AI Act, l’UE lance des contrôles sur la sécurité de l’IA et le droit d’auteur

La Commission européenne n’a pas perdu de temps et, moins d’un mois après l’entrée en vigueur des règles prévues par la loi sur l’IA, elle a commencé à utiliser les nouveaux pouvoirs de contrôle. Bruxelles a adressé des demandes formelles d’informations à certains des développeurs des modèles d’intelligence artificielle les plus avancés, leur demandant de documenter les mesures prises pour protéger les systèmes contre les cyberattaques, limiter les risques associés aux modèles et se conformer aux règles européennes en matière de droit d’auteur.

Le début des contrôles a été confirmé par Henna Virkkunen, vice-présidente exécutive de la Commission européenne chargée de la souveraineté technologique, de la sécurité et de la démocratie, dans une interview publiée par Euractiv le 26 août 2026. Il s’agit de la première utilisation de pouvoirs d’exécution sur des modèles d’intelligence artificielle à usage général, ou GPAI, qui sont devenus pleinement exerçables le 2 août 2026.

Cette décision marque la transition entre l’élaboration des règles et leur application. Pour les grandes entreprises technologiques, cela signifie que les obligations du règlement européen peuvent désormais se traduire par des demandes de documents, des contrôles techniques, des évaluations de modèles et, dans les cas les plus graves, des sanctions.

Bruxelles demande comment les modèles sont protégés

Virkkunen n’a pas nommé les entreprises qui ont reçu les demandes. Il a toutefois précisé que la Commission s’était tournée vers certains fournisseurs des modèles « les plus avancés ». Interrogés, Anthropic, OpenAI, Google, Meta et Mistral n’ont pas immédiatement confirmé avoir été contactés.

L’attention de l’AI Office porte principalement sur la sécurité informatique et physique des infrastructures qui hébergent les modèles. Bruxelles veut connaître les procédures utilisées par les entreprises pour empêcher des personnes ou d’autres systèmes d’intelligence artificielle de voler des informations sensibles, des identifiants ou les paramètres mêmes des modèles.

Pour les GPAI classées à risque systémique, la loi AI impose des obligations supplémentaires par rapport à celles envisagées pour d’autres modèles à usage général. Les fournisseurs doivent évaluer et atténuer les risques systémiques, effectuer des tests et des évaluations, documenter et signaler les incidents graves et garantir un niveau adéquat de cybersécurité pour le modèle et son infrastructure physique. Les dispositions sont contenues, entre autres, dans l’article 55 du règlement européen.

La Commission considère que les modèles formés à l’aide de plus de 10 ^ 25 opérations en virgule flottante présentent probablement un risque systémique, bien que le seuil soit en cours de révision. L’AI Act permet également de qualifier un modèle de systémique en fonction de ses capacités ou de son impact sur le marché, que la limite de calcul soit automatiquement ou non dépassée.

Les incidents qui ont accéléré les contrôles

Les demandes de Bruxelles interviennent après une série d’épisodes qui ont rendu plus concret le problème de la sécurité des modèles avancés.

Le 26 août, OpenAI a publié un rapport sur l’incident survenu en juillet 2026 lors de certaines évaluations internes de cybersécurité. Selon la reconstruction de l’entreprise, certains modèles utilisés dans les tests ont contourné les contrôles mis en place pour les isoler d’Internet, exploité des vulnérabilités et atteint des systèmes appartenant à la fois à l’infrastructure de recherche OpenAI et à Hugging Face, la plateforme utilisée pour distribuer des modèles et des ensembles de données d’intelligence artificielle.

Le comportement le plus problématique aurait été piloté par un modèle expérimental interne, pris en charge lors de certaines opérations par d’autres systèmes. OpenAI a signalé que les agents ont réussi à exécuter du code sur les serveurs Hugging Face, à obtenir des privilèges élevés sur au moins une machine et à accéder à certaines informations privées. La société a déclaré que les données des clients et le fonctionnement des produits commerciaux n’étaient pas affectés.

OpenAI a ensuite mis en quarantaine le poids du modèle interne impliqué, reporté certaines activités de formation et renforcé les systèmes de surveillance, d’isolement et de réponse aux incidents. L’entreprise avait publiquement notifié son implication le 21 juillet.

Quelques jours plus tard, Anthropic a également fait part des problèmes apparus lors de ses évaluations. Le 30 juillet, la société a annoncé avoir analysé plus de 141 000 sessions de tests et identifié trois incidents au cours desquels des versions de Claude avaient atteint Internet et obtenu un accès non autorisé aux systèmes réels de trois organisations externes. Anthropic a attribué une partie des conditions qui ont permis aux épisodes de se produire à un malentendu avec un partenaire de notation.

Ces cas intéressent directement les régulateurs européens car ils montrent comment les tests de cybercapacités peuvent produire des effets au-delà des environnements contrôlés. La vérification de la qualité des bacs à sable, des autorisations de modèles et des systèmes de surveillance devient donc une composante des obligations de gestion des risques en vertu de la loi sur l’IA.

Les évaluateurs externes sont également sous surveillance

Les demandes de la Commission concernent également l’accès accordé aux parties externes chargées d’évaluer la sécurité des modèles.

Selon Virkkunen, Bruxelles souhaite savoir dans quelle mesure les laboratoires autorisent des experts indépendants à examiner les systèmes, quelles informations sont mises à disposition lors des contrôles et ce qui se passe lorsque les évaluateurs formulent des recommandations. L’AI Office entend également vérifier les procédures utilisées pour contrôler l’utilisation des modèles après leur diffusion publique.

La question a des conséquences économiques pour l’ensemble du secteur. Les modèles pionniers nécessitent des milliards d’investissements dans les puces, les centres de données, l’énergie et la recherche. Un incident susceptible d’imposer la suspension d’un programme de formation, le report de la sortie d’un modèle ou des interventions sur des infrastructures peuvent rapidement se transformer en coût industriel.

La réglementation européenne introduit également une variable supplémentaire pour ceux qui souhaitent commercialiser ces systèmes sur le marché unique : la capacité de démontrer que les procédures et les contrôles fonctionnent devient une condition pour continuer à distribuer les modèles dans l’UE.

Plus de 30 entreprises interrogées sur le droit d’auteur

La sécurité n’est qu’une partie du problème. La Commission a demandé à plus de 30 entreprises de fournir des informations sur le respect des règles européennes en matière de droit d’auteur, a déclaré Virkkunen à Euractiv.

L’article 53 de la loi IA établit que les fournisseurs de modèles GPAI doivent adopter une politique de respect du droit d’auteur de l’Union et publier un résumé suffisamment détaillé des contenus utilisés pour la formation. L’obligation inclut également les modèles distribués avec des licences open source, auxquels peuvent s’appliquer certaines exemptions sur d’autres exigences documentaires.

La Commission a préparé un modèle standard pour ces communications. Les entreprises doivent indiquer les principales sources de données utilisées, y compris les grandes collections publiques ou privées et les principaux domaines Web, en fournissant des informations permettant aux titulaires de droits de comprendre si leur contenu a pu entrer dans les ensembles de données de formation.

C’est l’un des points de régulation les plus sensibles économiquement. Les éditeurs, auteurs, photographes, agences de presse et autres industries créatives contestent depuis des années l’utilisation d’œuvres protégées pour former des modèles commerciaux sans autorisation ni rémunération. Les créateurs d’IA soutiennent que l’accès à de grandes quantités de données est essentiel pour former des systèmes compétitifs.

Bruxelles ne demande pas aux entreprises de publier l’intégralité des ensembles de données. Le considérant 107 de la loi IA propose une synthèse suffisamment large pour permettre aux titulaires de droits d’exercer leurs prérogatives, tout en préservant les secrets d’affaires et les informations commerciales confidentielles.

De la collaboration aux demandes formelles

Au cours des mois précédents, l’AI Office avait privilégié les discussions techniques avec les entreprises. La Commission elle-même explique que ces réunions continueront à représenter l’un des principaux outils permettant de vérifier le respect et de clarifier l’application des règles.

Mais à partir du 2 août 2026, Bruxelles dispose également d’outils coercitifs. Vous pouvez demander des informations, obtenir l’accès à des modèles pour procéder à des évaluations, imposer des mesures correctives et, dans les cas prévus par la réglementation, demander qu’un modèle soit limité, retiré ou rappelé du marché.

La différence entre un dialogue informel et une demande formelle est significative. Les entreprises sont tenues de répondre aux demandes d’informations formulées dans le cadre de leurs pouvoirs de contrôle. Le défaut de coopération peut entraîner l’ouverture d’une phase ultérieure de la procédure et les sanctions prévues par la loi.

Pour les violations des obligations relatives aux modèles GPAI, le plafond indiqué par la Commission peut atteindre 15 millions d’euros ou 3% du chiffre d’affaires mondial total réalisé au cours de l’exercice précédent, en appliquant la valeur la plus élevée prévue par les dispositions pertinentes.

Pour une plateforme mondiale générant des dizaines ou des centaines de milliards de revenus, le pourcentage du chiffre d’affaires rend le risque réglementaire très pertinent.

Le code volontaire divise les grandes technologies

Pour faciliter le respect, la Commission a reconnu le Code de bonnes pratiques en matière d’IA à usage général comme un outil volontaire grâce auquel les entreprises peuvent démontrer leur conformité à certaines des obligations de la loi sur l’IA.

Le code comprend trois chapitres consacrés à la transparence, au droit d’auteur, à la sûreté et à la sécurité. Parmi les signataires figurent OpenAI, Anthropic, Google, Microsoft, Amazon et le français Mistral AI. xAI a adhéré à la partie relative à la sécurité et à la protection, tandis que pour les autres obligations, elle devra démontrer sa conformité à travers des outils alternatifs.

Meta a choisi une voie différente. En juillet 2025, l’entreprise a annoncé qu’elle n’adhérerait pas au code GPAI, arguant que certaines dispositions introduisaient une insécurité juridique et allaient au-delà de ce qui était prévu par la loi sur l’IA. Cependant, le non-respect du code ne dispense pas Meta des obligations légales : le code représente une voie volontaire pour démontrer la conformité, et non une alternative à la réglementation.

L’IA Act entre dans la phase qui compte pour les entreprises

Le calendrier européen se déroule par étapes. Des obligations spécifiques pour les fournisseurs de modèles GPAI sont devenues applicables le 2 août 2025 ; à partir du 2 août 2026, la Commission pourra les faire respecter grâce à ses pouvoirs d’exécution. Les modèles mis sur le marché avant le 2 août 2025 bénéficient, pour certaines obligations, d’une période transitoire jusqu’au 2 août 2027.

Différentes dispositions sur la transparence des systèmes d’intelligence artificielle sont également opérationnelles depuis le 2 août 2026. Les chatbots et autres systèmes interactifs doivent informer les utilisateurs lorsqu’ils parlent à une IA ; les contenus synthétiques et les deepfakes sont soumis à des obligations spécifiques de marquage et d’identification. Fin juillet, environ 190 organisations avaient adhéré au code européen dédié à la transparence des contenus générés par l’IA.

La première série de demandes adressées aux laboratoires offre donc une indication sur la manière dont Bruxelles compte utiliser la loi IA. Le contrôle initial concerne précisément les deux éléments qui impactent le plus la relation économique entre les développeurs de modèles et le reste du marché : la capacité des entreprises à garder sous contrôle des systèmes de plus en plus puissants et la provenance des données dont ces systèmes tirent leurs capacités.

Après deux années dominées par la définition de règles et les discussions avec l’industrie, l’AI Act est entré dans la phase de vérification. Pour OpenAI, Anthropic, Google, Meta, Mistral et d’autres développeurs mondiaux, opérer sur le marché européen signifie désormais pouvoir être appelé à documenter devant les autorités non seulement ce que leurs modèles peuvent faire, mais aussi comment ils sont formés, protégés et contrôlés.