Tout éditeur SaaS intégrant une IA, même via une API tierce, est considéré comme fournisseur selon l’AI Act. Il doit classifier le système, produire une documentation technique si haut risque, et informer ses clients conformément à l’article 50. La conformité devient essentielle dès 2026.
En bref
- 85% des éditeurs SaaS B2B utilisent l’IA sans déclaration officielle.
- La transparence vis-à-vis de l’IA devient obligatoire à partir du 2 novembre 2026 (Article 50).
- Les systèmes de scoring RH sont classés haut risque selon l’Annexe III.
- Dès 2026, 30% des appels d’offres exigeront des garanties AI Act.
_Si votre SaaS exploite une API d’IA pour proposer des recommandations, du scoring ou des automatisations, vous êtes juridiquement considéré comme fournisseur au sens du règlement AI Act. Voici comment structurer votre démarche de conformité et éviter d’être écarté des marchés publics ou privés._
Pourquoi votre SaaS est soumis à l’AI Act, même sans IA développée en interne
Dès lors qu’un éditeur SaaS intègre une API d’intelligence artificielle pour enrichir ses fonctionnalités (recommandation, scoring, automatisation), il prend le statut de fournisseur au sens du règlement européen. L’**article 3(3)** précise que si un système d’IA est incorporé dans un produit commercialisé sous la marque de l’éditeur, c’est ce dernier qui porte la responsabilité de fournisseur. Peu importe si le modèle provient d’OpenAI, Mistral ou Anthropic : ce qui compte, c’est l’usage final proposé au client.
**Exemples typiques :**
- Un outil de gestion de projet qui génère des comptes rendus via l’API d’OpenAI.
- Une plateforme marketing qui recourt à une bibliothèque tierce pour scorer les leads.
- Un logiciel RH qui recommande des formations grâce à un modèle de langage.
Dans tous ces cas, l’éditeur doit appliquer les obligations du fournisseur : classifier le système d’IA et constituer une documentation technique si l’usage relève du haut risque.
Article 3(3) AI Act — Définition du fournisseur
Glossaire compaia — Différence fournisseur/déployeur
Trois étapes essentielles pour se conformer à l’AI Act
La conformité au règlement AI Act pour un SaaS B2B repose sur trois axes majeurs : classification, documentation et transparence.
1. Déterminer la catégorie de risque de votre système d’IA
La première démarche consiste à vérifier si la fonctionnalité IA intégrée entre dans la catégorie des systèmes à haut risque. L’**annexe III** du texte liste notamment :
- Les usages RH (scoring de candidats, évaluation de performance).
- L’accès à des services essentiels (scoring crédit, assurance).
- L’éducation et la formation (notation automatisée).
Si votre système relève de ces domaines, il est impératif de produire une documentation technique conforme à l’**annexe IV**.
2. Rédiger la documentation technique requise
Pour les systèmes classés à haut risque, l’**annexe IV** impose une documentation détaillée, comprenant notamment :
- Une description précise des fonctionnalités et limites du système.
- Les sources et types de données d’entraînement.
- Les mesures de cybersécurité et de robustesse mises en place.
- Les procédures de suivi post-commercialisation.
Cette documentation doit pouvoir être transmise aux autorités compétentes à tout moment.
3. Respecter les règles de transparence
L’**article 50** du règlement impose d’informer clairement les utilisateurs finaux qu’ils interagissent avec une IA. Pour un éditeur SaaS B2B, cela implique :
- D’avertir les clients que certaines fonctionnalités reposent sur l’IA.
- De présenter les capacités et limites du système dans un document d’information (conformément à l’**article 13**).
- De préciser si le système relève du haut risque.
Annexe III AI Act — Liste complète des systèmes à haut risque
Annexe IV AI Act — Exigences de documentation technique
Guide des obligations par type de système — compaia
Mise en situation : conformité d’un SaaS RH avec scoring automatisé
Prenons le cas d’un éditeur de logiciel RH qui intègre une API d’IA pour l’analyse automatique des CV. Voici les étapes indispensables pour garantir la conformité.
**Cas d’usage :** un SaaS RH propose un module premium de scoring automatique des candidats, s’appuyant sur l’API d’OpenAI.
Étape 1 : Catégorisation du système
Le scoring de candidats s’inscrit dans la gestion RH, explicitement visée par l’**annexe III**. Ce système doit donc être traité comme haut risque.
Étape 2 : Élaboration de la documentation technique
L’éditeur doit constituer un dossier conforme à l’**annexe IV**, comprenant :
- Les critères de scoring et leur pondération.
- Les jeux de données utilisés pour l’entraînement (ex : historiques de CV, offres d’emploi).
- Les dispositifs de prévention des biais discriminatoires.
- Les méthodes de suivi post-déploiement (par exemple, audits réguliers).
Étape 3 : Communication transparente auprès des clients
Il est obligatoire de :
- Informer les clients que la fonctionnalité de scoring repose sur une IA.
- Fournir une notice détaillant les capacités et limites du système (conformément à l’**article 13**).
- Signaler explicitement que le système est classé haut risque.
_Un SaaS RH qui néglige ces obligations s’expose à l’exclusion des appels d’offres, notamment auprès des grandes entreprises qui exigent désormais la conformité AI Act._
CNIL — Guide AI Act — Exemples pratiques
Diagnostic compaia — Vérifiez si votre système est haut risque
Article 50 : attentes concrètes des clients B2B
Les entreprises clientes, en particulier les grands comptes, réclament une transparence accrue sur l’utilisation de l’IA dans les solutions SaaS.
L’**article 50** du règlement AI Act oblige les fournisseurs à informer clairement les utilisateurs finaux de l’usage d’une IA. Cela se traduit par :
- Une mention explicite dans les CGU ou la documentation technique.
- Une notice d’information facilement accessible, détaillant :
- Les fonctionnalités IA intégrées.
- Les limites du système (taux d’erreur, biais possibles).
- Les mesures de protection prévues.
- Un canal de contact pour toute question liée à l’IA.
Dans les secteurs régulés (banque, assurance, santé), les clauses AI Act deviennent la norme dans les appels d’offres. Un éditeur SaaS sans documentation conforme sera systématiquement écarté.
AI Office — Transparence — Explications officielles
Article 50 AI Act — Texte intégral des obligations de transparence
Cas particulier : intégration d’un modèle de base (GPAI) dans votre SaaS
Si votre SaaS s’appuie sur un modèle de langage généraliste (GPAI) comme GPT-4 ou Mistral, des obligations supplémentaires s’ajoutent.
L’**article 25(4)** du règlement impose :
- D’informer explicitement vos clients que le système utilise un modèle GPAI.
- De fournir une documentation technique sur le modèle, incluant :
- Les capacités et limites du modèle utilisé.
- Les données d’entraînement (dans la mesure où elles sont disponibles).
- Les mesures de cybersécurité associées.
- De respecter l’ensemble des exigences de transparence prévues à l’**article 50**.
**Exemple :** un SaaS de génération de contenu utilisant l’API de Mistral doit préciser à ses clients qu’il repose sur un modèle GPAI, en détaillant les limitations (biais, risques d’hallucination, etc.).
Article 25(4) AI Act — Obligations GPAI
AI Act Explorer — Guide interactif
Sanctions prévues par l’AI Act : montants et pourcentages
Les sanctions en cas de non-conformité au règlement AI Act peuvent atteindre **35 millions d'euros** ou **7%** du chiffre d'affaires mondial, selon le montant le plus élevé. Pour les PME, le plafond est fixé à **15 millions d'euros** ou **3%** du chiffre d'affaires. Les autorités compétentes peuvent également ordonner le retrait du système du marché.
Valoriser la conformité AI Act dans votre offre SaaS
La conformité peut devenir un véritable atout commercial, notamment lors des réponses à appels d’offres.
Les grandes entreprises et ETI intègrent désormais systématiquement des clauses relatives à l’AI Act dans leurs cahiers des charges. Les éditeurs incapables de fournir une documentation conforme sont éliminés d’office.
Bonnes pratiques pour mettre en avant la conformité :
- **Option premium** : Proposez la documentation AI Act en supplément pour les clients grands comptes.
- **Tier enterprise** : Réservez les fonctionnalités conformes au segment entreprise.
- **Argumentaire commercial** : Valorisez la conformité dans vos présentations et supports marketing (« Notre SaaS est conforme au règlement AI Act, garantissant transparence et sécurité »).
- **Certification** : Obtenez une certification tierce (label CNIL, ISO 42001) pour renforcer la confiance.
Exemple : un SaaS de scoring crédit peut commercialiser une documentation AI Act en option premium, avec un surcoût de **20%** par rapport au tarif standard. Les clients soumis à des contraintes réglementaires strictes sont prêts à payer ce supplément pour réduire leur exposition aux risques.
Testez votre exposition réglementaire en 3 minutes
Un diagnostic gratuit vous permet de savoir si votre SaaS est concerné par l’AI Act et d’identifier les étapes clés pour vous mettre en conformité.
Diagnostic compaia
Ressources officielles et guides pratiques
---
_Jérémy Pierre_
Fondateur compaia.eu · Expert conformité AI Act
Accompagnement des fournisseurs et déployeurs d’IA sur la conformité opérationnelle et réglementaire.
**35 millions d'euros**, **15 millions d'euros**, **85%**, **30%**, **20%**, **7%**, **3%**, **Article 50**, **Annexe III**, **article 3(3)**, **Article 3(3)**, **annexe III**, **annexe IV**, **article 50**, **article 13**, **Annexe IV**, **article 25(4)**, **Article 25(4)**, **2026**