Bruxelles publie son code IA : ce qui change pour les modèles généralistes

À trois semaines d’une échéance décisive de l’AI Act, Bruxelles précise les règles du jeu pour les modèles d’intelligence artificielle les plus polyvalents. La Commission européenne a publié, le 10 juillet 2025, la version finale de son code de bonnes pratiques pour l’IA à usage général. Ce document très attendu ne crée pas une nouvelle loi : il propose une méthode concrète pour appliquer les obligations déjà prévues par le règlement européen.

L’enjeu dépasse les seuls assistants conversationnels. Les grands modèles capables de produire du texte, du code, des images ou du son constituent désormais des briques technologiques intégrées dans d’innombrables logiciels et services. OpenAI, Google ou Mistral figurent parmi les acteurs concernés par ce nouvel environnement réglementaire, dès lors qu’ils mettent de tels modèles sur le marché européen.

La publication intervient dans un climat tendu. Des entreprises technologiques, américaines comme européennes, redoutent des contraintes administratives lourdes et demandent une « pause » dans le déploiement de certaines règles. À l’inverse, les créateurs, les ayants droit et les défenseurs des libertés numériques attendent des garde-fous contre l’opacité des données d’entraînement, les atteintes au droit d’auteur et les risques liés aux modèles les plus puissants. Bruxelles tente ici de tenir une ligne difficile : encadrer sans fermer la porte à l’innovation.

Un texte publié après le délai prévu

Le code devait initialement être prêt le 2 mai 2025, comme le prévoyait la feuille de route de l’AI Act. Son arrivée le 10 juillet constitue donc un retard, mais ne modifie pas le calendrier de la loi. Les règles de l’AI Act relatives aux modèles d’IA à usage général doivent toujours s’appliquer à compter du 2 août 2025.

Ce décalage illustre la complexité de l’exercice. Écrire des principes généraux est une chose, traduire ces principes en procédures utilisables par des développeurs, des juristes et des équipes de sécurité en est une autre. Il faut notamment définir les informations techniques qu’un fournisseur doit transmettre à ceux qui réutilisent son modèle, la façon de respecter les réserves de droits formulées par les titulaires de droits d’auteur, ou encore les méthodes de test à attendre d’un modèle particulièrement avancé.

Le document est donc conçu comme un instrument pratique. Une entreprise qui le signe s’engage à suivre ses mesures. En contrepartie, elle peut s’appuyer sur ce cadre pour montrer qu’elle respecte les obligations correspondantes de l’AI Act. Les fournisseurs restent toutefois libres de démontrer leur conformité par d’autres moyens.

Quels modèles sont concernés par le code européen ?

Le texte vise les modèles d’IA à usage général, souvent désignés par l’acronyme anglais GPAI, pour general-purpose AI. Il s’agit de modèles capables d’accomplir un large éventail de tâches et d’être intégrés dans de nombreux produits en aval. Un modèle de langage pouvant résumer un document, écrire un courriel, traduire ou produire du code en est un exemple courant.

Cette catégorie ne se confond pas exactement avec un service visible du grand public. Un chatbot, un générateur d’images ou un outil de bureautique enrichi à l’IA est un produit ou un système qui peut utiliser un ou plusieurs modèles. L’AI Act répartit donc les responsabilités entre plusieurs maillons de la chaîne : le fournisseur du modèle de base, l’entreprise qui l’intègre dans une application, puis l’organisation qui emploie cette application dans un contexte concret.

Le code s’adresse en premier lieu aux fournisseurs de modèles, et non à chaque administration ou entreprise qui utilise un assistant IA. Mais ses effets se feront sentir tout au long de la chaîne. Une société qui bâtit un service sur un modèle tiers aura besoin d’informations fiables sur ses capacités, ses limites et ses conditions d’utilisation. C’est précisément l’un des objectifs du volet consacré à la transparence.

Transparence, droit d’auteur, sécurité : les trois piliers du code

Le code publié par la Commission comporte trois chapitres. Les deux premiers, consacrés à la transparence et au droit d’auteur, répondent aux obligations générales applicables aux fournisseurs de modèles d’IA à usage général. Le troisième porte sur la sûreté et la sécurité des modèles présentant un risque systémique.

Une documentation pour les entreprises qui réutilisent les modèles

Le volet transparence vise à éviter qu’un modèle soit livré comme une boîte noire. Les fournisseurs signataires doivent produire une documentation technique structurée. Elle doit notamment aider les acteurs en aval à comprendre les capacités du modèle, ses limites, ses usages prévus et les informations nécessaires pour l’intégrer de manière responsable dans un produit.

L’AI Act prévoit également la publication d’un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle. Il ne s’agit pas de rendre publique chaque ligne de données ni chaque élément du jeu d’entraînement. L’objectif est plutôt de fournir un niveau d’information qui permette au public, aux chercheurs et aux ayants droit de comprendre les grandes catégories de contenus mobilisés.

Cette exigence répond à une demande récurrente : savoir, au moins dans ses grandes lignes, sur quelles données reposent les modèles qui influencent de plus en plus la recherche d’information, la création de contenus ou le travail de bureau.

Le droit d’auteur au cœur du débat

Le chapitre sur le droit d’auteur est l’un des plus sensibles. Les modèles génératifs sont entraînés sur des volumes considérables de textes, d’images, de sons et de vidéos. Or, nombre de ces contenus peuvent être protégés. Le code demande aux signataires d’adopter une politique garantissant le respect du droit d’auteur de l’Union européenne lorsqu’ils entraînent leurs modèles.

Dans le droit européen, les titulaires de droits disposent notamment d’une possibilité de réserver leurs œuvres contre certaines utilisations de fouille de textes et de données, souvent appelée opt-out. Le code attend des fournisseurs qu’ils identifient et respectent ces réserves lorsqu’elles sont formulées de manière appropriée, notamment par des moyens lisibles par machine pour les contenus en ligne.

Il prévoit aussi des mesures raisonnables et proportionnées pour limiter le risque qu’un modèle restitue de façon problématique des contenus protégés présents dans ses données d’entraînement. C’est un point essentiel : le texte ne promet pas qu’aucune réponse générée par une IA ne posera jamais de question de propriété intellectuelle. Il impose plutôt aux fournisseurs de mettre en place des politiques, des dispositifs techniques et des procédures de traitement des signalements.

Des exigences renforcées pour les risques systémiques

Le troisième chapitre concerne les modèles les plus avancés, ceux dont les capacités peuvent créer des risques systémiques. L’AI Act établit notamment une présomption de risque systémique lorsque l’entraînement d’un modèle dépasse 10 puissance 25 opérations en virgule flottante, un indicateur de puissance de calcul. La Commission peut aussi désigner un modèle sur la base de ses capacités ou de son impact potentiel.

Pour ces modèles, le code prévoit des pratiques plus exigeantes : évaluer les risques, tester les comportements dangereux ou imprévus, documenter les incidents graves et déployer des mesures de cybersécurité. Les sujets visés incluent par exemple l’usage malveillant d’un modèle, sa capacité à faciliter certaines attaques ou la perte de contrôle sur ses comportements dans des scénarios sensibles.

Le terme « sécurité » recouvre ici deux réalités. La sûreté consiste à vérifier que le modèle ne produit pas de comportements dommageables en raison de ses limites ou de ses défaillances. La cybersécurité vise à protéger le modèle, ses données et son infrastructure contre des attaques, des fuites ou des détournements. Les deux dimensions sont nécessaires pour que les promesses de l’IA ne se traduisent pas par de nouveaux risques à grande échelle.

Code volontaire et AI Act obligatoire : ne pas les confondre

L’une des sources de confusion les plus fréquentes tient au statut juridique du document. L’AI Act est un règlement européen, directement applicable dans les États membres. Le code de bonnes pratiques est un mécanisme volontaire, élaboré pour rendre ses obligations opérationnelles.

Un fournisseur qui ne signe pas le code ne se retrouve donc pas hors du cadre européen. Il devra être capable d’apporter lui-même les preuves de conformité exigées par la loi. Pour certaines entreprises, adhérer au code peut apporter de la visibilité et réduire l’incertitude sur les attentes de la Commission. Pour d’autres, les engagements détaillés qu’il contient peuvent sembler trop lourds ou insuffisamment stabilisés.

Cette distinction est également importante pour les utilisateurs. Une PME, une collectivité ou une administration qui emploie un outil d’IA ne devient pas automatiquement responsable de tout ce qui s’est passé lors de l’entraînement du modèle. En revanche, elle conserve des responsabilités propres, en particulier lorsqu’elle déploie l’IA dans un usage pouvant affecter des personnes, comme l’emploi, l’éducation, l’accès à des services essentiels ou la sécurité.

Pourquoi les entreprises réclament-elles une pause ?

Les critiques adressées à Bruxelles sont de nature diverse. Certaines entreprises craignent que l’accumulation de règles, de documents à produire et de contrôles ralentisse le lancement de produits européens face à la concurrence américaine ou chinoise. Elles soulignent aussi que les modèles évoluent très vite et que les exigences techniques peuvent être difficiles à appliquer uniformément.

Le retard de publication du code nourrit cette inquiétude. Les fournisseurs disposent de peu de temps entre la publication du texte final, le 10 juillet, et l’entrée en application des obligations sur les modèles à usage général, le 2 août. Les appels à une « pause » reflètent cette demande de prévisibilité, mais aussi un débat plus large sur la compétitivité européenne dans l’IA.

Les critiques ne viennent toutefois pas d’un seul camp. Les représentants des créateurs et des ayants droit veulent des garanties réelles sur les œuvres utilisées pour l’entraînement. Les organisations de défense des droits fondamentaux attendent de leur côté des mécanismes solides contre les discriminations, la désinformation ou les usages de surveillance disproportionnés. Entre ces attentes, la Commission doit éviter deux écueils : un texte trop vague, qui ne protège personne, et un cadre trop difficile à appliquer, qui resterait lettre morte.

Le calendrier de l’AI Act jusqu’en 2027

Le code ne constitue qu’une étape d’une mise en œuvre progressive. L’AI Act est entré en vigueur le 1er août 2024, mais ses dispositions ne s’appliquent pas toutes au même moment. Cette progressivité est destinée à permettre aux entreprises, aux autorités et aux États membres de se préparer.

Ce rythme explique pourquoi le débat ne s’arrêtera pas avec la publication du code. Les autorités nationales devront organiser leur contrôle, les entreprises ajuster leurs processus et la Commission préciser son interprétation au fil des cas rencontrés. L’application concrète comptera autant que le texte lui-même.

Ce qu’il faut surveiller après le 2 août

La première question sera celle de l’adhésion : quels fournisseurs de modèles choisiront de signer le code et quels engagements prendront-ils réellement ? La seconde concernera la qualité de la documentation publiée. Des fiches trop générales ne permettront ni aux entreprises clientes de prendre des décisions éclairées, ni aux ayants droit de comprendre la provenance des données.

Il faudra aussi observer la façon dont les mécanismes de droit d’auteur fonctionneront dans la pratique. Le respect des opt-out, la transparence sur les données et les mesures prises contre la reproduction problématique d’œuvres protégées seront des tests majeurs pour la crédibilité du dispositif.

Enfin, les règles sur les risques systémiques constitueront un révélateur de la capacité européenne à encadrer les modèles les plus puissants sans se limiter à des principes généraux. Bruxelles ne prétend pas résoudre, par un seul code, toutes les questions soulevées par l’intelligence artificielle. Mais en détaillant ce qui est attendu des fournisseurs avant l’échéance du 2 août 2025, l’Union européenne franchit une étape concrète vers une gouvernance plus lisible des modèles généralistes.