Depuis le 2 août 2026, la Commission européenne peut faire appliquer le règlement européen sur l'intelligence artificielle (AI Act) aux fournisseurs de modèles d'IA à usage général, et des amendes deviennent possibles, selon les lignes directrices de la Commission et son calendrier de mise en œuvre [1] [5]. Quelques jours plus tôt, l'Omnibus numérique sur l'IA, un règlement modificatif, était entré en vigueur le 27 juillet et avait reporté les échéances relatives aux systèmes à haut risque à décembre 2027 et août 2028 [3]. Pour une organisation qui déploie un grand modèle de langage (LLM) fourni par un éditeur, les obligations du fournisseur du modèle et celles du déployeur sont distinctes.
Contexte
Les règles de l'AI Act relatives aux modèles d'IA à usage général s'appliquent depuis le 2 août 2025. Les lignes directrices de la Commission énumèrent les obligations d'un fournisseur de modèle : une documentation technique destinée aux autorités et au Bureau de l'IA, des informations à l'intention des développeurs en aval sur les capacités et les limites du modèle, une politique en matière de droit d'auteur, un résumé public des contenus d'entraînement et un représentant dans l'UE pour les fournisseurs établis hors de l'Union [1]. Les lignes directrices considèrent qu'un modèle est à usage général lorsqu'il est entraîné avec plus de 10^23 opérations en virgule flottante et peut générer du langage, des images à partir de texte ou des vidéos à partir de texte, et présentent ce seuil comme indicatif. Les modèles entraînés avec plus de 10^25 opérations sont présumés présenter un risque systémique [1].
Ce que décrivent les sources
La FAQ de la Commission donne trois dates : le 2 août 2025, début des obligations avec une période initiale de mise en conformité pour les adhérents au code de bonnes pratiques ; le 2 août 2026, début de l'application pleine et entière avec amendes possibles ; et le 2 août 2027, date à laquelle les modèles déjà sur le marché avant l'application des règles doivent s'y conformer [1]. Le calendrier de l'AI Act Service Desk de la Commission indique que l'application des règles relatives aux modèles d'IA à usage général et aux obligations de transparence commence le 2 août 2026 [5]. Une analyse de cabinet d'avocats publiée le 24 juillet 2026 décrit le dispositif antérieur comme un délai de grâce d'un an accordé aux signataires du code de bonnes pratiques pour l'IA à usage général, prenant fin le 2 août 2026 [2].
L'Omnibus numérique est adopté, et non plus à l'état de proposition. Une analyse de cabinet d'avocats et une note de recherche de la Cloud Security Alliance rapportent que le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026 [3] [4]. Il reporte la date d'application pour les systèmes autonomes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et pour l'IA intégrée à des produits relevant d'une législation sectorielle de sécurité (annexe I) au 2 août 2028 [2] [3]. La page de calendrier de la Commission indique les mêmes dates [5]. Les autres obligations conservent leur calendrier initial, notamment celles des fournisseurs d'IA à usage général, les pratiques interdites en vigueur depuis le 2 février 2025 et les obligations de transparence de l'article 50. Les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour satisfaire à l'obligation de marquage lisible par machine des médias synthétiques [3] [4].
Pour les déployeurs, les sources mettent en avant des obligations qui sortent du cadre de la documentation du fournisseur du modèle. Les fournisseurs doivent signaler qu'une personne interagit avec un système d'IA et marquer les contenus générés par l'IA ; les déployeurs doivent signaler les hypertrucages (deepfakes), la reconnaissance des émotions et la catégorisation biométrique, et ces obligations concernent les organisations qui exploitent des chatbots à leur marque et des outils d'IA générative [2]. L'Omnibus a assoupli l'obligation générale de maîtrise de l'IA, désormais une obligation de moyens plutôt qu'un niveau de compétence précis, tandis que les déployeurs de systèmes à haut risque restent soumis à l'exigence de compétence de l'article 26, paragraphe 2 [3].
La documentation de sécurité des éditeurs répartit le travail de manière comparable. Le modèle de Microsoft pour l'IA générative décrit trois couches : la plateforme d'IA, l'application d'IA et l'usage de l'IA. Il indique que la responsabilité incombe généralement à la partie qui exécute la tâche, et que la répartition varie entre les déploiements en logiciel en tant que service, en plateforme en tant que service et en infrastructure en tant que service [6]. Son modèle distinct pour les agents autonomes ajoute l'orchestration, les outils et actions, et la mémoire. Le client y conserve, dans tous les types de déploiement, la responsabilité des données, des identités, de l'approbation humaine des actions à fort impact et du respect des conditions d'utilisation, ainsi que, pour un agent construit sur une plateforme gérée, celle de ses instructions, du choix des outils et des permissions de chaque outil [7]. Microsoft qualifie ses recommandations d'illustratives et précise qu'elles ne constituent pas une conclusion juridique [6]. Un billet de blog de la Cloud Security Alliance datant de 2023 avait proposé la même structure pour l'IA générative, avec un fournisseur de service d'IA et un utilisateur de service d'IA, ce dernier conservant la traçabilité des données, la sécurité applicative et le contrôle des prompts [8].
Conséquences pour les organisations
L'application des règles aux fournisseurs de modèles ne transfère pas à l'éditeur les obligations de l'organisation qui déploie. La documentation du fournisseur et les informations destinées aux développeurs en aval alimentent l'évaluation que le déployeur fait lui-même de ses prompts, de ses données, des permissions de ses outils et du traitement des résultats. Les sources consultées ne tranchent pas la question de savoir à partir de quand un déployeur qui affine ou modifie substantiellement un modèle devient lui-même fournisseur ; ce sont les lignes directrices de la Commission qu'il convient de consulter pour un cas donné.
Recommandations
- Recensez chaque LLM et chaque agent utilisé, l'éditeur et le type de déploiement (logiciel, plateforme ou auto-hébergé), car la répartition des obligations en dépend.
- Consignez les obligations que la documentation de l'éditeur attribue au client, et traitez les documents des éditeurs comme des recommandations, et non comme un contrat ou un avis juridique.
- Vérifiez si les obligations de transparence de l'article 50 s'appliquent aux chatbots ou aux contenus générés que l'organisation publie.
- Pour les agents, passez en revue les permissions des outils, les étapes d'approbation humaine et la journalisation, que le modèle de Microsoft laisse à la charge du client.
- Lisez le cours de la FireAI University sur les cadres de sécurité de l'IA et le red teaming et le billet de blog sur la responsabilité partagée pour les LLM.
Pertinence pour FireAI
FireAI est un pare-feu réseau pour un seul Mac, pas un produit de conformité. Il n'évalue pas les obligations découlant de l'AI Act, ne classe pas les systèmes d'IA et ne délivre aucune attestation. Ce qu'il peut montrer, c'est le versant réseau d'un outil LLM sur un Mac. Les règles par app permettent de limiter une app d'IA ou un assistant de programmation aux destinations dont il a besoin, la demande de première connexion demande l'autorisation avant qu'une nouvelle app contacte une destination inconnue, la carte du monde montre où va le trafic d'une app, et les alertes d'envoi signalent un envoi soudain et volumineux vers un pays. Le coupe-circuit bloque les nouvelles connexions. FireAI ne lit ni les prompts ni les réponses des modèles et ne voit pas ce qu'un agent fait à l'intérieur d'une application.
Limites
Les pages de FAQ et de calendrier de la Commission ont été consultées sans date de publication visible, et la page de la Commission n'indique pas le montant des amendes. Les synthèses du cabinet d'avocats et de la note de recherche concordent sur les dates de l'Omnibus, mais le texte du Journal officiel lui-même n'a pas été consulté pour cet article. Les pages de Microsoft sont des recommandations d'éditeur pour ses propres services et le billet de la Cloud Security Alliance est une proposition de 2023 : aucun des deux n'a de valeur juridique. Aucune source consultée ici n'indique comment les autorités nationales ou le Bureau de l'IA exerceront leurs pouvoirs en pratique.
Essayez FireAI, par HisnLabs gratuitement pendant 17 jours.