Éditeur SaaS, chatbot de service client standard : quelles obligations hors du régime haut risque ?

Corrigé le 2026-09-24. Ma définition du chatbot standard excluait la reconnaissance des émotions, la catégorisation biométrique, l'évaluation de solvabilité et la décision d'emploi, mais pas l'évaluation des risques et la tarification en assurance vie et maladie, que l'Annexe III range au haut risque à son point 5 c) et que je citais moi-même comme telle : la définition renvoie désormais à tout cas d'usage de l'Annexe III, exemples conservés, dans le sous-titre, la description, le corps et les réserves. J'écrivais qu'un chatbot qui collecte des données en vue d'une telle évaluation n'entrait pas dans l'Annexe III : l'article 6, paragraphe 3, porte sur un système visé à cette annexe, qui peut seulement échapper à la qualification de haut risque, son fournisseur devant alors documenter son évaluation et s'enregistrer. J'écrivais qu'un éditeur ne pouvait pas reporter le signalement sur son client : aucune disposition que j'ai relevée ne le dit, et j'écris seulement que l'article 50 ne porte pas la réserve de répartition contractuelle que l'article 25 prévoit pour le haut risque. J'écrivais que le client requalifié se trouvait tenu à la place de l'éditeur : il devient fournisseur du système modifié, l'éditeur restant tenu pour le système initial. Le report du règlement omnibus vise les sections 1 à 3 du chapitre III hors article 6, paragraphe 5, et je le dis. Ma note de niveau de preuve rangeait la page au barreau 3, qui suppose le texte primaire recoupé avec les lignes directrices de l'autorité qui l'applique : c'est vrai pour l'article 50, pas pour la sortie de l'Annexe III, dont les lignes directrices au dossier ne disent rien. La page descend au barreau 4, et la convergence, que je donnais pour modérée entre des documents qui ne sont pas indépendants, devient non mesurable : l'indice passe de 49 à 28. L'indicateur de niveau de preuve affichait un effectif « Très petite (< 100 obs.) » alors que la note dit elle-même que les unités sont des dispositions nommées et trois documents, pas une population d'observations : le libellé affiché est désormais « Sans objet pour ce type de preuve », sans changement de cotation. La date de report du régime haut risque était donnée seule : le texte omnibus en fixe deux, et la seconde, le 2 août 2028 pour les systèmes de l'annexe I, est ajoutée. La documentation de l'évaluation était rattachée au paragraphe 3 de l'article 6, qui porte la dérogation : elle relève du paragraphe 4, et la phrase le dit. Corrigé le 2026-09-05. J'écrivais que l'obligation de signalement pesait à la fois sur l'éditeur fournisseur et sur ses clients déployeurs, et je présentais ce « double niveau de responsabilité » comme l'apport de la pièce. Les textes disent l'inverse : le paragraphe 1 de l'article 50 vise les fournisseurs seuls, les paragraphes 3 et 4 étant les seuls à viser les déployeurs, et les lignes directrices de la Commission ne mettent nulle part ce paragraphe 1 à la charge d'un déployeur. J'ai retiré cette thèse et l'argument commercial qui reposait sur elle ; ce qui la remplace est le seul mécanisme que les textes prévoient, la requalification du client en fournisseur lorsqu'il modifie le système et le met en service sous son propre nom. J'écrivais aussi que les lignes directrices avaient été « mises à jour le 6 août 2026 » : elles portent la date du 20 juillet 2026 et aucune date du 6 août. Corrigé dans le texte et dans la bibliographie. J'affirmais enfin que les guides de conformité concurrents traitaient ce sujet « en général » d'une certaine manière et « rarement » d'une autre : je n'avais relevé aucun de ces guides, ces deux prévalences sont retirées. Deux ajouts que les textes portaient et que la pièce ne disait pas : le moment auquel l'information est due, fixé par l'article 50(5), et le plafond d'amende propre aux PME, seul endroit où la taille de l'entreprise change quelque chose. J'ai enfin remplacé « application de la loi » par l'intitulé du texte français de l'Annexe III, « répression ». Seconde passe le même jour. Je ne traitais que le paragraphe 1 de l'article 50 et je le présentais comme « une obligation », jusque dans le titre : le paragraphe 2 du même article vise les fournisseurs de systèmes qui génèrent des contenus de synthèse de type texte, et les lignes directrices rangent l'application conversationnelle sous le paragraphe 1 et/ou le paragraphe 2. J'ai intégré ce second paragraphe, ainsi que sa butée du 2 décembre 2026 pour les systèmes déjà commercialisés, et j'ai mis le titre, le sous-titre et la description au pluriel. J'écrivais que le règlement omnibus étendait aux petites entreprises à moyenne capitalisation le plafond d'amende des PME : il ne l'étend que pour les amendes des paragraphes 4 et 5 de l'article 99, là où le plafond des PME couvre les paragraphes 3, 4 et 5, et la prise en compte de la viabilité économique vise les PME comme ces entreprises, pas ces dernières seules. J'écrivais qu'un chatbot collectant des données permettant une évaluation de solvabilité ou une décision d'emploi basculerait vers l'Annexe III « indépendamment de sa fonction affichée » : les textes attachent le haut risque à la destination du système, et écartent expressément la tâche préparatoire en vue d'une évaluation, sauf profilage. J'écrivais que la catégorisation biométrique figurait au point 1 de l'Annexe III sans dire qu'elle n'y figure que lorsqu'elle porte sur des attributs ou des caractéristiques sensibles ou protégés, ni que l'article 6, paragraphe 3, ouvre une dérogation documentée. J'écrivais qu'aucune version consolidée n'était publiée « à la date de cette lecture » : ce que j'ai vérifié, c'est son absence du dépôt Cellar de l'Office des publications au 1er septembre 2026, et je le dis désormais ainsi. J'écrivais enfin que la requalification du client était « le seul moment » où il se trouve tenu à la place de l'éditeur : les lignes directrices en donnent un exemple, pas une règle exhaustive, et elles réservent la responsabilité du fournisseur initial pour le système initial. Deux ajouts que les sources portaient et que la pièce ne disait pas : les formes de signalement que les lignes directrices jugent insuffisantes à elles seules, et le délai propre au marquage des sorties pour les systèmes mis sur le marché avant le 2 août 2026. Passe suivante. Mes trois surfaces de tête généralisaient à la catégorie entière ce que mes propres réserves restreignent : un chatbot de service client doté d'une reconnaissance des émotions, d'une catégorisation biométrique sur attributs sensibles, ou dont la destination inclut une évaluation de solvabilité ou une décision d'emploi, relève bien de l'Annexe III. Le titre, le sous-titre, la description et la première phrase du corps portent désormais le qualificatif de chatbot standard, à l'endroit même de l'affirmation. Je résumais par ailleurs en deux qualificatifs, puis en un hybride, le test que l'article 50, paragraphe 1, pose en trois : une personne physique normalement informée et raisonnablement attentive et avisée. Les deux endroits reprennent maintenant les trois, et le passage placé sous l'étiquette qui revendique le texte le cite. J'écrivais que ces obligations partageaient un trait avec celles que ce dossier décrit ailleurs pour le contenu généré par IA : aucune autre pièce de ce dossier ne traite ce sujet, et la phrase, qui répétait de surcroît un constat déjà sourcé plus haut, est retirée. Ma note de niveau de preuve disait enfin la contre-vérification mécanique : deux des trois documents n'ont pas pu être récupérés par une requête directe, et je le dis désormais. Le titre passe en question. Aucun axe de l'indicateur ne bouge. Le sous-titre et la description énuméraient cinq cas d'usage de l'Annexe III comme si la liste était complète, alors que l'annexe en compte d'autres (identification biométrique à distance, infrastructures critiques, éducation, répression, migration, justice) : l'énumération sort des deux surfaces, le corps détaille déjà les huit domaines. Deux phrases sur l'article 6 renvoient désormais aussi au règlement lui-même. La note sur la contre-vérification promettait que chaque disposition se retrouvait à son adresse, alors que les lignes directrices n'étaient lisibles que par une copie archivée : elle dit maintenant qu'elles sont identifiées par leur référence officielle. La phrase qui faisait dépendre toute charge réglementaire de l'usage plutôt que de la taille vaut pour l'article 50, pas pour le régime haut risque, où le règlement allège la conformité des PME : elle est restreinte à l'article 50. Le cas du client qui devient fournisseur en modifiant le système livré est rattaché, comme dans les lignes directrices, à un système génératif. L'entrée bibliographique du règlement annonce désormais l'article 4 et les versions linguistiques lues.