Votre client vous demande ce que vous faites de l’IA ?
Les questionnaires fournisseurs ont désormais une section sur l’intelligence artificielle : quels outils, quelles données, quels fournisseurs. Ce guide explique pourquoi on vous la pose, ce qu’on va vous demander, et ce que le règlement européen sur l’IA (AI Act) impose déjà.
Pourquoi votre client vous pose la question
Votre client répond de ses données au titre du RGPD, et de ses propres usages de l’IA au titre de l’AI Act. Quand vous traitez ses données avec un outil d’IA, cet outil devient un maillon de sa chaîne : il doit savoir lequel, où, et avec quelles garanties. Le questionnaire est sa façon de le vérifier.
Ce qu’on va vous demander
Les questions varient d’un client à l’autre, mais reviennent presque toujours à ces huit points. Pour chacun, voici ce qui y répond.
Quels outils d’IA utilisez-vous, et pour quoi faire ?
La liste des outils (assistants de rédaction, de code, de support…) et l’usage de chacun.
Quelles données leur envoyez-vous ?
Les catégories de données qui peuvent entrer dans chaque outil, et celles que vous excluez, en particulier les données de vos clients.
Nos données servent-elles à entraîner un modèle ?
Pour chaque outil, ce que prévoient le contrat ou les réglages : entraînement désactivé, durée de conservation des requêtes.
Où nos données sont-elles traitées ?
La région de traitement de chaque fournisseur d’IA, et si des données quittent l’Union.
Vos fournisseurs d’IA figurent-ils parmi vos sous-traitants ?
Votre liste de sous-traitants à jour, avec les fournisseurs d’IA qui traitent des données personnelles.
Qui relit ce que l’IA produit ?
Les étapes où une personne vérifie le résultat avant qu’il parte chez un client ou serve à une décision.
Comment votre personnel est-il formé ?
Les mesures prises pour que vos équipes sachent utiliser l’IA et en connaissent les limites : règles internes, formation, ressources.
Signalez-vous l’IA à vos utilisateurs ?
Si vos clients parlent à un assistant automatisé ou reçoivent des contenus générés, la façon dont vous le leur indiquez.
Le modèle de déclaration suit ces huit points, une section par point. Partir du modèle de déclaration
Répondre une fois, pas à chaque client
Ces questions reviendront avec chaque nouveau client. Publiez une déclaration d’utilisation de l’IA sur votre trust center, et ajoutez vos fournisseurs d’IA à votre liste de sous-traitants : vous envoyez un lien, et chaque version reste datée quand vos outils changent.
Ce que l’AI Act impose, et quand
Le règlement (UE) 2024/1689 s’applique par étapes. Voici les dates qui comptent pour une entreprise qui utilise des outils d’IA, à jour du règlement (UE) 2026/1744 qui en a reporté une partie.
2 février 2025
Les pratiques d’IA interdites (article 5), et l’obligation de prendre des mesures pour la maîtrise de l’IA de votre personnel (article 4).
2 août 2026
Les obligations de transparence (article 50) : indiquer qu’on s’adresse à une IA, signaler un contenu truqué (deepfake).
2 décembre 2027
Les règles sur les systèmes à haut risque de l’annexe III, comme le recrutement ou l’évaluation de crédit. Reportées : elles devaient s’appliquer le 2 août 2026.
2 août 2028
Les règles sur l’IA intégrée à des produits déjà réglementés (annexe I). Reportées elles aussi.
Savoir si un usage précis est à haut risque, ou si vous êtes fournisseur plutôt que déployeur d’un système, demande une analyse au cas par cas. Cette page ne la fait pas : le texte et les orientations de la Commission sont les sources à consulter.
L’AI Act sur EUR-Lex (ouvre un nouvel onglet)Questions fréquentes
- Utiliser ChatGPT ou Copilot fait-il de moi un « fournisseur » au sens de l’AI Act ?
- En général non : vous êtes alors un « déployeur », un utilisateur professionnel d’un système fourni par un autre. Vous devenez fournisseur si vous développez un système d’IA, ou le faites développer, et le mettez sur le marché ou en service sous votre propre nom.
- Faut-il une certification ?
- Pour un usage courant d’outils d’IA, l’AI Act n’en impose pas. Les évaluations de conformité concernent les systèmes à haut risque, à partir de décembre 2027. Un client peut toutefois vous demander une norme comme ISO/IEC 42001.
- Ma déclaration doit-elle être publique ?
- Non. Vous pouvez publier la liste des outils et réserver le détail des réglages et des contrats aux clients à qui vous en donnez l’accès.