Article 25 IA Act - Responsabilités dans la chaîne de valeur de l’IA

Explication de l’article

L’article 25 du Règlement européen sur l’intelligence artificielle (IA Act) précise comment les responsabilités réglementaires sont réparties entre les différents acteurs qui participent à la conception, à la commercialisation, à la modification ou à l’intégration d’un système d’IA à haut risque.

Il concerne notamment les fournisseurs, les distributeurs, les importateurs, les déployeurs et les tiers qui fournissent des modèles, des outils, des composants ou des services intégrés dans ces systèmes.

Son objectif est d’éviter qu’un acteur puisse modifier un système d’IA, le commercialiser sous sa propre marque ou en changer la finalité sans assumer les obligations réglementaires qui en découlent.

L’article 25 prévoit plusieurs situations dans lesquelles un acteur qui n’était pas initialement le fournisseur devient responsable en tant que fournisseur du système d’IA à haut risque.

1. Lorsqu’un acteur devient fournisseur d’un système d’IA à haut risque

Le paragraphe 1 prévoit trois situations principales dans lesquelles un distributeur, un importateur, un déployeur ou un autre tiers est considéré comme le fournisseur du système et doit assumer les obligations prévues à l’article 16.

Première situation : l’utilisation de son propre nom ou de sa propre marque.

Un acteur commercialise sous son nom ou sa marque un système d’IA à haut risque déjà mis sur le marché ou mis en service. Il peut alors être considéré comme le fournisseur de ce système, sous réserve des dispositions contractuelles prévues par le règlement.

Deuxième situation : une modification substantielle du système.

Un acteur apporte une modification substantielle à un système déjà mis sur le marché ou mis en service, et le système demeure à haut risque au sens de l’article 6.

Une modification peut nécessiter une nouvelle analyse de conformité lorsqu’elle change de manière importante les caractéristiques ou le fonctionnement du système. La qualification de modification substantielle doit être appréciée au regard des dispositions applicables et des caractéristiques du système concerné.

Troisième situation : un changement de finalité qui rend le système à haut risque.

Un acteur modifie la finalité prévue d’un système d’IA, y compris un modèle d’IA à usage général dans les conditions prévues par le texte, qui n’était pas classé à haut risque. Cette nouvelle finalité conduit à le faire entrer dans la catégorie des systèmes à haut risque définie à l’article 6.

Par exemple, un outil initialement conçu pour organiser des documents pourrait être adapté pour évaluer et classer des candidats à un emploi. Si cette nouvelle utilisation relève de l’annexe III de l’IA Act, l’acteur à l’origine de cette modification doit examiner les obligations qui lui incombent en tant que fournisseur.

2. La coopération entre le fournisseur initial et le nouveau fournisseur

Le paragraphe 2 a été modifié par le règlement (UE) 2026/1744, dit « Digital Omnibus sur l’IA ».

Lorsque l’une des situations prévues au paragraphe 1 se produit, le fournisseur initial n’est plus considéré comme le fournisseur de ce système spécifique aux fins de l’IA Act. Le nouvel acteur assume alors les obligations correspondantes.

Toutefois, le fournisseur initial doit coopérer étroitement avec le nouveau fournisseur. Il doit mettre à sa disposition les informations nécessaires et fournir l’accès technique ainsi que l’assistance raisonnablement attendus pour permettre le respect du règlement, notamment lors de l’évaluation de la conformité.

Cette coopération peut notamment comprendre :

• la communication d’une documentation technique suffisante pour évaluer la conformité ;
• la transmission d’informations sur les limites connues du système et ses modes de défaillance ;
• un accès technique ciblé, notamment pour les tests et la validation.

Le texte prévoit toutefois une exception : cette obligation de coopération ne s’applique pas lorsque le fournisseur initial a clairement indiqué que son système ne doit pas être transformé en système à haut risque et qu’il ne relève donc pas de l’obligation de transmettre la documentation prévue par ce paragraphe.

Cette disposition vise à clarifier la répartition des responsabilités tout en tenant compte des informations et des moyens techniques dont le nouveau fournisseur peut avoir besoin.

3. Le fabricant d’un produit peut être considéré comme fournisseur

Le paragraphe 3 concerne les systèmes d’IA à haut risque qui constituent des composants de sécurité de produits couverts par la législation européenne d’harmonisation mentionnée à la section A de l’annexe I.

Dans les situations prévues par le règlement, le fabricant du produit est considéré comme le fournisseur du système d’IA à haut risque lorsque :

• le système est mis sur le marché avec le produit sous le nom ou la marque du fabricant ;
• le système est mis en service sous le nom ou la marque du fabricant après la mise sur le marché du produit.

Le fabricant doit alors assumer les obligations du fournisseur prévues à l’article 16.

Cette règle est importante lorsque l’IA est intégrée à un produit réglementé : la répartition des responsabilités ne dépend pas uniquement de l’entreprise qui a développé le modèle, mais aussi du rôle du fabricant qui commercialise ou met en service le produit concerné.

4. Les accords écrits avec les tiers de la chaîne de valeur

Le paragraphe 4 impose au fournisseur d’un système d’IA à haut risque et au tiers qui lui fournit un système d’IA, un modèle, des outils, des services, des composants ou des processus utilisés ou intégrés dans ce système de définir, par un accord écrit, les éléments nécessaires à la conformité.

Cet accord doit notamment préciser :

• les informations nécessaires ;
• les capacités techniques mises à disposition ;
• les accès techniques requis ;
• l’assistance nécessaire pour permettre au fournisseur de respecter pleinement ses obligations.

Les modalités convenues doivent tenir compte de l’état de l’art généralement reconnu.

Le texte prévoit une exception pour certains tiers qui mettent à la disposition du public, sous une licence libre et open source, des outils, services, processus ou composants. Cette exception ne couvre pas les modèles d’IA à usage général : ceux-ci restent expressément exclus de cette exemption.

Le Bureau européen de l’IA peut élaborer et recommander des clauses contractuelles types volontaires afin de faciliter les relations entre fournisseurs et tiers. Ces clauses doivent être publiées gratuitement dans un format électronique facilement utilisable.

5. Protéger la propriété intellectuelle et les informations confidentielles

Le paragraphe 5 précise que les obligations de coopération prévues aux paragraphes 2 et 3 ne remettent pas en cause la protection des droits de propriété intellectuelle, des informations commerciales confidentielles et des secrets d’affaires, conformément au droit de l’Union et au droit national.

La coopération entre les acteurs doit donc permettre la conformité réglementaire sans entraîner une divulgation illimitée de leurs informations sensibles.

Il est important de distinguer l’obligation de fournir les informations nécessaires à la conformité de l’obligation de révéler l’intégralité du savoir-faire ou du code source d’un système. L’article 25 ne prévoit pas une telle divulgation générale.