur pour ces services.
Le piège de la personnalisation (art. 25)
C'est le point le plus délicat pour les clients et intégrateurs. Un acteur qui personnalise fortement un système SaaS — l'entraîne sur ses données de façon substantielle, en modifie la destination, ou le propose sous sa propre marque — peut basculer du statut de déployeur à celui de fournisseur (article 25). Il hériterait alors des obligations bien plus lourdes des articles 8 à 22. Une simple configuration ne déclenche pas ce basculement ; une modification substantielle, oui.
Que faut-il contractualiser ?
La chaîne de valeur de l'IA repose sur le partage d'informations (article 25). Les contrats entre éditeur, intégrateur et client doivent organiser :
- la répartition des rôles (qui est fournisseur, qui est déployeur) et des responsabilités ;
- l'accès du client à la [notice d'utilisation](/ressources/transparence-notice-article-13) et à la documentation nécessaire à sa conformité (art. 13) ;
- les engagements de l'éditeur sur la conformité du système (évaluation, marquage CE si haut risque) ;
- les modalités de coopération en cas de contrôle, d'incident ou de demande d'explication ;
- le traitement des données (RGPD, localisation, sous-traitance).
Comment sécuriser sa position ?
- 01
Qualifier précisément son rôle
Éditeur, intégrateur, client, hébergeur : identifiez votre rôle réel pour chaque système, et vérifiez tout risque de basculement (art. 25).
- 02
Exiger la documentation en amont
Côté client, demandez la notice et les preuves de conformité avant de contractualiser.
- 03
Encadrer la personnalisation
Définissez ce qui relève de la configuration (déployeur) et ce qui constitue une modification substantielle (fournisseur).
- 04
Formaliser par contrat
Traduisez la répartition des rôles et des responsabilités dans les contrats de service.
Questions fréquentes
Un éditeur SaaS est-il fournisseur ou déployeur ?
En principe fournisseur : il met un système d'IA sur le marché sous son nom. Il assume donc les obligations du fournisseur (articles 8 à 22 si le système est à haut risque). Son client, qui l'utilise sous sa propre autorité, est déployeur.
Mon hébergeur cloud a-t-il des obligations AI Act ?
S'il fournit une infrastructure pure (calcul, stockage) sans intervenir sur le système d'IA, il n'est en principe ni fournisseur ni déployeur de ce système. Il conserve ses obligations propres (sécurité, RGPD, éventuellement NIS 2). Un cloud proposant ses propres services d'IA devient, lui, fournisseur pour ces services.
Le fine-tuning d'un modèle SaaS fait-il de moi un fournisseur ?
Cela dépend de l'ampleur. Une configuration ou un ajustement léger reste du ressort du déployeur. Une modification substantielle d'un système à haut risque, ou un changement de destination, peut vous rendre fournisseur au sens de l'article 25.
Que faire si mon éditeur refuse de fournir la documentation ?
C'est un signal d'alerte sur sa conformité. La notice et les informations nécessaires sont indispensables à votre propre conformité de déployeur (article 13). Contractualisez cet accès et, à défaut, réévaluez le choix du prestataire.