Pendant un an, les règles européennes applicables aux grands modèles d’intelligence artificielle ont surtout fonctionné comme une phase de préparation. Depuis ce 2 août 2026, elles disposent d’un véritable bras d’enquête : la Commission européenne peut contrôler les fournisseurs de modèles d’IA à usage général, réclamer leurs dossiers techniques, examiner leurs évaluations et, en cas de manquement, prononcer des sanctions.
Ce changement est moins spectaculaire qu’un lancement de modèle, mais il pourrait peser davantage sur la manière dont OpenAI, Google, Anthropic, Meta, Mistral ou DeepSeek documentent leurs systèmes en Europe. L’AI Office, le service spécialisé de la Commission, ne se limite plus à publier des lignes directrices et à accompagner les entreprises. Il entre dans une phase où il peut demander des preuves.
Il faut toutefois éviter un raccourci fréquent : l’AI Act n’« entre » pas en vigueur aujourd’hui. Le règlement est juridiquement entré en vigueur le 1er août 2024 et ses obligations s’appliquent par étapes. L’échéance du 2 août 2026 ouvre surtout l’application de nouvelles règles de transparence et, point central pour les modèles généralistes, les pouvoirs de contrôle et de sanction de la Commission.
Un an de préparation, puis le contrôle
Les obligations visant les fournisseurs de modèles d’IA à usage général s’appliquent depuis le 2 août 2025. L’Europe avait néanmoins prévu une première année orientée vers la coopération : clarification des textes, publication d’un code de bonnes pratiques, préparation des modèles de documentation et dialogue avec les développeurs.
Cette période s’achève. Les lignes directrices officielles de la Commission indiquent explicitement que ses pouvoirs d’exécution s’appliquent à partir du 2 août 2026, y compris la possibilité d’infliger des amendes. Les modèles commercialisés après le 2 août 2025 étaient déjà censés respecter leurs obligations ; leur conformité peut désormais être contrôlée.
Une transition subsiste pour les systèmes plus anciens. Les fournisseurs de modèles déjà placés sur le marché européen avant le 2 août 2025 ont jusqu’au 2 août 2027 pour se mettre en conformité. Ce délai ne neutralise donc pas l’ensemble du dispositif : il distingue les modèles historiques des versions et familles arrivées depuis un an.
La nuance compte aussi pour les systèmes classés « à haut risque », par exemple dans le recrutement, l’éducation ou certains produits réglementés. L’Omnibus IA entré en vigueur le 27 juillet a repoussé une partie de leurs obligations à décembre 2027 et août 2028. Ce report n’a pas supprimé le contrôle des modèles généralistes ni les règles de transparence qui s’appliquent aujourd’hui.
Ce que les fournisseurs doivent pouvoir montrer
Un modèle d’IA à usage général n’est pas défini par son nom commercial ni par le fait qu’il anime un chatbot. C’est un modèle capable d’accomplir de nombreuses tâches différentes et d’être intégré dans une variété de services. Un même socle peut ainsi servir à rédiger, programmer, analyser des images ou alimenter un outil métier développé par une autre entreprise.
L’article 53 de l’AI Act impose quatre grands blocs de conformité.
Un dossier technique maintenu dans le temps
Le fournisseur doit constituer et tenir à jour une documentation sur le modèle, son entraînement, ses tests et les résultats de ses évaluations. L’objectif n’est pas de publier tous les secrets industriels, mais de permettre à l’AI Office et aux autorités compétentes de comprendre comment le système a été développé, ce qu’il sait faire et où se trouvent ses limites.
Cette exigence transforme la conformité en travail continu. Un document rédigé au lancement ne suffit pas si le modèle reçoit ensuite de nouvelles capacités, un contexte plus long, des outils d’action ou un réglage qui modifie son comportement. Versions, évaluations et incidents doivent rester traçables.
Des informations utiles à toute la chaîne
Le développeur doit également fournir aux entreprises qui intègrent son modèle assez d’informations pour qu’elles comprennent ses capacités et ses limites. C’est essentiel : l’éditeur d’un logiciel de recrutement, d’un assistant médical ou d’un agent de cybersécurité ne peut pas évaluer correctement son propre produit si le fournisseur du modèle de base lui livre une boîte noire sans mode d’emploi.
Le règlement cherche ainsi à éviter une rupture de responsabilité. Le laboratoire ne peut pas répondre que seul l’intégrateur connaît l’usage final ; l’intégrateur ne peut pas prétendre que seul le laboratoire comprend le modèle. Chacun doit documenter sa partie de la chaîne.
Copyright et contenu d’entraînement
Les fournisseurs doivent mettre en place une politique de respect du droit d’auteur européen, notamment pour détecter et respecter les réserves de droits exprimées par les titulaires. Ils doivent aussi publier, selon le modèle fourni par l’AI Office, un résumé suffisamment détaillé des catégories de contenus utilisées pour l’entraînement.
Ce résumé n’est pas une liste ligne par ligne de tous les documents absorbés par un modèle. Il doit néanmoins donner aux créateurs, chercheurs et autorités une vision exploitable des principales sources et catégories de données. À compter de ce 2 août, l’absence de ce document pour un modèle soumis aux règles peut alimenter une procédure de contrôle.
Les modèles diffusés sous licence libre bénéficient d’exemptions sur une partie de la documentation lorsque leurs poids, leur architecture et leurs conditions d’usage sont réellement accessibles. Cette ouverture n’est pas un passe-droit général : la politique de copyright et le résumé des données restent requis, et les exemptions disparaissent en partie lorsqu’un modèle présente un risque systémique.
Les modèles les plus puissants changent de régime
L’AI Act ajoute des obligations pour les modèles dits à risque systémique. La catégorie vise les systèmes dont les capacités et la diffusion peuvent produire des effets à grande échelle sur la sécurité, la santé publique, les droits fondamentaux ou la société.
Pour eux, la conformité ne s’arrête pas au dossier technique. Les fournisseurs doivent conduire des évaluations conformes à l’état de l’art, y compris des tests adversariaux, mesurer et réduire les risques systémiques, signaler les incidents graves et protéger le modèle comme son infrastructure contre les attaques.
La récente succession d’incidents pendant des évaluations de cybersécurité donne un relief concret à cette exigence. Il ne suffit plus d’annoncer qu’un modèle a été « red teamé ». L’autorité doit pouvoir examiner le périmètre des essais, leurs résultats, les scénarios écartés et les mesures prises après la découverte d’un comportement dangereux.
Le seuil de calcul prévu par le règlement sert de présomption pour identifier certains modèles à risque systémique, mais l’AI Office peut aussi s’appuyer sur d’autres critères de capacités et d’impact. Cette souplesse évite qu’un fournisseur échappe mécaniquement à l’examen en restant juste sous un nombre unique d’opérations d’entraînement.
Enquête, accès au modèle et mesures correctives
Le changement du 2 août est institutionnel autant que juridique. Selon la Commission, l’AI Office emploie désormais plus de 125 personnes : spécialistes techniques, juristes, économistes, responsables de politiques publiques et personnels administratifs répartis entre six unités. L’Associated Press rapporte que 38 personnes supplémentaires doivent renforcer la surveillance des fournisseurs européens, américains et chinois.
L’équipe peut demander la documentation prévue par les articles 53 et 55, ainsi que des informations supplémentaires nécessaires à l’évaluation de la conformité. Elle peut mener un dialogue structuré, demander l’accès à un modèle pour mesurer ses capacités, effectuer des inspections et recueillir des explications auprès du personnel du fournisseur.
Cette capacité d’accès est décisive. Beaucoup de risques ne se lisent pas dans une fiche produit : ils apparaissent lorsqu’un modèle utilise des outils, enchaîne de longues actions ou rencontre un contexte inhabituel. Une autorité uniquement limitée aux documents publics resterait dépendante de la communication choisie par l’entreprise.
Si une infraction est établie, la Commission peut exiger des mesures correctives, restreindre la disponibilité d’un modèle et infliger aux fournisseurs de modèles généralistes une amende pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Le texte prévoit une appréciation de la gravité, de la durée, de la coopération et des circonstances de l’infraction : la sanction n’est pas automatique à la première question restée sans réponse.
L’AI Office ne remplace pas toutes les autorités nationales. Les États membres conservent un rôle majeur pour de nombreux systèmes déployés localement. Bruxelles dispose en revanche d’une compétence centrale sur les modèles généralistes et, depuis l’Omnibus, d’un périmètre renforcé pour certains systèmes fondés sur ces modèles ou intégrés à de très grandes plateformes et moteurs de recherche.
Un canal direct pour les salariés qui voient un problème
La surveillance ne reposera pas uniquement sur les déclarations officielles des entreprises. L’AI Office a ouvert un outil de signalement qui permet aux personnes professionnellement liées à un fournisseur de transmettre anonymement des documents et des informations, dans n’importe quelle langue officielle de l’Union.
Le dispositif comporte une boîte sécurisée grâce à laquelle le lanceur d’alerte peut répondre à des questions complémentaires sans révéler son identité. Surtout, la protection européenne contre les représailles couvre, à partir du 2 août 2026, les signalements portant sur des infractions à l’AI Act.
Ce canal peut devenir une pièce importante du contrôle. Les évaluations tronquées, les incidents minimisés ou les différences entre un modèle testé et celui effectivement commercialisé sont souvent connus d’abord par les équipes internes. Un régulateur technique efficace doit donc être capable de recevoir un signal, d’en vérifier les pièces et de le confronter au dossier fourni par l’entreprise.
Il existe en parallèle un service d’information et un outil de vérification de conformité destinés aux entreprises et aux utilisateurs. Leur fonction est différente : ils aident à comprendre les règles, tandis que le canal d’alerte sert à faire remonter des pratiques potentiellement illégales.
La transparence visible commence aussi aujourd’hui
Le 2 août ouvre également l’application de l’article 50. Un utilisateur doit être informé lorsqu’il interagit directement avec une IA, sauf si le contexte le rend déjà évident. Les fournisseurs de systèmes générant ou modifiant des images, de l’audio, de la vidéo ou du texte doivent intégrer un marquage détectable par machine. Les utilisateurs professionnels de certains systèmes doivent, eux, signaler les deepfakes, la reconnaissance des émotions, la catégorisation biométrique ou des contenus d’intérêt public produits sans contrôle éditorial humain.
Ces obligations ne se résument pas à coller la mention « généré par IA » sous chaque contenu. Elles combinent information visible, provenance technique et responsabilité de l’acteur qui publie. Une période transitoire court jusqu’au 2 décembre 2026 pour certains systèmes de génération déjà commercialisés avant aujourd’hui.
Ce volet a davantage de chances d’être remarqué par le public, mais l’enjeu le plus profond se situe en coulisses : la capacité de l’autorité à vérifier si les marquages existent réellement, résistent aux usages ordinaires et correspondent à ce que le fournisseur affirme.
Le premier test sera la qualité des enquêtes
L’Europe possède maintenant des textes, une équipe spécialisée, des canaux de signalement et un pouvoir de sanction. Cela ne garantit pas encore une régulation efficace. Les grands laboratoires disposent de milliers d’ingénieurs, d’une infrastructure mondiale et de modèles qui évoluent parfois en quelques semaines. Avec un peu plus de 125 agents couvrant aussi des missions de coordination et d’innovation, l’AI Office devra choisir ses enquêtes et s’appuyer sur des experts extérieurs.
Le risque inverse existe également : transformer la documentation en montagne de formulaires sans améliorer la compréhension des modèles. Un bon contrôle ne se mesure pas au nombre de pages reçues, mais à la capacité de relier une revendication à une preuve, un risque à un test et un incident à une correction vérifiable.
Le 2 août 2026 ne marque donc ni la fin de l’incertitude ni la mise sous cloche de l’IA en Europe. Il ouvre une phase plus exigeante : pour la première fois, les fournisseurs de modèles généralistes savent qu’un dossier incomplet, une évaluation insuffisante ou un risque minimisé peut conduire à une enquête européenne dotée de moyens juridiques propres. La crédibilité de l’AI Act se jouera désormais moins dans ses promesses que dans les premières décisions motivées de ceux qui le font appliquer.
Références
- Commission européenne — Lignes directrices pour les fournisseurs de modèles d’IA à usage général
- AI Act Service Desk — Article 53 et obligations des fournisseurs de modèles généralistes
- Commission européenne — Missions et moyens de l’AI Office
- AI Act Service Desk — Calendrier d’application du règlement
- EUR-Lex — Règlement (UE) 2024/1689 sur l’intelligence artificielle
- EUR-Lex — Règlement (UE) 2026/1744, dit « AI Omnibus »
- Commission européenne — Outil de signalement de l’AI Act
- Associated Press — L’Union européenne renforce son équipe de contrôle de l’IA
