Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le 1er septembre 2026, la Commission européenne a confirmé avoir envoyé des demandes d’information à plus de trente entreprises fournissant des modèles d’intelligence artificielle à usage général. Ce sont les premières demandes formelles adressées par la Commission au titre du règlement européen sur l’intelligence artificielle depuis que ses pouvoirs d’exécution sur ces modèles sont devenus exerçables, le 2 août 2026. La Commission présente ces envois comme une étape préliminaire, avant d’éventuelles procédures formelles. Ils dessinent néanmoins, pour la première fois, ce que « superviser un fournisseur de modèle » veut concrètement dire en Europe — et ce que les entreprises qui achètent ces modèles devraient en attendre.
Selon le porte-parole de la Commission Thomas Regnier, cité par l’Agence France-Presse, les questionnaires portent « essentiellement sur la sécurité et le respect du droit d’auteur ». Henna Virkkunen, vice-présidente exécutive chargée de la souveraineté technologique, de la sécurité et de la démocratie, a résumé l’objectif : garantir que « l’IA en Europe soit développée, mise sur le marché et utilisée de manière sûre et transparente ».
Le périmètre exact reste partiellement ouvert. La Commission n’a pas publié la liste des destinataires. La presse spécialisée cite OpenAI, Anthropic et Google parmi les entreprises interrogées, sans confirmation officielle. Les thèmes détaillés rapportés par ces mêmes reprises — défenses contre les attaques visant les modèles, évaluations conduites par des tiers indépendants, surveillance après mise sur le marché, résumé public des contenus d’entraînement — recoupent les obligations documentaires du règlement, mais n’ont pas été confirmés par la Commission, qui s’en tient à la formule « sécurité et droit d’auteur ».
L’AFP situe la démarche dans un contexte précis. Le 30 juillet 2026, Anthropic a publié une note détaillant trois incidents réels survenus lors de ses évaluations de cybersécurité : des modèles ont accédé à des systèmes de production de trois organisations en se croyant en environnement simulé, les plus anciens de ces incidents remontant à avril 2026. OpenAI a de son côté reconnu qu’un de ses modèles avancés avait pénétré une plateforme destinée aux développeurs lors de tests de sécurité. Aucun lien de causalité n’est établi par la Commission, mais ces divulgations éclairent l’insistance sur la sécurité des modèles plutôt que sur les seuls sujets de propriété intellectuelle.
La demande d’information n’est pas un courrier informel. Elle repose sur l’article 91 du règlement (UE) 2024/1689, intitulé « Pouvoir de demander de la documentation et des informations ». Cet article permet à la Commission de réclamer à un fournisseur de modèle à usage général la documentation prévue aux articles 53 et 55, ainsi que toute information complémentaire nécessaire pour apprécier sa conformité.
Deux éléments de cet article méritent l’attention d’un dirigeant.
D’abord, la procédure est encadrée. Le paragraphe 4 impose que la demande mentionne sa base juridique et son objet, précise les informations requises, fixe un délai de réponse et indique les amendes prévues à l’article 101. Un fournisseur qui reçoit une telle demande sait donc exactement ce qu’il risque et sous quel délai.
Ensuite, l’article 91 n’est pas isolé. Il ouvre la voie à l’article 92, qui autorise le Bureau européen de l’IA à conduire des évaluations du modèle lui-même, en s’appuyant au besoin sur des experts indépendants et en demandant un accès par interface de programmation ou, le cas échéant, au code source. Le paragraphe 7 de ce même article 92 prévoit que le Bureau de l’IA peut engager un dialogue structuré avec le fournisseur avant de demander cet accès. Autrement dit, la demande d’information est le premier cran d’une échelle graduée qui va jusqu’à l’examen technique du modèle.
L’article 101 fixe le plafond applicable aux fournisseurs de modèles à usage général : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Point important : ce plafond ne sanctionne pas seulement le manquement de fond. Il vise expressément le fournisseur qui ne s’est pas conformé à une demande de document ou d’information au titre de l’article 91, ou qui a fourni des informations inexactes, incomplètes ou trompeuses.
Répondre mal est donc une infraction en soi, indépendamment de la conformité du modèle. La page de la Commission consacrée au cadre d’exécution, mise à jour le 24 août 2026, rappelle par ailleurs l’échelle générale des sanctions : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements, 7,5 millions ou 1 % pour les informations inexactes fournies au sujet d’un système d’IA.
C’est le point le plus souvent mal compris depuis l’été. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026, modifie le règlement (UE) 2024/1689 au titre de la simplification. Il a décalé l’application des obligations pesant sur les systèmes d’IA à haut risque de l’annexe III — biométrie, infrastructures critiques, éducation, emploi, accès aux services essentiels, migration et asile — au 2 décembre 2027. Pour les systèmes d’IA intégrés à des produits déjà régis par une législation d’harmonisation, l’échéance est portée au 2 août 2028. La Commission a justifié ce report par l’indisponibilité des normes harmonisées.
Ce report ne concerne pas la supervision des modèles à usage général. Les obligations de leurs fournisseurs s’appliquent depuis le 2 août 2025 ; ce qui a changé le 2 août 2026, c’est que la Commission a acquis les moyens de les faire respecter. Les demandes d’information du 1er septembre sont l’usage inaugural de ces moyens.
Les obligations de transparence de l’article 50 ne sont pas davantage reportées : depuis le 2 août 2026, un agent conversationnel doit indiquer qu’il est une machine, un contenu synthétique doit être identifiable, un système de reconnaissance des émotions doit informer les personnes exposées.
L’article 4, relatif à la littératie en IA, appelle en revanche une lecture attentive. Il est applicable depuis le 2 février 2025 et n’a pas été reporté — mais il a été réécrit par l’omnibus, avec effet au 27 juillet 2026. Dans sa rédaction en vigueur, les fournisseurs et les déployeurs doivent « prendre des mesures pour soutenir le développement » de la littératie en IA de leur personnel, en tenant compte des connaissances techniques, de l’expérience et du contexte d’usage ; le texte précise désormais explicitement que cette obligation « n’impose pas aux fournisseurs ou aux déployeurs de garantir un niveau spécifique de littératie en IA d’une personne ». L’obligation de moyens demeure, l’obligation de résultat a été écartée.
Une entreprise française qui utilise un assistant conversationnel, un copilote de développement ou un moteur de génération de documents n’est pas fournisseur de modèle. Elle est déployeur. Elle n’est donc pas destinataire de ces demandes. Trois conséquences n’en découlent pas moins.
La documentation devient exigible en aval. L’article 53 oblige le fournisseur de modèle à mettre à disposition des fournisseurs en aval une documentation technique, à se doter d’une politique de conformité au droit d’auteur et à publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement. Une entreprise qui intègre un modèle dans son propre produit est fondée à réclamer ces pièces. Le fait que la Commission les demande elle-même en renforce l’exigibilité contractuelle.
Le droit d’auteur devient un risque de chaîne. Que la Commission interroge les fournisseurs sur ce point signale que la question n’est pas close. Une entreprise qui diffuse commercialement des contenus produits par un modèle a intérêt à savoir ce que son fournisseur déclare sur ses données d’entraînement, et à documenter cette diligence.
Le statut de déployeur n’est pas acquis définitivement. L’article 25 énumère trois hypothèses dans lesquelles un distributeur, un importateur ou un tiers assume les obligations d’un fournisseur : lorsqu’il appose son nom ou sa marque sur un système à haut risque déjà mis sur le marché, sauf clause contractuelle répartissant autrement les obligations ; lorsqu’il apporte une modification substantielle à un tel système qui demeure à haut risque ; et lorsqu’il modifie la destination d’un système d’IA non classé à haut risque — y compris un système à usage général — de telle sorte que ce système devienne à haut risque au sens de l’article 6. Une entreprise qui « habille » un modèle tiers sous sa propre marque et le propose à ses clients doit vérifier de quel côté de la ligne elle se trouve.
Recenser les modèles à usage général réellement utilisés. Pas les outils : les modèles sous-jacents. Un même fournisseur de logiciel métier peut appeler successivement plusieurs modèles de fournisseurs différents. La cartographie utile est celle des modèles, pas celle des licences.
Réclamer la documentation de l’article 53 à chaque fournisseur. Documentation technique, politique de conformité au droit d’auteur, résumé public des contenus d’entraînement. Si le fournisseur ne la produit pas, c’est une information en soi, à consigner.
Insérer une clause d’information dans les contrats en cours de renouvellement. Le fournisseur s’engage à signaler toute demande d’information de la Commission ou d’une autorité nationale le concernant, ainsi que toute évaluation conduite au titre de l’article 92. Cette clause coûte peu à négocier aujourd’hui et évite de découvrir une procédure par la presse.
Ne pas relâcher l’effort sur les usages ressources humaines. Le report au 2 décembre 2027 porte sur les obligations « haut risque » de l’AI Act. Il ne touche ni l’article 22 du RGPD sur les décisions automatisées, ni l’obligation de consulter le comité social et économique avant le déploiement d’une nouvelle technologie affectant l’emploi. Un tri automatisé de candidatures reste encadré aujourd’hui, quelle que soit la date d’application de l’annexe III.
Reprendre le plan de formation à la lumière de l’article 4 réécrit. L’assouplissement de juillet 2026 supprime l’obligation de garantir un niveau ; il maintient l’obligation de prendre des mesures. Un dispositif de montée en compétence différencié par fonction — juriste, recruteur, développeur, dirigeant — et dont la trace est conservée reste la façon la plus simple de démontrer que ces mesures existent.
L'ICO a obtenu des engagements de dix développeurs de modèles et ouvre une consultation sur l'IA agentique jusqu'au 20 novembre 2026.
Marquage des contenus IA et deux nouvelles interdictions deviennent applicables le 2 décembre 2026. Ce que les entreprises doivent vérifier.
Dix-huit mois de référés ont fixé les règles du déploiement d'une IA en entreprise. Panorama des décisions et des obligations du CSE.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.