AI Office : l'Europe peut sanctionner les modèles d'IA

Le 2 août 2026, un an après l’entrée en application des règles sur les modèles d’IA généralistes, la Commission européenne a reçu le droit de les faire respecter. Son Bureau de l’IA (l’« AI Office ») peut désormais demander des documents aux fournisseurs de ces modèles, les évaluer, exiger des corrections et, en dernier recours, infliger une amende. Ce pouvoir s’exerce au niveau européen, sans attendre les autorités nationales.

Cet article de notre rubrique IA d’entreprise fait le point sur ces pouvoirs à partir du texte consolidé du règlement. Ce n’est pas un conseil juridique : pour un projet précis, votre DPO ou un avocat a le dernier mot. Les obligations d’une entreprise qui utilise l’IA sont dans notre guide de l’AI Act et du RGPD pour les PME, et la démarche d’ensemble dans notre guide pour intégrer l’IA en entreprise.

Qu’est-ce qu’un modèle d’IA « généraliste » ?

Le règlement parle de « modèle d’IA à usage général » : un modèle capable d’accomplir un large éventail de tâches, que d’autres intègrent dans leurs propres outils. Les grands modèles de langage derrière les assistants conversationnels en sont l’exemple type. Selon les lignes directrices publiées par la Commission le 18 juillet 2025, un modèle entraîné avec plus de 10²³ opérations de calcul et capable de générer du texte, du son, des images ou des vidéos est, à titre indicatif, considéré comme généraliste. Ce chiffre, comme le seuil de 10²⁵ cité plus bas, nous le reprenons de sources secondaires, l’analyse du cabinet WilmerHale et une note de la Cloud Security Alliance, qui résument le texte : le seuil de 10²⁵ figure à l’article 51 de l’AI Act, celui de 10²³ dans les lignes directrices de la Commission, et c’est là qu’il faut les vérifier avant de qualifier un modèle.

Le fournisseur est celui qui développe le modèle et le met sur le marché. Une entreprise qui l’appelle par une API pour bâtir un assistant n’en devient pas fournisseur. Elle ne le devient qu’en le modifiant lourdement : le critère indicatif retenu par la Commission est un calcul de modification supérieur au tiers de celui de l’entraînement d’origine, selon l’analyse du cabinet WilmerHale.

Ce que doivent les fournisseurs de modèles

L’article 53 impose quatre obligations à tout fournisseur de modèle généraliste :

1. Une documentation technique du modèle, de son entraînement et de ses évaluations, à fournir sur demande au Bureau de l’IA.
2. Une documentation pour les intégrateurs, qui leur permet de comprendre les capacités et les limites du modèle et de remplir leurs propres obligations.
3. Une politique de respect du droit d’auteur, qui identifie et respecte les refus exprimés par les ayants droit.
4. Un résumé public des contenus d’entraînement, selon un modèle fourni par le Bureau de l’IA.

Les modèles publiés sous licence libre, poids compris, sont dispensés des deux premières. Les modèles « à risque systémique », présumés tels au-delà de 10²⁵ opérations de calcul d’entraînement selon la note de la Cloud Security Alliance du 29 août 2026, doivent en plus, selon l’article 55, évaluer le modèle par des essais contradictoires, atténuer ses risques, signaler les incidents graves et protéger sa cybersécurité.

Ce que le Bureau de l’IA peut faire depuis le 2 août 2026

Les obligations courent depuis le 2 août 2025, mais l’article 113 avait différé d’un an l’article 101, celui des amendes. Le règlement organise une montée en puissance, où chaque étape peut être précédée d’un dialogue avec le fournisseur :

L’amende de l’article 101 vise un manquement commis de propos délibéré ou par négligence : une obligation non respectée, une information refusée, inexacte ou trompeuse, une mesure ignorée, un accès au modèle refusé. Depuis la révision de juillet 2026, le Bureau de l’IA surveille aussi les systèmes d’IA bâtis par un fournisseur sur son propre modèle généraliste, avec les pouvoirs d’une autorité de surveillance du marché (article 75a). Aucune amende n’a été rendue publique, à notre connaissance au 20 octobre 2026 : nous n’avons trouvé aucune décision de sanction annoncée par la Commission à cette date, ce qui ne prouve pas qu’aucune procédure ne soit en cours.

Le calendrier, de 2025 à 2027

1. 10 juillet 2025

   La Commission publie le code de bonnes pratiques des modèles généralistes.

2. 2 août 2025

   Les obligations des fournisseurs de modèles généralistes s’appliquent.

3. 2 août 2026

   La Commission peut sanctionner ; la plupart des autres règles de l’AI Act s’appliquent.

4. 2 août 2027

   Date limite pour les modèles mis sur le marché avant le 2 août 2025.

La dernière date vient de l’article 111. Les autres échéances de l’AI Act, jusqu’en 2028, sont dans notre calendrier de la réglementation de l’IA.

Le code de bonnes pratiques : qui l’a signé ?

Le code de bonnes pratiques des modèles généralistes, publié le 10 juillet 2025, compte trois chapitres : transparence, droit d’auteur, sûreté et sécurité. Le dernier ne concerne que les modèles à risque systémique. Le signer permet de démontrer sa conformité ; un fournisseur qui ne le signe pas doit prouver qu’il dispose « d’autres moyens appropriés », selon l’article 53.

La liste des signataires est publique sur la page de la Commission, mise à jour le 7 octobre 2026. On y trouve notamment Aleph Alpha, Amazon, Anthropic, Cohere, Google, IBM, Microsoft, Mistral AI et OpenAI ; xAI n’a signé que le chapitre sûreté et sécurité. La signature est un indice de méthode, pas un classement des modèles entre eux.

Ce qu’une entreprise peut demander à son fournisseur d’IA

C’est le bénéfice concret de ces règles pour une équipe de 20 à 500 personnes : la documentation que le fournisseur doit aux intégrateurs devient un droit, pas une faveur. Avant de choisir un modèle, ou à la prochaine revue de contrat, quatre questions suffisent :

1. Où est la documentation destinée aux intégrateurs (capacités, limites, usages déconseillés) ?
2. Où est publié le résumé des données d’entraînement du modèle que vous utilisez ?
3. Le fournisseur a-t-il signé le code de bonnes pratiques, et quels chapitres ?
4. Le modèle est-il sorti avant le 2 août 2025 ? Si oui, quel est son plan de mise en conformité d’ici le 2 août 2027 ?

Les réponses ne disent pas quel modèle est le meilleur pour votre tâche : seul un test sur vos propres exemples le dit, comme l’explique notre méthode pour évaluer un modèle avant la production. L’historique des sorties de chaque éditeur est dans notre comparatif des modèles d’IA, et le choix entre API, cloud privé et serveur sur site dans les quatre niveaux de l’IA privée.

Côté national, la France n’a pas encore désigné ses propres autorités de contrôle : où en est la loi, et qui contrôlerait quoi, est expliqué dans qui contrôle l’AI Act en France.

Date à retenir : le 2 août 2027, fin du délai des modèles sortis avant le 2 août 2025. Pour faire le tri dans vos abonnements et vos usages d’IA, et savoir lesquels changer de fournisseur, voyez notre offre IA au juste coût.

Questions fréquentes

Sources

1. Les lignes directrices publiées par la Commission le 18 juillet 2025 (nouvel onglet)digital-strategy.ec.europa.eu
2. Article 51 de l’AI Act (nouvel onglet)ai-act-service-desk.ec.europa.eu
3. L’analyse du cabinet WilmerHale (nouvel onglet)wilmerhale.com
4. Article 53 (nouvel onglet)ai-act-service-desk.ec.europa.eu
5. La note de la Cloud Security Alliance du 29 août 2026 (nouvel onglet)labs.cloudsecurityalliance.org
6. L’article 55 (nouvel onglet)ai-act-service-desk.ec.europa.eu
7. Article 113 (nouvel onglet)ai-act-service-desk.ec.europa.eu
8. Article 101 (nouvel onglet)ai-act-service-desk.ec.europa.eu
9. Article 75a (nouvel onglet)ai-act-service-desk.ec.europa.eu
10. Article 111 (nouvel onglet)ai-act-service-desk.ec.europa.eu
11. Code de bonnes pratiques des modèles généralistes (nouvel onglet)digital-strategy.ec.europa.eu