Décryptage · Régulation
AI Act : ce que le Bureau de l'IA peut désormais exiger des grands modèles
Depuis le 2 août, le Bureau européen de l'IA peut auditer les modèles à usage général et sanctionner. Le Code de bonnes pratiques devient la clé de la conformité.
Passé l'effet d'annonce du 2 août, une question concrète subsiste pour quiconque déploie de l'IA en Europe : que peut réellement faire Bruxelles, maintenant, à un fournisseur de grand modèle ? La réponse tient en trois pouvoirs et un texte de référence, et elle mérite d'être posée noir sur blanc, tant le flou entretient les fantasmes — dans un sens comme dans l'autre. Nous avions détaillé le calendrier et les reports de l'AI Act ; place désormais à la mécanique de contrôle qui, elle, est bien active.
Trois leviers entre les mains du Bureau de l'IA
Depuis le 2 août 2026, le Bureau européen de l'IA — rattaché à la Commission — dispose d'une compétence d'exécution spécifique sur les modèles à usage général (GPAI). Trois pouvoirs structurent son action, décrits par la Commission européenne : réclamer la documentation technique d'un modèle, l'évaluer directement, et exiger des mesures correctives en cas de manquement. Ce n'est pas un pouvoir théorique : le Bureau peut demander des comptes, mener ses propres tests et imposer des correctifs, jusqu'au retrait du marché dans les cas les plus graves.
Le point important, et souvent mal compris, est que ces obligations ne visent pas les utilisateurs des modèles mais leurs fournisseurs — OpenAI, Google, Anthropic, Mistral, DeepSeek et les autres. Une entreprise française qui intègre un modèle tiers dans son produit n'est pas la cible directe de ce régime ; elle en subit en revanche les effets par ricochet, à travers ce que ses fournisseurs devront documenter et garantir.
L'arme financière : jusqu'à 3 % du chiffre d'affaires
La sanction ultime est pécuniaire, et son barème est calibré pour peser sur des géants. Pour les manquements des fournisseurs de GPAI, les amendes peuvent atteindre 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros, le montant le plus élevé étant retenu. À l'échelle des grands laboratoires, le premier plafond dépasse largement le second : c'est bien le pourcentage du chiffre d'affaires qui fait office de dissuasion réelle. Ce barème est distinct — et plus doux — que celui des systèmes interdits, qui grimpe à 7 % ailleurs dans le règlement.
Reste que la sanction n'est pas la première intention affichée. Bruxelles met en avant une logique graduée : demander, évaluer, corriger, et seulement en dernier recours punir. L'amende est l'aboutissement d'un bras de fer, pas son point de départ.
Le Code de bonnes pratiques, bouclier volontaire
C'est le rouage le plus stratégique du dispositif. Le Code de bonnes pratiques pour les GPAI est un outil volontaire qui aide les fournisseurs à démontrer leur conformité sur trois fronts : transparence, respect du droit d'auteur, et gestion des risques de sûreté et de sécurité. Le signer ne met pas à l'abri des contrôles, mais change la donne en pratique : cela allège le calcul des amendes et vaut présomption de bonne foi. À l'inverse, refuser le Code oblige à prouver sa conformité par d'autres moyens, plus lourds et plus exposés.
S'y ajoutent des obligations de transparence désormais opposables : les contenus générés par IA doivent être identifiables, et certaines catégories — deepfakes, textes publiés pour informer le public sur des sujets d'intérêt général — exigent un étiquetage clair. Pour les rédactions, les plateformes et les développeurs européens, c'est la partie du texte qui produit des effets visibles dès aujourd'hui, bien avant qu'une première amende ne tombe.
Ce qu'il faut en retenir
L'application de l'AI Act n'a rien d'un big bang. C'est un régime de supervision continue qui monte en puissance : un Bureau doté de pouvoirs d'audit réels, un barème d'amendes calibré pour les géants, et un Code de bonnes pratiques qui fait office de sésame. Pour les acteurs européens, la vraie question des prochains mois ne sera pas « qui sera sanctionné en premier », mais « quels fournisseurs signent le Code » — car c'est ce choix qui déterminera, en amont, la solidité de toute la chaîne qui s'appuie sur leurs modèles.