Entrée en vigueur de l’AI Act : la deadline GPAI du 2 août 2026, décodée

Pourquoi le 2 août 2026 est la vraie date d’exécution

L’AI Act a été adopté en 2024 et est entré en vigueur en août 2024. Plusieurs vagues d’obligations se sont ensuite déclenchées dans le temps. D’après la page politique de la Commission européenne sur l’AI Act, le cœur du règlement devient « pleinement applicable le 2 août 2026 » — c’est à cette date que la plupart des obligations haut risque et GPAI passent du théorique au concret.

Deux choses se produisent ce jour-là pour les fournisseurs GPAI :

1. Les pouvoirs de supervision et d’exécution de la Commission sur les fournisseurs de modèles GPAI entrent en vigueur. L’AI Office obtient le pouvoir d’exiger de la documentation, de mener des évaluations, de demander des mesures correctives et d’infliger des amendes.
2. Les amendes prévues à l’Article 101 peuvent atteindre 3 % du chiffre d’affaires mondial annuel ou 15 M€, le plus élevé des deux, en cas de manquement aux obligations GPAI.

C’est la deadline face à laquelle chaque fournisseur de modèle fondationnel servant le marché européen doit être pleinement prêt — pas un objectif indicatif.

Le seuil : 10²⁵ FLOP et risque systémique

L’AI Act crée deux niveaux d’obligations GPAI. Chaque fournisseur a un socle de devoirs au titre de l’Article 53. Les fournisseurs dont le modèle présente un risque systémique portent le jeu plus lourd de l’Article 55.

Selon l’Article 55 de l’AI Act et les lignes directrices de la Commission pour les fournisseurs GPAI, un modèle GPAI est présumé avoir des capacités à fort impact — et donc un risque systémique — lorsque la quantité cumulée de compute utilisée pour son entraînement est supérieure à 10²⁵ opérations en virgule flottante (FLOP). Les fournisseurs doivent notifier la Commission dans les deux semaines suivant la prévision raisonnable ou le franchissement de ce seuil.

Le seuil est assez haut pour que la plupart des modèles finement ajustés ou dérivés se situent en dessous. Il est assez bas pour que plusieurs modèles frontières le franchissent déjà, et d’autres le feront courant 2026. Être côté « risque systémique » est l’hypothèse que la plupart des labos frontières doivent planifier.

Article 53 : les obligations GPAI de base

Chaque fournisseur GPAI qui place un modèle sur le marché européen doit, au titre de l’Article 53 :

• Tenir une documentation technique du modèle — processus d’entraînement et de test, résultats d’évaluation — et la transmettre à l’AI Office et aux autorités nationales compétentes sur demande.
• Mettre à disposition des fournisseurs en aval (entreprises qui bâtissent des systèmes IA au-dessus du modèle) les informations leur permettant de respecter leurs propres obligations.
• Mettre en place une politique de conformité au droit d’auteur de l’Union, qui respecte notamment les opt-outs exprimés au titre de l’Article 4(3) de la Directive (UE) 2019/790 sur le droit d’auteur dans le marché unique numérique.
• Publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement, selon le gabarit publié par l’AI Office.

Les cabinets qui suivent la mise en œuvre — dont Orrick dans son guide pratique AI Act — soulignent que le résumé des données d’entraînement et la politique de droit d’auteur sont les deux chantiers où la plupart des fournisseurs GPAI sont le moins prêts.

Article 55 : obligations additionnelles pour les modèles à risque systémique

Quand un modèle GPAI bascule en territoire de risque systémique, l’Article 55 empile des devoirs additionnels :

• Évaluation du modèle menée selon des protocoles et outils normalisés, y compris des tests adverses.
• Évaluation et atténuation des risques systémiques possibles au niveau européen liés au développement, à la mise sur le marché ou à l’utilisation du modèle.
• Suivi et signalement des incidents graves et des mesures correctives possibles à l’AI Office et aux autorités compétentes, sans retard indu.
• Protection cybersécurité adéquate pour le modèle et pour son infrastructure physique.

Ce ne sont pas des cases à cocher — ce sont des capacités opérationnelles (muscle red-team, réponse aux incidents, ingénierie sécurité) qui doivent exister et fonctionner en continu.

Ce que les fournisseurs GPAI et acheteurs enterprise doivent faire avant le 2 août

La date d’exécution du 2 août 2026 est fixe. Le guide pratique AI Act d’Orrick en six étapes note que la plupart des fournisseurs GPAI sont les moins prêts sur les résumés de données d’entraînement et la politique de droit d’auteur — les deux obligations qui requièrent un audit tiers des données et une analyse juridique, pas seulement un effort d’ingénierie. Ces quatre actions adressent les lacunes à risque le plus élevé.

1. Produire le résumé des données d’entraînement en utilisant le gabarit de l’AI Office maintenant

L’AI Office a publié un gabarit de résumé des données d’entraînement que les fournisseurs doivent utiliser. Le produire nécessite d’auditer le corpus de données d’entraînement, de catégoriser le contenu par type de source (web public accessible, jeux de données sous licence, données propriétaires), et de documenter comment les opt-outs au titre de l’Article 4(3) de la Directive 2019/790 ont été honorés. L’analyse des obligations GPAI de Latham & Watkins confirme que le résumé n’est pas une description de haut niveau — il doit être suffisamment détaillé pour que l’AI Office évalue la conformité droit d’auteur et que les fournisseurs en aval construisent leurs propres documents de divulgation par-dessus. Les équipes qui commencent cet audit maintenant ont 14 semaines ; celles qui commencent en juillet produiront un résumé dans des conditions d’exécution actives, sans cycle de revue.

2. Construire le package d’information pour fournisseurs en aval comme document vivant

L’Article 53 exige que les fournisseurs en aval — entreprises qui construisent des systèmes IA au-dessus des modèles GPAI — reçoivent les informations dont ils ont besoin pour leur propre conformité. L’exigence pratique est un package de documents versionné : carte modèle avec usage visé et limites connues, résumé des données d’entraînement, déclaration de conformité droit d’auteur et résumé d’évaluation. Les fournisseurs en aval dans l’UE demandent déjà cette documentation dans les cycles d’achat ; la deadline du 2 août formalise ce qui devient une norme de facto dans les contrats IA enterprise. Structurer ce package comme un document vivant avec un historique de versions signifie que chaque mise à jour du modèle requiert une mise à jour différentielle plutôt qu’une reconstruction complète — et les pistes d’audit sont préservées automatiquement.

3. Mettre en place le red-teaming et le reporting d’incidents avant la deadline, pas après

Les obligations de risque systémique de l’Article 55 — tests adverses, atténuation des risques, reporting des incidents graves — ne sont pas des exercices à cocher. L’AI Office peut demander de la documentation d’évaluation à la demande à partir du 2 août, et l’obligation de reporting pour les incidents graves court sans retard indu à partir de la détection. Les organisations qui traitent le red-teaming comme une activité pré-lancement unique échoueront à cette obligation quand l’AI Office demandera des preuves d’évaluation continue. Le programme minimal viable : un cycle de red-team trimestriel documenté dans un registre d’incidents partagé, avec un responsable sécurité IA nommé, habilité à déposer des rapports auprès de l’AI Office. Le format du registre n’a pas besoin d’être complexe — un journal versionné avec date, type d’incident, gravité et action corrective est suffisant pour la conformité initiale.

4. Mettre à jour les checklists d’achat enterprise pour demander des preuves AI Act aux fournisseurs

Pour les acheteurs enterprise et les organisations algériennes qui acquièrent des produits basés sur le GPAI, l’implication pratique de la deadline d’août est contractuelle. Le résumé des données d’entraînement, la politique de droit d’auteur et la documentation d’évaluation exigés par les Articles 53 et 55 devraient devenir des exigences d’achat standards. Ajouter une clause d’attestation AI Act à cinq items aux nouveaux contrats logiciels — résumé des données d’entraînement disponible, politique droit d’auteur publiée, évaluation du risque systémique complétée, canal de reporting d’incidents opérationnel, package d’information fournisseur en aval fourni — convertit l’obligation de conformité du fournisseur en livrable contractuel. Même sans exécution locale, demander cette documentation signale que votre organisation a évalué la qualité de gouvernance des produits IA dont elle dépend.

La Question Réglementaire

Les quatre actions prescrites dans cet article — produire le résumé des données d’entraînement maintenant, construire le package d’informations pour les fournisseurs en aval comme document vivant, mettre en place le red-teaming avant la deadline, et mettre à jour les listes de contrôle de procurement enterprise — traitent la surface de conformité. La question réglementaire plus profonde que l’AI Act de l’UE pose concerne la structure de marché : si les modèles IA de frontière peuvent être gouvernés par les mêmes institutions qui régissent les approbations pharmaceutiques, les instruments financiers et la sécurité aérienne, ou si le rythme de changement de l’IA déjoue toute architecture de gouvernance conçue pour des technologies plus lentes.

Le seuil de 10²⁵ FLOP est déjà une approximation. Plusieurs modèles de frontière à partir de 2025 sont vraisemblablement à ou au-dessus, et le calcul d’entraînement continue de s’accélérer. La capacité de l’AI Office à demander de la documentation et à imposer des amendes en vertu de l’Article 101 est réelle à partir du 2 août 2026, mais la machinerie d’exécution — qui suppose des caractéristiques de modèle stables, des données d’entraînement auditables et des rapports d’incidents lisibles par l’humain — sera testée contre des systèmes IA qui se mettent à jour et évoluent d’une manière qui rend les cycles de révision réglementaires traditionnels lents.

Pour les entreprises achetant des produits basés sur des modèles GPAI, l’implication pratique n’est pas d’attendre que cette tension de gouvernance se résolve. La liste de contrôle d’attestation procurement que cet article recommande — résumé des données d’entraînement disponible, politique de copyright publiée, évaluation du risque systémique complétée, canal de notification d’incident opérationnel — convertit la conformité des fournisseurs d’une abstraction réglementaire en un livrable contractuel. Les organisations qui normalisent ce standard avant le 2 août 2026 auront des relations fournisseurs plus claires et de meilleures preuves d’intention de gouvernance quelle que soit l’évolution des priorités d’exécution de l’AI Office.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Commission européenne — Cadre réglementaire AI Act
• Commission européenne — Lignes directrices pour les fournisseurs de modèles GPAI
• AI Act — Article 55 : obligations des fournisseurs GPAI à risque systémique
• Orrick — AI Act : 6 étapes avant le 2 août 2026
• Latham & Watkins — AI Act : obligations GPAI en vigueur