« On utilise juste l’API OpenAI » : et le règlement sur l’IA ?

Réponse courte : oui, presque certainement. Si votre équipe appelle l’API OpenAI, utilise ChatGPT au travail ou commercialise un produit bâti sur le modèle d’un tiers, le règlement sur l’IA vous concerne — non pas comme concepteur du modèle, mais comme déployeur, et dans certains cas comme fournisseur de votre propre système d’IA. Une obligation vous lie déjà aujourd’hui : la maîtrise de l’IA prévue à l’article 4, applicable depuis le 2 février 2025, quel que soit le niveau de risque. Tout le reste dépend de l’usage que vous faites du système.

Pourquoi « nous n’avons pas construit le modèle » n’est pas le bon critère

L’idée reçue la plus répandue chez les PME européennes est que le règlement ne vise que les concepteurs de modèles. C’est faux — ou plutôt, ce n’est pas seulement le cas. Le texte repose sur des rôles et des usages, pas sur l’identité de celui qui a entraîné les poids. L’article 3, point 3, définit le fournisseur comme toute personne qui développe un système d’IA ou un modèle d’IA à usage général, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque. L’article 3, point 4, définit le déployeur comme toute personne utilisant un système d’IA sous sa propre autorité, sauf activité personnelle non professionnelle. Aucune de ces définitions ne demande qui a payé les GPU. Si vous utilisez un système d’IA au travail, vous êtes déployeur, point final. Pour le cadre général, voyez notre guide du règlement sur l’IA ; pour le partage des rôles en détail, voyez fournisseur ou déployeur.

Ce qui s’applique déjà à vous, en juillet 2026

Deux obligations mordent dès aujourd’hui, quel que soit votre niveau de risque. D’abord l’article 4 (maîtrise de l’IA), applicable depuis le 2 février 2025 : fournisseurs et déployeurs doivent prendre des mesures pour que leur personnel et les autres personnes qui exploitent les systèmes d’IA pour leur compte disposent d’une compréhension suffisante, proportionnée à leurs connaissances techniques et au contexte d’utilisation. L’omnibus numérique sur l’IA (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) l’a assoupli en obligation de moyens plutôt que de résultat — aucune certification individuelle n’est exigée — mais l’obligation de prendre des mesures documentées et proportionnées demeure. Ensuite, les pratiques interdites de l’article 5 s’appliquent depuis la même date : notation sociale, techniques manipulatrices ou exploitant des vulnérabilités et causant un préjudice important, moissonnage non ciblé d’images faciales, inférence des émotions au travail et dans l’enseignement, certaines catégorisations biométriques. Elles lient directement les déployeurs et portent les amendes les plus lourdes — jusqu’à 7 % du chiffre d’affaires mondial, les PME étant plafonnées au plus faible du pourcentage ou du montant fixe (voir sanctions et amendes).

• Une politique écrite d’une page : les outils autorisés, les données à ne jamais y coller, et à qui s’adresser en cas de doute.
• Une session de 60 à 90 minutes pour tout le personnel : ce que font les outils, où ils échouent (hallucinations, biais, réponses fausses mais assurées) et les lignes rouges de l’article 5.
• Une session approfondie pour ceux qui construisent réellement sur l’API — traitement des prompts et des données, journalisation, évaluation, revue humaine des sorties avant qu’elles n’atteignent un client.
• Une feuille d’émargement et une copie datée du support. L’obligation est de prendre des mesures ; des mesures non documentées sont indiscernables de l’absence de mesures.
• Une mise à jour à chaque nouvel outil ou nouvel usage, et non une piqûre de rappel annuelle par réflexe. Nos ressources sur la maîtrise de l’IA vous donnent un programme de départ.

Article 25 : quand bâtir sur le modèle d’un tiers fait de vous un fournisseur

Le statut de déployeur n’est pas définitif. L’article 25 énonce trois cas qui transforment un distributeur, un importateur, un déployeur ou un autre tiers en fournisseur d’un système d’IA à haut risque, avec l’ensemble des obligations correspondantes. Si vous encapsulez une API dans un produit, lisez-les attentivement : on les déclenche plus facilement que la plupart des équipes ne l’imaginent. Lorsqu’un cas se déclenche, le fournisseur initial doit vous transmettre les informations techniques et les accès nécessaires, sauf s’il a contractuellement exclu cette modification.

1. Votre nom ou votre marque — article 25, paragraphe 1, point a). Vous apposez votre marque sur un système à haut risque déjà mis sur le marché. En pratique : vous revendez en marque blanche un moteur de présélection de CV sous le nom « Acme Talent Match ». Le modèle est celui d’un tiers ; le système présent sur le marché est le vôtre.
2. Modification substantielle — article 25, paragraphe 1, point b). Vous modifiez de façon significative un système à haut risque déjà mis sur le marché, et il le reste. En pratique : vous affinez le modèle sur votre historique de décisions et ajoutez une couche de scoring qui change la façon dont la sortie est calculée — pas un simple nouveau prompt système.
3. Changement de finalité prévue — article 25, paragraphe 1, point c). Vous réaffectez un système — y compris expressément un système d’IA à usage général non classé auparavant à haut risque — de sorte qu’il devienne à haut risque. En pratique : vous bâtissez un outil de résumé documentaire sur l’API, puis vous le vendez aux RH pour classer des candidatures. Même code, nouvelle finalité, nouveau statut juridique.

Article 50 : dire aux gens qu’ils ont affaire à une machine

L’article 50 s’applique bien en dessous du seuil du haut risque et constitue l’échéance la plus pressante aujourd’hui. Les fournisseurs de systèmes qui interagissent directement avec des personnes physiques doivent les concevoir de manière que celles-ci soient informées qu’elles interagissent avec une IA, sauf si cela est évident pour une personne raisonnablement avertie. Les fournisseurs de systèmes générant des contenus de synthèse — audio, image, vidéo ou texte — doivent marquer les sorties dans un format lisible par machine, détectable comme généré ou manipulé artificiellement. Les déployeurs ont leurs propres obligations : signaler les hypertrucages, signaler les textes générés par IA publiés pour informer le public sur des questions d’intérêt général, sauf revue éditoriale humaine, et informer les personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique. Les obligations d’information sur l’interaction s’appliquent à partir du 2 août 2026. L’obligation de marquage de l’article 50, paragraphe 2, s’applique à la même date pour les systèmes mis sur le marché après celle-ci, avec un délai de grâce jusqu’au 2 décembre 2026 pour ceux déjà présents sur le marché avant. Le détail pratique pour les agents conversationnels figure dans notre guide sur l’IA générative et les chatbots.

Quand « on ne fait qu’appeler une API » se révèle à haut risque

Le risque, au sens du règlement, dépend de l’usage et non de l’architecture. Une simple surcouche sur un modèle à usage général bascule dans l’annexe III dès qu’elle sert une finalité listée. Les rubriques qui rattrapent les logiciels B2B ordinaires sont l’emploi et la gestion des travailleurs (analyse et filtrage des candidatures, ciblage des offres d’emploi, décisions de promotion ou de licenciement, attribution des tâches, suivi des performances) ; l’accès aux services privés et publics essentiels (évaluation de la solvabilité et établissement de scores de crédit, hors détection de fraude, tarification du risque en assurance vie et santé, éligibilité aux prestations publiques) ; et l’éducation et la formation professionnelle (décisions d’admission, évaluation des acquis, surveillance des examens). Si votre produit fait cela, le fait de ne pas avoir entraîné le modèle est sans pertinence. Après l’omnibus numérique, les obligations relatives aux systèmes autonomes de l’annexe III s’appliquent à partir du 2 décembre 2027, et celles relatives à l’IA intégrée dans des produits déjà couverts par la législation européenne de sécurité des produits à partir du 2 août 2028 — plus tard que les dates initialement inscrites dans le règlement, mais pas si loin. La liste complète figure dans notre guide des systèmes à haut risque de l’annexe III.

Ce que le fournisseur du modèle fait pour vous — et ce qu’il ne fait pas

Le chapitre V impose des obligations aux fournisseurs de modèles d’IA à usage général : documentation technique, informations et documentation destinées aux fournisseurs en aval qui intègrent le modèle, politique en matière de droit d’auteur et résumé public suffisamment détaillé des contenus d’entraînement, avec des obligations renforcées à l’article 55 pour les modèles présentant un risque systémique. Ces obligations pèsent sur OpenAI, Anthropic, Google, Mistral et leurs pairs — pas sur vous, et vous n’êtes pas sanctionné pour leurs manquements. Leur conformité ne vous libère pas pour autant : une fiche de modèle ne dit rien sur le caractère interdit de votre cas d’usage, sur le fait que votre agent conversationnel se signale, ni sur l’appartenance de votre fonctionnalité RH à l’annexe III. Ce que vous devez obtenir du fournisseur est concret — la documentation en aval qu’il doit mettre à disposition au titre de l’article 53, une déclaration écrite de la finalité prévue du modèle et de ses limites connues, la confirmation des modifications que votre contrat autorise, et un accord de sous-traitance RGPD couvrant le trafic de l’API. Classez le tout comme preuve dans votre propre dossier : c’est une donnée d’entrée de votre analyse, jamais un substitut. Plus de détails dans notre guide des obligations relatives aux modèles à usage général.

Procédez dans cet ordre

1. Recensez chaque point de contact avec l’IA, y compris l’IA fantôme. Pas seulement les clés d’API dans votre code : les comptes ChatGPT payés sur des cartes personnelles, les fonctions d’IA activées en silence dans votre CRM et votre outil de support, les preneurs de notes de réunion, les générateurs de contenu marketing. La plupart des inventaires manquent la moitié du parc au premier passage.
2. Attribuez un rôle par cas d’usage, pas par entreprise. Vous pouvez être déployeur de ChatGPT pour la rédaction interne et fournisseur de votre propre produit destiné aux clients en même temps. Passez chaque cas d’usage séparément par les critères de l’article 25.
3. Lancez dès maintenant la formation à la maîtrise de l’IA de l’article 4. C’est la seule obligation déjà en retard, et de loin la moins coûteuse à refermer.
4. Testez chaque cas d’usage contre l’article 5, puis l’annexe III, puis l’article 50. Interdit d’abord, haut risque ensuite, transparence enfin. Notre check-list de conformité pour PME déroule cette séquence.
5. Consignez le raisonnement, pas seulement la conclusion. Un régulateur vous demandera pourquoi vous avez conclu qu’un système n’est pas à haut risque. Une analyse datée nommant le cas d’usage, les rubriques de l’annexe III examinées et le raisonnement suivi constitue toute votre défense. Une conclusion non documentée n’en est pas une.

Si vous ignorez de quel côté de ces lignes vous vous situez, le plus rapide est de classer correctement un système. Notre vérificateur de risque gratuit fait passer un cas d’usage par les questions de l’article 5, de l’annexe III et de l’article 50 en quelques minutes et renvoie un résultat daté et exportable ; la plateforme de conformité complète conserve ensuite l’inventaire, l’attribution des rôles et les preuves au même endroit à l’approche des échéances. Cet article constitue une information générale sur le règlement et non un conseil juridique — pour un avis contraignant sur vos systèmes, consultez un conseil qualifié.