Conformité
AI Act et sous-traitants : qui est responsable quand un prestataire utilise l'IA pour vous
L'IA est partout dans votre chaîne de sous-traitance, souvent sans que personne ne l'ait décidé. Voici comment le règlement répartit les rôles, et les trois gestes contractuels qui vous couvrent.
- publié()
- lecture()
- 6 min
- auteur()
- TROIE Studio
Votre agence de communication rédige avec une IA, votre freelance développe avec une IA, votre cabinet comptable teste un copilote. La question arrive vite : si quelque chose déraille, qui est responsable au regard du règlement européen sur l'IA ? La réponse tient dans une notion simple : le rôle. Le règlement ne raisonne pas par taille d'entreprise ni par secteur, mais par ce que chacun FAIT avec le système.
La ligne de partage : sous quelle autorité l'IA est-elle utilisée ?
Est déployeur celui qui utilise un système d'IA sous sa propre autorité. Votre agence qui choisit ses outils et produit vos livrables avec est déployeuse de SES outils : la manière dont elle les paramètre et les encadre relève de sa responsabilité. Vous, vous restez responsable de ce que vous validez et diffusez sous votre marque. La frontière se déplace quand une personne travaille POUR VOTRE COMPTE, dans vos opérations : un freelance intégré à l'équipe, un prestataire qui opère vos systèmes.
Ce que dit précisément l'article 4
Le texte demande aux fournisseurs et aux déployeurs de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA de leur personnel « et des autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». Autrement dit : votre obligation de littératie ne s'arrête pas à vos salariés. L'intérimaire, le freelance régulier, le prestataire qui utilise VOS systèmes d'IA entrent dans le périmètre de vos mesures. C'est une obligation de moyens, proportionnée : personne ne vous demande de former la terre entière, mais d'avoir couvert ceux qui agissent pour vous.
Le parallèle qui aide : le RGPD
Vous connaissez déjà cette logique : responsable de traitement et sous-traitant, chacun ses obligations, et un contrat qui organise la relation. L'esprit est le même ici. Ce que le RGPD a fait avec les accords de traitement des données, faites-le avec l'IA : mettez la question sur la table contractuelle au lieu de la découvrir en cas de problème.
Les trois gestes qui vous couvrent
- La clause de transparence IA dans vos contrats prestataires : déclaration des usages d'IA sur vos livrables, interdiction d'y mettre vos données confidentielles ou personnelles sans cadre, relecture humaine avant livraison.
- L'inclusion des externes réguliers dans vos mesures : la formation et le registre couvrent les personnes qui utilisent l'IA pour votre compte, pas seulement les contrats de travail.
- La preuve demandée en face : un prestataire sérieux peut montrer que ses équipes sont formées. Une attestation nominative par personne est exactement ce genre de preuve, dans les deux sens.
Le cas concret qui résume tout
exemple()Une PME confie sa prospection à une agence. L'agence rédige les emails avec son IA : c'est son déploiement, sa responsabilité d'encadrement. La PME fournit le fichier clients : les données restent sous sa responsabilité, et la clause IA du contrat encadre ce que l'agence a le droit d'en faire dans ses outils. Le freelance que la PME intègre trois jours par semaine sur son propre CRM augmenté d'IA : lui entre dans le périmètre de formation de la PME, car il utilise les systèmes de la PME, pour son compte.