Les rôles dans l'AI Act expliqués : votre entreprise de mode est-elle fournisseur ou déployeur ?

La plupart des entreprises de mode sont des déployeurs au sens de l'AI Act européen, car elles utilisent des systèmes d'IA conçus par des fournisseurs technologiques. Une entreprise devient fournisseur lorsqu'elle développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque. La distinction compte, car les obligations les plus lourdes de l'Acte pèsent sur les fournisseurs, et un déployeur peut glisser vers ce rôle plus facilement que beaucoup d'équipes ne le pensent.

Que signifient fournisseur et déployeur dans l'AI Act ?

L'article 3 de l'Acte définit le fournisseur comme toute personne, entreprise, autorité publique ou autre organisme qui développe un système d'IA ou un modèle d'IA à usage général, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque. Peu importe que cela se fasse contre paiement ou gratuitement. Un déployeur est toute personne ou organisation qui utilise un système d'IA sous son autorité, sauf lorsque l'usage est purement personnel et non professionnel.

Les définitions portent sur le comportement, non sur le type d'entreprise. Un groupe de mode mondial, un grossiste régional et une jeune marque sont évalués de la même manière. Deux autres rôles existent dans la chaîne d'approvisionnement : l'importateur est une entité établie dans l'UE qui met sur le marché de l'Union un système d'IA portant le nom ou la marque d'une entreprise établie hors de l'UE, et le distributeur est un acteur de la chaîne d'approvisionnement, autre que le fournisseur ou l'importateur, qui met un système à disposition sur le marché de l'Union.

Quel rôle les entreprises de mode occupent-elles le plus souvent ?

Une entreprise qui acquiert sous licence une fonction d'IA au sein de sa plateforme PLM, merchandising, e-commerce ou CRM et l'utilise telle que livrée est normalement un déployeur. L'éditeur du logiciel est le fournisseur. Cela couvre la plupart des cas du quotidien : prévision de la demande, étiquetage automatique des produits, outils de génération d'images, moteurs de recommandation et assistants de service client fournis par un tiers.

Les rôles s'apprécient par système et non par entreprise. Une marque peut être déployeur de son moteur de prévision et, en même temps, fournisseur d'un assistant de stylisme qu'elle a commandé et lancé sous sa propre marque. Les contrats aident à répartir les responsabilités, mais ils ne changent pas la manière dont l'Acte qualifie les rôles.

Lire aussi

Une politique d'usage acceptable de l'IA pour les équipes de mode : une check-list

Quand un déployeur devient-il fournisseur ?

L'article 25 prévoit trois situations dans lesquelles un distributeur, un importateur, un déployeur ou un autre tiers est considéré comme le fournisseur d'un système d'IA à haut risque et assume les obligations du fournisseur au titre de l'article 16 :

• Apposition de la marque : il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché ou en service (les contrats peuvent néanmoins répartir autrement les obligations).
• Modification substantielle : il apporte une modification substantielle à un système à haut risque après sa mise sur le marché ou en service, et le système reste à haut risque.
• Changement de finalité prévue : il modifie la finalité prévue d'un système non classé à haut risque, y compris un système d'IA à usage général, de sorte qu'il devienne à haut risque.

Le troisième cas mérite l'attention. Un modèle à usage général utilisé pour la rédaction publicitaire a peu de chances d'être à haut risque. Le même modèle utilisé pour classer des candidats relève de la catégorie emploi de l'annexe III, et l'entreprise qui le réoriente peut être traitée comme fournisseur d'un système à haut risque. Peu de cas d'usage de la mode sont aujourd'hui à haut risque, mais les outils de ressources humaines et certaines fonctions de gestion du personnel en font partie.

Que doit faire chaque rôle ?

Les obligations varient selon le rôle et le niveau de risque. Pour les systèmes à haut risque, l'article 26 demande notamment aux déployeurs d'utiliser le système conformément aux instructions du fournisseur, de confier la supervision humaine à des personnes compétentes, de veiller à ce que les données d'entrée sous leur contrôle soient pertinentes et suffisamment représentatives, de surveiller le fonctionnement, de conserver les journaux sous leur contrôle pendant au moins six mois et d'informer les travailleurs et leurs représentants avant d'utiliser un tel système sur le lieu de travail. Ils doivent aussi informer les personnes soumises à certaines décisions qu'un système à haut risque est utilisé. Les fournisseurs portent la charge la plus lourde en matière de conception, de documentation et de conformité au titre de l'article 16.

Certaines obligations s'appliquent quelle que soit la classe de risque. L'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel et des autres personnes qui exploitent des systèmes d'IA en leur nom, en tenant compte de leurs connaissances, de leur expérience et du contexte. Il n'impose pas de niveau de maîtrise garanti pour chaque individu. Les obligations de transparence de l'article 50, par exemple informer les personnes qu'elles s'adressent à une machine, s'appliquent aussi aux systèmes hors catégorie à haut risque, et l'Acte fixe des obligations différentes pour les fournisseurs et les déployeurs au titre de cet article.

L'AI Act s'applique-t-il aux entreprises de mode hors de l'UE ?

Oui, dans des cas définis. L'article 2 couvre les fournisseurs qui mettent des systèmes d'IA sur le marché de l'Union où qu'ils soient établis, les déployeurs situés dans l'UE, ainsi que les fournisseurs et déployeurs d'un pays tiers lorsque les résultats produits par le système d'IA sont utilisés dans l'Union. Une marque non européenne qui exploite un système de personnalisation ou de tarification touchant des clients de l'UE doit donc évaluer sa situation plutôt que de supposer que l'Acte est une affaire européenne. L'Acte laisse par ailleurs intact le droit européen de la protection des données : les obligations du RGPD continuent de s'appliquer en parallèle.

Lire aussi

Le calendrier de l'AI Act après l'omnibus numérique : ce qui s'applique et ce qui a été repoussé

Comment une entreprise de mode peut-elle déterminer concrètement son rôle ?

Un court inventaire est l'étape la plus pratique. Pour chaque système d'IA utilisé, notez qui l'a construit, quel nom il porte, s'il a été adapté et à quoi il est destiné. Répondez ensuite à quatre questions dans l'ordre :

1. Avons-nous développé ce système ou l'avons-nous fait développer pour nous, et porte-t-il notre nom ou notre marque ?
2. L'avons-nous modifié substantiellement depuis sa publication par le fournisseur ?
3. L'avons-nous orienté vers une finalité différente de celle prévue par le fournisseur, notamment en matière de recrutement ou de gestion du personnel ?
4. Ses résultats sont-ils utilisés dans l'UE, quel que soit notre lieu d'établissement ?

Si la réponse aux trois premières questions est non, l'entreprise est très probablement déployeur. Tout oui mérite un examen juridique plus poussé. Les achats sont le lieu naturel pour ajouter ce contrôle, avec une demande adressée aux fournisseurs pour obtenir leur déclaration de finalité prévue, leur notice d'utilisation et leur classification des risques.