Début septembre 2026, environ un mois après l'entrée en application des obligations pour les modèles d'IA à usage général (GPAI), le Bureau de l'intelligence artificielle de l'Union européenne a envoyé ses premières demandes formelles d'information à plus de 30 fournisseurs d'IA. Parmi les destinataires figureraient notamment OpenAI, Anthropic et Google, selon plusieurs sources concordantes ayant eu accès à l'information.
Ce passage du cadre théorique à l'enquête concrète marque une étape réelle dans la mise en œuvre de l'AI Act. Il ne s'agit pas d'une sanction directe, mais d'une procédure formelle (Request for Information, ou RFI) qui ouvre un droit d'inspection sur les pratiques de sécurité et de gouvernance des fournisseurs de modèles les plus puissants disponibles sur le marché européen.
Cet article détaille le contenu de ces demandes, leurs fondements légaux, les sanctions encourues en cas de réponse insuffisante, et ce que tout cela signifie concrètement pour les entreprises françaises qui utilisent quotidiennement des outils propulsés par ces modèles.
Le 2 août 2026, point de bascule réglementaire
Le 2 août 2026 marque la date à laquelle les obligations imposées aux fournisseurs de modèles d'IA à usage général (GPAI) sont devenues pleinement applicables et exécutoires. C'est aussi ce jour-là que le Bureau IA, organe chargé de la supervision et de l'application de l'AI Act au niveau européen, a officiellement pris ses pouvoirs d'investigation.
Avant cette date, les entreprises opéraient dans une période de transition. Depuis le 2 août, un cadre contraignant s'applique aux fournisseurs de modèles GPAI : obligation de publier une documentation technique, d'établir une politique de respect des droits d'auteur, de déployer des mécanismes de signalement des incidents, et de procéder à des évaluations de sécurité pour les modèles présentant des capacités avancées ou systémiques.
Les premières semaines ont servi à la Commission à structurer ses outils d'investigation — notamment un système de dépôt de plaintes ouvert au public. Début septembre, la première vague d'enquêtes formelles a été déclenchée, confirmant que le Bureau IA entend exercer ses nouvelles prérogatives sans délai.
Il faut rappeler que ce régime concerne exclusivement les fournisseurs de modèles GPAI — c'est-à-dire les entreprises qui entraînent et mettent à disposition ces modèles. Les entreprises qui utilisent ces modèles (intégrateurs, PME, DSI) ne sont pas directement visées par ces RFI, même si elles restent soumises à d'autres obligations en tant que déployeurs ou opérateurs d'IA.
Deux axes d'enquête : sécurité et droits d'auteur
Les demandes d'information envoyées début septembre couvrent deux volets distincts, chacun renvoyant à des obligations spécifiques de l'AI Act.
Volet 1 — Sécurité des modèles et évaluation indépendante
Les fournisseurs doivent démontrer comment ils protègent leurs modèles contre les attaques adversariales (jailbreaks, injections de prompt malveillantes, détournements de comportement). Le Bureau IA demande notamment :
- La documentation des méthodes de défense déployées contre les attaques sur les modèles ;
- La preuve que des évaluations indépendantes (red-teaming externe, audits de tiers) ont bien été conduites ;
- Les protocoles de surveillance post-déploiement : comment les incidents sont détectés, remontés et traités après la mise en production ;
- Les résultats des évaluations internes de risque systémique, obligatoires pour les modèles dont la puissance d'entraînement dépasse un seuil défini par le règlement.
Volet 2 — Droits d'auteur et transparence sur les données d'entraînement
Le second volet porte sur la légitimité des données utilisées pour entraîner les modèles. Les fournisseurs doivent fournir :
- Un résumé des contenus utilisés lors de l'entraînement, notamment les sources soumises au droit d'auteur ;
- La politique adoptée pour respecter les droits des titulaires (opt-out, licences, etc.) ;
- Les mécanismes permettant aux détenteurs de droits de signaler des utilisations non autorisées.
Ce double volet illustre parfaitement les deux grandes préoccupations du législateur européen : la sûreté des systèmes d'IA avancés d'un côté, la protection des créateurs et des industries culturelles de l'autre.
Qui est visé ? Modèles GPAI, pas les utilisateurs
Plus de 30 fournisseurs de modèles GPAI auraient reçu ces demandes, selon des informations rapportées par plusieurs médias spécialisés européens et américains. Parmi eux figureraient des acteurs américains de premier rang comme OpenAI, Anthropic et Google, mais aussi des acteurs européens et asiatiques dont les modèles sont accessibles sur le marché de l'UE.
Le Bureau IA n'a pas publié la liste officielle des destinataires. Il faut donc lire ces informations avec la prudence qu'elles méritent : certains noms circulent car ils ont été obtenus via des sources proches des négociations, mais seule une communication officielle permettrait de le confirmer de manière définitive.
Ce qui est certain, en revanche, c'est le critère de ciblage : sont concernés les fournisseurs de modèles GPAI accessibles dans l'UE — c'est-à-dire pratiquement tous les grands labs américains, européens (Mistral, Aleph Alpha…) et asiatiques qui proposent leurs modèles via API ou intégrés dans des produits grand public ou professionnels.
Pour les entreprises qui utilisent ces outils via des interfaces comme ChatGPT, Claude, Gemini ou des API similaires, la position est différente : elles agissent comme déployeurs et sont soumises à leurs propres obligations de l'AI Act (évaluation des risques, documentation d'usage, formation des équipes). Elles ne sont pas destinataires des RFI envoyées aux fournisseurs, mais les réponses de ces derniers — et les éventuelles mesures correctives qui en découleront — les affecteront indirectement, notamment via l'évolution des conditions d'accès aux modèles ou des fonctionnalités disponibles.
Si votre entreprise s'interroge sur ses propres obligations en tant que déployeur d'IA, nos équipes peuvent vous accompagner dans ce diagnostic. Nous traitons régulièrement ces sujets dans nos projets d'automatisation métier et de développement sur mesure intégrant des briques IA.
Fines et conséquences d'une réponse insuffisante
La caractéristique la plus structurante de cette procédure tient à ses sanctions. Contrairement à une simple demande d'information sans effet contraignant, le régime de l'AI Act prévoit des amendes dissuasives dès la phase d'investigation :
- Fournir une réponse incomplète, incorrecte ou délibérément trompeuse au Bureau IA est passible d'une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu ;
- Refuser de répondre ou bloquer une évaluation du modèle par les autorités constitue également une infraction en elle-même, punissable indépendamment de toute violation des obligations de fond ;
- Les sanctions pour non-respect des obligations substantielles des GPAI (notamment pour les modèles à risque systémique) peuvent aller jusqu'à 3 % du chiffre d'affaires annuel.
Pour des entreprises comme OpenAI ou Google, dont les chiffres d'affaires se mesurent en dizaines de milliards de dollars, 3 % représente une exposition financière considérable — de l'ordre de plusieurs centaines de millions d'euros. Ce niveau de sanction potentielle explique le soin avec lequel ces acteurs préparent leurs réponses.
Il convient de souligner que l'existence d'une RFI ne présuppose pas une infraction. Il s'agit d'un outil d'investigation : le Bureau IA collecte des informations pour évaluer la conformité. Des mesures correctives ou des sanctions ne suivraient que si l'enquête révélait des manquements caractérisés aux obligations du règlement.
Implications pour les entreprises qui utilisent ces outils
Pour les directions générales et les DSI des PME et ETI françaises, ces premières mises en demeure envoient un signal clair : l'AI Act n'est plus un texte théorique, il entre dans une phase opérationnelle d'exécution.
Plusieurs conséquences pratiques méritent d'être anticipées.
Les comportements des modèles vont évoluer
Si les audits du Bureau IA identifient des failles de sécurité ou des comportements non conformes dans certains modèles, les fournisseurs devront mettre en œuvre des mesures correctives. Cela peut se traduire par des modifications de comportement des modèles que vous utilisez : refus de certaines requêtes, changements dans la génération de contenus, nouvelles restrictions sur certains usages professionnels. Anticiper ces évolutions dans votre stratégie d'intégration IA est une posture prudente.
La documentation de vos usages d'IA devient stratégique
Les fournisseurs devront prouver comment leurs modèles sont utilisés et quelles mesures de surveillance post-déploiement sont en place. En parallèle, les entreprises déployeurs gagnent à documenter leurs propres usages : quels modèles, pour quels processus, avec quels garde-fous. Cette documentation est la base de votre propre conformité et facilitera les échanges avec vos fournisseurs si la question de la responsabilité partagée se pose.
Le choix des modèles et des fournisseurs devient un critère de gouvernance
La façon dont un fournisseur répond à ces RFI — et les résultats des éventuels audits — deviendra une donnée de gouvernance pertinente. Les labs qui jouent pleinement le jeu de la transparence réglementaire offrent une surface de risque moindre pour les entreprises qui s'appuient sur leurs modèles dans des processus critiques.
Si vous déployez de l'IA dans des domaines sensibles (RH, finance, santé, infrastructure critique), il est recommandé de ne pas attendre les résultats de ces enquêtes pour structurer votre propre approche de conformité. Nos équipes accompagnent régulièrement ce type de démarche dans le cadre de projets d'outils internes sur mesure. N'hésitez pas à nous contacter pour un premier échange.
L'IA souveraine et les modèles ouverts gagnent un argument supplémentaire
Pour les entreprises qui hésitaient entre modèles propriétaires et modèles open-weight hébergés en interne, ces enquêtes rappellent que la dépendance à un fournisseur soumis à des audits externes crée une incertitude sur la continuité des comportements du modèle. Héberger un modèle en maîtrise totale élimine ce risque, au prix d'un investissement technique plus important. Le bon équilibre dépend de votre secteur, de vos données et de votre niveau d'exposition réglementaire.
FAQ — 30 fournisseurs d'IA sous la loupe du Bureau IA européen : sécurité des modèles et droits d'auteur au cœur des premières mises en demeure
Qu'est-ce qu'une demande d'information (RFI) du Bureau IA et que contient-elle ?
Une Request for Information (RFI) est un acte formel d'investigation par lequel le Bureau IA de l'UE demande à un fournisseur de modèles GPAI de justifier sa conformité à l'AI Act. Les demandes envoyées début septembre 2026 portent sur deux volets : la sécurité des modèles (méthodes de défense, évaluations indépendantes, surveillance post-déploiement) et les droits d'auteur (données d'entraînement, politiques de respect des droits des créateurs). Un fournisseur qui fournit des informations incorrectes ou refuse de répondre s'expose à des amendes immédiates.
Mon entreprise doit-elle répondre à ces mises en demeure si elle utilise ChatGPT ou Claude ?
Non. Ces demandes s'adressent aux fournisseurs de modèles (OpenAI, Anthropic, Google, etc.), pas aux entreprises qui utilisent leurs services. En tant que déployeur ou opérateur d'IA, votre entreprise est soumise à d'autres obligations de l'AI Act — notamment l'évaluation des risques liés à vos usages spécifiques — mais pas à ces RFI qui concernent la couche modèle.
Quelles amendes le Bureau IA peut-il infliger aux fournisseurs d'IA sous l'AI Act ?
Fournir des réponses incomplètes, incorrectes ou trompeuses à une RFI est passible d'une amende allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel du fournisseur, le montant le plus élevé étant retenu. Le simple refus de répondre constitue aussi une infraction punissable. Des violations des obligations substantielles du règlement (documentation, évaluations de risque, etc.) peuvent donner lieu aux mêmes barèmes de sanction.
Ces enquêtes signifient-elles que les modèles IA vont être restreints ou modifiés sur le marché européen ?
Pas nécessairement, et pas immédiatement. Les RFI sont une phase d'investigation, pas de sanction. Si l'enquête révèle des manquements caractérisés, le Bureau IA peut exiger des mesures correctives pouvant affecter le comportement des modèles sur le marché UE. À court terme, ces enquêtes incitent les fournisseurs à mieux documenter et renforcer leurs pratiques de sécurité, ce qui peut indirectement améliorer la qualité et la fiabilité des modèles.
Quels fournisseurs de modèles GPAI sont concernés par ces mises en demeure ?
Le Bureau IA aurait contacté plus de 30 fournisseurs de modèles accessibles dans l'UE. Parmi eux figureraient, selon des sources journalistiques concordantes, OpenAI, Anthropic et Google. La Commission n'a pas publié de liste officielle. Le critère de ciblage est l'accessibilité du modèle sur le marché européen, ce qui inclut aussi bien des acteurs américains qu'européens ou asiatiques.
Comment une PME peut-elle anticiper les conséquences de ces enquêtes sur ses outils IA ?
Trois actions concrètes : (1) documenter vos usages actuels des modèles IA — quels outils, quels processus, quelles données traitées ; (2) surveiller les communications de vos fournisseurs sur leurs évolutions de conformité (elles peuvent annoncer des changements de comportement des modèles) ; (3) évaluer votre propre exposition réglementaire en tant que déployeur, en particulier si vous opérez dans des secteurs sensibles (RH, crédit, santé). Un accompagnement structuré évite de découvrir une non-conformité au mauvais moment.