Fournisseur ou déployeur
Le texte n’impose pas les mêmes devoirs à celui qui fabrique un système et à celui qui l’utilise. C’est la distinction la plus structurante, et c’est celle qui manque dans la plupart des présentations.
Les rôles, et ce qu’ils portent
Section intitulée « Les rôles, et ce qu’ils portent »| Rôle | Qui c’est | Charge des obligations |
|---|---|---|
| Fournisseur | Celui qui développe un système et le met sur le marché sous son nom | Très lourde sur les systèmes à haut risque |
| Déployeur | Celui qui utilise un système sous sa propre autorité, dans un cadre professionnel | Modérée, et ciblée |
| Importateur | Celui qui met sur le marché européen un système venu d’ailleurs | Vérification, traçabilité |
| Distributeur | Celui qui met à disposition sans être fournisseur ni importateur | Vérification, traçabilité |
La quasi-totalité des organisations françaises qui suivent cette formation sont déployeurs, et elles seulement.
C’est une bonne nouvelle, et elle mérite d’être dite en comité de direction : les obligations les plus lourdes, celles qui font peur dans les articles, sont celles du fournisseur. Documentation technique, système de gestion des risques, gouvernance des données d’entraînement, évaluation de la conformité, marquage, déclaration : ce n’est pas votre sujet si vous achetez vos outils.
Ce que porte un déployeur
Section intitulée « Ce que porte un déployeur »Beaucoup moins, et c’est ciblé. Pour un système à haut risque, l’essentiel tient en six points, détaillés au module 3.
Utiliser le système conformément à sa notice. Confier la supervision humaine à des personnes compétentes et outillées. Veiller à la pertinence des données que vous fournissez en entrée. Surveiller et alerter en cas de problème. Conserver les journaux quand vous les contrôlez. Informer les personnes concernées, et notamment les travailleurs et leurs représentants.
Pour un système qui n’est pas à haut risque, la charge est presque nulle, à l’exception des règles de transparence vues au module 2.
Les trois manières de devenir fournisseur sans le savoir
Section intitulée « Les trois manières de devenir fournisseur sans le savoir »Voilà le vrai piège de cette fiche, et il concerne davantage d’organisations qu’on ne croit.
Un déployeur peut basculer dans le rôle de fournisseur, avec toutes les obligations qui vont avec, dans trois cas de figure.
Vous apposez votre nom ou votre marque sur un système à haut risque déjà sur le marché. Le cas classique : un cabinet ou un éditeur qui revend sous sa propre marque un outil conçu par un autre.
Vous modifiez substantiellement un système à haut risque déjà mis sur le marché.
Vous changez sa destination, c’est-à-dire que vous l’utilisez pour un usage qui en fait un système à haut risque alors qu’il n’était pas conçu ni classé pour cela.
Ce troisième cas est celui qui touche le plus d’organisations ordinaires, et il mérite qu’on s’y arrête.
Comment répondre à la question, chez vous
Section intitulée « Comment répondre à la question, chez vous »Trois questions, dans l’ordre, pour chaque système de votre inventaire.
Est-ce que nous l’avons développé, ou fait développer pour nous et diffusé sous notre nom ? Si oui, fournisseur.
Est-ce que nous l’avons acheté et utilisé tel quel, pour l’usage prévu par son éditeur ? Si oui, déployeur, et la charge est modérée.
Est-ce que nous l’avons détourné vers un autre usage, ou assemblé nous-mêmes autour d’un outil générique ? Si oui, la question se pose, et elle ne se tranche pas en interne.
La troisième colonne de l’inventaire de l’atelier 1 est exactement celle-là.
Le cas des développements internes
Section intitulée « Le cas des développements internes »Une entreprise qui fait développer un outil par son service informatique, ou par un prestataire, et qui l’utilise uniquement en interne, se pose souvent la question de savoir si elle « met sur le marché ».
C’est une vraie question juridique, et la réponse dépend des circonstances, notamment de la notion de mise en service pour son propre usage. Ne la tranche pas seul.
Ce que tu peux faire dès aujourd’hui, en revanche : identifier ces développements internes, savoir à quel usage ils servent, et vérifier si cet usage figure dans les catégories du module 2. Si ce n’est pas le cas, la question perd beaucoup de son urgence.
Ce que ça change pour vos contrats
Section intitulée « Ce que ça change pour vos contrats »Une conséquence pratique, à porter aux achats.
En tant que déployeur, vous dépendez de ce que le fournisseur vous transmet. Sans notice d’utilisation, sans information sur les limites du système, vous ne pouvez pas remplir vos propres obligations.
Trois clauses à demander lors des prochains renouvellements : la fourniture de la documentation prévue par le règlement, l’information en cas de modification substantielle du système, et l’engagement d’assistance en cas de contrôle ou d’incident.
Ce n’est pas de la sur-conformité. C’est ce qui vous permet de tenir vos propres engagements.
Vérifie ta compréhension
Question : votre DSI a construit, avec un assistant du commerce, un outil interne qui note les demandes de mutation des agents pour aider la commission à les classer. Quel est votre rôle ?
Réponse : probablement pas simple déployeur, et c’est le point à faire remonter. L’usage relève d’une décision affectant les conditions de travail de personnes, ce qui appartient aux catégories les plus encadrées, et l’outil générique n’a jamais été conçu ni documenté pour ça. Vous êtes dans le cas du changement de destination, et la question de votre requalification en fournisseur se pose. Ne la tranchez pas en interne : faites-la examiner, et en attendant, assurez-vous que la commission décide réellement et que sa décision est tracée.
Fiche suivante : ce qui ne s’applique pas à vous, et c’est plus large qu’on ne le dit.
Une formationBaxIA