API IA et IA Act : Fournisseurs API

Les API d’intelligence artificielle ont démocratisé l’accès aux modèles les plus puissants. En quelques lignes de code, vous intégrez GPT-4, Claude, ou Gemini dans votre application. Simple, rapide, efficace.

Mais cette simplicité cache une complexité juridique. L’AI Act distingue plusieurs rôles : fournisseur, déployeur, distributeur. Quand vous utilisez une API tierce, vous n’êtes pas le fournisseur du modèle. Mais vous êtes responsable de son usage.

Dans ce guide, découvrez comment naviguer la responsabilité partagée entre vous et vos fournisseurs API, et comment assurer la conformité AI Act de vos intégrations.

Par Loïc Gros-Flandre

Directeur de Modernee – Agence IA. Expert en intégration API et conformité IA. Spécialiste des architectures cloud et réglementations européennes.

🔌 Expert API IA • ⚖️ Spécialiste AI Act • ✅ +50 intégrations auditées

⚖️ Fournisseur, Déployeur, Distributeur : Qui Êtes-Vous ?

L’AI Act définit précisément trois rôles dans la chaîne de valeur IA. Votre rôle détermine vos obligations. Et quand vous utilisez une API tierce, vous portez généralement plusieurs casquettes.

Photo par Campaign Creators sur Unsplash

🏢 Fournisseur (Provider)

Le fournisseur développe ou fait développer un système d’IA et le met sur le marché sous son propre nom. OpenAI pour GPT-4, Anthropic pour Claude, Google pour Gemini.

• 📋 Obligations : Documentation technique, évaluation de conformité, marquage CE
• 🔧 Responsabilité : Conformité du modèle lui-même, pas de son usage
• 📜 Preuve : Doit fournir les model cards et benchmarks

👤 Déployeur (Deployer)

Le déployeur utilise un système d’IA sous son autorité, sauf pour un usage personnel. C’est vous quand vous intégrez une API dans votre application.

• 📋 Obligations : Usage conforme, supervision humaine, information des utilisateurs
• 🔧 Responsabilité : Conformité de l’usage, pas du modèle sous-jacent
• 📜 Preuve : Doit documenter son cas d’usage spécifique

🏪 Distributeur (Distributor)

Le distributeur met un système d’IA à disposition sur le marché sans modifier substantiellement le système. Rare pour les API, mais possible (revendeur white-label).

« L’API est un outil. Le marteau ne tue pas, c’est celui qui l’utilise. L’AI Act distingue clairement le fabricant du marteau et celui qui l’utilise. »

— Juriste spécialisé en droit du numérique

📜 OpenAI, Anthropic, Google : Analyse des CGU

Photo par Scott Graham sur Unsplash

Les conditions générales d’utilisation (CGU) des fournisseurs API définissent ce qu’ils garantissent… et ce qu’ils ne garantissent pas. Analyse comparative.

🤖 OpenAI (GPT-4, GPT-4o, o1)

🔵 Anthropic (Claude 3, Claude 3.5)

🔷 Google (Gemini, Vertex AI)

🎯 Vos Responsabilités de Déployeur API

Même si vous utilisez une API tierce, vous restez responsable de plusieurs aspects critiques. Les CGU du fournisseur ne vous exonèrent pas.

1️⃣ Classification du Niveau de Risque

L’API GPT-4 est généraliste. Elle devient haut risque si vous l’utilisez pour :

• 🔴 Scoring crédit : Annexe III, accès aux services financiers
• 🔴 Tri de CV : Annexe III, recrutement et emploi
• 🔴 Diagnostic médical : Annexe III, dispositifs médicaux
• 🔴 Assurance : Annexe III, accès aux services essentiels
• 🟡 Chatbot client : Risque limité, obligation de transparence

2️⃣ Documentation de l’Application

Vous devez documenter votre usage spécifique de l’API :

3️⃣ Supervision Humaine

Pour les usages haut risque, l’Article 14 exige une supervision humaine effective :

• 👤 Human-in-the-loop : Validation humaine avant action
• 👁️ Human-on-the-loop : Monitoring continu avec intervention possible
• 🔔 Alertes : Seuils de confiance déclenchant une revue

4️⃣ Information des Utilisateurs

L’Article 52 (transparence) exige d’informer les utilisateurs qu’ils interagissent avec une IA :

📊 Traçabilité et Logging des Appels API

Photo par Carlos Muza sur Unsplash

L’Article 12 AI Act exige la traçabilité des opérations. Pour les API, cela signifie logger chaque interaction de manière structurée.

📝 Que Logger ?

⏱️ Durée de Conservation

L’AI Act ne précise pas de durée exacte, mais recommande une conservation proportionnée :

• 🟢 Risque minimal : 1-2 ans (bonnes pratiques)
• 🟡 Risque limité : 3 ans minimum
• 🔴 Haut risque : 5+ ans recommandés (durée de prescription)

// Exemple : Logging structuré d'appel API
const logApiCall = async (prompt, response, decision) => {
  const logEntry = {
    timestamp: new Date().toISOString(),
    model: "gpt-4-1106-preview",
    api_version: "2024-01-01",
    prompt: prompt,
    response: response,
    decision: decision,
    confidence: response.confidence || null,
    human_review: null, // À remplir si validation humaine
    user_id_hash: hashUserId(currentUser), // Anonymisé
    session_id: sessionId,
    retention_until: addYears(new Date(), 5) // 5 ans
  };
  
  await db.aiLogs.insert(logEntry);
  await sendToAuditSystem(logEntry); // Copie pour audit
  
  return logEntry.id;
};

❓ Questions Fréquentes – API IA et AI Act

🎯 Conclusion : Maîtrisez la Chaîne de Responsabilité

Les API IA ont démocratisé l’accès à l’intelligence artificielle. Mais cette facilité technique cache une complexité juridique que l’AI Act rend explicite.

Vous n’êtes pas exonéré parce que vous utilisez l’API d’un tiers. Vous êtes déployeur, et à ce titre, vous portez la responsabilité de l’usage que vous faites de ces technologies.

• 1️⃣ Responsabilité partagée — Le fournisseur répond du modèle, vous répondez de l’usage
• 2️⃣ L’usage détermine le risque — Une API généraliste devient haut risque selon votre application
• 3️⃣ Traçabilité obligatoire — Loggez chaque appel, chaque décision, chaque intervention humaine

La deadline approche. Auditez vos intégrations API maintenant.