Bruxelles lance des demandes d’information : quelles obligations pour les fournisseurs de modèles ?
Depuis le 2 août 2026, la Commission européenne dispose de moyens renforcés pour contrôler l’application du règlement européen sur l’intelligence artificielle, notamment à l’égard des fournisseurs de modèles d’IA à usage général, ou modèles GPAI. Cette nouvelle phase ne se limite pas à l’édiction de règles : elle permet désormais de demander des informations, d’évaluer les modèles, d’imposer des mesures correctives et, le cas échéant, de sanctionner les manquements.
Pour les éditeurs de modèles, les demandes d’information de Bruxelles doivent donc être considérées comme un sujet de gouvernance, de conformité et d’architecture documentaire. La capacité à répondre rapidement, précisément et de manière vérifiable peut devenir aussi importante que la performance technique du modèle lui-même.
Une nouvelle phase d’exécution pour les modèles GPAI
Le 2 août 2025 avait déjà marqué l’entrée en application de plusieurs obligations relatives aux modèles d’IA à usage général. Le 2 août 2026 correspond toutefois à une étape différente : celle de l’exécution complète du cadre réglementaire. La Commission peut désormais mobiliser plus concrètement ses pouvoirs de contrôle à l’égard des fournisseurs de modèles GPAI.
Ces pouvoirs incluent notamment les demandes d’information et de documentation, les évaluations de modèles, les investigations techniques et l’adoption de mesures correctives. L’objectif est de vérifier que les modèles respectent les obligations prévues par l’AI Act, mais aussi de mieux apprécier les risques qu’ils peuvent créer dans de nombreux systèmes déployés en aval.
Cette évolution est particulièrement importante pour les acteurs qui fournissent un modèle à plusieurs intégrateurs, plateformes ou applications. Dans cette chaîne de valeur, un même modèle peut influencer des dizaines de produits différents. Le règlement attribue donc une responsabilité particulière aux fournisseurs de modèles GPAI, dont les choix techniques et documentaires ont des conséquences bien au-delà de leur propre service.
Ce que Bruxelles peut demander aux fournisseurs
L’article 91 de l’AI Act permet à la Commission de demander les informations et la documentation nécessaires et proportionnées à l’exercice de certaines de ses missions, notamment celles liées au panel scientifique. Une demande peut porter sur le fonctionnement du modèle, ses capacités, ses limites, ses méthodes d’évaluation ou les mesures mises en place pour prévenir certains risques.
Le règlement prévoit également la transmission de documents techniques et d’informations complémentaires dans le cadre des évaluations de conformité. Une réponse pertinente ne consiste donc pas à envoyer uniquement une fiche marketing ou une description générale du produit. Les autorités peuvent attendre des éléments suffisamment précis pour comprendre le cycle de développement du modèle et vérifier les contrôles effectivement appliqués.
En pratique, les fournisseurs doivent être capables de relier chaque information à une source identifiable : version du modèle, jeu de données utilisé, méthode d’entraînement, résultats de tests, incidents observés, changements de configuration ou décisions de mitigation. Cette traçabilité est essentielle pour éviter les réponses incomplètes, contradictoires ou impossibles à reproduire.
La documentation technique devient une obligation opérationnelle
L’obligation centrale pour les fournisseurs de modèles GPAI consiste à tenir à jour une documentation technique détaillée. Celle-ci doit couvrir le modèle, les données et méthodes d’entraînement, les tests réalisés ainsi que les résultats des évaluations. Elle doit pouvoir être communiquée au Bureau de l’IA et aux autorités nationales compétentes sur demande.
Cette documentation doit évoluer avec le modèle. Une simple version initiale rédigée lors de sa mise sur le marché ne suffit pas si le fournisseur procède ensuite à des ajustements, à des changements de poids, à des améliorations des capacités ou à des modifications des garde-fous. Les équipes doivent donc mettre en place un processus de versioning documentaire aligné sur le cycle de vie technique.
Pour les entreprises, le sujet relève autant de l’ingénierie que de la conformité. Un registre centralisé peut relier les versions du modèle aux expérimentations, aux jeux de données, aux résultats de benchmark, aux rapports de red teaming et aux mesures correctives. Cette approche réduit le temps de réponse en cas de demande et facilite également les audits internes, les échanges avec les clients et la gestion des incidents.
Résumé des données d’entraînement et droit d’auteur
Les fournisseurs de modèles GPAI doivent aussi publier un résumé suffisamment détaillé du contenu utilisé pour l’entraînement. Cette exigence vise à améliorer la transparence sur les grandes catégories de données mobilisées, sans imposer nécessairement la divulgation de l’intégralité des jeux de données ou de secrets industriels protégés.
Ils doivent par ailleurs mettre en place une politique destinée à respecter le droit d’auteur. Cette politique doit prendre en compte les réserves exprimées par les titulaires de droits et organiser les processus permettant d’identifier, de traiter et de documenter les usages de contenus protégés. Elle doit être cohérente avec les pratiques de collecte, de filtrage et de préparation des données.
Ces obligations nécessitent une coopération entre les équipes juridiques, data, sécurité et produit. Les décisions relatives aux sources de données, aux exclusions, aux licences et aux mécanismes de retrait doivent être documentées. Pour un fournisseur opérant à grande échelle, l’absence de gouvernance claire peut rendre très difficile la démonstration de sa conformité face à une demande de Bruxelles.
Informer les intégrateurs et les fournisseurs en aval
La conformité ne s’arrête pas à la relation entre le fournisseur et la Commission. Les fournisseurs de modèles doivent transmettre aux intégrateurs d’IA les informations nécessaires pour comprendre les capacités et les limites du modèle. Ces informations doivent permettre aux acteurs en aval de respecter leurs propres obligations sous l’AI Act.
La documentation destinée aux intégrateurs peut notamment présenter les usages prévus et déconseillés, les performances connues, les limites sur certaines langues ou certains domaines, les risques de biais, les conditions d’utilisation des API et les mécanismes de supervision disponibles. Elle doit être compréhensible et exploitable par les équipes qui construisent un système à partir du modèle.
Cette transparence contractuelle et technique devient un avantage opérationnel. Des fiches de modèle structurées, des journaux de versions, des politiques de changement et des interfaces permettant de consulter les métadonnées facilitent l’intégration. Ils réduisent également le risque qu’un client découvre trop tard une limitation susceptible d’affecter la sécurité ou la conformité de son propre système.
Le cas renforcé des modèles présentant un risque systémique
Les modèles présentant un risque systémique font l’objet d’exigences renforcées. Leur fournisseur peut être tenu de fournir des documents techniques plus complets, de participer à des évaluations approfondies et de mettre en œuvre des mesures destinées à réduire les risques identifiés. L’analyse ne porte donc plus seulement sur la conformité formelle, mais sur la robustesse réelle du modèle.
La Commission peut demander des informations sur les capacités avancées, les scénarios d’abus, les incidents, les vulnérabilités et les mesures de réduction des risques. Les tests doivent couvrir des situations réalistes, y compris les détournements, les attaques adversariales et les usages à fort impact. Les résultats négatifs ne sont pas nécessairement problématiques en eux-mêmes ; l’absence de détection, d’analyse ou de réponse l’est davantage.
Les fournisseurs concernés ont intérêt à formaliser un programme continu d’évaluation. Celui-ci peut combiner red teaming, tests de sécurité, suivi des incidents en production, analyses de dérive et revues indépendantes. Les décisions de mitigation doivent être conservées avec leur justification, leur responsable, leur date d’application et la preuve de leur efficacité.
Transparence des systèmes et préparation des réponses
À partir du 2 août 2026, l’article 50 de l’AI Act s’applique également aux obligations de transparence visant certains systèmes d’IA. Une période transitoire limitée peut concerner certains systèmes mis sur le marché avant cette date, mais elle ne doit pas être interprétée comme une dispense générale de préparation.
Les guides publiés par la Commission sur la transparence des contenus générés par IA indiquent notamment que les obligations de marquage ou de détection doivent entrer en application à cette échéance. Les fournisseurs doivent donc vérifier si leurs modèles et leurs systèmes associés permettent d’identifier ou de signaler les contenus générés ou manipulés, selon les cas prévus par le règlement.
Le Bureau de l’IA dispose d’un rôle d’enforcement plus limité mais réel pour les systèmes fondés sur des modèles GPAI. Il peut notamment intervenir lorsque le même acteur fournit le modèle et le système, ou lorsque le système est intégré dans une très grande plateforme ou un très grand moteur de recherche désigné. Les entreprises doivent donc cartographier précisément leurs rôles dans la chaîne de valeur, plutôt que de supposer que la responsabilité incombe toujours à un autre intervenant.
Pour répondre efficacement aux demandes de Bruxelles, les fournisseurs de modèles GPAI devraient commencer par établir une cartographie de leurs obligations, de leurs versions de modèles et de leurs parties prenantes. Un dossier de conformité vivant, alimenté par les équipes techniques, juridiques et produit, est préférable à une documentation assemblée dans l’urgence après réception d’une demande.
La conformité à l’AI Act devient ainsi un processus continu de preuve, de transparence et d’amélioration. Les acteurs capables de documenter leurs choix, d’informer leurs intégrateurs et de démontrer l’efficacité de leurs mesures de sécurité seront mieux préparés aux contrôles européens, tout en renforçant la confiance des entreprises qui déploient leurs modèles.
