Fournisseurs IA hors UE : pourquoi l'acheteur européen hérite du risque qu'il ne peut pas vérifier

Une note du cabinet Holland & Knight publiée en avril 2026 précise le champ d'application extraterritorial de l'AI Act européen : un fournisseur établi hors de l'Union est couvert dès lors qu'il place un système sur le marché européen, ou que la sortie de ce système est utilisée dans l'Union, indépendamment de la localisation de ses serveurs. Mais la clause la plus opérationnelle pour nos secteurs cibles est ailleurs : toute entreprise qui importe ou distribue un système d'IA intégré dans un produit vendu dans l'UE doit s'y conformer, qu'elle ait développé ce système ou non.

Concrètement, un intégrateur aéronautique français qui embarque un module de vision par ordinateur acheté à un éditeur nord-américain, un opérateur énergétique qui déploie un outil de maintenance prédictive fourni par une startup non européenne, ou une maison de luxe qui s'appuie sur une plateforme de personnalisation développée hors UE, héritent chacun d'une part de la charge de conformité — alors même qu'ils ne maîtrisent ni le code, ni les données d'entraînement, ni la documentation technique du système qu'ils intègrent.

C'est la structure exacte d'un problème de sélection adverse au sens d'Akerlof ("The Market for Lemons", 1970) : l'acheteur européen ne peut pas observer, avant l'achat, la qualité réelle de la conformité d'un système développé hors UE — rigueur de la documentation technique, traçabilité des données d'entraînement, robustesse de l'évaluation des risques. Faute de pouvoir distinguer un fournisseur sérieux d'un fournisseur opportuniste, le marché tend structurellement à sous-évaluer les fournisseurs rigoureux (dont la conformité a un coût réel) au profit des fournisseurs les moins chers, précisément ceux dont la documentation risque d'être la plus fragile.

L'obligation, prévue par le texte, pour tout fournisseur non européen de désigner un représentant autorisé établi dans l'Union constitue le signal de séparation que la théorie du signal (Spence, 1973) prédit dans ce type de situation : un signal coûteux à produire (mise en place d'une représentation légale dans l'UE, constitution du dossier de conformité) que seuls les fournisseurs réellement engagés dans la démarche ont intérêt à émettre. Mais ce signal reste aujourd'hui largement sous-exploité par les acheteurs européens, qui le traitent comme une formalité administrative plutôt que comme le principal outil de tri disponible avant l'achat.

L'asymétrie de risque est structurellement défavorable à l'acheteur : en cas de non-conformité avérée, l'article 99 du texte prévoit des sanctions allant jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial annuel, et l'autorité de marché dispose d'un pouvoir de retrait pur et simple du produit intégrant le système non conforme — un risque qui pèse sur l'intégrateur européen, quand bien même le défaut de conformité trouve son origine chez un fournisseur qu'il ne contrôle pas.

Ce mécanisme complète, sous un angle différent, les analyses que nous consacrions le 6 août à l'ambiguïté de périmètre des infrastructures critiques et le 2 août au calendrier de report : là où ces deux textes portaient sur le "quand" et le "quoi" de la conformité, la question ici est le "qui" — et la réponse n'est pas seulement le fournisseur qui a construit le système, mais aussi l'entreprise européenne qui l'a acheté sans en vérifier la documentation en amont.

La conséquence opérationnelle pour un acheteur industriel européen est directe : traiter la vérification du statut de représentant autorisé dans l'UE et l'obtention de la documentation technique complète comme un prérequis contractuel avant la signature, pas comme une clause de conformité à régulariser après le déploiement — le coût de vérification ex ante reste, dans ce cadre, très inférieur au coût de sanction ex post.