AI Act : les amendes sur les modèles IA entrent en vigueur

L'EU AI Act entre dans son ère répressive : les amendes IA sont désormais réelles

Le 2 août 2026 restera une date charnière dans l'histoire de la régulation de l'intelligence artificielle en Europe. Ce jour-là, à l'issue d'une période de transition d'un an débutée en août 2025, les dispositions du règlement européen sur l'intelligence artificielle — l'EU AI Act — relatives aux modèles d'IA à usage général (GPAI) sont devenues pleinement applicables. La Commission européenne et son bureau de l'IA (AI Office) disposent désormais de tous les pouvoirs pour enquêter, sanctionner et, le cas échéant, retirer du marché européen tout système ou modèle d'IA non conforme. Le règlement, voté par le Parlement européen en mars 2024 et entré en vigueur en août 2024, achève ainsi sa longue montée en puissance réglementaire avec l'activation des premières sanctions financières effectives.

Le régime de sanctions établi par l'AI Act est structuré en paliers selon la gravité et la catégorie de violation. Pour les modèles GPAI — les grands modèles de langage, les modèles multimodaux et les systèmes d'IA fondationnels pouvant être intégrés dans une multitude d'applications — les infractions aux obligations de transparence, de documentation et d'évaluation des risques exposent leurs fournisseurs à des amendes pouvant atteindre 3 % du chiffre d'affaires mondial annuel ou 15 millions d'euros, le montant le plus élevé s'appliquant. Pour les fournisseurs de systèmes d'IA à haut risque ne respectant pas les exigences techniques et organisationnelles, la fourchette est similaire. Enfin, les pratiques d'IA explicitement interdites — comme la notation sociale par les pouvoirs publics, la manipulation comportementale subliminale ou l'identification biométrique à distance en temps réel dans les espaces publics — peuvent entraîner des pénalités allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel.

Au-delà des amendes, la Commission et l'AI Office disposent d'un arsenal de pouvoirs coercitifs substantiels. Ils peuvent exiger des entreprises qu'elles fournissent une documentation complète sur leurs modèles et systèmes d'IA, y compris leurs données d'entraînement, leurs capacités et leurs évaluations des risques. Ils peuvent mener des évaluations techniques indépendantes des modèles pour vérifier leur conformité réelle. Ils peuvent imposer des mesures correctives, notamment des modifications du système ou des restrictions d'accès. En dernier recours, ils peuvent ordonner le retrait d'un modèle ou d'un système d'IA du marché européen — une sanction dont la portée économique pourrait dépasser, pour certains acteurs, le montant des amendes elles-mêmes.

Parmi les nouvelles obligations opérationnelles entrées en jeu, deux méritent une attention particulière des équipes techniques et juridiques. Premièrement, tout système d'IA conversationnel — chatbot, assistant virtuel, agent téléphonique automatisé — déployé dans l'Union européenne doit désormais informer clairement l'utilisateur, au début de chaque interaction, qu'il communique avec un système d'intelligence artificielle et non avec un être humain. Cette obligation de transparence, qui s'applique aussi bien aux chatbots de service client qu'aux agents de recrutement automatisés, doit être mise en oeuvre de manière explicite et non susceptible d'être ignorée par l'interface. Deuxièmement, les contenus générés ou manipulés par l'IA — en particulier les deepfakes et les contenus synthétiques — doivent désormais être étiquetés de manière lisible par machine, afin de permettre leur détection automatique par des outils tiers.

Les grandes entreprises technologiques dont les modèles GPAI sont déployés à l'échelle en Europe sont directement dans le viseur du dispositif. OpenAI, Google DeepMind, Anthropic, Meta et Mistral AI figurent parmi les fournisseurs qui doivent démontrer leur conformité aux exigences de transparence et de documentation. Ces obligations comprennent la publication d'un résumé des données d'entraînement utilisées, la mise en place de politiques de gouvernance des droits d'auteur, et pour les modèles présentant des risques systémiques, la réalisation d'évaluations adversariales (red teaming) et la notification à l'AI Office de tout incident sérieux. Ces exigences représentent un effort de mise en conformité substantiel que les grands fournisseurs de modèles ont dû anticiper pendant la période de grâce.

Le champ d'application du règlement dépasse largement les seuls fournisseurs de grands modèles. Toute organisation européenne — PME comprise — qui déploie un système d'IA dans l'une des catégories à haut risque définies par le règlement (recrutement, crédit, accès à l'enseignement, gestion des infrastructures critiques, maintien de l'ordre) est directement soumise aux obligations correspondantes. Les intégrateurs et distributeurs de systèmes d'IA partagent également une partie de la responsabilité de conformité, ce qui crée une chaîne d'obligations s'étendant des fournisseurs de modèles jusqu'aux déployeurs finaux. Selon les estimations publiées par plusieurs cabinets d'avocats spécialisés en droit du numérique, des dizaines de milliers d'entreprises en Europe sont potentiellement concernées par au moins une des catégories de systèmes régulés.

La mise en application progressive du règlement a déjà eu des effets tangibles avant même l'entrée en vigueur des sanctions financières. Plusieurs grands acteurs ont restructuré leurs offres commerciales pour l'Europe, introduit des documentations de conformité spécifiques, ou modifié leurs interfaces pour satisfaire aux obligations de transparence. L'AI Office a publié des lignes directrices et des codes de conduite volontaires, co-construits avec l'industrie pendant la période de transition, pour aider les entreprises à se mettre en conformité. Néanmoins, de nombreuses PME et organisations publiques restent en retard, faute de ressources juridiques et techniques adaptées à la complexité des exigences du règlement.

La question des premières décisions d'application reste entière à la mi-août 2026. Si aucune sanction formelle n'a encore été annoncée publiquement, l'AI Office a confirmé avoir ouvert plusieurs procédures d'investigation préliminaire contre des fournisseurs de modèles GPAI dont la conformité aux exigences de documentation était jugée insuffisante. Les premières décisions publiques, attendues dans les mois à venir, donneront une indication précieuse sur l'interprétation des textes et sur le niveau d'exigence réel du régulateur européen. Plusieurs observateurs s'attendent à ce que la Commission cible d'abord les acteurs les plus visibles pour établir une jurisprudence claire, avant d'élargir ses actions aux organisations de taille plus modeste.

Un moment fondateur pour la gouvernance mondiale de l'IA

L'entrée en application complète de l'EU AI Act représente bien plus qu'une évolution réglementaire locale : c'est le premier cadre juridiquement contraignant et complet dédié à la gouvernance de l'intelligence artificielle à être mis en oeuvre à l'échelle d'un grand bloc économique mondial. L'Union européenne avait déjà joué ce rôle pionnier avec le RGPD en 2018, dont l'influence s'est ensuite diffusée à travers de nombreuses législations nationales et régionales. La même dynamique dite de « Brussels Effect » pourrait s'opérer avec l'AI Act, incitant d'autres juridictions à adopter des cadres similaires pour les systèmes d'IA opérant sur leurs territoires. Des pays comme le Brésil, le Canada, le Royaume-Uni et l'Inde ont déjà engagé des travaux législatifs en partie inspirés de l'approche européenne basée sur le risque.

Aux États-Unis, le contraste avec l'approche européenne est saisissant. L'administration en place depuis 2025 a adopté une posture favorable à l'auto-régulation de l'industrie, motivée par la volonté de préserver la compétitivité américaine dans la course à l'IA. Ce choix délibéré de ne pas réguler frontalement l'IA laisse un vide que les entreprises technologiques américaines devront combler par elles-mêmes lorsqu'elles opèrent sur le marché européen. OpenAI, Google et Anthropic se retrouvent ainsi dans la situation paradoxale d'être soumis à une régulation contraignante en Europe tout en évoluant dans un environnement quasi non régulé dans leur pays d'origine. Certains analystes estiment que cette asymétrie réglementaire pourrait avantager les acteurs européens sur leur propre marché en créant des barrières à l'entrée pour les fournisseurs extra-européens moins bien préparés à la conformité.

Pour les entreprises françaises et leurs DSI, l'enjeu dépasse la simple conformité légale. L'AI Act introduit une nouvelle discipline de gestion du risque IA — inventaire des systèmes, classification par niveau de risque, documentation des données d'entraînement, analyses d'impact, audits de conformité — qui s'ajoute aux obligations existantes en matière de protection des données personnelles au titre du RGPD. Les organisations qui n'ont pas encore intégré l'AI Act dans leur programme de gouvernance risquent de se retrouver exposées à des audits et à des sanctions au moment précis où elles accélèrent leurs déploiements d'IA générative. Les RSSI et DPO ont un rôle central à jouer pour orchestrer cette mise en conformité en collaboration avec les équipes métier et les fournisseurs technologiques, en débutant par un inventaire exhaustif des systèmes d'IA en production ou en cours de déploiement.

Ce qu'il faut retenir

• Depuis le 2 août 2026, l'EU AI Act est pleinement applicable avec des amendes réelles pouvant atteindre 7 % du chiffre d'affaires mondial pour les pratiques interdites et 3 % pour les violations relatives aux modèles GPAI et aux systèmes à haut risque.
• Les obligations immédiates incluent : annoncer explicitement à l'utilisateur qu'il interagit avec une IA dans les chatbots et agents conversationnels, étiqueter les contenus synthétiques et deepfakes, documenter les données d'entraînement et les évaluations de risques pour les modèles GPAI.
• Les RSSI et DPO doivent initier un inventaire des systèmes d'IA déployés, les classifier selon la nomenclature de l'AI Act, et prioriser les mises en conformité pour les applications à haut risque (RH, crédit, santé, infrastructures critiques).