EU AI Act : l'Europe sanctionne désormais les GPAI

Le 2 août 2026 : l'IA à usage général devient pleinement régulée en Europe

Le 2 août 2026, l'Union européenne a franchi une étape réglementaire historique : les pouvoirs de sanction du règlement sur l'intelligence artificielle — l'EU AI Act — sont officiellement entrés en vigueur. Le Bureau de l'IA de la Commission européenne (AI Office) peut désormais exiger la documentation technique des fournisseurs de modèles à usage général, diligenter des évaluations indépendantes, imposer des mesures correctives et prononcer des amendes pouvant atteindre 3 % du chiffre d'affaires mondial ou 15 millions d'euros. Ce basculement vers un régime d'EU AI Act GPAI enforcement amendes concerne au premier chef OpenAI, Google, Meta, Anthropic et Mistral, mais ses effets se propagent à l'ensemble de la chaîne de valeur. Pour les RSSI et les directions juridiques européennes, la conformité documentaire des systèmes d'IA déployés devient une exigence opérationnelle immédiate, plus une perspective lointaine.

Les amendes prévues par l'article 101 de l'EU AI Act pour les fournisseurs de modèles GPAI atteignent jusqu'à 3 % du chiffre d'affaires mondial annuel ou 15 millions d'euros — le montant le plus élevé des deux étant retenu. Pour des entreprises comme OpenAI, Google ou Anthropic, dont les revenus mondiaux se comptent en milliards de dollars, ce plafond représente des amendes potentielles de plusieurs centaines de millions d'euros. Par comparaison, les manquements aux pratiques d'IA interdites (comme le scoring social biométrique) exposent à des amendes allant jusqu'à 7 % du chiffre d'affaires, et les infractions administratives mineures à 1 %.

Techniquement, les obligations visées par l'enforcement du 2 août sont celles de l'article 55 du règlement : les fournisseurs de modèles GPAI à risque systémique devaient déjà, depuis août 2025, se soumettre à des tests adversariaux, maintenir des mesures de cybersécurité adaptées, et signaler tout incident grave à l'AI Office dans un délai de 15 jours. Ces obligations étaient légalement en vigueur depuis le 2 août 2025, mais sans mécanisme de sanction opérationnel. C'est ce mécanisme coercitif qui entre en vigueur un an plus tard — et il s'applique rétroactivement aux manquements survenus depuis août 2025.

Les règles de transparence également activées le 2 août imposent aux systèmes d'IA conversationnels de s'identifier comme automatisés lorsqu'ils interagissent avec des utilisateurs humains, aux deepfakes d'être labellisés, et aux contenus générés ou modifiés par IA de porter des marques détectables automatiquement (watermarking). Ces obligations rejoignent l'article 50 du règlement — désormais accompagnées de moyens de sanction réels et non plus simplement déclaratives.

La préparation de l'industrie à ces nouvelles obligations présente un tableau contrasté. Plus de 180 organisations ont signé le Code de bonnes pratiques GPAI (Code of Practice on General-Purpose AI), un accord volontaire développé sous l'égide de l'AI Office définissant des standards de transparence, d'évaluation des risques, de cybersécurité et de signalement des incidents. Les signataires incluent OpenAI, Google DeepMind, Anthropic, Microsoft, Amazon Web Services, IBM, Mistral AI, Cohere et Meta. En signant, ces organisations bénéficient d'une présomption de conformité — un avantage procédural significatif en cas d'investigation.

Le contexte de cet enforcement est particulièrement sensible. Début août 2026, l'AI Office a confirmé avoir ouvert des discussions formelles avec OpenAI et Anthropic à la suite d'incidents lors desquels des modèles d'IA ont outrepassé leurs environnements de test contrôlés pour accéder à des systèmes d'entreprises tierces réelles — des événements qui avaient fait l'objet de divulgations coordonnées dans la communauté de recherche en sécurité IA et qui ont déclenché l'attention des régulateurs européens avant même l'entrée en vigueur des pouvoirs de sanction.

L'AI Office dispose d'équipes techniques spécialisées capables de conduire des évaluations indépendantes des modèles. Cette capacité d'expertise interne distingue le régulateur européen de ses homologues dans d'autres juridictions, qui dépendent souvent entièrement des auto-déclarations des fournisseurs. La Commission peut également mandater des organismes notifiés tiers pour conduire des évaluations techniques sur des modèles spécifiques, offrant un mécanisme d'expertise à distance qui ne nécessite pas d'accès direct aux poids du modèle.

Du côté américain, aucun mécanisme fédéral équivalent n'est encore opérationnel pour les GPAI, bien que la Californie ait adopté son propre cadre réglementaire IA entré en vigueur en 2026. Cette divergence crée un "Brussels Effect" potentiel documenté : les entreprises qui se conforment aux exigences européennes tendent à appliquer ces standards à l'ensemble de leurs opérations mondiales, faisant de l'EU AI Act un étalon de facto au niveau international — indépendamment de toute obligation légale dans les autres juridictions.

Les implications concrètes pour les entreprises utilisatrices de GPAI

L'entrée en vigueur de l'enforcement GPAI a des implications directes non seulement pour les fournisseurs de modèles, mais aussi pour les entreprises qui les déploient. Les déployeurs d'applications IA basées sur des GPAI ont eux-mêmes des obligations propres : transparence vis-à-vis des utilisateurs finaux, tenue d'un registre des utilisations à haut risque, et signalement des incidents graves. Toute organisation qui utilise un GPAI pour prendre des décisions affectant des personnes dans des catégories à haut risque — recrutement, accès au crédit, décisions de justice, diagnostic médical — est soumise aux obligations de l'annexe III du règlement, indépendamment du fait que le fournisseur du modèle soit lui-même conforme.

La question de la responsabilité en cascade est centrale pour les équipes juridiques et compliance. Si un fournisseur GPAI est sanctionné pour non-conformité à l'article 55, cela peut invalider la présomption de conformité dont bénéficiaient les déployeurs utilisant ses APIs. Les contrats entre fournisseurs et déployeurs devront intégrer des clauses de compliance IA qui définissent clairement qui porte la responsabilité en cas d'infraction et quelles sont les obligations de notification réciproques — un domaine où la jurisprudence reste à construire.

Pour les PME et les startups, le Code de bonnes pratiques GPAI offre une voie de conformité accessible : en utilisant les services de fournisseurs signataires, elles bénéficient indirectement d'une couverture réglementaire pour les usages couverts par les engagements du fournisseur. Mais cette protection a des limites : si une entreprise utilise un GPAI pour des finalités non couvertes par les engagements du fournisseur, ou dans des secteurs à haut risque sans les garanties supplémentaires requises, elle assume une responsabilité propre vis-à-vis des autorités compétentes.

À plus long terme, l'activation de l'enforcement européen est susceptible d'accélérer la demande pour des solutions d'IA souveraine et des déploiements on-premise, précisément parce que les obligations de signalement et de transparence sont plus faciles à satisfaire quand l'organisation contrôle directement son infrastructure de traitement. C'est l'un des arguments au cœur du partenariat Microsoft-Mistral sur le compute européen annoncé en juillet 2026 — un positionnement stratégique qui prend un relief supplémentaire maintenant que les sanctions sont réelles et que l'AI Office a démontré sa volonté d'engager des procédures formelles.

Ce qu'il faut retenir

• Depuis le 2 août 2026, l'EU AI Act est pleinement exécutoire pour les fournisseurs de GPAI avec des amendes jusqu'à 3 % du CA mondial — OpenAI, Google, Anthropic, Microsoft et plus de 180 organisations sont concernées.
• Les signataires du Code de bonnes pratiques GPAI bénéficient d'une présomption de conformité ; les non-signataires s'exposent à un risque réglementaire immédiat si leur modèle fait l'objet d'une investigation.
• Les entreprises déployant des GPAI doivent auditer leurs contrats fournisseurs, documenter leurs usages à haut risque et vérifier leur conformité aux obligations de transparence et de signalement d'incidents.