Application du chapitre V de la loi européenne sur l'IA

Cette page a pour objectif de donner un aperçu des dispositions de la loi européenne sur l'IA relatives au chapitre V, à savoir celles qui imposent des obligations aux fournisseurs de modèles d'IA à usage général (GPAI). Elle vise également à examiner le rôle que d'autres acteurs peuvent jouer dans la mise en œuvre de cette loi.

À venir dans ce billet :

• Résumé
• Introduction
• Obligations de fond des prestataires du modèle GPAI
• Obligations procédurales des prestataires du modèle GPAI
• Dans quels cas les fournisseurs de modèles GPAI relèvent-ils du champ d'application de la loi ? 
• Pouvoirs de contrôle et d'exécution de la Commission
• Mesures d'application

Introduction

Le 2 août 2026, les pouvoirs de contrôle de la Commission à l'égard des fournisseurs de modèles GPAI entreront en vigueur. Bien que les obligations des fournisseurs de modèles GPAI, prévues au chapitre V de la loi sur l'IA, soient entrées en vigueur le 2 août 2025, ces fournisseurs bénéficient d'une période d'adaptation d'un an avant que la Commission ne puisse commencer à exercer ses pouvoirs de contrôle et de sanction à leur égard. Les fournisseurs de modèles GPAI commercialisés avant le 2 août 2025 doivent se mettre en conformité avant le 2 août 2027. 

Cliquez ici pour consulter le calendrier complet de mise en œuvre de la loi européenne sur l'IA

La Commission dispose de pouvoirs exclusifs en matière de contrôle et d'exécution des obligations prévues au chapitre V de la loi sur l'IA, conformément à l'article 88 de ladite loi. Ces pouvoirs sont complétés par l'article 89, paragraphe 1, de la loi, en vertu duquel l'Office de l'IA est également chargé de veiller au respect de la loi par les fournisseurs de modèles d'IA générique et, le cas échéant, à leur adhésion aux codes de bonnes pratiques approuvés. 

Obligations de fond des prestataires du modèle GPAI

Les obligations de fond dont la Commission sera chargée de veiller au respect figurent principalement aux articles 53 et 55 de la loi, à savoir l'obligation de rédiger et de tenir à jour la documentation technique relative au modèle, de rédiger, de tenir à jour et de fournir des informations et de la documentation aux fournisseurs en aval de systèmes d'IA, d'adopter une politique visant à se conformer à la législation de l'UE en matière de droit d'auteur, ainsi que de rédiger et de publier un résumé du contenu utilisé pour l'entraînement du modèle. 

Les fournisseurs de modèles d'IA générale (GPAI) mis à disposition sous une licence libre et open source sont uniquement tenus de se conformer à la politique en matière de droits d'auteur et aux obligations relatives au résumé du contenu de la formation, sauf si le modèle GPAI présente un risque systémique (GPAISR). En outre, les fournisseurs de modèles GPAISR doivent également procéder à des évaluations des modèles, mener des analyses et des mesures d'atténuation des risques, consigner et signaler les incidents graves, et garantir un niveau suffisant de cybersécurité du modèle.

Obligations procédurales des prestataires du modèle GPAI

De manière peut-être moins évidente, la loi sur l'IA impose également aux fournisseurs de modèles GPAI plusieurs obligations que l'on peut qualifier de nature procédurale. Les fournisseurs de modèles GPAI sont soumis à une obligation générale de coopérer avec la Commission et les autorités nationales dans l'exercice des pouvoirs qui leur sont conférés par la loi sur l'IA (article 53, paragraphe 3). Plus précisément, les fournisseurs de modèles GPAI sont tenus de répondre aux demandes de documents et d’informations de la Commission et d’éviter de fournir des «informations incorrectes, incomplètes ou trompeuses» (article 91, paragraphes 4 et 5). Les fournisseurs de modèles GPAI sont également tenus de donner accès au modèle GPAI lorsque la Commission le leur demande (article 92, paragraphes 4 et 5).

Certaines de ces obligations, plutôt de nature procédurale, ne concernent que certains types de fournisseurs de modèles GPAI. Par exemple, les fournisseurs établis dans des pays tiers sont tenus de désigner un mandataire dans l'Union avant de mettre leur modèle GPAI sur le marché de l'UE, à moins que ce modèle ne soit publié sous une licence libre et open source (article 54). Le mandat écrit confié par le fournisseur au mandataire doit satisfaire à une série d'exigences énumérées à l'article 54, paragraphe 3. 

De même, les fournisseurs de modèles d’IA générale (GPAI) dotés de capacités à fort impact (qu’un modèle GPAI est présumé posséder si la puissance de calcul cumulative utilisée pour son apprentissage dépasse 10²⁵ FLOP) sont tenus d’en informer la Commission « sans délai et, en tout état de cause, dans un délai de deux semaines à compter du moment où cette condition est remplie ou dès lors qu’il apparaît qu’elle le sera », en joignant les informations nécessaires (articles 51, paragraphe 2, et 52(1)).

Dans quels cas les fournisseurs de modèles GPAI relèvent-ils du champ d'application de la loi ? 

Pour qu'un fournisseur de modèles d'IA générale soit soumis aux obligations énumérées ci-dessus et que celles-ci puissent lui être opposées, il doit relever du champ d'application de la loi sur l'IA. 

Il est important de noter que les fournisseurs de modèles GPAI ne relèvent du champ d'application de la loi que lorsqu'ils mettent leur modèle GPAI sur le marché de l'Union, quel que soit leur lieu d'établissement (article 2, paragraphe 1, point a)). Cela inclut à la fois la mise sur le marché de l'Union d'un modèle GPAI autonome et une situation dans laquelle le fournisseur intègre son modèle GPAI dans son propre système d'IA et met ce système d'IA sur le marché de l'Union ou le met en service dans l'Union, conformément au considérant 97. 

La même logique pourrait également s'appliquer aux fournisseurs de modèles d'IA générique qui ne commercialisent leur modèle que dans des pays tiers, où il est intégré dans un système d'IA par un fournisseur en aval, ce système d'IA étant ensuite mis sur le marché de l'UE. Cette approche est particulièrement convaincante à la lumière du considérant 97, qui précise que le chapitre V «devrait s'appliquer également lorsque ces modèles sont intégrés ou font partie d'un système d'IA». Bien que cette interprétation soit étayée par le considérant 97, elle reste à confirmer dans la pratique.

Pouvoirs de contrôle et d'exécution de la Commission

Pouvoirs de contrôle et de sanction sans amende

En ce qui concerne les pouvoirs de contrôle et d'exécution de la Commission, les pouvoirs dont dispose celle-ci à l'égard des prestataires de modèles GPAI comprennent le pouvoir de demander des documents et des informations (article 91), le pouvoir de procéder à des évaluations (article 92) et le pouvoir de demander des mesures (article 93). 

En vertu de l'article 91, la Commission peut demander les documents établis conformément aux articles 53 et 55, ou toute autre information nécessaire. De même, elle peut demander des informations au nom du groupe scientifique, lorsque cela est nécessaire et proportionné.

En vertu de l'article 92, la Commission peut procéder à des évaluations des modèles GPAI soit afin de vérifier la conformité (tant des modèles GPAI que des fournisseurs de modèles GPAISR) avec la loi, lorsque les informations fournies par ces derniers s'avèrent insuffisantes, soit afin d'examiner les risques systémiques posés par les modèles GPAISR. Des experts indépendants, y compris ceux issus du comité scientifique, peuvent réaliser ces évaluations pour le compte de la Commission, si celle-ci en décide ainsi.

Enfin, en vertu de l’article 93, la Commission peut demander aux prestataires de « prendre les mesures appropriées pour se conformer » à leurs obligations. Cet article confère également à la Commission le pouvoir de demander aux prestataires de mettre en place des mesures d’atténuation lorsque, à la suite d’une évaluation, il existe une « crainte sérieuse et fondée d’un risque systémique au niveau de l’Union ». Enfin, la Commission peut demander aux prestataires de « restreindre la mise à disposition sur le marché, de retirer ou de rappeler le modèle ».

Pouvoirs de sanction

Si les articles91 à 93 de la loi confèrent à la Commission des pouvoirs de contrôle et d'application de la loi sans pouvoir infliger d'amendes, l'article 101 prévoit quant à lui que la Commission est habilitée à infliger des amendes.

À qui s'adressent ces amendes ?

L'article 101 habilite la Commission à infliger des amendes aux fournisseurs de modèles d'IA générique. Contrairement à l'article 99, qui prévoit que les autorités nationales de surveillance peuvent infliger des amendes aux exploitants de systèmes d'IA, l'article 101 ne mentionne pas expressément la possibilité d'infliger une amende au représentant autorisé du fournisseur. Au contraire, le libellé de l'article 101, paragraphe 1, suggère que la Commission ne peut infliger des amendes qu'aux fournisseurs de modèles d'IA générique.

On pourrait toutefois faire valoir que l'article 101 devrait être interprété à la lumière de l'article 54, paragraphe 4, qui dispose que le mandat du représentant autorisé doit lui permettre «d'être contacté, en plus ou à la place du fournisseur, par le Bureau de l'IA ou les autorités compétentes, pour toutes les questions liées au respect du présent règlement». Étant donné que l'imposition d'une amende pourrait être considérée comme visant à garantir le respect de la loi, l'imposition d'amendes ne serait pas, selon ce point de vue, limitée aux prestataires du modèle GPAI.

À quelle hauteur ?

Le montant maximal des amendes pouvant être infligées aux fournisseurs de modèles GPAI est fixé à « 3 % de leur chiffre d'affaires annuel total réalisé à l'échelle mondiale au cours de l'exercice précédent ou 15 000 000 d'euros, le montant le plus élevé étant retenu ».

Sur la base de quelles infractions ? 

Il existe quatre fondements juridiques pour l'imposition d'une amende en vertu de l'article 101, paragraphe 1 : 

1. en violation des dispositions pertinentes de la loi sur l'intelligence artificielle ; 
2. ne pas donner suite à une demande de documents ou d'informations ou fournir des informations incomplètes en vertu de l'article 91; 
3. le non-respect d'une mesure demandée en vertu de l'article 93; et 
4. en ne permettant pas à la Commission d'accéder au modèle GPAI ou GPAISR afin de procéder à une évaluation en vertu de l'article 92. 

Deux de ces motifs correspondent clairement aux deux obligations de nature procédurale imposées aux fournisseurs de modèles GPAI en vertu des articles 91 et 92 et mentionnées plus haut dans le présent texte. Bien que le respect d’une demande de mesure ne constitue pas une obligation expressément prévue à l’article 93, contrairement aux obligations susmentionnées prévues aux articles 91 et 92, il peut néanmoins s’inscrire dans le cadre de l’obligation plus générale de coopérer avec la Commission, prévue à l’article 53, paragraphe 3.

Cependant, cette obligation générale de coopération ne se limite probablement pas à celle de se conformer à la demande de mesures formulée par la Commission. En outre, certains fournisseurs de modèles GPAI sont soumis à d’autres obligations de nature procédurale, sans rapport avec la coopération, telles que la désignation d’un représentant autorisé ou la notification à la Commission des capacités à fort impact de leur modèle GPAI, comme décrit plus en détail précédemment dans le présent texte. Pour ces raisons, il est fort probable que le premier fondement juridique justifiant l’imposition d’une amende, à savoir le cas où le fournisseur de modèles GPAI enfreint « les dispositions pertinentes » de la loi, ne se limite pas aux obligations de fond prévues aux articles 53 et 55. Au contraire, il s’étend probablement aussi, le cas échéant, aux obligations de nature procédurale mentionnées aux articles 52, 53, paragraphe 3, et 54.

Mesures d'application

Si la Commission est seule chargée de la surveillance et de l'application des obligations prévues par le modèle GPAI en vertu du chapitre V de la loi sur l'IA, plusieurs autres acteurs peuvent également contribuer à cette application.

Sous l'égide de la Commission, le Bureau de l'IA est chargé de veiller au respect de la loi par les fournisseurs de modèles d'IA à usage général, conformément à l'article 89, paragraphe 1. Cela inclut le contrôle du respect, par les fournisseurs, des codes de bonnes pratiques approuvés, qui constituent un outil volontaire leur permettant de démontrer leur conformité à la loi. Bien que les codes de bonnes pratiques ne confèrent pas une présomption de conformité, la Commission a indiqué, dans ses lignes directrices à l’intention des fournisseurs de modèles d’IA à usage général, que « [p]our les fournisseurs de modèles d’IA à usage général qui adhèrent à un code de bonnes pratiques jugé adéquat, la Commission concentrera ses activités de contrôle sur la vérification de leur respect du code de bonnes pratiques ». Ces fournisseurs « bénéficieront également d’une confiance accrue de la part de la Commission et des autres parties prenantes ». 

Compte tenu de la portée limitée, reconnue par la Commission, de la surveillance exercée sur les prestataires ayant adhéré au code de conduite GPAI et de la confiance accrue qui leur est accordée, à compter du 2 août 2025, le rôle d’autres acteurs dans l’application de la loi sur l’IA pourrait s’avérer important. Parmi les acteurs susceptibles de signaler les cas de non-conformité et de contribuer ainsi à l’application de la loi figurent les autorités nationales de surveillance, les prestataires en aval et le comité scientifique.

Autorités de surveillance des marchés

En ce qui concerne les autorités de surveillance des systèmes d'IA (MSA), lorsqu'une MSA n'est pas en mesure de mener à bien l'enquête sur un système d'IA à haut risque fondé sur un modèle d'IA générique (GPAI) en raison d'un manque d'informations relatives au modèle GPAI sous-jacent, le Bureau de l'IA doit fournir ces informations à la MSA (article 75, paragraphe 3). En outre, et ce qui est encore plus important, les MSA peuvent demander à la Commission d'exercer les pouvoirs qui lui sont conférés par les articles91 à 93 de la loi «lorsque cela est nécessaire et proportionné pour les aider à s'acquitter de leurs tâches» en vertu de la loi (article 88, paragraphe 2). 

Par conséquent, les autorités de surveillance des marchés (MSA) peuvent jouer un rôle déterminant pour recueillir des informations, attirer l'attention et demander que des mesures soient prises en cas de non-conformité des fournisseurs de modèles d'IA générique (GPAI) sous-jacents aux systèmes d'IA relevant de leur compétence réglementaire. Ce mécanisme pourrait s'avérer particulièrement important lorsqu'il est associé au droit pour toute personne physique ou morale de déposer une plainte auprès de l'autorité de surveillance des marchés compétente, dès lors qu'elle a des raisons de soupçonner une infraction à la loi (article 85). La disposition ajoute que «ces plaintes sont prises en compte aux fins de la conduite des activités de surveillance du marché».

Il est important de noter que l’article 85 ne précise pas que les infractions faisant l’objet de la plainte doivent concerner des infractions au niveau du système d’IA. Si la référence à l’« autorité de surveillance du marché compétente » peut laisser entendre que la plainte devrait se limiter aux systèmes d’IA relevant de la compétence de cette autorité, elle pourrait également être interprétée comme désignant l’autorité de surveillance du marché de l’État membre dans lequel est établie la personne physique ou morale ayant déposé la plainte. Cette dernière interprétation permettrait à une personne physique ou morale de déposer une plainte concernant des infractions présumées à la loi sur l'IA commises par des modèles d'IA générique.

Bien que cette interprétation doive encore être confirmée dans la pratique, l'obligation faite aux autorités de surveillance des marchés (MSA) de prendre en compte la plainte dans le cadre de l'exercice de leurs activités — ce qui inclut leur pouvoir de demander à la Commission d'exercer ses compétences de surveillance et d'exécution en vertu des articles91 à 93 — pourrait faire de cette combinaison un outil puissant permettant aux particuliers de garantir l'application de la loi sur l'IA à l'encontre des fournisseurs de modèles d'IA généraux (GPAI).

fournisseurs en aval

Il convient de noter que les prestataires en aval ont également le droit de déposer une plainte concernant une violation présumée de la loi (article 89, paragraphe 2). Un prestataire en aval est « un prestataire d'un système d'IA, y compris un système d'IA à usage général, qui intègre un modèle d'IA » (article 3, paragraphe 68). 

Les fournisseurs en aval disposent de la documentation technique établie par le fournisseur de modèles d'IA générale conformément à l'article 53, paragraphe 1, point b), et connaissent mieux le fonctionnement du modèle sous-jacent qu'un particulier lambda. Pour ces raisons, les fournisseurs en aval sont particulièrement bien placés pour contribuer à l'application de la loi sur l'IA à l'encontre des fournisseurs de modèles d'IA générale s'ils décident de déposer une plainte à la suite de laquelle l'Office de l'IA décide d'exercer ses pouvoirs d'exécution.

Le comité scientifique

Enfin, le groupe scientifique joue un rôle important pour garantir la bonne application de la loi. Il peut émettre une alerte motivée à l'intention du Bureau de l'IA en cas de suspicion qu'un modèle d'IA générale présente un risque concret et identifiable au niveau de l'UE ou lorsqu'un modèle d'IA générale constitue un modèle d'IA générale présentant un risque (article 90). Conformément à l'article 18, paragraphe 1, de l'acte d'exécution de la Commission relatif au comité scientifique, l'émission d'une alerte qualifiée requiert au moins la majorité simple des membres du comité scientifique. 

Sur la base de cette alerte, la Commission peut exercer les pouvoirs qui lui sont conférés par les articles91 à 93 de la loi sur l'IA. Bien que cela ne soit pas mentionné explicitement, la Commission peut également exercer, dans de tels cas, son pouvoir d'infliger des amendes en vertu de l'article 101 de la loi sur l'IA, cet article lui conférant un pouvoir autonome de sanctionner par une amende toute violation des obligations prévues dans le modèle GPAI. Cela inclut raisonnablement les violations qui sont portées à la connaissance de la Commission par le comité scientifique.

Après avoir reçu l'alerte qualifiée, l'Office de l'IA doit décider, dans un délai de deux semaines, s'il entend exercer les pouvoirs qui lui sont conférés par les articles91 à 93 de la loi sur l'IA, conformément à l'article 19, paragraphe 2, du décret d'application. Cette disposition prévoyant une procédure rapide rend le mécanisme des alertes qualifiées particulièrement utile dans le cadre du dispositif d'application de la loi sur l'IA.