SaaS & Éditeurs logiciels
Les éditeurs SaaS sont souvent providers ou intégrateurs de GPAI. Obligations de transparence, documentation, marquage des contenus IA.
Points clés
- Statut provider, deployer ou les deux
- Intégration GPAI : obligations spécifiques chapitre V
- Article 50 : marquage des contenus synthétiques
- Documentation aux clients downstream
Définition
Application de l'AI Act aux éditeurs de logiciels et SaaS intégrant ou exposant des fonctionnalités IA : assistants, copilotes, génération de contenu, automatisation.
Détail
Un SaaS qui intègre une fonctionnalité IA peut endosser deux rôles : provider (s'il met sur le marché un système IA sous sa marque) ou deployer (s'il utilise un système IA tiers en interne). L'intégration d'un GPAI (GPT, Claude, Mistral, Llama) ajoute une couche : l'éditeur reste responsable du système intégré tandis que le fournisseur du GPAI a ses propres obligations (article 53). L'article 50 impose le marquage des contenus générés (deepfakes, textes, images synthétiques). Pour les éditeurs proposant leur produit à des clients high-risk, la documentation technique et les informations d'usage doivent permettre au client de remplir ses propres obligations.
Tableau
| Cas d'usage | Rôle | Obligations principales |
|---|---|---|
| Assistant IA intégré (chatbot, copilote) | Provider | Art. 50, doc technique |
| Génération d'images / vidéos | Provider | Art. 50 (marquage) |
| Intégration d'un LLM tiers | Deployer + Provider | Art. 50 + chaîne de valeur |
| Éditeur d'ATS RH | Provider d'un high-risk | Annexe III + chapitre III |
| Plateforme de scoring crédit | Provider d'un high-risk | Annexe III + chapitre III |
Checklist
- Qualifier votre rôle (provider, deployer, intégrateur)
- Identifier les fonctionnalités IA et leur niveau de risque
- Mettre en œuvre le marquage des contenus synthétiques
- Préparer la documentation downstream pour vos clients
- Tracer la chaîne GPAI (article 53)
Comment utiliser cette fiche
Cette fiche sert de point d'entrée opérationnel pour un audit AI Act. Elle doit être reliée à un système d'IA précis, à un responsable interne, à des preuves disponibles et à une décision de classification documentée. Le bon usage consiste à vérifier le périmètre, confirmer le rôle de l'organisation, identifier les obligations applicables, puis transformer chaque écart en action datée.
Preuves à réunir
- Inventaire du système d'IA, finalité, utilisateurs et environnement de déploiement.
- Documentation technique, politiques internes, journaux, tests, supervision humaine et décisions de gouvernance.
- Référence aux articles AI Act, aux normes ou aux sources officielles qui justifient la qualification.
- Responsable de la revue, date de dernière mise à jour et prochaine échéance de contrôle.
Indicateurs de suivi
Suivez le taux de preuves disponibles, le nombre d'écarts ouverts, la criticité des actions restantes et la date de prochaine revue. Une fiche est exploitable si elle permet à un auditeur, un DPO ou un responsable technique de comprendre rapidement ce qui est conforme, ce qui reste à prouver et quelle décision doit être prise.
Questions fréquentes
- Suis-je provider si j'intègre OpenAI dans mon SaaS ?
- Vous êtes provider du système IA que vous mettez sur le marché sous votre marque. OpenAI reste fournisseur du GPAI sous-jacent. Vos obligations cumulent les deux niveaux.
- Dois-je marquer les contenus générés ?
- Oui, l'article 50 impose un marquage lisible par machine pour tout contenu synthétique (texte, image, audio, vidéo) généré par votre système.