Obligations des deployeurs : guide pratique pour equipes SaaS

Les obligations des deployeurs au titre de l'EU AI Act concernent les organisations qui utilisent un systeme d'IA sous leur autorite. Pour une equipe SaaS, il ne suffit pas de savoir si le systeme a ete construit en interne ou achete. Il faut savoir qui controle l'usage, si le systeme est a haut risque, quelles instructions du fournisseur doivent etre suivies, qui assure la supervision humaine et quelles preuves existent pour les logs, le monitoring et les incidents.

L'article 26 impose aux deployeurs de systemes d'IA a haut risque d'utiliser le systeme conformement aux instructions, d'assigner une supervision humaine competente, de gerer les donnees d'entree qu'ils controlent, de surveiller le fonctionnement, de conserver les logs generes automatiquement sous leur controle et d'agir en cas de risque ou d'incident grave. Certains cas ajoutent information des travailleurs, obligations d'enregistrement, support DPIA ou analyse d'impact sur les droits fondamentaux.

Quand cela s'applique

Une societe SaaS peut etre fournisseur pour une fonctionnalite client et deployeur pour un outil interne ou un systeme tiers. Les exemples incluent support, RH, scoring de risque, fraude, workflows financiers, priorisation de reclamations et decisions qui affectent clients ou employes.

L'analyse doit etre faite par workflow. Un document global sur "l'IA dans l'entreprise" masque souvent les roles. Separez aussi obligations de deployeur, transparence, privacy, securite, vendor risk et documentation client.

Creer le dossier deployeur

Ouvrez un dossier pour chaque workflow pertinent. Il doit inclure systeme, fournisseur, processus, finalite, utilisateurs, personnes affectees, donnees, pays, statut de lancement, instructions du fournisseur et documentation interne.

Ajoutez ensuite role et classification : pourquoi l'equipe est deployeur, si le cas est a haut risque, quelle partie de l'AI Act est concernee et quelles questions bloquent le lancement. Chaque obligation doit devenir un controle concret : suivre les instructions, designer la supervision, verifier les donnees d'entree, localiser les logs, surveiller l'usage et escalader.

Checklist

• Nommer systeme, fournisseur, workflow, finalite, utilisateurs et personnes affectees.
• Decider si l'entreprise est deployeur, fournisseur ou les deux.
• Verifier haut risque ou autre piste AI Act.
• Transformer les instructions fournisseur en SOP, tickets, criteres d'acceptation et formation.
• Designer une supervision humaine avec competence, autorite et support.
• Definir les controles de donnees d'entree.
• Clarifier logs, duree de conservation, acces et export.
• Surveiller erreurs, plaintes, changements fournisseur, derives et usages inattendus.
• Preparer incident, suspension, contact fournisseur et escalade autorite.
• Stocker les preuves avec owner, date, decision et prochain review.

Erreurs frequentes

La premiere erreur est de penser que le fournisseur porte tout. Ses documents aident, mais le deployeur controle l'usage reel. La deuxieme est de laisser les instructions dans un dossier procurement. La troisieme est une supervision humaine sans autorite. La quatrieme est de decouvrir trop tard que les logs ne sont pas disponibles.

FAQ

Quel est l'objectif pratique?

Pouvoir prouver que l'equipe suit les instructions, assigne une supervision competente, controle les donnees d'entree, conserve les logs, surveille l'utilisation, gere les incidents et revoit le workflow quand les faits changent.

Qui doit etre responsable?

Product ou operations possedent les faits du workflow, engineering l'integration et les logs, security les preuves fournisseur et monitoring, legal/compliance l'interpretation et le standard de preuve.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission AI Act Service Desk, Article 26: Obligations of deployers of high-risk AI systems.
• European Commission AI Act Service Desk, Article 27: Fundamental rights impact assessment for high-risk AI systems.
• European Commission AI Act Service Desk, Article 13: Transparency and provision of information to deployers.