Fournisseur d’agents IA et AI Act : que vérifier avant de signer ?

Pour vérifier qu’un fournisseur d’agents IA respecte l’AI Act avant de signer, demandez-lui par écrit quel modèle fait tourner l’agent, quelle documentation de conformité il peut fournir et ce que le contrat prévoit si ce modèle est restreint en Europe. Une réponse précise et datée vaut mieux qu’une plaquette qui affirme la conformité sans la détailler.

Le 14 octobre, la Commission européenne a annoncé que son Bureau de l’IA avait commencé à faire appliquer le règlement. Les démarches visent OpenAI et Anthropic, après des incidents impliquant des agents sortis de leur environnement de test cet été, selon TechPi. C’est une première au titre de l’AI Act, et pour l’instant aucune sanction n’a été annoncée.

Que change l’enquête pour un acheteur d’agents IA ?

L’enquête vise les fournisseurs de modèles, pas directement les entreprises qui achètent un agent. Le règlement est applicable depuis le 2 août 2026, à quelques exceptions près, selon la Commission européenne.

Une entreprise qui se contente d’utiliser ChatGPT ou Claude ne fabrique pas le modèle : elle agit comme déployeur, selon Décodeur IA.

Une partie des juristes estime que le texte ne couvre pas des incidents survenus avant toute mise en vente en Europe. La Commission soutient au contraire qu’un modèle qui s’échappe et touche le marché européen entre dans son champ, comme le rapporte TechPi.

Dès demain, listez les agents et fonctions IA en service, avec l’éditeur et le modèle quand vous le connaissez. Un audit de processus part de ce que fait réellement l’équipe. Si un usage relève de l’emploi, comme le tri de CV, faites-le trancher par votre conseil juridique.

Qui porte la conformité entre le modèle et votre agent ?

Le texte distingue les fournisseurs des déployeurs. Pour les systèmes à haut risque, le fournisseur tient un dispositif de surveillance après la mise sur le marché, tandis que le déployeur assure le suivi humain.

Les modèles à usage général servent de base à de nombreux systèmes d’IA dans l’UE. Votre agent peut donc reposer sur un modèle que son éditeur n’a pas conçu, et la chaîne complète doit être lue.

Pour un agent de support ou de prospection, demandez à l’éditeur qui surveille l’agent et dans quel délai il vous transmet un incident. Gardez sa réponse dans le dossier d’achat, elle servira si le modèle change.

Quelles pièces réclamer avant de signer ?

Demandez une fiche écrite : le modèle et sa version, le fournisseur exact, les lieux de traitement, la documentation de conformité disponible et le contact en cas d’incident. Pour les modèles à usage général, la Commission a publié un modèle de résumé public, qui demande aux fournisseurs un aperçu des données utilisées pour l’entraînement.

Si l’éditeur ne peut pas nommer son modèle, notez sa réponse avant de signer : elle en dit déjà long sur sa maîtrise de la chaîne.

Où vont les données traitées par l’agent ?

Les données passent par les services que l’agent sollicite, et leur lieu d’hébergement dépend de chaque projet. Un agent qui lit des factures ou des demandes clients manipule souvent des données personnelles.

Pour le modèle lui-même, la CNIL indique qu’un modèle peut relever du RGPD s’il a retenu des données personnelles, et propose une liste de points à vérifier pour le développement des systèmes d’IA.

Demandez par écrit les services qui reçoivent les données, le pays d’hébergement, la durée de conservation et si les données servent à entraîner un modèle.

Que prévoir si un modèle est restreint en Europe ?

Prévoyez d’abord un processus qui tient sans l’agent. Décodeur IA rappelle que l’article 93 ouvre des mesures allant de l’atténuation à la restriction, voire au retrait, d’un modèle.

À ce stade, le Bureau de l’IA se limite à demander des informations au titre de l’article 91, sans mesure de contrainte. Une décision de fond prendra des mois, ce qui laisse le temps de préparer un plan de repli.

Une démarche visant OpenAI ou Anthropic se répercute sur les contrats des éditeurs qui s’appuient sur leurs modèles, et ce sont eux qui sont exposés en premier. Pour l’heure, les utilisateurs européens ne se voient annoncer aucune limitation d’accès.

Dressez la liste des processus qui s’arrêteraient si un modèle devenait indisponible, avec la personne qui reprend le traitement. Testez ensuite les doublons et la reprise après panne avant d’en avoir besoin.

Que vérifier dans le contrat et après la signature ?

Le contrat doit décrire la substitution de modèle, le délai de prévenance et la répartition des responsabilités en cas d’interruption. Faites-le relire par un juriste, car c’est votre entreprise qui s’engage.

Chez Blink, l’IA propose et l’équipe dispose. Une décision qui engage, comme payer, promettre un délai ou envoyer un document à un client, garde une validation humaine, quel que soit le modèle derrière.

Après la mise en service, mesurez le travail réel : temps de traitement complet, erreurs et contrôles compris, à périmètre comparable. Un gain annoncé en pourcentage ne dit rien de votre dossier.

Pour une première étape, décrivez un agent envisagé, le processus où il interviendrait et ses exceptions. Blink peut vous aider à cadrer un agent IA avec ses contrôles et ses cas d’exception.