AI Act 2026 : Bruxelles envoie ses premières convocations

Pendant deux ans, l'AI Act a surtout servi de sujet de conférence. Beaucoup de slides, beaucoup de cabinets d'avocats, peu de conséquences concrètes. C'est terminé. Le 2 août 2026, le règlement européen sur l'intelligence artificielle est entré dans sa phase répressive, et le Bureau européen de l'IA a mis moins d'un mois à s'en servir : le 29 août, ses premières demandes formelles d'informations partaient vers les fournisseurs de modèles. Bruxelles a confirmé le 1er septembre que plus de trente entreprises du secteur avaient été destinataires.

Ce n'est pas encore une amende. C'est le geste juridique qui précède les amendes.

Ce que la Commission a exactement demandé

Henna Virkkunen, vice-présidente de la Commission chargée de la souveraineté technologique, a confirmé l'envoi de courriers « à un certain nombre de fournisseurs de modèles d'IA à usage général établis dans différentes régions du monde ». La formule est diplomatique, la cible ne l'est pas : la Commission n'a pas nommé les destinataires, mais OpenAI, Google et Anthropic figurent parmi eux selon les informations de presse.

Trois sujets sont sur la table :

• la sécurité des modèles — quelles mesures techniques et organisationnelles sont réellement en place
• les évaluations externes indépendantes — qui a testé le modèle, avec quel accès, et qu'a-t-il trouvé
• la surveillance post-marché — comment les incidents graves sont détectés, documentés, remontés

Ces trois axes ne sortent pas d'un chapeau. Ils recouvrent point par point les obligations imposées par l'article 55 aux fournisseurs de modèles à usage général présentant un risque systémique : évaluer les risques, tenir une documentation, signaler les incidents graves sans délai à l'AI Office. Autrement dit, la Commission demande aux entreprises de prouver ce qu'elles affirment déjà publiquement.

Le prix d'une mauvaise réponse

Répondre à côté coûte cher. Fournir des informations « incorrectes, incomplètes ou trompeuses » expose à une sanction pouvant atteindre 3 % du chiffre d'affaires mondial ou 15 millions d'euros, le montant le plus élevé étant retenu. Et pour les manquements les plus graves au règlement lui-même, l'article 99 monte jusqu'à 35 millions d'euros.

Pour un laboratoire dont la valorisation se compte en dizaines de milliards, 15 millions n'ont rien de dissuasif. Le vrai risque est ailleurs : dans le dossier que ces réponses constituent. Une demande d'information est une pièce de procédure. Elle fige des déclarations écrites, datées, signées, qui pourront être opposées plus tard à leur auteur. Les régulateurs de la concurrence utilisent cette mécanique depuis vingt ans avant de frapper.

L'article 50 et l'obligation de marquer le contenu généré

L'autre pan entré en application le 2 août concerne tout le monde, pas seulement les six ou sept laboratoires de pointe. L'article 50 impose aux fournisseurs de systèmes d'IA générative de marquer les contenus synthétiques dans un format lisible par machine, et aux déployeurs d'informer les utilisateurs du caractère artificiel de ce qu'ils regardent.

En clair : images, vidéos, audio et textes générés doivent porter une trace. Filigrane invisible, métadonnées, empreinte cryptographique — le règlement ne prescrit pas la technique, il exige le résultat.

Un code de bonnes pratiques a été mis sur la table pour aider à démontrer la conformité. Au 31 juillet, environ 190 organisations l'avaient signé. Côté fournisseurs : Anthropic, Google, Meta, Microsoft, Mistral, OpenAI. Côté déployeurs, la liste est plus révélatrice de la diffusion réelle de la technologie : Getty Images, Lufthansa, Iberdrola. Une compagnie aérienne et un énergéticien espagnol qui signent un code de transparence sur l'IA générative, cela dit assez bien où en est l'adoption.

Signer ne vaut pas conformité, la Commission a pris soin de le préciser. C'est une présomption de bonne volonté, pas un blanc-seing.

Le détail que tout le monde oublie : l'Omnibus a déjà reculé

Voilà la partie de l'histoire qui contredit le récit d'une Europe inflexible. Six jours avant l'échéance du 2 août, un texte est entré en vigueur qui a discrètement décalé une bonne moitié du calendrier.

Le règlement (UE) 2026/1744, dit Digital Omnibus on AI, a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet. Il reporte :

• les obligations sur les systèmes à haut risque listés à l'annexe III (recrutement, crédit, éducation, justice, biométrie...) du 2 août 2026 au 2 décembre 2027
• celles concernant l'IA embarquée dans des produits déjà régulés (annexe I) au 2 août 2028

Motif invoqué : ni l'industrie ni les organismes de normalisation, CEN et CENELEC, n'étaient prêts. Les normes harmonisées sur lesquelles repose toute l'architecture de conformité n'existaient pas encore, et l'infrastructure d'évaluation que le règlement suppose n'a pas mûri assez vite.

On peut y lire un aveu de réalisme ou une capitulation devant le lobbying — les deux lectures ont leurs défenseurs. Le fait brut est que le volet qui touche directement les citoyens dans leur vie quotidienne, celui du scoring, du tri de CV et de la reconnaissance faciale, attendra fin 2027. Ce qui s'applique aujourd'hui, c'est la transparence et la surveillance des grands modèles.

Ce que ça change pour une entreprise française

Si vous déployez de l'IA générative dans un produit, un site ou un service client, deux réflexes s'imposent dès maintenant.

• Informer. Un chatbot doit être identifiable comme machine. Une image générée doit être signalée comme telle. Ce n'est plus une bonne pratique, c'est du droit applicable.
• Vérifier en amont. Un déployeur qui s'appuie sur un modèle tiers hérite d'une partie du problème si le fournisseur ne marque pas ses sorties. Le contrat commercial doit désormais dire qui fait quoi.

Et garder en tête que le décalage entre les deux vitesses du règlement peut créer de faux sentiments de sécurité : ce qui est reporté à décembre 2027 finira bien par s'appliquer, et les délais de mise en conformité d'un système de recrutement automatisé ne se comptent pas en semaines.

La suite

La Commission a désormais un dossier ouvert sur les principaux laboratoires du secteur. Les prochaines étapes possibles sont connues : demandes complémentaires, évaluations de modèle diligentées par l'AI Office, puis mesures correctrices si les réponses ne tiennent pas. Le calendrier dépendra de la qualité des retours reçus cet automne.

Ce qui a changé le 29 août, ce n'est pas le niveau de contrainte. C'est la nature de la relation. Jusque-là, l'Europe demandait poliment. Elle instruit maintenant.