GPAI : la fiche fournisseur que les PME doivent demander

Le code de bonnes pratiques GPAI donne une direction aux fournisseurs de modeles d’IA a usage general. Pour une PME belge, la question est plus simple : que faut-il demander au prestataire ou a l’integrateur avant de brancher un modele dans un processus reel ?

La mauvaise reponse consiste a reclamer tout le droit europeen en annexe d’un devis. La bonne reponse tient en une fiche fournisseur courte, lisible par la direction, le responsable IT et le metier concerne.

Cette fiche doit dire ce qui est utilise, ou passent les donnees, quelles limites sont connues, qui controle les sorties et comment l’entreprise coupe le systeme si le risque devient trop eleve.

Reglement (UE) 2024/1689, Commission europeenne, code GPAI et lignes directrices GPAI, verifies le 27 juin 2026.

Le code GPAI ne descend pas jusqu’a votre facture

Le code GPAI sert a cadrer les obligations des fournisseurs de modeles generaux : documentation, transparence, droits d’auteur, securite et gestion des risques pour les modeles les plus importants. Il aide le marche a converger, mais il ne transforme pas automatiquement chaque offre IA en achat clair pour une PME.

Entre le modele et l’entreprise, il y a souvent un integrateur, une agence, une plateforme SaaS, un connecteur, un prompt systeme, une base documentaire et quelques automatisations maison. C’est la que la confusion commence.

Une PME n’achete presque jamais “un modele”. Elle achete une reponse commerciale, une automatisation de support, un assistant documentaire, une extraction de factures, un tableau de bord ou une aide a la decision. Le fournisseur doit donc expliquer le montage complet, pas seulement citer le nom du modele.

Les six lignes a obtenir avant un pilote

La fiche fournisseur n’a pas besoin d’etre longue. Elle doit surtout empecher les zones grises. Pour un dirigeant de PME, six lignes suffisent a declencher une vraie discussion.

Ligne de fiche	Ce qu’il faut obtenir
Modele et version	Nom du modele, fournisseur, mode d’acces, changement de version prevu.
Donnees envoyees	Types de donnees, donnees personnelles, donnees clients, pieces jointes, logs.
Hebergement	Region, sous-traitants, conservation, options de suppression.
Usage autorise	Ce que l’outil peut faire, ce qu’il ne peut pas faire, validations humaines.
Controle qualite	Tests, exemples d’erreur, journalisation, procedure de correction.
Sortie de secours	Comment arreter, exporter, revenir a l’ancien flux ou changer de fournisseur.

Commission europeenne, AI Act, verifie le 27 juin 2026.

Cette table n’est pas un luxe juridique. Elle evite les mauvaises surprises operationnelles : un outil qui garde trop longtemps des donnees, un prestataire qui change de modele sans prevenir, une automatisation qui envoie une reponse client sans validation ou un pilote impossible a debrancher proprement.

Le prestataire doit expliquer le montage, pas vendre le label

Un fournisseur peut dire qu’il utilise un modele connu, un hebergement europeen ou une politique de confidentialite rassurante. C’est utile, mais insuffisant. Ce qui compte pour une PME est le montage concret.

Un assistant RH ne porte pas le meme risque qu’un assistant marketing. Une extraction de factures ne pose pas les memes questions qu’un outil qui classe des reclamations clients. Un chatbot interne limite a une base documentaire n’a pas le meme impact qu’un agent qui ecrit dans l’ERP.

La fiche doit donc rattacher le modele au cas d’usage. Sans cela, la direction compare des slogans.

• Faire remplir la fiche avant le bon de commande, pas apres la demo.
• Refuser les reponses vagues comme "donnees securisees" sans duree, lieu ni sous-traitant.
• Demander qui valide les sorties et dans quels cas l'outil n'a pas le droit d'agir.
• Noter les changements de modele comme des changements de fournisseur, pas comme un detail technique.
• Conserver la fiche avec le devis, le DPA, les tests et le journal du pilote.

Quand demander plus qu’une fiche

La fiche courte suffit pour un pilote interne, limite, reversible et sans donnees sensibles. Elle ne suffit plus quand le systeme touche une decision importante, une population vulnerable, des donnees RH, des donnees financieres, un processus client critique ou une automatisation qui agit dans un outil metier.

Dans ces cas, il faut ajouter une analyse de risque, un registre d’usage, des tests documentes et une validation juridique ou securite. Pas parce que le mot “IA” l’exige automatiquement, mais parce que l’impact devient concret.

Le reflexe le plus sain reste proportionne : petit pilote, petite fiche ; processus critique, dossier solide.

Decision rapide

Le code GPAI est utile, mais il ne doit pas servir d’ecran. Une PME belge n’a pas besoin de devenir experte de tous les modeles pour acheter correctement. Elle doit exiger une fiche fournisseur simple : modele, donnees, hebergement, usage autorise, controle qualite et sortie de secours.

Ce document tient en une page. Il oblige le prestataire a decrire le vrai systeme. C’est souvent le moyen le plus rapide de distinguer un projet IA exploitable d’une demo trop brillante.