Sommaire
L’essentiel
- • Votre wrapper n'est PAS un GPAI. Le GPAI, c'est le modèle sous-jacent (GPT-4, Claude, Gemini). Pas votre produit.
- • Vous êtes probablement un deployer du modèle ET un provider de votre propre système IA.
- • Vos obligations dépendent de CE QUE VOTRE PRODUIT FAIT, pas du modèle sous-jacent. Si votre cas d'usage tombe dans l'Annexe III, vous êtes soumis au régime haut risque complet.
- • Si vous modifiez substantiellement le modèle (fine-tuning significatif), vous pouvez devenir provider du GPAI modifié. Voir Art. 25.
1. Qu'est-ce qu'un GPAI, précisément ?
L'Article 3(63) de l'AI Act définit un modèle GPAI (« General Purpose AI ») comme un modèle d'IA entraîné sur de grandes quantités de données, conçu pour servir une variété de finalités, capable d'effectuer un large éventail de tâches distinctes, et qui peut être intégré dans des systèmes ou applications en aval.
Le Recital 97 précise : les modèles concernés sont ceux avec au moins 10²³ FLOPs de calcul d'entraînement et capables de générer du langage (texte ou audio), de la conversion texte-image ou texte-vidéo. Cela capture explicitement : GPT-4, GPT-3.5, Claude (toutes versions), Gemini (toutes versions), Llama, Mistral, et les modèles fondation équivalents.
2. Provider ou deployer ? Les deux à la fois.
C'est le point le plus mal compris. Quand vous construisez un produit SaaS qui appelle GPT-4 via l'API OpenAI, vous portez simultanément deux rôles distincts :
Conséquence directe : vos obligations dépendent de ce que VOTRE système fait, pas de ce que le modèle sous-jacent sait faire. Un wrapper qui filtre les CV est un système Annexe III haut risque (§4(b), emploi). Un wrapper qui génère des images de chats ne l'est pas.
3. Quand devenez-vous provider du modèle GPAI ?
L'Article 25 de l'AI Act définit les responsabilités le long de la chaîne de valeur. Il précise que si vous modifiez substantiellement un système IA déjà sur le marché (y compris un GPAI), vous en devenez le provider aux fins de l'AI Act. Concrètement :
Prompt engineering seul : Pas de modification substantielle. Vous restez deployer du modèle.
RAG / retrieval augmentation : Pas de modification du modèle lui-même. Vous restez deployer.
Fine-tuning léger (quelques centaines d'exemples) : Zone grise. Probablement pas substantiel, mais à documenter.
Fine-tuning significatif (changement de capacités ou de comportement) : Vous pouvez devenir provider du modèle modifié, avec les obligations Art. 53 en plus de celles de votre système IA.
Entraînement from scratch ou continual pretraining massif : Vous êtes provider du GPAI. Régime complet.
4. Ce que ça vous coûte vraiment
La fourchette dépend entièrement du régime dans lequel vous vous situez. Voici les ordres de grandeur sourcés du rapport CEPS 2021 et des estimations de marché pour les déployeurs :
| Profil | Initial | Annuel |
|---|---|---|
| Wrapper simple, cas d'usage non Annexe III | €0–3K | <€5K |
| Wrapper Annexe III, auto-certification (Annexe VI) | €20–50K | €10–30K |
| Provider Annexe III avec QMS complet | €144–330K | ~€71K |
| Provider GPAI (fine-tuning massif) | €200–500K+ | €100K+ |
Important : si vous avez déjà une conformité RGPD mature (DPO, registre, DPIA), le coût marginal de l'AI Act est plus faible, parce qu'il étend la gouvernance existante au lieu de la réinventer. Nous ne chiffrons pas cette réduction : nous ne l'avons pas mesurée, et nous ne connaissons pas de source qui l'établisse pour une PME européenne.
5. Que faire maintenant ?
- 1. Clarifiez votre rôle. Deployer du modèle ET provider de votre système, probablement. Documentez cette position par écrit, pour vous, votre équipe, vos investisseurs.
- 2. Identifiez votre cas d'usage dans l'Annexe III. Si votre produit touche l'emploi, le crédit, l'éducation, les services publics, la justice, l'asile, la biométrie, la santé, vous êtes potentiellement haut risque.
- 3. Vérifiez Art. 5 (pratiques interdites). La reconnaissance d'émotions au travail, le scoring social, le profilage criminel sont interdits, quel que soit le modèle utilisé.
- 4. Si vous êtes limited risk : appliquez Art. 50. Obligation de transparence : indiquez à l'utilisateur qu'il interagit avec une IA. C'est souvent tout ce qu'il vous faut.
- 5. Documentez TOUT. Le régulateur ne vérifie pas ce que vous avez fait, il vérifie ce que vous pouvez prouver. Un artefact daté de votre position vaut mille conversations.
Vous construisez un produit sur GPT, Claude ou Gemini ? Le relevé en six questions classe ce que vous savez de votre déploiement : deux minutes, sans compte, rien n'est envoyé ni enregistré.
Sources
- [1]EUR-Lex (July 12, 2024) · Regulation (EU) 2024/1689 — Artificial Intelligence Act (full text) eur-lex.europa.eu/eli
- [2]EU AI Act · Article 3 — Definitions (AI system, GPAI model, provider, deployer) artificialintelligenceact.eu/article
- [3]EU AI Act · Article 16 — Obligations of providers of high-risk AI systems artificialintelligenceact.eu/article
- [4]EU AI Act · Article 25 — Responsibilities along the AI value chain artificialintelligenceact.eu/article
- [5]EU AI Act · Article 26 — Obligations of deployers of high-risk AI systems artificialintelligenceact.eu/article
- [6]EU AI Act · Article 50 — Transparency obligations for certain AI systems artificialintelligenceact.eu/article
- [7]EU AI Act · Article 53 — Obligations for providers of GPAI models artificialintelligenceact.eu/article
- [8]
- [9]CEPS (Laurer, Renda & Yeung) (September 2021) · Clarifying the Costs for the EU's AI Act www.ceps.eu/clarifying-the-costs-for-the-eus-ai-act
Six questions sur vos propres usages, deux minutes, sans compte. Vos réponses vous sont renvoyées en un texte que vous pouvez emporter — rien ne nous est transmis.
Faire le relevéSprinkling Act examine un workflow déjà augmenté par l’IA : la façon dont vous le décrivez, ce que les éléments que vous fournissez établissent, et la distance entre les deux. Avant de l’étendre, de le renouveler ou de le changer.