AI Act : ce que les nouvelles obligations changent vraiment pour ChatGPT

Le 2 août 2025 constitue une étape importante dans l’application de l’AI Act, le grand règlement européen sur l’intelligence artificielle. Cette date ne transforme pas soudainement l’écran de ChatGPT, ni celui de Google Gemini ou d’un générateur d’images. Elle modifie d’abord les obligations de leurs fournisseurs : ils doivent pouvoir expliquer davantage comment leurs modèles sont conçus, entraînés, sécurisés et encadrés sur le plan du droit d’auteur.

L’enjeu est considérable, car les grands modèles d’IA sont devenus des infrastructures numériques capables d’écrire, traduire, programmer, analyser des documents ou produire des images. Mais il faut distinguer la promesse politique, celle d’une IA plus fiable et plus transparente, de l’expérience très concrète d’un utilisateur qui ouvre un chatbot. À court terme, l’AI Act vise surtout les entreprises qui conçoivent ou mettent sur le marché ces technologies.

Ce qui s’applique à partir du 2 août 2025

L’AI Act est un règlement européen : contrairement à une directive, il s’applique directement dans les États membres, selon un calendrier progressif. Le Parlement européen l’a adopté en mars 2024, et le texte est entré en vigueur le 1er août 2024. Toutes ses dispositions ne prennent toutefois pas effet au même moment.

La séquence ouverte le 2 août 2025 concerne notamment les règles applicables aux modèles d’IA à usage général, appelés GPAI dans le vocabulaire européen. Il s’agit de modèles pouvant servir à une grande variété de tâches et être intégrés dans de nombreux produits. Les modèles qui sous-tendent ChatGPT, Gemini ou certains outils de génération d’images entrent potentiellement dans cette catégorie.

Il est important de ne pas confondre un modèle et un service. ChatGPT est une interface et un service, tandis que le modèle est le système statistique qui produit les réponses. Le règlement impose plusieurs devoirs au fournisseur du modèle. Les entreprises qui l’intègrent ensuite dans une application ont, elles aussi, des responsabilités qui peuvent varier selon l’usage concerné.

Les modèles d’IA à usage général mis sur le marché avant le 2 août 2025 disposent d’un régime transitoire : leurs fournisseurs ont jusqu’au 2 août 2027 pour se mettre en conformité avec les obligations qui les concernent. Cette nuance explique pourquoi les effets ne seront pas identiques pour chaque modèle, ni instantanés pour tous les services accessibles en Europe.

Des documents techniques, mais pas une recette livrée au public

La principale nouveauté porte sur la capacité des autorités à demander des comptes aux entreprises. Les fournisseurs doivent établir et conserver une documentation technique sur leur modèle. Elle doit notamment permettre de comprendre ses capacités, ses limites, son fonctionnement général et les mesures prises pour respecter les règles européennes.

Ces informations ne sont pas conçues comme une publication intégrale de la technologie. Elles doivent surtout pouvoir être fournies aux autorités compétentes, dont le bureau européen de l’IA, lorsqu’elles en ont besoin pour contrôler le respect du règlement. Les fournisseurs doivent également transmettre une documentation à certaines entreprises qui utilisent leur modèle en aval, afin que celles-ci puissent assumer leurs propres obligations.

Autre devoir : publier un résumé suffisamment détaillé du contenu utilisé pour l’entraînement. C’est un progrès par rapport à l’opacité qui entoure souvent les jeux de données employés pour entraîner les grands modèles. Pour autant, le public ne recevra pas la liste exhaustive de chaque page web, livre, image, article ou base de données mobilisé.

Cette différence est essentielle. L’AI Act cherche à donner aux régulateurs et aux acteurs de la chaîne technologique davantage de visibilité, sans obliger les entreprises à révéler publiquement tous les détails de leurs modèles. Pour un utilisateur, cela ne signifie donc pas qu’il pourra bientôt connaître l’origine exacte de chaque réponse fournie par un chatbot.

Ce que le règlement change pour le droit d’auteur

Le texte introduit aussi une obligation explicite : les fournisseurs de modèles d’IA à usage général doivent mettre en place une politique visant à respecter le droit d’auteur de l’Union européenne. Cela concerne en particulier l’usage d’œuvres protégées dans les données d’entraînement.

Dans le droit européen, des exceptions peuvent autoriser la fouille de textes et de données, une technique qui consiste à analyser de très grands ensembles de contenus. Mais les titulaires de droits peuvent, dans certaines conditions, exprimer leur opposition à cet usage. Les fournisseurs doivent donc pouvoir prendre en compte ces réserves lorsqu’elles relèvent du cadre européen applicable.

L’AI Act ne règle pas pour autant tous les litiges liés à l’entraînement des IA. Il ne tranche pas, au cas par cas, la question de savoir si telle image, tel livre ou tel article a été utilisé légalement. Il ne crée pas non plus une rémunération automatique pour tous les auteurs dont les œuvres auraient pu se retrouver dans des données d’apprentissage. Ces questions peuvent encore relever de contrats, de négociations, de juridictions nationales ou de procédures en cours.

Pour les créateurs, éditeurs et autres ayants droit, la nouvelle obligation de résumé constitue donc un levier d’information, mais pas une réponse complète. Elle peut aider à mieux comprendre les grandes catégories de contenus utilisées, sans suffire nécessairement à identifier une œuvre particulière ni à établir une responsabilité juridique.

Les modèles à risque systémique sont davantage surveillés

Tous les modèles d’IA à usage général ne sont pas placés au même niveau de contrôle. L’AI Act prévoit des exigences renforcées pour les modèles présentant un risque systémique, c’est-à-dire dont les capacités ou la diffusion pourraient avoir des conséquences importantes à l’échelle européenne.

Un seuil de calcul utilisé lors de l’entraînement peut faire présumer un tel risque, fixé à 10 puissance 25 opérations en virgule flottante, souvent abrégées en FLOP. La Commission européenne peut également désigner un modèle sur la base de ses capacités et de son impact, même si ce critère technique n’est pas le seul élément d’appréciation.

Les fournisseurs concernés doivent alors aller plus loin : évaluer les risques systémiques, prendre des mesures de réduction de ces risques, surveiller les incidents graves, les signaler et renforcer la cybersécurité de leurs modèles. L’objectif est d’anticiper des effets qui dépasseraient un simple dysfonctionnement isolé, par exemple une capacité dangereuse largement diffusée ou une vulnérabilité susceptible d’être exploitée à grande échelle.

Pourquoi ChatGPT ne changera pas beaucoup pour ses utilisateurs en 2025

La plupart des utilisateurs ne verront pas, le 2 août 2025, une nouvelle fenêtre d’avertissement à chaque requête ni un grand détail des données d’entraînement apparaître dans ChatGPT. C’est logique : les premières règles applicables ciblent en priorité les fournisseurs, leurs procédures internes et leurs échanges avec les autorités.

Les obligations européennes de transparence qui concernent plus directement l’interaction avec le public relèvent principalement de l’article 50 de l’AI Act. Elles doivent s’appliquer à partir du 2 août 2026. Elles prévoient notamment que les personnes soient informées lorsqu’elles interagissent avec un système d’IA, sauf si cela apparaît comme évident au regard du contexte et des circonstances.

Le même article prévoit aussi, pour les fournisseurs concernés, que les contenus générés ou manipulés par IA soient marqués dans un format lisible par machine. Des exigences particulières concernent les contenus de type deepfake et certains textes diffusés pour informer le public sur des sujets d’intérêt général.

Ces obligations ne garantissent pas qu’un utilisateur verra une étiquette spectaculaire sur chaque phrase générée. Leur mise en œuvre dépendra de la nature du service, du contexte d’utilisation et des choix techniques des fournisseurs. Elles ne signifient pas non plus que chaque réponse d’un chatbot deviendra automatiquement plus exacte, plus utile ou dépourvue de biais.

Des sanctions élevées, une application qui reste à prouver

Le règlement prévoit des sanctions financières en cas de manquement. Pour certaines infractions aux obligations relatives aux modèles d’IA à usage général, les amendes peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.

Un plafond d’amende n’est pas une sanction automatique. Pour qu’une pénalité soit prononcée, les autorités doivent identifier un manquement, instruire le dossier, apprécier les circonstances et appliquer les garanties de procédure prévues. La Commission européenne joue un rôle central dans la surveillance des modèles d’IA à usage général, tandis que les autorités nationales interviennent dans d’autres pans de l’AI Act.

Le calendrier progressif du règlement ne correspond pas à une année de tolérance générale. Il comporte en revanche de véritables périodes de transition, en particulier pour les modèles déjà mis sur le marché avant le 2 août 2025. Cette distinction compte : elle donne du temps aux entreprises pour adapter leurs processus, mais repousse aussi une partie des effets concrets du texte.

Le risque souvent évoqué est celui d’une conformité purement administrative : des dossiers complets, des résumés prudents et des procédures internes, sans amélioration mesurable pour les utilisateurs ou les créateurs. À l’inverse, une application rigoureuse pourrait pousser les fournisseurs à mieux documenter leurs pratiques, à mieux évaluer les risques et à rendre leurs systèmes plus traçables.

Ce qu’il faut surveiller après l’entrée en vigueur des nouvelles règles

La portée réelle de l’AI Act se jouera désormais dans son exécution. Plusieurs éléments méritent une attention particulière : la précision des résumés publiés sur les données d’entraînement, la manière dont les fournisseurs respectent les oppositions des ayants droit, et les contrôles effectivement menés par les autorités.

Il faudra aussi observer la mise en œuvre des obligations applicables en août 2026. C’est à ce moment que les règles d’information du public et de marquage de certains contenus générés par IA devraient devenir plus perceptibles. Leur efficacité dépendra de normes techniques suffisamment robustes pour distinguer les contenus produits ou modifiés par l’IA, sans créer de fausse impression de sécurité.

Enfin, l’AI Act ne remplace ni le droit d’auteur, ni la protection des données, ni les règles sectorielles qui s’appliquent déjà à de nombreux services. Il ajoute une couche de gouvernance à une technologie en évolution rapide. Pour le grand public, son bénéfice le plus tangible ne sera probablement pas un changement visible immédiat dans ChatGPT, mais la possibilité d’exiger progressivement des acteurs de l’IA davantage de responsabilité et de transparence.