Qui est concerné par l'AI Act ? Le test en 4 questions

Vous utilisez ChatGPT pour dégrossir des offres commerciales, un correcteur intelligent dans votre suite bureautique, peut-être un outil de tri de candidatures acheté à un éditeur. La question tombe en réunion et personne n'a la réponse : est-ce que l'AI Act nous concerne ? Le règlement ne trie pas les entreprises par taille ni par secteur, il les trie par rôle.

Le règlement classe des rôles, pas des entreprises

L'article 2 du règlement (UE) 2024/1689 énumère sept catégories de personnes visées : fournisseurs, déployeurs, importateurs, distributeurs, fabricants de produits, mandataires, et les personnes concernées elles-mêmes. Aucune de ces catégories ne se définit par un effectif ou un chiffre d'affaires.

Pour une TPE ou une PME française, deux rôles comptent vraiment. Le reste relève de la chaîne d'approvisionnement industrielle et ne se rencontre presque jamais.

« Déployeur », une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel.

Une phrase, et l'écrasante majorité des entreprises est dedans. C'est exactement pour ça que la distinction fournisseur / déployeur mérite quatre minutes de votre temps plutôt qu'une lecture du règlement.

Le test en 4 questions

1. Vos systèmes d'IA sont-ils utilisés dans l'Union ?

L'article 2, paragraphe 1, point b), vise les déployeurs « qui ont leur lieu d'établissement ou sont situés dans l'Union ». Le point c) va plus loin : il attrape aussi les fournisseurs et les déployeurs établis dans un pays tiers « lorsque les sorties produites par le système d'IA sont utilisées dans l'Union ».

Traduction pour une filiale française d'un groupe américain : le fait que l'outil ait été choisi et payé au siège ne vous sort pas du champ. Vous l'utilisez sous votre propre autorité en France, vous en êtes déployeur.

2. Utilisez-vous un système d'IA dans un cadre professionnel ?

Si oui, vous êtes déployeur. La seule exclusion prévue est étroite : l'article 2, paragraphe 10, écarte du champ « les déployeurs qui sont des personnes physiques utilisant des systèmes d'IA dans le cadre d'une activité strictement personnelle à caractère non professionnel ».

Deux mots portent tout le poids. « Personnes physiques » : une société, une association, une collectivité n'y entrent jamais. « Strictement personnelle » : un salarié qui utilise son abonnement personnel pour un livrable client fait un usage professionnel, et c'est l'entreprise qui est déployeur.

3. Mettez-vous un système d'IA sur le marché sous votre nom ?

Le fournisseur, c'est celui qui « développe ou fait développer un système d'IA ou un modèle d'IA à usage général et le met sur le marché ou met le système d'IA en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit » (article 3, point 3).

« Fait développer » et « à titre gratuit » élargissent nettement. Un cabinet de conseil qui empaquette un assistant sous sa marque et le met à disposition de ses clients est fournisseur, même si le modèle sous-jacent vient d'un tiers, et même s'il ne le facture pas. À l'inverse, un outil interne que personne d'autre n'utilise ne va nulle part sur un marché.

4. Avez-vous transformé un outil au point d'en changer la nature ?

C'est la question qui fait basculer un déployeur du côté fournisseur, et celle qui est le plus souvent racontée de travers. L'article 25, paragraphe 1, prévoit trois cas : commercialiser sous son propre nom un système déjà sur le marché, lui apporter une modification substantielle, ou en modifier la destination.

Fournisseur ou déployeur : ce que le rôle change

Le calendrier des obligations « haut risque » est en mouvement, et c'est le seul point du tableau qu'il ne faut pas graver dans le marbre : voir la dernière section.

Vous êtes déployeur : ce qui s'applique vraiment

L'obligation qui touche tout le monde tient dans un seul article. L'article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Il fait partie du chapitre premier, applicable depuis le 2 février 2025 en vertu de l'article 113, troisième alinéa, point a).

Aucun seuil d'effectif, aucune exemption TPE ou PME. Ce qui varie avec la taille, ce n'est pas l'application de l'obligation, c'est son contenu : l'article 4 demande de tenir compte des connaissances techniques, de l'expérience, de la formation des personnes concernées et du contexte d'utilisation. C'est un principe de proportionnalité, pas une porte de sortie. Nous détaillons ce tri dans notre article sur les obligations réelles d'une TPE ou d'une PME.

Deux malentendus à écarter au passage. Le règlement n'impose pas de former tous les salariés : l'obligation vise les personnes qui font fonctionner ou utilisent des systèmes d'IA pour le compte de l'entreprise, à un niveau adapté à leur rôle. Et la Commission européenne écrit noir sur blanc, dans ses questions-réponses sur la maîtrise de l'IA, qu'aucun certificat n'est requis : une trace interne des formations suffit.

C'est aussi pour ça que se mettre en règle, quand on est déployeur, ressemble moins à un chantier de conformité qu'à une action de formation. La page AI Act reprend le texte et le calendrier point par point, et nos tarifs donnent l'ordre de grandeur du côté formation.

Quatre cas limites, tranchés par le texte

Une association

La définition du déployeur vise « tout autre organisme », sans condition de but lucratif, et l'exclusion du paragraphe 10 ne concerne que les personnes physiques. Une association qui utilise un outil d'IA pour ses activités est donc déployeur. Aucune ligne directrice de la Commission ne traite spécifiquement du secteur associatif à ce jour.

Un indépendant ou un freelance

Personne physique, mais usage professionnel : l'exclusion ne joue pas. Un consultant qui rédige ses livrables avec un assistant est déployeur pour ses propres outils. Il peut aussi être, du point de vue de son client, l'une de ces « autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte » que vise l'article 4. Les deux lectures coexistent.

Une entreprise qui n'utilise que ChatGPT ou Copilot

C'est le cas le plus fréquent, et il est sans ambiguïté : déployeur. Vous n'avez rien développé, rien mis sur le marché, donc rien des obligations « fournisseur ». Il vous reste l'article 4, et rien d'autre tant qu'aucun de vos usages ne relève du haut risque.

Un sous-traitant qui utilise l'IA pour un donneur d'ordre

Il est déployeur pour les systèmes qu'il utilise sous sa propre autorité. Cela ne fait pas disparaître l'obligation du donneur d'ordre, dont l'article 4 couvre aussi les personnes qui utilisent des systèmes d'IA pour son compte. Deux obligations parallèles, pas un transfert de responsabilité.

Ce qui peut encore bouger

Un train de mesures dit « omnibus numérique sur l'IA » a été adopté par le Parlement européen le 16 juin 2026 et signé à Strasbourg le 8 juillet 2026. À la date de vérification de cet article, il n'était pas encore publié au Journal officiel de l'Union européenne : l'observatoire législatif du Parlement affiche la mention « awaiting publication in Official Journal » (procédure 2025/0359 COD). Il n'est donc pas en vigueur.

Dans sa version signée, ce texte reporterait l'application des obligations « haut risque » de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028, et réécrirait l'article 4 dans un sens plus souple. Rien de tout cela ne modifie le test ci-dessus : les rôles de fournisseur et de déployeur ne changent pas, et l'obligation de maîtrise de l'IA subsiste. Nous suivons ce point dans notre article consacré au Digital Omnibus.

Questions fréquentes

Y a-t-il un seuil d'effectif en dessous duquel l'AI Act ne s'applique pas ?

Non. Le règlement (UE) 2024/1689 ne prévoit aucun seuil d'effectif ni de chiffre d'affaires pour l'article 4. Une entreprise de trois personnes qui utilise un système d'IA au travail est déployeur au même titre qu'un groupe. Ce qui varie avec la taille, c'est le contenu attendu des mesures, pas le fait d'être concerné.

Quelle est la différence entre un fournisseur et un déployeur ?

Le fournisseur développe ou fait développer un système d'IA et le met sur le marché sous son propre nom, à titre onéreux ou gratuit (article 3, point 3). Le déployeur utilise un système d'IA sous sa propre autorité, en dehors d'une activité strictement personnelle (article 3, point 4). La plupart des TPE et PME sont uniquement déployeurs.

Utiliser ChatGPT au travail fait-il de mon entreprise un fournisseur d'IA ?

Non. Utiliser un outil conçu par un tiers fait de vous un déployeur. Vous ne devenez fournisseur que si vous mettez un système sur le marché sous votre propre nom, ou si vous relevez de l'un des trois cas de l'article 25, paragraphe 1, qui ne visent que les systèmes à haut risque.

Une association est-elle concernée par l'AI Act ?

Oui, dès lors qu'elle utilise un système d'IA pour ses activités. La définition du déployeur vise « tout autre organisme » sans condition de but lucratif, et la seule exclusion prévue par l'article 2, paragraphe 10, concerne les personnes physiques en usage strictement personnel.

Dans neuf cas sur dix, la réponse tient en un mot : déployeur. Ce qui reste à faire n'est ni un audit, ni un dossier de certification, mais une chose plus simple et plus vérifiable : savoir qui utilise quoi, à quel niveau, et pouvoir le montrer. C'est le sujet de la page dédiée aux équipes.

Dernière vérification le 24 juillet 2026, contre le texte authentique du règlement (UE) 2024/1689 et les publications de la Commission européenne.