Depuis août 2025, les fournisseurs de modèles d'IA à usage général (GPAI) sont soumis aux obligations de l'AI Act européen. En 2026, ces règles s'appliquent pleinement : documentation technique, registre EU, transparence des droits d'auteur, et pour les modèles à risque systémique, des contraintes bien plus strictes. Voici ce que chaque fournisseur doit mettre en place concrètement.
Qui est concerné par les obligations GPAI de l'AI Act ?
Le Règlement UE 2024/1689 (AI Act) distingue deux catégories de fournisseurs de modèles d'IA :
1. Fournisseurs de modèles GPAI standard : tout éditeur qui développe ou commercialise un modèle d'IA à usage général (LLM, modèle de diffusion d'images, modèle multimodal) mis à disposition via une API, un accès open source ou intégré dans un produit.
2. Fournisseurs de modèles GPAI à risque systémique : modèles entraînés avec plus de 10^25 FLOPs, ou désignés comme tels par la Commission européenne. Ce seuil concerne actuellement un nombre restreint de modèles frontière parmi les plus puissants du marché.
Les obligations des deux catégories divergent significativement. Un modèle open source peut bénéficier d'exemptions partielles si le poids des paramètres est rendu public.
Obligations communes : documentation, transparence, droits d'auteur
Tous les fournisseurs GPAI (standard et risque systémique) doivent remplir ces obligations depuis le 2 août 2025.
Documentation technique obligatoire
L'article 53 de l'AI Act impose une documentation technique détaillée couvrant : (1) la description générale du modèle et de ses capacités, (2) les données d'entraînement utilisées (sources, volume, langues, filtrage), (3) les résultats des tests et évaluations de performance, (4) les mesures de cybersécurité, (5) la consommation énergétique estimée de l'entraînement.
Cette documentation doit être transmise aux déployeurs (entreprises qui intègrent le modèle dans leurs applications) et mise à disposition du Bureau européen de l'IA sur demande.
Politique de droits d'auteur
Conformément à l'article 53, paragraphe 1, point c), les fournisseurs doivent mettre en place une politique visant à se conformer au droit de l'Union en matière de droit d'auteur, et notamment à respecter les réservations de droits exprimées au titre de l'exception text and data mining (TDM) de l'article 4, paragraphe 3, de la directive (UE) 2019/790. En vertu du point d) du même article, ils doivent en outre mettre à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle.
En pratique : un fournisseur qui utilise des données web scrappées doit documenter les domaines sources et indiquer comment les opt-outs de crawl (robots.txt) ont été traités.
Enregistrement au registre EU de l'AI Office
Tous les fournisseurs GPAI doivent enregistrer leurs modèles dans la base de données de l'AI Office européen. Le registre est accessible en lecture publique et contient : nom du modèle, version, capacités déclarées, architecture générale, date de mise sur le marché EU. L'enregistrement se fait via le portail digital-strategy.ec.europa.eu/ai-office.
Obligations spécifiques aux modèles à risque systémique
Les fournisseurs de modèles GPAI à risque systémique (seuil 10^25 FLOPs ou désignation Commission) sont soumis à des obligations renforcées en vertu de l'article 55 de l'AI Act.
Évaluation adversariale obligatoire (red-teaming)
Avant tout déploiement et à chaque mise à jour majeure, le fournisseur doit réaliser une évaluation adversariale standardisée. Cette évaluation couvre : les capacités de génération de contenus illicites (CSAM, désinformation à grande échelle), les risques d'utilisation pour la création d'armes biologiques, chimiques, nucléaires ou radiologiques (CBRN), les capacités de cyberattaque offensive automatisée.
Le Bureau européen de l'IA peut mandater des évaluations indépendantes et accéder aux paramètres du modèle pour les conduire.
Signalement des incidents graves
Les fournisseurs de modèles à risque systémique ont l'obligation de suivre, documenter et communiquer sans retard injustifié au Bureau de l'IA (et le cas échéant aux autorités nationales compétentes) les informations pertinentes concernant les incidents graves ainsi que les éventuelles mesures correctives (article 55, paragraphe 1, point c). L'AI Act ne fixe pas de délai chiffré unique pour ce signalement.
Le circuit de signalement : notification au Bureau européen de l'IA → analyse et, le cas échéant, enquête conjointe avec les autorités nationales compétentes.
Mesures de cybersécurité renforcées
L'article 55(1)(c) impose aux fournisseurs de modèles à risque systémique de protéger les poids du modèle contre les accès non autorisés et les exfiltrations. En pratique : segmentation réseau pour les systèmes d'entraînement, contrôle d'accès strict aux poids du modèle, journalisation des accès, tests de pénétration réguliers.
Un audit de cybersécurité indépendant peut être imposé par le Bureau de l'IA si des vulnérabilités sont suspectées.
Codes de bonne pratique GPAI
Le Bureau de l'IA encourage et facilite l'élaboration de codes de bonne pratique au niveau de l'Union (article 56), couvrant au moins les obligations des articles 53 et 55. Un fournisseur peut s'appuyer sur ces codes pour démontrer sa conformité tant qu'une norme européenne harmonisée n'a pas été publiée ; le respect d'une norme harmonisée confère une présomption de conformité. Un fournisseur qui n'adhère à aucun code approuvé ni à une norme harmonisée doit démontrer par d'autres moyens qu'il respecte ses obligations, et soumettre ces moyens à l'appréciation de la Commission.
Gouvernance interne à mettre en place : 5 piliers
Au-delà des obligations légales minimales, une gouvernance IA solide pour un fournisseur de modèles GPAI repose sur 5 piliers opérationnels.
1. Comité de gouvernance IA
Constituer un comité interne dédié à la gouvernance IA, réunissant : le responsable technique (CTO ou équivalent), le responsable juridique/conformité, un représentant de l'équipe sécurité, un représentant des équipes de déploiement client. Ce comité valide les décisions de mise sur le marché de nouveaux modèles, les mises à jour majeures et les incidents.
2. Registre interne des capacités et risques
Maintenir un registre interne documentant pour chaque version de modèle : les capacités identifiées (y compris les capacités émergentes), les évaluations de risque réalisées, les mesures d'atténuation appliquées, les résultats des red-teaming. Ce registre est distinct de la documentation réglementaire transmise à l'AI Office, mais en constitue la base.
3. Processus de divulgation responsable
Établir un programme de divulgation responsable (responsible disclosure) permettant aux chercheurs en sécurité de signaler des vulnérabilités ou comportements problématiques du modèle. Ce programme doit inclure une adresse de contact dédiée, un délai de traitement (30-90 jours), et une politique claire sur les récompenses (bug bounty ou reconnaissance publique).
4. Formation des équipes internes
Les équipes d'entraînement, d'évaluation et de déploiement doivent être formées aux obligations réglementaires et aux risques spécifiques des modèles GPAI. Une certification interne de conformité AI Act est recommandée pour les rôles clés impliqués dans la chaîne de mise sur le marché.
5. Surveillance post-déploiement
Mettre en place un système de collecte et d'analyse des signalements d'usage problématique du modèle reçus via les déployeurs et les utilisateurs finaux. Ces signalements alimentent à la fois le registre interne des risques et le processus de signalement obligatoire au Bureau de l'IA en cas d'incident grave.
Sanctions : ce que risque un fournisseur GPAI non conforme
L'AI Act prévoit des sanctions spécifiques pour les manquements aux obligations GPAI :
| Violation | Amende maximale | |---|---| | Non-respect des obligations GPAI standard (art. 53) | 15 M€ ou 3 % du CA mondial | | Non-respect des obligations risque systémique (art. 55) | 15 M€ ou 3 % du CA mondial | | Informations inexactes transmises au Bureau de l'IA | 7,5 M€ ou 1 % du CA mondial |
Le Bureau européen de l'IA est l'autorité de surveillance principale pour les fournisseurs GPAI. Il peut : demander des documents, conduire des audits, imposer des mesures correctives, publier des décisions, et in fine saisir la Commission pour des sanctions financières.
Conclusion
Les fournisseurs de modèles d'IA ont jusqu'en 2026 pour être pleinement en conformité avec l'AI Act. La documentation technique, l'enregistrement au registre EU et la politique droits d'auteur sont non négociables. Pour les modèles à risque systémique, le red-teaming obligatoire et le signalement sans délai injustifié des incidents graves sont des obligations opérationnelles lourdes. La bonne stratégie : commencer par l'inventaire des modèles, leur classification selon le seuil FLOPs, et mettre en place un comité de gouvernance avant même d'affronter les détails réglementaires.
Questions fréquentes
Partiellement. Les fournisseurs de modèles GPAI open source (poids publiquement accessibles) bénéficient d'exemptions pour certaines obligations de documentation et de transparence, à condition de publier les informations techniques de base. Ils restent soumis à l'obligation de politique droits d'auteur et à l'enregistrement EU. Les modèles open source à risque systémique ne bénéficient d'aucune exemption sur les obligations renforcées.
Il s'agit de la quantité de calculs utilisée pour l'entraînement du modèle, exprimée en opérations à virgule flottante. Ce seuil couvre actuellement un nombre restreint de modèles frontière parmi les plus puissants du marché. La Commission peut abaisser ou relever ce seuil par acte délégué si les capacités des modèles évoluent. Un fournisseur dont le modèle atteint ce seuil doit en informer la Commission européenne sans tarder, et en tout état de cause dans un délai de deux semaines (article 52).
Le Bureau européen de l'IA (AI Office), créé au sein de la Commission européenne, est l'autorité centrale de surveillance des modèles GPAI. Il peut : vérifier la documentation, mandater des évaluations adversariales, recevoir les signalements d'incidents, et imposer des mesures correctives. Pour les systèmes d'IA non-GPAI, ce sont les autorités nationales de surveillance du marché qui interviennent (en France, la DGCCRF comme point de contact unique, et la CNIL pour la biométrie, l'emploi ou l'éducation).
Oui, si les modèles sont mis sur le marché ou utilisés dans l'UE. L'AI Act s'applique à tous les fournisseurs GPAI dont les modèles sont accessibles dans l'Union, quelle que soit leur localisation. Un fournisseur hors UE sans représentant légal dans l'UE doit en désigner un pour servir d'interlocuteur avec le Bureau de l'IA.