Loi IA de l’UE : L’application des règles GPAI entre en vigueur le 2 août — Les pouvoirs de sanction à 15M EUR de la Commission redessinent la conformité des modèles de fondation

Le compte à rebours que chaque fournisseur de modèle de fondation surveille

Le 2 août 2025 constituait le premier délai impératif au titre de la loi IA de l’UE : les règles de gouvernance GPAI entraient en vigueur, obligeant les fournisseurs de modèles d’IA à usage général à commencer à respecter les obligations de transparence, de droits d’auteur et de documentation technique. Mais le 2 août 2025 n’était pas encore un jour de reddition de comptes — le dispositif d’application complet du Bureau européen de l’IA, y compris ses pouvoirs de sanction, entre en fonctionnement exactement un an plus tard.

Le 2 août 2026, selon le calendrier de mise en œuvre de la loi IA de l’UE, l’autorité de la Commission pour imposer des sanctions financières en vertu du chapitre V de la loi IA s’active pleinement. La structure des pénalités est significative : des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu) pour les fournisseurs GPAI ne respectant pas leurs obligations, plus un palier distinct de 7,5 millions d’euros ou 1 % du chiffre d’affaires annuel mondial pour la fourniture d’informations incorrectes, incomplètes ou trompeuses au Bureau européen de l’IA.

Pour des sociétés comme OpenAI, Anthropic, Google DeepMind, Meta et Mistral — dont les modèles phares entrent presque certainement dans le champ d’application GPAI — ces pourcentages représentent des sommes bien supérieures au plafond fixe de 15 millions d’euros. Au rythme de revenus estimé d’OpenAI pour 2025, 3 % du chiffre d’affaires mondial dépasserait 500 millions d’euros. Les architectes du règlement l’ont précisément conçu ainsi : les pénalités proportionnelles garantissent que l’effet dissuasif s’adapte à l’auteur de la violation.

Il existe néanmoins une fenêtre de transition importante : les fournisseurs de modèles GPAI déjà sur le marché avant le 2 août 2025 disposent jusqu’au 2 août 2027 pour se conformer pleinement, selon l’analyse de Latham & Watkins. Toutefois, cette période de grâce ne s’applique pas aux nouvelles versions de modèles, et elle n’empêche pas le Bureau de l’IA d’ouvrir des enquêtes sur n’importe quel fournisseur pendant la période intermédiaire.

Ce que les fournisseurs GPAI sont réellement tenus de faire

Les obligations GPAI de la loi IA se divisent en deux niveaux selon que le modèle d’un fournisseur présente ou non un risque systémique. Le seuil de risque systémique est une puissance de calcul d’entraînement dépassant 10^25 opérations à virgule flottante (FLOP) — une barre qui capture aujourd’hui les plus grands modèles frontières, y compris les systèmes de classe GPT-4, les systèmes de classe Gemini Ultra et les modèles de classe Llama 3 à leur plus grande échelle.

Pour tous les fournisseurs GPAI, les obligations de base comprennent :

• Documentation technique : maintenir des dossiers complets couvrant la méthodologie d’entraînement, les sources de données et les ressources de calcul utilisées
• Information aux fournisseurs en aval : fournir une documentation suffisante aux intégrateurs en aval pour qu’ils puissent développer des systèmes d’IA conformes à leur tour à la loi
• Conformité aux droits d’auteur : établir et appliquer des politiques respectant le droit d’auteur de l’UE, y compris les mécanismes d’opt-out pour les ayants droit
• Résumé des données d’entraînement : publier un résumé public suffisamment détaillé du contenu utilisé pour l’entraînement, incluant les principales sources de données et noms de domaine

Pour les modèles à risque systémique (au-dessus de 10^25 FLOP), les exigences s’élargissent substantiellement : évaluations de modèles et tests adversariaux (red-teaming), évaluations systématiques des risques, notification obligatoire des incidents au Bureau de l’IA et protections de cybersécurité proportionnées au profil de risque du modèle.

L’écart de conformité entre « tous les GPAI » et « GPAI à risque systémique » est là où se concentre la pression réglementaire. La plupart des fournisseurs de modèles de fondation de niveau intermédiaire argumenteront qu’ils se situent en dessous du seuil de risque systémique. Mais à mesure que l’échelle des modèles augmente trimestre après trimestre, cet argument devient de plus en plus difficile à tenir.

Le Code de conduite GPAI : votre référence de conformité de facto

La Commission européenne a publié le Code de conduite GPAI le 10 juillet 2025. Élaboré par un processus de rédaction multi-parties prenantes indépendant impliquant plus de 1 000 participants — dont des fournisseurs d’IA, des groupes de la société civile et des chercheurs universitaires — le Code est techniquement volontaire. En pratique, il fonctionne comme la principale référence de conformité.

Pourquoi ? Parce que les fournisseurs qui adhèrent au Code bénéficient d’une présomption de conformité — ce qui signifie que le Bureau de l’IA présume effectivement qu’ils respectent leurs obligations légales, sauf si des preuves contraires émergent. Il s’agit du même mécanisme juridique que les normes techniques de l’UE (normes harmonisées) utilisées dans toute la réglementation sur la sécurité des produits.

Le Code aborde trois piliers : les obligations de transparence (résumés des données d’entraînement, modèles de documentation technique), les obligations en matière de droits d’auteur (infrastructure d’opt-out, audit de compensation des droits) et les obligations de sécurité pour les modèles à risque systémique (méthodologie d’évaluation, protocoles de red-teaming, procédures de notification des incidents).

Une nuance critique ressortant de l’analyse de Latham & Watkins : la conformité au Code n’exclut pas catégoriquement l’imposition d’amendes. Le Code est une voie de conformité et un bouclier probatoire, pas une immunité.

Qui fait face au risque le plus élevé avant le 2 août

L’exposition à l’application des règles est répartie de manière inégale dans le paysage des modèles de fondation.

Niveau de risque le plus élevé — Les fournisseurs américains à grande échelle (OpenAI, Anthropic, Google, Meta) qui distribuent des modèles ou un accès API au sein de l’UE. Ces entreprises doivent démontrer leur conformité à toutes les obligations de base GPAI d’ici le 2 août 2026 pour les modèles postérieurs au 2 août 2025. Leur exposition au risque systémique est également la plus élevée étant donné les volumes de calcul d’entraînement.

Niveau de risque moyen — Les fournisseurs européens et à moyenne échelle (Mistral, Aleph Alpha et autres). Le domicile européen n’est pas une exemption — tous les fournisseurs plaçant des modèles sur le marché de l’UE entrent dans le champ d’application. Mistral, en tant qu’entreprise française, relève directement de la juridiction du Bureau de l’IA.

Risque pour les entreprises en aval — Les acheteurs professionnels d’API de modèles de fondation ne sont PAS des fournisseurs GPAI au sens de la loi, mais ils supportent un risque indirect. Si une entreprise construit un produit sur un modèle GPAI non conforme et que ce fournisseur fait l’objet d’une mesure d’application, la posture de conformité du produit devient également questionable.

Ce que les fournisseurs d’IA et les acheteurs professionnels doivent faire

1. Cartographiez votre exposition aux modèles de fondation avant le 2 août

Toute organisation qui développe, déploie ou s’appuie sur des modèles GPAI a besoin d’un inventaire de l’état actuel des modèles qu’elle utilise, développe, et où chacun se situe dans le spectre de conformité GPAI. Pour les fournisseurs : identifiez quels modèles ont été publiés avant le 2 août 2025 (éligibles à la période de grâce 2027) par opposition à après (immédiatement en champ d’application). Pour les acheteurs : demandez des attestations de conformité GPAI à chaque fournisseur de modèle de fondation dans votre portefeuille. La question à poser n’est pas « travaillez-vous sur la conformité ? » mais « quels engagements spécifiques au Code de conduite avez-vous pris et quelles preuves pouvez-vous partager ? »

Cet exercice d’inventaire révèle généralement deux surprises : (1) plus de modèles que prévu dépassent le seuil de calcul du risque systémique, et (2) les exigences de documentation en aval — ce que les fournisseurs doivent à leurs intégrateurs — sont plus détaillées que ce que la plupart des contrats fournisseurs actuels précisent.

2. Traitez le Code de conduite GPAI comme votre cadre d’audit, pas comme une liste de contrôle

La structure à trois piliers du Code (transparence, droits d’auteur, sécurité) correspond directement aux priorités d’application du Bureau de l’IA. Construisez votre programme de conformité interne autour de ces piliers plutôt que du langage statutaire de la loi, qui est délibérément général. Pour la transparence : mettez en œuvre une documentation des données d’entraînement exportable dans le format de modèle prescrit par le Code. Pour les droits d’auteur : établissez un processus d’audit de compensation des droits qui consigne les demandes d’opt-out. Pour les modèles à risque systémique : menez un exercice structuré de red-team et établissez un flux de travail de notification des incidents avant qu’un incident réel ne l’exige.

Ne traitez pas l’adhésion au Code comme un exercice de relations publiques. L’analyse de LW avertit explicitement que souscrire au Code sans mise en œuvre substantielle ne fournit pas la présomption de conformité — et le Bureau de l’IA dispose de pouvoirs d’investigation pour examiner l’écart entre les engagements déclarés et les pratiques réelles.

3. Intégrez la conformité GPAI dans l’approvisionnement et les contrats fournisseurs

Les acheteurs professionnels doivent mettre à jour les accords fournisseurs d’IA standards pour inclure des représentations de conformité GPAI. Concrètement : (a) les fournisseurs doivent déclarer que les modèles livrés après le 2 août 2025 sont couverts par un engagement actuel au Code de conduite, (b) les fournisseurs doivent fournir des résumés des données d’entraînement et une documentation technique sur demande, et (c) les contrats doivent inclure un droit d’audit du statut de conformité et une clause de résiliation pour manquement matériel si le fournisseur fait l’objet d’une mesure d’application du Bureau de l’IA.

L’angle approvisionnement est sous-estimé dans les discussions actuelles sur la conformité. Selon l’analyse d’avril 2026 de Holland & Knight, les amendes s’appliquent au fournisseur, pas à l’acheteur professionnel — mais un fournisseur sous enquête est un vendeur dont la continuité d’API, la tarification et la disponibilité des produits ne peuvent être garanties.

Là où l’application des règles GPAI fixe la norme mondiale

Les dispositions GPAI de la loi IA de l’UE ne sont pas un point final — elles constituent le premier coup d’une pile de conformité multi-juridictionnelle qui ne fera que s’épaissir. Le Royaume-Uni développe son propre cadre de réglementation de l’IA ; plusieurs juridictions d’Asie du Sud-Est ont signalé qu’elles référenceront le Code de conduite de l’UE dans leurs cadres nationaux. Le projet de loi brésilien sur la réglementation de l’IA, en débat parlementaire actif début 2026, s’inspire explicitement du modèle d’obligations à niveaux de l’UE.

Ce que cela signifie concrètement : la conformité GPAI construite pour l’UE en 2026 n’est pas un coût pour un seul marché — c’est le fondement d’une posture de conformité mondiale. Les fournisseurs qui construisent une infrastructure de documentation, des systèmes d’opt-out pour les droits d’auteur et des protocoles de red-team aux normes de l’UE constateront que ces investissements sont réutilisables dans toutes les juridictions réglementaires ultérieures. Les fournisseurs qui retardent jusqu’au 2 août 2026 ne prennent pas seulement du retard sur un seul règlement — ils renoncent à l’avantage du premier arrivé dans ce qui sera une compétition de conformité internationale sur plusieurs années.

Le Code de conduite GPAI, malgré son caractère volontaire affiché, est la première norme technique reconnue internationalement pour la gouvernance des modèles de fondation. Les organisations qui le traitent comme un obstacle bureaucratique géreront une crise de conformité. Celles qui le traitent comme une spécification technique livreront une infrastructure prête à être auditée avant que l’horloge des amendes ne commence à tourner.

Foire aux questions

Sources et lectures complémentaires

• EU AI Act GPAI Model Obligations In Force and Final GPAI Code of Practice In Place — Latham & Watkins
• EU AI Act Implementation Timeline — artificialintelligenceact.eu
• EU AI Act Timeline and Deadlines — Legiscope
• US Companies Face EU AI Act’s Possible August 2026 Compliance Deadline — Holland & Knight
• Regulatory Framework for AI — European Commission