AI Act : Bruxelles peut désormais sanctionner et rappeler les modèles

Une loi sans pouvoir de contrainte n'est qu'une déclaration d'intention. C'est la bascule qu'a franchie l'AI Act européen le 2 août 2026 : au-delà des obligations de transparence déjà commentées, la Commission dispose désormais de l'arsenal qui transforme le texte en régulateur capable de mordre. Un an après l'entrée en vigueur des obligations pour les fournisseurs de modèles à usage général, l'AI Office peut à présent enquêter, exiger, et punir.

De l'obligation à l'exécution

Le calendrier de l'AI Act est un mécanisme d'horlogerie. Les obligations des fournisseurs de modèles à usage général — les GPAI, pour general-purpose AI — sont actives depuis le 2 août 2025. Mais les pouvoirs de supervision et d'exécution de la Commission n'ont été activés qu'un an plus tard, le 2 août 2026. Cette montre à deux temps était voulue : laisser aux fournisseurs douze mois pour se mettre en conformité avant que le régulateur ne puisse frapper. Ce délai est écoulé.

Concrètement, le chapitre V du règlement confère à l'AI Office trois leviers gradués. D'abord, la demande d'information (article 91) : la Commission peut réclamer documentation technique et données, à charge pour les fournisseurs de ne rien transmettre d'« incorrect, incomplet ou trompeur ». Ensuite, l'évaluation (article 92) : elle peut vérifier la conformité ou enquêter sur les risques systémiques, en s'appuyant au besoin sur des experts indépendants et sur un accès direct au modèle. Enfin, la demande de mesures (article 93), qui va jusqu'au « retrait ou rappel du modèle » — l'arme la plus lourde, celle qui peut sortir un système du marché européen.

Jusqu'à 3 % du chiffre d'affaires mondial

C'est l'article 101 qui donne au dispositif sa force de dissuasion. Les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. Pour un géant qui pèse des dizaines de milliards de revenus, le second plafond change tout.

Quatre manquements peuvent déclencher une sanction : la violation des dispositions du règlement, le refus de répondre à une demande documentaire (article 91), le non-respect des mesures exigées (article 93), et le refus d'ouvrir le modèle à une évaluation (article 92). Autrement dit, un fournisseur ne s'expose pas seulement en cas de modèle non conforme : il s'expose aussi s'il fait obstruction à l'enquête.

Ce que ça change pour les fournisseurs

Le Code de bonnes pratiques GPAI, publié dans sa version finale le 10 juillet 2025, reste volontaire : y adhérer aide à démontrer sa conformité, mais n'immunise pas contre les amendes. La Commission a simplement prévenu qu'elle tiendrait compte des engagements pris via ce code au moment de calibrer une sanction. Pour les grands laboratoires américains comme pour Mistral, le message est le même : la conformité documentée devient un actif défensif.

Une nuance de calendrier mérite l'attention. Les modèles mis sur le marché avant le 2 août 2025 bénéficient d'un sursis : ils n'ont jusqu'au 2 août 2027 pour se conformer. La fenêtre d'exécution qui s'ouvre aujourd'hui vise donc d'abord la génération de modèles récente — précisément celle qui progresse le plus vite en capacités, et sur laquelle se concentrent les inquiétudes de risque systémique.

Il faut aussi lire ce dispositif à deux étages. La supervision des modèles à usage général est centralisée à Bruxelles, entre les mains de l'AI Office, là où le contrôle des systèmes d'IA déployés sur le terrain revient aux autorités nationales — la CNIL et un futur régulateur pour la France. Un même acteur peut donc se retrouver face à Bruxelles pour son modèle et face au régulateur national pour l'usage qu'il en fait, avec en toile de fond le RGPD, sur lequel la CNIL a déjà balisé l'entraînement et la traçabilité. Pour une entreprise, la conformité n'est plus un document à ranger dans un tiroir : c'est un processus continu, documenté, qu'un contrôleur peut exiger de voir à tout moment.

Une puissance encore à éprouver

Disposer de pouvoirs et les exercer sont deux choses différentes. L'AI Office devra démontrer qu'il a les moyens humains et techniques d'auditer des modèles frontières dont la complexité dépasse souvent celle des équipes de contrôle. La vraie question des prochains mois n'est plus juridique mais opérationnelle : Bruxelles ouvrira-t-elle une première procédure formelle, et contre qui ? La réponse dira si l'AI Act est un régulateur qui agit — ou un texte qui attend son premier dossier.