AI Act : l'Europe rend l'IA visible et reporte le haut risque

Le 2 août, l'Europe a rendu applicable la partie la plus visible de son AI Act : un utilisateur doit savoir quand il parle à une machine, un logiciel doit pouvoir détecter certains contenus synthétiques, et un deepfake doit être signalé comme tel.

Six jours plus tôt, l'Union avait pourtant reporté une autre échéance. Les règles applicables aux systèmes utilisés pour recruter, noter des élèves ou assister la justice attendront décembre 2027. Celles qui concernent notamment certains dispositifs médicaux, août 2028.

Un même cadre, deux calendriers. La transparence des sorties arrive maintenant ; la démonstration de sûreté des usages les plus sensibles attend encore ses normes.

Ce décalage ne prouve pas que l'Europe préfère les étiquettes à la sécurité. Il révèle quelque chose de plus embarrassant : elle a su écrire les exigences avant de savoir comment leur conformité serait prouvée de manière commune.

Le 2 août ne veut pas dire « étiqueter toute l'IA »

L'article 50 n'impose pas une étiquette sur chaque contenu produit par une machine. Pour les systèmes interactifs et génératifs qui intéressent ce dossier, il répartit trois obligations principales entre fournisseurs et déployeurs, et c'est cette répartition que la plupart des équipes techniques n'ont pas encore lue correctement. Il couvre aussi, dans un autre registre, l'information des personnes exposées à certains systèmes de reconnaissance des émotions ou de catégorisation biométrique.

Informer que l'interlocuteur est une machine. Cette obligation pèse sur le fournisseur du système, pas sur l'entreprise qui l'installe. Elle vise les chatbots, agents conversationnels et avatars, sauf lorsque la nature artificielle de l'interlocuteur est évidente. Le Big Data l'a détaillé avant l'échéance.

Marquer les contenus de façon lisible par une machine. Elle pèse sur le fournisseur du système génératif, et couvre l'audio, l'image, la vidéo et le texte de synthèse, avec des exceptions. Les fournisseurs de systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer à cette seule obligation.

Afficher une mention visible. Celle-ci, et seulement celle-ci, incombe au déployeur professionnel. Mais son périmètre est étroit : les deepfakes, et les textes d'intérêt public publiés sans véritable contrôle éditorial humain.

La conséquence pratique compte plus que la règle elle-même. Une image générée qui n'est pas un deepfake n'a pas à porter d'étiquette visible. Le marquage machine, lui, est en principe dû. Beaucoup d'équipes se préparent à afficher partout une bannière que le texte n'exige pas, tout en négligeant la signature technique qu'il exige vraiment.

Une distinction traverse tout le reste de ce dossier, et il faut la poser ici. L'AI Act ne régule pas les modèles et les systèmes de la même façon. Un modèle est un composant technique général. Un système est une application opérationnelle qui mobilise un ou plusieurs modèles pour une finalité déterminée. Les obligations de l'article 50 pèsent sur les fournisseurs de systèmes. Confondre les deux fait attribuer des devoirs au mauvais acteur.

À retenir : le marquage lisible par machine est un dispositif technique détectable par un logiciel : métadonnée de provenance, filigrane, empreinte, méthode cryptographique, ou combinaison de plusieurs techniques. Il peut être imperceptible pour l'utilisateur. La mention visible est, elle, destinée à un humain. Ce sont deux obligations séparées, à deux étages de la chaîne, et elles ne couvrent pas le même périmètre. Une métadonnée peut disparaître lors d'une capture ou d'un réencodage ; un filigrane robuste peut mieux résister. C'est donc la chaîne technique complète qu'il faut tester.

Décembre 2027 pour l'annexe III, août 2028 pour les produits

Le règlement 2026/1744, entré en vigueur le 27 juillet, repousse l'entrée en application des sections 1 à 3 du chapitre III, c'est-à-dire le cœur du régime applicable aux systèmes à haut risque. Mais il ne le repousse pas partout à la même date, et la nuance n'est pas administrative.

Les systèmes de l'annexe III effectivement classés à haut risque, recrutement, éducation, justice, police, migration, accès à certains services, passent au 2 décembre 2027. Seize mois de plus. L'article 6 prévoit d'ailleurs des exclusions pour certains usages de cette annexe qui n'influencent pas matériellement une décision.

Certains systèmes liés aux produits réglementés de l'annexe I, notamment des dispositifs médicaux ou des jouets, attendront le 2 août 2028. Deux ans. Cette catégorie n'englobe pas toute IA intégrée à ces produits : elle vise ceux qui remplissent les critères du haut risque, notamment lorsque le système assure une fonction de sécurité ou constitue le produit lui-même, et que ce produit est soumis à une évaluation de conformité par un tiers.

Un logiciel qui oriente un diagnostic relève en général de cette seconde catégorie. Son échéance ne se situe donc pas dans seize mois, mais dans vingt-quatre. Le report supplémentaire décidé par l'Omnibus est toutefois de douze mois : l'échéance initiale du 2 août 2027 est passée au 2 août 2028. Certains usages liés à l'accès aux soins peuvent basculer dans l'annexe III, mais l'aide au diagnostic renvoie au régime des dispositifs médicaux.

Voilà le calendrier réel, celui qu'il faut avoir en tête pour juger le reste :

La note conjointe de la CNIL et du CIANum du 20 juillet éclaire le décalage sur un autre terrain. Elle porte sur l'IA agentique et le RGPD. Son constat n'est pas que le droit existant serait inapplicable, mais que l'autonomie des agents, leur mémoire persistante et l'enchaînement de services compliquent la maîtrise des flux et le partage des responsabilités. Les textes s'appliquent déjà ; ce sont les repères pratiques qui manquent.

C'est exactement la même forme de retard, sur un autre règlement.

Le point de vue contraire : on peut défendre le report. Imposer une évaluation de conformité avant d'avoir publié les normes qui définissent ce qu'on évalue aurait produit du document administratif vendu au prix fort, pas de la sécurité. Mieux vaut un calendrier honnête qu'une obligation théâtrale. L'objection tient, à une condition : que ces mois servent effectivement à livrer les instruments de preuve manquants. Le règlement impose de relancer la normalisation et fixe certaines échéances de guides ; il ne garantit ni que les normes seront prêtes à temps, ni qu'elles rendront deux évaluations réellement comparables.

La pièce qui manque n'est pas l'auditeur, c'est la preuve

L'explication qui circule depuis dix jours est que l'Europe aurait reporté faute d'auditeurs. Elle est fausse, et il faut la corriger parce qu'elle mène au mauvais diagnostic.

Pour le recrutement, la justice et la majorité des usages listés aux points 2 à 8 de l'annexe III, l'AI Act ne demande pas d'organisme notifié. L'article 43 prévoit une évaluation de conformité fondée sur un contrôle interne. Le fournisseur documente, atteste, engage sa responsabilité. Aucun tiers ne doit tamponner.

Ce qui manque n'est donc pas l'auditeur. C'est le langage commun dans lequel une preuve pourrait s'écrire.

Le règlement invoque toutefois un autre retard institutionnel : celui de la mise en place des autorités nationales compétentes, auquel s'ajoute l'indisponibilité des normes, des spécifications communes et de certaines orientations alternatives. Cela concerne la surveillance et l'application du règlement ; cela ne transforme pas, pour autant, l'évaluation interne prévue pour les systèmes de l'annexe III en audit obligatoire par un tiers.

Une première brique, EN 18286, consacrée au système de management de la qualité, a bien été publiée par le CEN et le CENELEC. Mais elle n'est pas encore référencée au Journal officiel de l'Union et ne confère donc aucune présomption de conformité. Les autres pièces importantes, notamment sur la gestion des risques, la cybersécurité et la journalisation, restent en cours de finalisation. Aucun corpus complet de normes harmonisées ne garantit donc encore la comparabilité de l'ensemble des démonstrations.

Le code de bonnes pratiques GPAI ne comble pas ce trou. Il organise les évaluations de risque et le red teaming, mais ne leur impose pas encore un protocole unique rendant directement comparables les résultats de deux fournisseurs. Il produit des mesures inscrites dans un rapport ; pas encore une métrologie commune.

Un mot sur la lecture répandue du billet publié par OpenAI cette semaine. L'entreprise a rendu public son alignement sur le code GPAI : tests avant lancement, fiches système, red teaming externe. Le document est sérieux. Mais ce n'est pas un fournisseur qui écrirait les règles avant le régulateur : le code existe depuis juillet 2025, il a été préparé par des groupes présidés par des experts indépendants avec près d'un millier de parties prenantes, puis jugé adéquat par la Commission et le Comité européen de l'IA. OpenAI l'a signé.

La critique défendable est plus étroite, et plus solide. Le cadre existe. Mais l'essentiel de la preuve initiale reste produit par l'entreprise contrôlée elle-même, faute de référentiel de mesure partagé.

Les travaux d'évaluation menés par les États racontent d'ailleurs autre chose que ce qu'on leur fait dire. La Tribune les a documentés : la France teste, via ses services de renseignement, la capacité des modèles à traiter des données sensibles sans dépendre de Palantir ; l'Estonie mesure la résistance à la désinformation russe ; l'Allemagne regarde la consommation électrique. Ce ne sont pas des exigences nationales de conformité à l'AI Act. Ce sont des priorités politiques différentes, exprimées en critères d'achat public. Elles montrent surtout qu'« évaluer un modèle » ne veut pas dire la même chose à Paris, Tallinn et Berlin, ce qui rend la norme commune plus nécessaire, pas moins.

À retenir : le red teaming consiste à faire attaquer volontairement un système par une équipe adverse, pour découvrir des comportements dangereux avant la mise en production. Le problème réglementaire est qu'un red teaming sans protocole publié ni reproduction indépendante produit une mesure dont la comparabilité reste limitée. Deux fournisseurs peuvent revendiquer le même niveau de sécurité sur des méthodes qui ne se recoupent pas.

Les poids ouverts déplacent le contrôle, ils ne suppriment pas le droit

Le 27 juillet, Moonshot AI a publié les poids de Kimi K3, 2 800 milliards de paramètres, et l'entreprise pékinoise discute déjà d'un K4 entraîné sur des puces Nvidia Blackwell. L'information mérite d'être prise pour ce qu'elle est : une intention annoncée. Elle ne dit rien du canal d'approvisionnement envisagé, ni de sa légalité, et on ne peut pas en conclure que les restrictions américaines à l'export seraient inopérantes.

Une idée fausse circule à ce sujet : les modèles en poids ouverts échapperaient au règlement. Ce n'est pas le cas. Un fournisseur de modèle à usage général qui met son modèle sur le marché européen entre dans le périmètre de l'AI Act. Les modèles réellement libres bénéficient de certaines exemptions documentaires, mais ces exemptions disparaissent dès lors que le modèle présente un risque systémique. Et l'acteur qui transforme ces poids en un système qu'il met sur le marché ou met en service sous son propre nom assume alors les obligations du fournisseur de ce système.

Le droit ne disparaît donc pas. La difficulté supplémentaire est opérationnelle : après téléchargement, le contrôle technique change de main. Les filtres sont supprimables, les générations deviennent privées, la détection devient difficile. Un modèle de cette taille ne tourne pas sur un ordinateur portable, il demande une infrastructure sérieuse, mais cette infrastructure peut être privée et hors du service de Moonshot.

Le point de contrôle effectif se déplace vers le lieu de diffusion. C'est-à-dire vers les plateformes et les hébergeurs. Et c'est là que l'enquête de la semaine fait mal.

AI Forensics, avec Paul Bouchaud et Silvia Semenzin, a audité des outils de génération d'images hébergés sur Hugging Face. Sur 1 081 requêtes dédupliquées collectées en une semaine, 73 % étaient de nature sexuelle ; parmi celles-ci, 83 % cherchaient à déshabiller ou sexualiser une personne, 95 % visaient des femmes et 6,7 % semblaient concerner des mineurs. En parallèle, 3 % seulement des espaces audités présentaient dans leur code un mécanisme de modération des sorties mis en place par leur auteur.

Le rapport documente donc la quasi-absence de garde-fous dans les espaces étudiés. Il ne démontre pas l'absence de tout mécanisme interne au niveau de la plateforme, et il ne suffit pas à établir juridiquement une violation de l'AI Act par Hugging Face. Il faut le dire, parce que la nuance est précisément celle que le droit tranchera. Notons aussi que l'interdiction des systèmes de nudification ajoutée par l'Omnibus ne devient applicable que le 2 décembre 2026.

Aux États-Unis, la question prend un tour constitutionnel. xAI attaque la loi du Minnesota contre la nudification, entrée en vigueur le 1er août, au nom du Premier amendement. L'entreprise possède Grok, chatbot accusé en début d'année de produire précisément ce type d'images. xAI soutient que la loi interdit aussi des images protégées et impose une responsabilité excessive aux fournisseurs. Le contentieux ne porte donc pas sur l'étiquetage, mais sur la limite constitutionnelle entre l'interdiction d'un usage nuisible et l'interdiction de l'outil qui le permet.

Dernier élément, et le plus révélateur. La lettre commune pour les modèles ouverts rassemble NVIDIA, Microsoft, Mozilla, Meta, Mistral, Hugging Face, Perplexity, Palantir, Dell, IBM et la Linux Foundation. OpenAI et Google ont rejoint le mouvement le week-end suivant, et le même 27 juillet, NVIDIA lançait l'Open Secure AI Alliance. Ces entreprises se retrouvent rarement dans le même camp, et le texte s'intitule « Open Weights and American AI Leadership » : il s'adresse aux responsables américains, pas à Bruxelles. Quand des concurrents aussi féroces convergent aussi vite, cette convergence révèle au minimum un intérêt économique et stratégique partagé : éviter des restrictions générales sur la publication des poids.

À retenir : poids ouverts ne signifie pas open source. Les poids sont les paramètres numériques du réseau ; leur publication permet de télécharger et d'exécuter le modèle hors du service d'origine. Elle n'implique pas, à elle seule, la publication des données d'entraînement ni du code complet du pipeline. Elle permet donc d'auditer plus directement le comportement du modèle, mais pas de reconstituer automatiquement sa fabrication.

Bruxelles centralise ce qu'elle peut effectivement surveiller

Le second mouvement de la semaine est institutionnel, et il est passé plus inaperçu que l'étiquetage.

Le règlement 2026/1744 confère à la Commission, via le Bureau européen de l'IA, une compétence directe lorsqu'un système constitue une très grande plateforme ou un très grand moteur de recherche au sens du DSA, mais aussi lorsqu'il y est intégré. Gemini, lorsqu'il est intégré à Google Search, et Meta AI dans les services désignés de Meta relèvent ainsi de cette surveillance européenne plutôt que du contrôle national ordinaire, et Next INpact a raison de lire ce texte comme une recentralisation.

C'est cohérent avec le reste : l'Europe reprend la main là où elle dispose déjà d'un appareil de contrôle qui fonctionne.

Le dossier ChatGPT s'inscrit dans cette logique, à condition de le décrire correctement. Aucune désignation n'a été publiée à ce jour. Le scénario rapporté par Bloomberg, et relayé en France, vise ChatGPT Search comme très grand moteur de recherche, un statut distinct de celui de très grande plateforme. OpenAI déclare 159,1 millions de destinataires actifs mensuels dans l'Union pour ChatGPT Search sur les six mois clos en mars 2026, très au-dessus du seuil. Mais le seuil ne vaut pas décision : c'est la Commission qui désigne, et elle dit seulement qu'une désignation est possible.

Si elle intervient, ChatGPT Search relèvera des obligations renforcées du DSA : évaluations annuelles des risques systémiques, mesures d'atténuation, audits indépendants et accès encadré des chercheurs aux données. Ces obligations s'ajouteront à celles que l'AI Act impose déjà à OpenAI comme fournisseur de modèles à usage général.

Faut-il en conclure que la conformité devient une barrière à l'entrée ? Non, et l'erreur mérite d'être écartée. Un service qui reste sous le seuil ne porte pas les obligations renforcées propres aux très grandes plateformes et aux très grands moteurs de recherche. Ce n'est pas une barrière à l'entrée, c'est une barrière au passage à l'échelle, doublée d'un avantage pour les acteurs qui disposent déjà des équipes de conformité. Le coût, lui, pourra au moins en partie se répercuter sur les clients professionnels.

À retenir : le DSA distingue les très grandes plateformes des très grands moteurs de recherche. Les deux catégories partagent le seuil de 45 millions de destinataires mensuels dans l'Union et l'essentiel des obligations renforcées, évaluation des risques systémiques, atténuation, audits, accès aux données. Mais elles correspondent à des services juridiquement distincts et font l'objet de désignations séparées par la Commission.

Ce que ça change concrètement

Pour les équipes techniques

Sépare la génération de la diffusion dans tes chaînes de traitement. Le marquage machine relève du fournisseur du système génératif, la mention visible du déployeur, et seulement pour les deepfakes et certains textes d'intérêt public. Si ton application fait les deux métiers, tu portes les deux responsabilités.

Vérifie ensuite ce que tes traitements font aux métadonnées de provenance. Un réencodage vidéo, une compression d'image, un passage par un service qui retire les métadonnées : la signature C2PA peut disparaître. Cela ne constitue pas automatiquement une infraction, puisqu'un marquage peut combiner plusieurs techniques, dont un filigrane statistique qui survit à ces opérations. Mais la chaîne de provenance est compromise, et c'est le genre de chose qui se teste plutôt qu'elle ne se suppose.

Et si tu intègres des poids ouverts dans un nouveau système mis sur le marché ou mis en service sous ton nom, le fournisseur des poids n'assume pas le marquage à ta place : tu deviens le fournisseur du système. La simple exécution interne d'un système tiers ne suffit toutefois pas, à elle seule, à transférer automatiquement ce rôle.

Pour les décideurs

Pour les futurs systèmes effectivement soumis au régime du haut risque, et pour les systèmes existants appelés à être significativement modifiés, le report est un décalage de trésorerie réglementaire, pas une raison d'attendre. La documentation qui sera exigée se construit sur des traces d'exploitation qu'il faut commencer à conserver dès maintenant. Sinon il faudra auditer à rebours des systèmes dont l'historique n'existe pas, et cela ne se rattrape pas. Notons au passage que les systèmes à haut risque existants destinés à être utilisés par des autorités publiques disposent d'une échéance distincte, fixée au 2 août 2030.

Vérifie aussi de quelle annexe relèvent tes systèmes. Un outil de présélection de candidatures et un logiciel d'aide au diagnostic ne partagent ni la même échéance ni le même régime d'évaluation. Huit mois séparent les deux.

Enfin, la note de la CNIL et du CIANum signale que les déploiements d'agents autonomes sont déjà exposés sur le terrain du RGPD, avant toute application de l'AI Act. Ce risque est présent, pas futur.

Pour l'écosystème européen

L'absence de normes harmonisées pénalise d'abord les acteurs européens présents dans plusieurs pays, pas les géants américains qui ont les équipes juridiques pour absorber l'incertitude.

La présence de Mistral et Hugging Face parmi les signataires montre que deux acteurs fortement ancrés dans l'écosystème français ont choisi de soutenir à Washington une ligne favorable aux poids ouverts. Ce n'est pas une position juridique sur l'AI Act, dont le compromis existe déjà ; c'est un signal industriel sur la circulation internationale des modèles.

Ce qu'il faut surveiller

Cinq prévisions datées, que nous reprendrons pour les confronter aux faits.

Au plus tard le 30 novembre 2026 : la Commission désignera ChatGPT Search comme très grand moteur de recherche au sens du DSA. Confiance haute. OpenAI déclare 159,1 millions de destinataires actifs mensuels dans l'Union. L'incertitude porte sur la qualification juridique du service et le calendrier de la décision, pas sur une discrétion générale une fois les critères établis.

Au 31 janvier 2027 : aucune décision publique définitive d'une autorité européenne ou nationale n'aura imposé d'amende pour manquement au marquage machine ou à la mention visible prévus par l'article 50(2) et (4). Les premières mesures publiquement documentées auront pris la forme de demandes d'information, d'avertissements, d'engagements ou d'ordres de mise en conformité. Confiance haute.

Au 31 janvier 2027 : au moins un fournisseur établi hors de l'Union aura lancé un modèle GPAI en poids ouverts, présenté comme concurrent des meilleurs modèles propriétaires et proposé aux utilisateurs européens, sans publier le résumé du contenu d'entraînement exigé par l'article 53(1)(d). Dans les trente jours suivant cette diffusion, la Commission n'aura annoncé ni demande formelle d'information ni ouverture de procédure. Confiance moyenne.

Au 31 janvier 2027 : dans X.AI LLC v. Ellison, le tribunal fédéral accordera en tout ou partie l'injonction préliminaire demandée contre la loi du Minnesota, sur le fondement du Premier amendement. Le refus de l'ordonnance d'urgence prononcé le 31 juillet, motivé par la tardiveté de la demande, ne préjugeait pas du fond. Confiance moyenne.

Au 31 juillet 2027 : au moins un État membre ou une fédération professionnelle européenne demandera publiquement, dans une position formelle postérieure à l'adoption du règlement 2026/1744, une nouvelle modification de l'article 113 afin de repousser le 2 décembre 2027 ou de conditionner cette échéance à la publication des normes harmonisées. Une demande générique de « simplification » ne suffira pas à valider la prévision. Confiance haute.

Le méta signal de la semaine

L'Europe ne régule pas trop. Elle rend applicable d'abord la couche pour laquelle elle a réussi à publier des règles, des orientations et un code de pratique, et reporte celle dont les normes harmonisées manquent encore.

Afficher qu'un contenu est un deepfake est un problème de présentation relativement simple. Rendre son origine détectable après transformation reste techniquement moins résolu. Démontrer qu'un système de tri de candidatures est sûr ajoute une difficulté supplémentaire : il faut une preuve commune de sa qualité, de ses biais, de sa robustesse et de sa supervision.

Le règlement le plus ambitieux du monde atteint sa date d'application au moment précis où les normes qui doivent rendre le haut risque vérifiable manquent encore.

La régulation ne rattrape pas la capacité. Elle documente le retard.

Sources

• Contenus IA : dès dimanche, l'UE impose un étiquetage (Le Big Data)
• Le 2 août, l'AI Act avance et recule à la fois (Next INpact)
• IA agentique et données personnelles, un joli bazar (Next INpact)
• Hugging Face héberge des centaines d'outils de génération de contenu sexuel non consenti (Next INpact)
• Un grand changement arrive pour ChatGPT en France (Presse-citron)
• xAI veut faire annuler la loi du Minnesota contre la « nudification » (Next INpact)
• L'industrie de l'IA plaide pour les modèles ouverts, la liste des signataires s'allonge (Next INpact)
• Face à Washington, les géants de la tech signent un appel massif pour une IA ouverte (Le Big Data)
• Benchmarks : pourquoi le meilleur modèle d'IA n'existe pas (La Tribune)
• OpenAI aligne ses pratiques de sécurité sur le code GPAI de l'AI Act européen (AI News)
• Moonshot cherche davantage de puces Nvidia Blackwell pour son prochain modèle (The Information AI)