TL;DR
- • Votre wrapper n'est PAS un GPAI. Le GPAI, c'est le modèle sous-jacent (GPT-4, Claude, Gemini). Pas votre produit.
- • Vous êtes probablement un deployer du modèle ET un provider de votre propre système IA.
- • Vos obligations dépendent de CE QUE VOTRE PRODUIT FAIT, pas du modèle sous-jacent. Si votre cas d'usage tombe dans l'Annexe III, vous êtes soumis au régime haut risque complet.
- • Si vous modifiez substantiellement le modèle (fine-tuning significatif), vous pouvez devenir provider du GPAI modifié — Art. 25.
1. Qu'est-ce qu'un GPAI, précisément ?
L'Article 3(63) de l'AI Act définit un modèle GPAI (« General Purpose AI ») comme un modèle d'IA entraîné sur de grandes quantités de données, conçu pour servir une variété de finalités, capable d'effectuer un large éventail de tâches distinctes, et qui peut être intégré dans des systèmes ou applications en aval.
Le Recital 97 précise : les modèles concernés sont ceux avec au moins 10²³ FLOPs de calcul d'entraînement et capables de générer du langage (texte ou audio), de la conversion texte-image ou texte-vidéo. Cela capture explicitement : GPT-4, GPT-3.5, Claude (toutes versions), Gemini (toutes versions), Llama, Mistral, et les modèles fondation équivalents.
Point clé : Un « GPAI » est un MODÈLE, pas un SYSTÈME. Votre produit — qui enveloppe ce modèle dans une interface, des prompts système, des guardrails, une logique métier — n'est pas un GPAI. Il est un « AI system » au sens de l'Art. 3(1).
2. Provider ou deployer ? Les deux à la fois.
C'est le point le plus mal compris. Quand vous construisez un produit SaaS qui appelle GPT-4 via l'API OpenAI, vous portez simultanément deux rôles distincts :
RÔLE 1
Deployer du modèle GPAI (OpenAI/Anthropic/Google)
Vous « utilisez » le modèle GPAI au sens de l'Art. 3(4). Les obligations du fournisseur de ce modèle (Art. 53 : documentation technique, politique copyright, transparence downstream) sont portées par OpenAI, pas par vous. Vous ne devez pas dupliquer ces obligations.
RÔLE 2
Provider de votre propre AI system
Vous « mettez sur le marché ou en service » un système IA — le vôtre, pas celui d'OpenAI. L'Art. 3(3) est clair : un « provider » est celui qui développe un système IA ET le met sur le marché sous son propre nom ou sa propre marque. Votre wrapper est votre produit. Vous en êtes le provider.
Conséquence directe : vos obligations dépendent de ce que VOTRE système fait, pas de ce que le modèle sous-jacent sait faire. Un wrapper qui filtre les CV est un système Annexe III haut risque (§4(b), emploi). Un wrapper qui génère des images de chats ne l'est pas.
3. Quand devenez-vous provider du modèle GPAI ?
L'Article 25 de l'AI Act définit les responsabilités le long de la chaîne de valeur. Il précise que si vous modifiez substantiellement un système IA déjà sur le marché (y compris un GPAI), vous en devenez le provider aux fins de l'AI Act. Concrètement :
Prompt engineering seul : Pas de modification substantielle. Vous restez deployer du modèle.
RAG / retrieval augmentation : Pas de modification du modèle lui-même. Vous restez deployer.
Fine-tuning léger (quelques centaines d'exemples) : Zone grise. Probablement pas substantiel, mais à documenter.
Fine-tuning significatif (changement de capacités ou de comportement) : Vous pouvez devenir provider du modèle modifié, avec les obligations Art. 53 en plus de celles de votre système IA.
Entraînement from scratch ou continual pretraining massif : Vous êtes provider du GPAI. Régime complet.
4. Ce que ça vous coûte vraiment
La fourchette dépend entièrement du régime dans lequel vous vous situez. Voici les ordres de grandeur sourcés du rapport CEPS 2021 et des estimations de marché pour les déployeurs :
| Profil | Initial | Annuel |
|---|---|---|
| Wrapper simple, cas d'usage non Annexe III | €0–3K | <€5K |
| Wrapper Annexe III, auto-certification (Annexe VI) | €20–50K | €10–30K |
| Provider Annexe III avec QMS complet | €144–330K | ~€71K |
| Provider GPAI (fine-tuning massif) | €200–500K+ | €100K+ |
Important : si vous avez déjà une conformité RGPD mature (DPO, registre, DPIA), votre coût marginal AI Act baisse de 20–30 %. L'AI Act étend la gouvernance existante, il ne la réinvente pas.
5. Que faire maintenant ?
- 1. Clarifiez votre rôle. Deployer du modèle ET provider de votre système, probablement. Documentez cette position par écrit — pour vous, votre équipe, vos investisseurs.
- 2. Identifiez votre cas d'usage dans l'Annexe III. Si votre produit touche l'emploi, le crédit, l'éducation, les services publics, la justice, l'asile, la biométrie, la santé — vous êtes potentiellement haut risque.
- 3. Vérifiez Art. 5 (pratiques interdites). La reconnaissance d'émotions au travail, le scoring social, le profilage criminel sont interdits — quel que soit le modèle utilisé.
- 4. Si vous êtes limited risk : appliquez Art. 50. Obligation de transparence — indiquez à l'utilisateur qu'il interagit avec une IA. C'est souvent tout ce qu'il vous faut.
- 5. Documentez TOUT. Le régulateur ne vérifie pas ce que vous avez fait, il vérifie ce que vous pouvez prouver. Un artefact daté de votre position vaut mille conversations.
Vous construisez un produit sur GPT, Claude ou Gemini ? Le diagnostic gratuit Sprinkling Act vous dit exactement dans quel régime vous vous situez — en 9 questions, 60 secondes, sans compte.
Sources
- [1]EUR-Lex (July 12, 2024) — Regulation (EU) 2024/1689 — Artificial Intelligence Act (full text) eur-lex.europa.eu/eli
- [2]EU AI Act — Article 3 — Definitions (AI system, GPAI model, provider, deployer) artificialintelligenceact.eu/article
- [3]EU AI Act — Article 16 — Obligations of providers of high-risk AI systems artificialintelligenceact.eu/article
- [4]EU AI Act — Article 25 — Responsibilities along the AI value chain artificialintelligenceact.eu/article
- [5]EU AI Act — Article 26 — Obligations of deployers of high-risk AI systems artificialintelligenceact.eu/article
- [6]EU AI Act — Article 50 — Transparency obligations for certain AI systems artificialintelligenceact.eu/article
- [7]EU AI Act — Article 53 — Obligations for providers of GPAI models artificialintelligenceact.eu/article
- [8]
- [9]CEPS (Laurer, Renda & Yeung) (September 2021) — Clarifying the Costs for the EU's AI Act www.ceps.eu/clarifying-the-costs-for-the-eus-ai-act
Les interdictions Art. 5 et les règles GPAI s’appliquent aujourd’hui. La transparence suit dans 105 jours. La question n’est pas quand — c’est si vous avez documenté votre position.