L'AI Office européen peut désormais enquêter sur les fournisseurs d'IA et les sanctionner

Depuis le dimanche 2 août 2026, le Bureau européen de l'IA (AI Office), rattaché à la Commission européenne, dispose de pouvoirs formels d'enquête et de sanction à l'égard des fournisseurs de modèles d'IA à usage général (GPAI), les modèles qui sous-tendent ChatGPT, Claude, Gemini ou Le Chat. La Commission l'a annoncé officiellement dans un communiqué du 31 juillet 2026 : « À partir du 2 août 2026, l'AI Office de la Commission européenne, avec les autorités nationales, commencera à faire appliquer le règlement sur l'IA. »[1]

Concrètement, l'AI Office peut désormais exiger la documentation technique d'un modèle, mener ses propres évaluations (y compris via un accès à l'interface ou au code), ordonner des mesures correctives, restreindre ou retirer un modèle du marché européen, et proposer des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.[2]

Le règlement (UE) 2024/1689 (l'« AI Act »), entré en vigueur le 1er août 2024, s'applique par étapes. Les obligations de fond des fournisseurs de modèles GPAI (chapitre V, articles 53 à 55 : tenir une documentation technique à jour, informer les développeurs en aval, adopter une politique de respect du droit d'auteur, publier un résumé des contenus d'entraînement, et, pour les modèles à « risque systémique » au-delà de 10²⁵ FLOP d'entraînement, évaluer les modèles, atténuer les risques, notifier les incidents graves et assurer la cybersécurité) s'appliquent depuis le 2 août 2025 en vertu de l'article 113.[4]

Mais pendant un an, ces obligations étaient dépourvues de mécanisme de contrainte : les colégislateurs avaient expressément différé l'article 101 (amendes GPAI) et le chapitre IX (pouvoirs d'enquête, articles 88 à 94) au 2 août 2026. La Commission l'avait elle-même écrit dans ses lignes directrices du 19 novembre 2025 : « Durant la première année à compter du 2 août 2025, la Commission ne peut prendre aucune mesure d'exécution, car ses pouvoirs d'exécution n'entrent en application que le 2 août 2026. » Comme le résume Tech Policy Press : « Bien que ces obligations aient commencé à s'appliquer l'an dernier, la Commission ne peut qu'à présent enquêter, ordonner des mesures correctives et imposer des amendes. »[7]

Les règles n'ont donc pas changé le 2 août 2026 ; c'est le pouvoir de les faire respecter qui est né.

Selon la page officielle de la Commission sur le cadre d'enforcement, l'AI Office dispose de deux familles de pouvoirs.[2]

Pouvoirs d'enquête. L'AI Office peut adresser des demandes d'information (RFI) pour vérifier la conformité : soit des RFI « simples », soit des RFI adoptées par décision formelle de la Commission. Répondre de façon inexacte ou trompeuse à une RFI simple est en soi passible d'amende ; ne pas répondre, ou répondre incomplètement, à une RFI par décision l'est aussi. Pour les modèles GPAI, l'AI Office, ou des experts indépendants qu'il désigne, peut exiger l'accès au modèle pour conduire ses propres évaluations (article 92, y compris via l'interface ou le code source), et demander au fournisseur de prendre des mesures allant jusqu'à la restriction de la disponibilité publique du modèle. Pour les systèmes d'IA relevant de sa compétence, il peut aussi mener des auditions et des inspections dans les locaux des fournisseurs.[9]

Pouvoirs de sanction. Si l'AI Office établit une violation intentionnelle ou par négligence, la Commission peut adopter une décision d'amende. Les manquements aux obligations GPAI sont plafonnés à 15 M€ ou 3 % du chiffre d'affaires mondial (article 101). Les pratiques d'IA interdites (article 5 : notation sociale, manipulation, exploitation de vulnérabilités…) relèvent du plafond supérieur de 35 M€ ou 7 % ; la fourniture d'informations inexactes ou trompeuses aux autorités relève d'un plancher de 7,5 M€ ou 1 %.[2]

Point structurel décisif : en vertu de l'article 88, la Commission détient une compétence exclusive et centralisée pour superviser et faire respecter les obligations des fournisseurs de modèles GPAI, exercée via l'AI Office, contrairement au reste de l'AI Act, confié aux autorités nationales de surveillance du marché. Les autorités nationales peuvent demander à la Commission d'agir, mais ne peuvent pas agir elles-mêmes contre les fournisseurs de modèles. L'AI Office est également compétent pour les systèmes d'IA développés par le même fournisseur que le modèle sous-jacent (ou son groupe), et pour les systèmes d'IA intégrés aux très grandes plateformes désignées sous le DSA.[8]

L'AI Office s'appuie en outre sur trois canaux de signalement lancés à cette occasion : un outil de plainte ouvert à toute personne physique ou morale, un outil sécurisé pour lanceurs d'alerte internes, et un canal de plainte réservé aux fournisseurs en aval qui intègrent le modèle GPAI d'un tiers.[1]

Ces pouvoirs s'appliquent à tout fournisseur mettant un modèle GPAI à disposition dans l'UE, quel que soit son lieu d'établissement. « Une adresse américaine ne place pas un laboratoire hors de portée du régulateur européen », a déclaré à CNBC Elisabetta Righini, associée du cabinet Sidley Austin, qui rappelle que les fournisseurs non européens doivent en outre désigner un représentant autorisé établi dans l'UE (article 54). Elle souligne un point souvent sous-estimé : « La responsabilité GPAI ne se limite pas aux manquements de fond : refuser une demande d'information, donner des réponses trompeuses ou bloquer une évaluation de modèle est sanctionnable en soi. »[5]

Anthropic, OpenAI, Google, Meta, Mistral et xAI sont donc tous dans le périmètre. Le rapporteur du texte au Parlement européen, Brando Benifei, présente l'AI Office comme « la première autorité au monde dotée de véritables pouvoirs d'enquête et d'exécution sur les modèles d'IA avancés ».

La même date a activé deux autres volets, souvent confondus avec le volet GPAI. D'abord la transparence : l'article 50 devient exécutoire, les chatbots doivent dire qu'ils sont des IA, les deepfakes doivent être étiquetés, et les contenus générés ou modifiés par IA doivent porter un marquage lisible par machine. Seule exception : le marquage machine de l'article 50(2) bénéficie d'un délai au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026.[10] Ensuite, le régime général de sanctions et la pleine compétence des autorités nationales de surveillance du marché s'activent également.

En revanche, le « Digital Omnibus sur l'IA » (règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026 après un vote du Parlement du 16 juin) a reporté les obligations relatives aux systèmes à haut risque : au 2 décembre 2027 pour les cas d'usage sensibles de l'annexe III (recrutement, crédit, éducation, services essentiels…) et au 2 août 2028 pour l'IA intégrée aux produits réglementés de l'annexe I. Le calendrier GPAI, lui, n'a pas bougé, et c'est un choix délibéré : donner du temps aux utilisateurs de systèmes à haut risque, mais maintenir la pression sur la poignée d'entreprises dont les modèles servent de fondation à tout le reste.[10]

À noter aussi : les modèles mis sur le marché de l'Union avant le 2 août 2025 bénéficient, eux, d'un délai de mise en conformité jusqu'au 2 août 2027 (article 111(3)).[9]

Le Code de bonnes pratiques GPAI, voie volontaire de démonstration de conformité, compte parmi ses signataires Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI et OpenAI, mais pas Meta, tandis que xAI n'a signé que le chapitre sûreté et sécurité. Pour les signataires, la supervision se concentre sur le respect du Code ; les non-signataires devront démontrer une conformité équivalente « par d'autres moyens adéquats », ce qui expose à des demandes d'information plus détaillées. Un second code, sur la transparence des contenus générés par IA, a réuni plus de 180 signataires selon la Commission.[11]

L'UE a négocié pendant des mois l'accès au modèle avancé Mythos d'Anthropic avant que l'entreprise n'accepte de le partager avec l'agence de cybersécurité ENISA, après un déplacement de hauts fonctionnaires de la Commission à San Francisco ; OpenAI avait auparavant offert un accès à son modèle GPT-5.5-Cyber. Désormais, l'article 92 permet d'exiger cet accès. La Commission est par ailleurs en discussion avec OpenAI et Anthropic à la suite d'incidents de cyberattaques impliquant leurs modèles, selon Reuters.[5]

Ces pouvoirs arrivent quelques semaines après l'amende d'environ 1 milliard de dollars infligée à Google au titre du DMA en juillet 2026, qui avait conduit le président américain Donald Trump à menacer l'UE de droits de douane « substantiels ». L'enforcement de l'AI Act donne à Bruxelles un levier supplémentaire sur les entreprises américaines, et les laboratoires américains se retrouvent face à deux gouvernements exigeant des formes de contrôle pré-déploiement, de part et d'autre de l'Atlantique.[5]

Les entreprises qui construisent des produits sur le modèle d'un tiers ne portent pas les obligations des articles 53 à 55 (celles-ci pèsent sur le fournisseur du modèle), mais elles y gagnent un droit à l'information (annexe XII) et un canal de plainte officiel. Revers de la médaille : si l'AI Office ordonne la restriction, le retrait ou le rappel d'un modèle (article 93), tous les produits construits dessus sont affectés.[9]

Attention également à la requalification : un fine-tuning dépassant un tiers du compute d'entraînement d'origine, ou la mise sur le marché d'un modèle sous sa propre marque, fait de l'entreprise un fournisseur soumis à la supervision de l'AI Office.

Au « jour zéro », aucune amende publique n'avait été prononcée au titre des articles 99 ou 101, et seuls 9 des 27 États membres avaient pleinement désigné leurs autorités nationales compétentes.[11] Un responsable de la Commission a indiqué à Tech Policy Press que l'AI Office entendait maintenir un « dialogue constructif » avec les fournisseurs. Les premières réactions des entreprises vont dans le même sens : OpenAI dit avoir « collaboré étroitement avec la Commission européenne » et vouloir « continuer à travailler ensemble », et Google se dit « déterminé à respecter toutes les règles applicables ».[5]

Le 2 août 2026 ne crée aucune obligation nouvelle pour les fournisseurs de modèles : il transforme des obligations vieilles d'un an en obligations opposables, adossées à un régulateur central unique, doté d'un droit de regard sur les modèles eux-mêmes et d'amendes indexées sur le chiffre d'affaires mondial.

Comme le formule Tech Policy Press, les premiers mois d'enforcement diront « si l'AI Act devient un cadre de responsabilité effectif ou reste largement un ensemble d'obligations sur le papier ». La question n'est plus de savoir si Bruxelles a le pouvoir d'enquêter et de sanctionner les grands laboratoires d'IA : elle l'a, depuis dimanche. La question est de savoir quand, et contre qui, elle l'utilisera pour la première fois.