AI Act et sous-traitants : qui est responsable quand un prestataire utilise l'IA pour vous
L'IA est partout dans votre chaîne de sous-traitance, souvent sans que personne ne l'ait décidé. Voici comment le règlement répartit les rôles, et les trois gestes contractuels qui vous couvrent.
- Le règlement raisonne par rôles : chacun est déployeur de l'IA qu'il utilise sous sa propre autorité.
- L'article 4 vise vos équipes ET les autres personnes qui utilisent des systèmes d'IA pour votre compte : un externe intégré à vos opérations en fait partie.
- Un prestataire indépendant qui utilise ses propres outils reste responsable de son usage ; vous restez responsable de ce que vous acceptez et diffusez.
- Trois gestes : une clause de transparence IA, l'inclusion des externes réguliers dans la formation et le registre, une preuve de littératie demandée aux prestataires.
Votre agence de communication rédige avec une IA, votre freelance développe avec une IA, votre cabinet comptable teste un copilote. La question arrive vite : si quelque chose déraille, qui est responsable au regard du règlement européen sur l'IA ? La réponse tient dans une notion simple : le rôle. Le règlement ne raisonne pas par taille d'entreprise ni par secteur, mais par ce que chacun FAIT avec le système.
La ligne de partage : sous quelle autorité l'IA est-elle utilisée ?
Est déployeur celui qui utilise un système d'IA sous sa propre autorité. Votre agence qui choisit ses outils et produit vos livrables avec est déployeuse de SES outils : la manière dont elle les paramètre et les encadre relève de sa responsabilité. Vous, vous restez responsable de ce que vous validez et diffusez sous votre marque. La frontière se déplace quand une personne travaille POUR VOTRE COMPTE, dans vos opérations : un freelance intégré à l'équipe, un prestataire qui opère vos systèmes.
Ce que dit précisément l'article 4
Le texte demande aux fournisseurs et aux déployeurs de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA de leur personnel « et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». Autrement dit : votre obligation de littératie ne s'arrête pas à vos salariés. L'intérimaire, le freelance régulier, le prestataire qui utilise VOS systèmes d'IA entrent dans le périmètre de vos mesures. C'est une obligation de moyens, proportionnée : personne ne vous demande de former la terre entière, mais d'avoir couvert ceux qui agissent pour vous.
Le parallèle qui aide : le RGPD
Vous connaissez déjà cette logique : responsable de traitement et sous-traitant, chacun ses obligations, et un contrat qui organise la relation. L'esprit est le même ici. Ce que le RGPD a fait avec les accords de traitement des données, faites-le avec l'IA : mettez la question sur la table contractuelle au lieu de la découvrir en cas de problème.
Les trois gestes qui vous couvrent
- La clause de transparence IA dans vos contrats prestataires : déclaration des usages d'IA sur vos livrables, interdiction d'y mettre vos données confidentielles ou personnelles sans cadre, relecture humaine avant livraison.
- L'inclusion des externes réguliers dans vos mesures : la formation et le registre couvrent les personnes qui utilisent l'IA pour votre compte, pas seulement les contrats de travail.
- La preuve demandée en face : un prestataire sérieux peut montrer que ses équipes sont formées. Une attestation nominative par personne est exactement ce genre de preuve, dans les deux sens.
Le cas concret qui résume tout
Une PME confie sa prospection à une agence. L'agence rédige les emails avec son IA : c'est son déploiement, sa responsabilité d'encadrement. La PME fournit le fichier clients : les données restent sous sa responsabilité, et la clause IA du contrat encadre ce que l'agence a le droit d'en faire dans ses outils. Le freelance que la PME intègre trois jours par semaine sur son propre CRM augmenté d'IA : lui entre dans le périmètre de formation de la PME, car il utilise les systèmes de la PME, pour son compte.
Mon prestataire utilise ChatGPT sans me le dire : suis-je en faute ?
Son usage de ses propres outils relève de sa responsabilité de déployeur. Votre sujet, c'est ce que vous acceptez et diffusez, et les données que vous lui confiez. D'où l'intérêt d'une clause de transparence : elle transforme un angle mort en engagement contractuel.
Dois-je former mes freelances ?
Ceux qui utilisent des systèmes d'IA pour votre compte, dans vos opérations : oui, l'article 4 les mentionne expressément. Un prestataire ponctuel et autonome sur ses propres outils : non, mais demandez-lui sa preuve de littératie.
Une clause IA type existe-t-elle ?
Pas de modèle officiel : l'article 4 est une obligation de moyens, sans format imposé. Les trois briques qui reviennent : déclaration des usages, règles sur vos données, relecture humaine avant livraison. Votre avocat l'adapte en une page.
Qui est responsable du résultat final publié ?
Celui qui le publie. L'IA d'un prestataire n'est pas un paratonnerre : ce que vous validez et diffusez sous votre marque engage votre entreprise, c'est précisément pourquoi la relecture humaine doit être contractuelle.
- → Formez vos équipes et vos externes réguliers au même socle : environ 2 heures par personne, attestation nominative vérifiable.
- → Packs équipe : 5 accès pour 249 €, 10 pour 449 €, liens d'invitation immédiats.