Votre SaaS intègre une IA sans le savoir ? Les obligations qui s'appliquent.
Un SaaS qui utilise une API d'IA pour des recommandations ou du scoring devient automatiquement fournisseur au sens de l'AI Act. Voici les étapes concrètes pour se mettre en conformité et éviter les exclusions d'appels d'offres.
Pourquoi votre SaaS est concerné par l'AI Act, même sans IA maison
Un éditeur SaaS qui intègre une API d'IA pour des recommandations, du scoring ou de l'automatisation devient automatiquement fournisseur au sens de l'AI Act.
L'article 3(3) du règlement est clair : dès qu'un système IA est intégré dans un produit et commercialisé sous le nom ou la marque de l'éditeur, ce dernier en devient le fournisseur. Peu importe que le modèle sous-jacent provienne d'OpenAI, Mistral ou Anthropic. Ce qui compte, c'est l'usage final commercialisé.
Exemples concrets :
- Un SaaS de gestion de projet qui utilise l'API d'OpenAI pour générer des résumés automatiques de réunions.
- Un outil de marketing qui intègre un modèle de scoring de leads via une bibliothèque tierce.
- Une plateforme RH qui propose un module de recommandation de formations basé sur un modèle de langage.
Dans ces cas, l'éditeur SaaS doit respecter les obligations du fournisseur, notamment la classification du système IA et la documentation technique si le système est considéré comme haut risque.
Les 3 étapes pour se mettre en conformité avec l'AI Act
La conformité AI Act pour un SaaS B2B repose sur trois piliers : classification, documentation et transparence.
1. Classer son système IA
La première étape consiste à déterminer si le système IA intégré est considéré comme haut risque. L'annexe III de l'AI Act liste les cas concernés, notamment :
- Gestion des ressources humaines (scoring candidats, évaluation des performances).
- Accès à des services essentiels (scoring crédit, assurance).
- Éducation et formation professionnelle (notation automatique).
Si le système entre dans l'une de ces catégories, l'éditeur doit produire une documentation technique conforme à l'annexe IV.
2. Produire la documentation technique
Pour les systèmes haut risque, l'annexe IV impose une documentation détaillée, incluant :
- Une description des fonctionnalités du système et de ses limites.
- Les données d'entraînement utilisées et leur provenance.
- Les mesures de cybersécurité et de robustesse mises en place.
- Les procédures de surveillance post-mise en marché.
Cette documentation doit être mise à disposition des autorités compétentes sur demande.
3. Respecter les obligations de transparence
L'article 50 de l'AI Act impose aux fournisseurs de systèmes IA d'informer les utilisateurs finaux qu'ils interagissent avec une IA. Pour un SaaS B2B, cela signifie :
- Informer les clients que certaines fonctionnalités utilisent de l'IA.
- Décrire les capacités et limites du système dans la notice d'information (article 13).
- Indiquer si le système est considéré comme haut risque.
Cas pratique : un SaaS RH avec scoring de candidats
Un éditeur de logiciel RH intègre une API d'IA pour noter les CV. Voici comment il doit se mettre en conformité.
Scénario : un SaaS RH propose une fonctionnalité de scoring automatique des candidats, basée sur l'API d'OpenAI. Cette fonctionnalité est commercialisée comme un module premium.
Étape 1 : Classification du système
Le scoring de candidats relève de la gestion des ressources humaines, listée dans l'annexe III de l'AI Act. Le système est donc considéré comme haut risque.
Étape 2 : Documentation technique
L'éditeur doit produire une documentation conforme à l'annexe IV, incluant :
- Une description des critères de scoring et de leurs poids respectifs.
- Les données d'entraînement utilisées pour le modèle (ex : CV historiques, offres d'emploi).
- Les mesures de protection contre les biais discriminatoires.
- Les procédures de surveillance post-déploiement (ex : audits réguliers).
Étape 3 : Transparence envers les clients
L'éditeur doit :
- Informer les clients que le scoring utilise une IA.
- Fournir une notice d'information décrivant les capacités et limites du système (article 13).
- Indiquer que le système est considéré comme haut risque.
Article 50 : ce que vos clients attendent vraiment
Les clients B2B, notamment les grandes entreprises, exigent de plus en plus de transparence sur les systèmes IA utilisés dans les SaaS.
L'article 50 de l'AI Act impose aux fournisseurs d'informer les utilisateurs finaux qu'ils interagissent avec une IA. Pour un SaaS B2B, cela se traduit par :
- Une mention claire dans les conditions générales ou la documentation technique.
- Une notice d'information accessible, décrivant :
- Les fonctionnalités IA utilisées.
- Les limites du système (ex : taux d'erreur, biais potentiels).
- Les mesures de protection mises en place.
- Un canal de contact pour les questions liées à l'IA.
Les clients entreprise, notamment dans les secteurs régulés (banque, assurance, santé), incluent de plus en plus des clauses AI Act dans leurs RFP. Un SaaS sans documentation AI Act sera systématiquement écarté.
Obligations si votre SaaS utilise un modèle de base (GPAI)
Si votre SaaS intègre un modèle de langage comme GPT-4 ou Mistral, des obligations supplémentaires s'appliquent.
L'article 25(4) de l'AI Act impose aux fournisseurs de systèmes intégrant un modèle GPAI (General-Purpose AI) de :
- Informer les déployeurs aval (vos clients) que le système utilise un modèle GPAI.
- Fournir une documentation technique sur le modèle utilisé, incluant :
- Les capacités et limites du modèle.
- Les données d'entraînement (si disponibles).
- Les mesures de cybersécurité.
- Respecter les obligations de transparence de l'article 50.
Exemple : un SaaS de génération de contenu qui utilise l'API de Mistral doit informer ses clients que le système repose sur un modèle GPAI et fournir une documentation sur les limites du modèle (ex : risques de biais, hallucinations).
La conformité AI Act comme argument commercial
Les éditeurs SaaS peuvent transformer la conformité en avantage compétitif, notamment dans les appels d'offres.
Selon plusieurs études, les grandes entreprises (CAC40, ETI) incluent de plus en plus des clauses AI Act dans leurs RFP. Les éditeurs SaaS sans documentation AI Act sont systématiquement écartés.
Stratégies pour valoriser la conformité :
- Option premium : Proposer la documentation AI Act comme une option payante pour les clients entreprise.
- Tier enterprise : Réserver les fonctionnalités conformes aux clients du segment haut de gamme.
- Argument commercial : Mettre en avant la conformité dans les pitchs et les supports marketing (ex : « Notre SaaS est conforme à l'AI Act, garantissant transparence et sécurité pour vos données »).
- Certification : Obtenir une certification tierce pour renforcer la crédibilité (ex : label CNIL, certification ISO 42001).
Exemple : un SaaS de scoring crédit peut proposer une documentation AI Act conforme en option premium, facturée 20% de plus que le tarif standard. Les clients entreprise, soumis à des obligations réglementaires strictes, paieront ce surcoût pour éviter les risques.
Identifiez vos obligations en 3 minutes
Notre diagnostic gratuit vous indique si votre SaaS est concerné par l'AI Act et quelles étapes suivre pour vous mettre en conformité.
Questions fréquentes
Réponses aux questions les plus courantes des éditeurs SaaS sur l'AI Act.
Oui. Dès que vous intégrez une fonctionnalité IA dans votre SaaS et la commercialisez sous votre nom ou votre marque, vous devenez fournisseur au sens de l'AI Act. Cela s'applique même si vous utilisez une API tierce comme OpenAI ou Mistral. L'article 3(3) du règlement est explicite sur ce point.
Les sanctions peuvent aller jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial, selon le montant le plus élevé. Pour les PME, les amendes sont plafonnées à 15 millions d'euros ou 3% du chiffre d'affaires. Les autorités compétentes peuvent également ordonner le retrait du système du marché.
Consultez l'annexe III de l'AI Act, qui liste les cas considérés comme haut risque. Les catégories les plus courantes pour les SaaS incluent la gestion des ressources humaines, l'accès à des services essentiels (crédit, assurance) et l'éducation. Vous pouvez également utiliser notre diagnostic gratuit pour vérifier si votre système est concerné.
Un fournisseur est une entité qui développe ou commercialise un système IA sous son propre nom ou sa propre marque. Un déployeur est une entité qui utilise un système IA dans le cadre de ses activités, sans le commercialiser. Par exemple, un éditeur SaaS qui intègre une IA est un fournisseur, tandis qu'une entreprise qui utilise ce SaaS est un déployeur.
Oui. L'article 50 de l'AI Act impose aux fournisseurs d'informer les utilisateurs finaux qu'ils interagissent avec une IA. Pour un SaaS B2B, cela signifie informer vos clients que certaines fonctionnalités utilisent de l'IA et décrire les capacités et limites du système dans une notice d'information (article 13).
Si votre SaaS intègre un modèle GPAI (General-Purpose AI), vous devez informer vos clients que le système utilise un tel modèle et fournir une documentation technique sur ses capacités et limites. L'article 25(4) de l'AI Act détaille ces obligations, qui s'ajoutent à celles de l'article 50 sur la transparence.
Vous pouvez proposer la documentation AI Act comme une option premium ou un tier enterprise, facturée en supplément. Mettez en avant la conformité dans vos pitchs commerciaux et vos supports marketing pour rassurer les clients entreprise, de plus en plus exigeants sur ce point. Une certification tierce (ex : label CNIL) peut également renforcer votre crédibilité.