Comment documenter sa chaîne d’approvisionnement IA pour la conformité AI Act ?

Depuis l’entrée en vigueur progressive du règlement européen, les entreprises qui déploient des solutions d’intelligence artificielle ne sont plus de simples utilisateurs : elles deviennent déployeurs au sens juridique du texte. L’AI Act chaîne approvisionnement IA crée des obligations documentaires précises que peu d’organisations ont anticipées. Le règlement (UE) 2024/1689 établit un calendrier d’application en plusieurs étapes, dont certaines sont déjà effectives. Cet article pose les repères pour comprendre ces obligations et savoir par où commencer.

Pourquoi l’AI Act chaîne approvisionnement IA crée des obligations sur chaque maillon

La confusion la plus fréquente consiste à croire que le règlement ne concerne que les fournisseurs de modèles — OpenAI, Mistral, Google, ou leurs équivalents. C’est inexact. Le texte distingue clairement deux rôles : le fournisseur, qui développe et met sur le marché un système d’IA, et le déployeur, qui utilise ce système dans ses propres activités. Or un déployeur supporte des obligations propres, distinctes de celles de son fournisseur.

En mars 2025, Antoine BERGERON, DSI d’un groupe de distribution de taille intermédiaire (secteur retail), réalisait lors d’un audit interne que son entreprise utilisait sept solutions intégrant des modèles d’IA — gestion des stocks, recommandation produit, scoring crédit fournisseurs. Aucune de ces solutions n’avait fait l’objet d’une demande d’attestation de conformité. Aucun registre interne ne documentait les niveaux de risque de chacune. La direction juridique, interrogée, ignorait que l’AI Act chaîne approvisionnement IA imposait des obligations au déployeur lui-même.

Cette situation n’est pas une exception. La Commission européenne estime que des dizaines de milliers d’entreprises européennes sont concernées par les obligations déployeurs, dont une majorité n’a pas encore engagé de démarche de mise en conformité. Le calendrier impose pourtant d’agir : les pratiques interdites sont effectives depuis février 2025, les obligations GPAI (modèles à usage général) s’appliquent depuis août 2025, et les systèmes à haut risque entrent dans le régime complet en août 2026.

La chaîne comprend au minimum quatre niveaux : les fournisseurs de modèles fondamentaux (GPAI), les fournisseurs d’infrastructure cloud qui hébergent ces modèles, les prestataires de données qui les alimentent, et les sous-traitants qui intègrent ces briques dans des solutions métier. Chaque niveau génère des obligations documentaires spécifiques pour le déployeur — c’est précisément ce que désigne l’expression AI Act chaîne approvisionnement IA dans le langage réglementaire.

Ce que font les organisations qui anticipent la conformité de leur chaîne approvisionnement IA

Les organisations qui ont engagé une démarche structurée ne partent pas d’une revue exhaustive de l’ensemble du règlement. Elles commencent par un inventaire ciblé : cartographier les systèmes IA en production, identifier leur niveau de risque selon la classification (inacceptable, haut, limité, minimal), et prioriser les actions documentaires en conséquence.

L’inventaire ne se limite pas aux solutions achetées en SaaS. Il inclut les briques IA intégrées dans des logiciels métiers (ERP, CRM, outils RH), les API de modèles utilisées directement par les équipes techniques, et les systèmes d’automatisation qui prennent des décisions ayant un impact sur des personnes physiques — critère déclencheur des catégories à risque élevé.

Une fois l’inventaire établi, les organisations structurées mettent en place deux mécanismes complémentaires. D’une part, des clauses contractuelles spécifiques : obligation de communication documentaire, fourniture annuelle d’une attestation de conformité signée, notification en cas de modification substantielle du système. D’autre part, un registre interne des dépendances IA, mis à jour trimestriellement, qui consigne le niveau de risque assigné, les documents reçus, et les éventuels écarts constatés.

L’OCDE, dans ses principes directeurs sur l’IA, recommande depuis 2024 que les organisations adoptent une approche de gouvernance qui va au-delà de la simple conformité réglementaire. Gérer l’AI Act chaîne approvisionnement IA signifie construire une capacité d’audit reproductible, pas uniquement cocher des cases avant un contrôle.

Les pratiques les plus matures incluent la classification des fournisseurs par catégorie de risque : un fournisseur de modèle GPAI sans politique de droits d’auteur documentée représente un risque différent d’un prestataire d’infrastructure cloud certifié ISO 27001. Cette stratification permet de prioriser les due diligences et de concentrer les efforts contractuels là où l’exposition est réelle.

Trois erreurs classiques dans la gestion de la chaîne approvisionnement IA

• Confondre certification du fournisseur et conformité déployeur. Le fait qu’un fournisseur affiche une conformité sur son site ne décharge pas le déployeur de ses propres obligations documentaires. Le règlement impose au déployeur de vérifier que le système est utilisé conformément aux instructions du fournisseur, de tenir un registre, et de notifier les incidents. Ces obligations sont cumulatives, pas substituables.
• Ne traiter que les systèmes développés en interne. La majorité des obligations déployeurs s’applique indépendamment du mode d’acquisition du système. Une solution SaaS intégrant un modèle d’IA à haut risque — par exemple un outil de scoring RH — soumet l’entreprise utilisatrice aux mêmes exigences de documentation et de supervision qu’un système développé sur mesure.
• Attendre août 2026 pour agir. Le calendrier d’application est progressif, mais les obligations relatives aux pratiques interdites et aux systèmes GPAI sont déjà effectives. Construire un inventaire et des processus de due diligence prend plusieurs mois. Les organisations qui démarrent maintenant disposent d’un avantage structurel sur celles qui attendront la prochaine échéance réglementaire pour s’organiser.

Par où commencer pour documenter votre AI Act chaîne approvisionnement IA

La mise en conformité ne requiert pas de démarrer par une refonte contractuelle globale. Trois actions initiales permettent de progresser sans bloquer l’organisation.

La première consiste à réaliser un inventaire des systèmes IA en production. Cet inventaire recense chaque solution utilisant de l’IA, identifie le ou les fournisseurs impliqués, et attribue une classification de risque provisoire selon les critères du règlement. Un tableur structuré suffit pour commencer — l’enjeu est d’avoir une vision exhaustive avant de prioriser.

La deuxième action est d’envoyer à chaque fournisseur identifié une demande formelle d’information : documentation technique du système, description des capacités et limites, politique de cybersécurité, et — pour les modèles GPAI — politique de transparence sur les droits d’auteur. Cette demande constitue la base du dossier documentaire déployeur et crée une trace contractuelle de la démarche de due diligence.

La troisième action est d’inclure, lors du prochain renouvellement contractuel, une clause d’attestation annuelle. Cette clause oblige le fournisseur à fournir chaque année une attestation signée confirmant la conformité du système aux exigences applicables à sa catégorie. Le NIST AI Risk Management Framework fournit un cadre de référence complémentaire pour structurer ces exigences contractuelles, utile pour les fournisseurs non européens. La méthode complète est développée dans la collection Réussir l’IA en entreprise.

Ces trois actions ne constituent pas une mise en conformité définitive. Elles permettent de construire les fondations — inventaire, documentation, clauses — sur lesquelles s’appuiera la démarche structurée. Dans ce tome du livre « Réussir l’IA en entreprise 2026 », l’annexe dédiée à la conformité VendorOps va plus loin : elle expose les obligations précises par catégorie de fournisseur, les calendriers d’application détaillés, et les processus d’audit qui permettent au DSI, au DAF ou au DPO de piloter l’AI Act chaîne approvisionnement IA sans dépendre uniquement de la bonne volonté des prestataires.