AI Act : l’Europe encadre les modèles d’IA à usage général dès août 2025

Le règlement européen sur l’intelligence artificielle ne se limite pas aux logiciels utilisés dans les entreprises, les écoles ou les administrations. À partir du 2 août 2025, il vise aussi les modèles situés à la source de nombreux services d’IA générative : ceux qui écrivent, traduisent, programment, résument, créent des images ou alimentent des assistants conversationnels. L’Union européenne veut ainsi demander des comptes aux entreprises qui conçoivent ces technologies, avant même que leurs modèles ne soient intégrés dans des milliers de produits.

Cette étape concerne les modèles d’IA à usage général, souvent appelés GPAI, pour general-purpose AI. Leur caractéristique est de pouvoir accomplir une grande variété de tâches et d’être réutilisés par d’autres acteurs. L’enjeu est considérable : un même modèle peut se retrouver dans un outil de bureautique, un moteur de recherche, un service client ou une application de création. L’AI Act cherche donc à établir des règles communes sur la transparence, le droit d’auteur et la sécurité, sans interdire ces modèles.

Le 2 août 2025, une étape clé et non l’entrée en vigueur de l’AI Act

L’AI Act est le nom couramment donné au règlement européen sur l’intelligence artificielle, officiellement le règlement UE 2024/1689. Il est entré en vigueur le 1er août 2024, mais ses dispositions sont appliquées selon un calendrier progressif. Cette mise en œuvre par étapes doit laisser aux États membres, aux autorités et aux entreprises le temps de s’organiser.

Le 2 août 2025 ne correspond donc pas à l’adoption du texte. C’est la date à laquelle deviennent applicables les obligations spécifiques aux modèles d’IA à usage général, ainsi que plusieurs mécanismes de gouvernance et de sanction prévus par le règlement.

Les fournisseurs de modèles déjà mis sur le marché avant le 2 août 2025 bénéficient d’une période d’adaptation plus longue : ils devront se conformer aux obligations applicables aux GPAI au plus tard le 2 août 2027. Cette distinction évite, en théorie, de soumettre immédiatement des modèles déjà disponibles à l’ensemble des nouvelles exigences.

Qu’est-ce qu’un modèle d’IA à usage général ?

Un modèle d’IA à usage général est conçu pour une large variété de tâches. Il ne se limite pas à une fonction unique, comme détecter une fraude bancaire ou analyser une radiographie. Ses capacités peuvent être intégrées dans de nombreux systèmes en aval, c’est-à-dire des produits ou services créés par d’autres entreprises.

Les grands modèles de langage font partie des exemples les plus connus. En étant entraînés sur de très vastes volumes de données, ils peuvent produire ou analyser du texte, répondre à des questions, résumer des documents, générer du code ou traduire. D’autres modèles généralistes peuvent travailler sur des images, du son, de la vidéo ou plusieurs types de contenus à la fois.

Le règlement s’intéresse à ces modèles parce qu’une défaillance à leur niveau peut se diffuser largement. Une information trompeuse, une faiblesse de cybersécurité ou une atteinte aux droits fondamentaux ne resterait pas nécessairement confinée à une seule application. Elle pourrait affecter de multiples produits bâtis sur le même socle.

Le champ d’application ne dépend pas de la nationalité de l’entreprise. Ce qui compte est notamment la mise sur le marché d’un modèle dans l’Union européenne. Une société établie hors d’Europe peut donc être concernée si elle fournit ses modèles sur le marché européen.

Transparence : ce que les fournisseurs devront communiquer

Le cœur des nouvelles règles réside dans l’obligation de documenter les modèles. L’objectif n’est pas de demander aux entreprises de révéler publiquement tous leurs secrets industriels, ni de publier l’intégralité des données d’entraînement. Il s’agit plutôt de rendre les modèles suffisamment compréhensibles pour les autorités et pour les entreprises qui les intègrent dans leurs propres services.

Les fournisseurs devront notamment établir et tenir à jour une documentation technique. Celle-ci doit permettre de comprendre les caractéristiques du modèle, ses capacités, ses limites, son mode de fonctionnement général et les informations nécessaires à son intégration dans un système d’IA. Les entreprises situées en aval doivent pouvoir évaluer si le modèle convient à l’usage qu’elles envisagent.

Les obligations prévues par l’AI Act comprennent quatre axes principaux :

• préparer une documentation technique destinée notamment à l’Office européen de l’IA et aux autorités compétentes ;
• fournir des informations et une documentation aux fournisseurs de systèmes d’IA qui intègrent le modèle ;
• mettre en place une politique garantissant le respect du droit d’auteur de l’Union européenne ;
• publier un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle, selon un modèle établi par l’Office de l’IA.

Cette dernière mesure est particulièrement attendue par les titulaires de droits. Les débats sur l’entraînement des systèmes génératifs ont mis en lumière une difficulté majeure : créateurs, éditeurs et médias savent rarement avec précision si leurs œuvres ont été utilisées, et dans quelles conditions, pour entraîner un modèle. Le règlement n’oblige pas à publier une liste exhaustive de chaque œuvre ou de chaque site utilisé. Il demande toutefois un niveau d’information permettant de mieux éclairer les pratiques d’entraînement.

Certaines exemptions existent pour les modèles diffusés sous une licence libre et ouverte. Elles ne sont pas générales et ne s’appliquent pas aux modèles présentant un risque systémique. Elles ne dispensent pas non plus les fournisseurs de respecter les règles européennes sur le droit d’auteur.

En juillet 2025, un code de bonnes pratiques pour les GPAI a également été finalisé à destination des fournisseurs. Son adoption est volontaire. Il doit offrir une voie pratique pour démontrer le respect de certaines obligations relatives à la transparence, au droit d’auteur et, pour les modèles les plus puissants, à la sûreté et à la sécurité. Il ne remplace pas le règlement lui-même.

Pourquoi l’Union européenne distingue les modèles à risque systémique

Tous les modèles à usage général ne sont pas soumis au même niveau d’exigence. L’AI Act crée une catégorie particulière : les modèles d’IA à usage général présentant un risque systémique. Ce terme ne doit pas être confondu avec celui de système d’IA « à haut risque », utilisé ailleurs dans le règlement pour désigner certains usages précis, par exemple dans l’emploi, l’éducation ou l’accès à des services essentiels.

Dans le cas des GPAI, le risque systémique renvoie à l’ampleur des capacités du modèle et à la possibilité que ses effets négatifs se propagent à grande échelle dans l’Union. Le règlement établit une présomption : un modèle est considéré comme présentant un risque systémique lorsque le volume de calcul utilisé pour son entraînement dépasse 10^25 opérations en virgule flottante. La Commission européenne peut aussi désigner un modèle sur la base de ses capacités, de son nombre d’utilisateurs, de son autonomie ou de la gravité potentielle de ses effets.

Les fournisseurs concernés devront aller au-delà de la documentation ordinaire. Ils auront notamment l’obligation de :

• réaliser des évaluations de leurs modèles, y compris au moyen de tests contradictoires ;
• évaluer et atténuer les risques systémiques susceptibles de se produire dans l’Union ;
• suivre les incidents graves et signaler les informations pertinentes à l’Office de l’IA et aux autorités nationales ;
• mettre en place un niveau approprié de protection en matière de cybersécurité.

Ces exigences cherchent à anticiper des risques tels que la facilitation de cyberattaques, la production massive de contenus trompeurs, l’usage abusif d’un modèle ou des défaillances susceptibles d’avoir une portée très large. Elles ne signifient pas qu’un modèle est dangereux par nature. Elles reposent sur l’idée qu’une technologie très puissante et très diffusée mérite des tests, une surveillance et des garde-fous proportionnés.

Qui surveillera l’application des règles ?

L’architecture de l’AI Act associe l’échelon européen et les États membres. Au niveau de l’Union, l’Office européen de l’IA, créé au sein de la Commission européenne, occupe une place centrale dans la supervision des modèles d’IA à usage général. Il doit notamment contribuer à l’application cohérente des règles, élaborer des outils de mise en œuvre et exercer des compétences de contrôle prévues par le règlement.

Les États membres devront pour leur part désigner, au plus tard le 2 août 2025, au moins une autorité de surveillance du marché et au moins une autorité notifiante. Ces deux fonctions peuvent être confiées à une même organisation. Les autorités nationales auront un rôle essentiel pour faire respecter le texte sur leur territoire, coopérer avec les institutions européennes et traiter les situations qui relèvent de leurs compétences.

Cette organisation rappelle la logique du RGPD, dans lequel les autorités nationales de protection des données coopèrent à l’échelle européenne. Mais l’AI Act couvre un périmètre différent. Il ne porte pas seulement sur les données personnelles. Il encadre aussi la conception, la mise sur le marché et l’utilisation de systèmes d’IA, avec une attention particulière aux risques qu’ils peuvent produire.

En quoi l’AI Act diffère-t-il du RGPD ?

Le rapprochement entre les deux textes est naturel : tous deux sont des règlements européens susceptibles d’influencer des entreprises bien au-delà des frontières de l’Union. Ils ont pourtant des objets distincts.

Le RGPD organise principalement la protection des données personnelles. Il fixe des principes pour leur collecte, leur traitement, leur conservation et les droits des personnes concernées. L’AI Act repose, lui, sur une approche par les risques liés aux systèmes et aux modèles d’intelligence artificielle. Il prévoit des interdictions pour certaines pratiques, des obligations renforcées pour les systèmes à haut risque et, désormais, des règles dédiées aux modèles d’IA à usage général.

Les deux cadres peuvent se croiser. Un assistant d’IA utilisé pour traiter des candidatures peut, par exemple, relever des règles du RGPD s’il traite des données personnelles, tout en étant concerné par l’AI Act en fonction de son usage et du modèle qu’il intègre. Pour les entreprises, le défi sera donc moins de choisir entre deux réglementations que de comprendre comment les respecter simultanément.

Ce qu’il faut surveiller à l’approche d’août 2025

L’entrée en application des règles sur les GPAI ouvre une phase concrète de la régulation européenne. Le premier test sera celui de la mise en œuvre : les fournisseurs devront être capables de produire une documentation utile, les autorités devront disposer des compétences techniques nécessaires et l’Office de l’IA devra faire vivre un cadre commun dans un secteur en évolution rapide.

La question de la proportionnalité sera tout aussi importante. L’Union européenne cherche à réduire les risques pour les droits fondamentaux, la sécurité et l’accès à une information fiable. Mais elle devra aussi veiller à ce que les exigences ne deviennent pas incompréhensibles ou excessivement lourdes, notamment pour les acteurs européens qui développent et intègrent des modèles.

Enfin, l’efficacité du dispositif se mesurera à sa capacité d’adaptation. Les modèles évoluent vite, leurs capacités changent et leurs usages se multiplient. En instaurant des règles directement au niveau des modèles généralistes, l’Europe fait le choix d’une gouvernance en amont. À partir d’août 2025, cette ambition devra se traduire en pratiques de transparence, de sécurité et de contrôle réellement vérifiables.