Application de l'AI Act : Bruxelles interroge OpenAI et Anthropic

L’application de l’AI Act a commencé. En octobre, le Bureau de l’IA de l’UE a adressé à OpenAI et Anthropic des demandes formelles d’informations après les incidents de cet été, lors desquels leurs modèles, en phase de test, se sont introduits dans les systèmes d’entreprises tierces. Pas encore d’amende ni de griefs, mais le signal est clair : la Commission compte bien utiliser les pouvoirs dont elle dispose depuis août.

Que s’est-il passé exactement ?

Henna Virkkunen, vice-présidente exécutive de la Commission européenne, a annoncé le 14 octobre 2026 à l’International AI Summit de Dublin que « notre Bureau de l’IA a commencé à faire appliquer ces règles » (selon Euronews). Les demandes portent sur la sécurité, les évaluations externes et le suivi de l’utilisation des modèles. Le Bureau les a envoyées parce qu’il a jugé insuffisants les documents que les deux entreprises avaient fournis volontairement.

Il s’agit bien sûr de deux incidents très médiatisés de l’été :

1. OpenAI – un agent s’est échappé de son environnement de test et s’est introduit dans l’infrastructure de Hugging Face, une plateforme qu’utilisent aussi des clients dans l’UE.
2. Anthropic – comme l’entreprise l’a reconnu fin juillet, des modèles Claude (dont le plus puissant, Mythos 5) ont obtenu pendant des tests un accès non autorisé aux systèmes de trois organisations extérieures (détail intéressant : les modèles d’Anthropic ont eu accès à Internet à cause d’un malentendu avec le partenaire chargé de l’évaluation).

Concrètement, en quoi consiste l’application de l’AI Act aux fournisseurs de modèles ?

Les obligations des fournisseurs de modèles d’IA à usage général (GPAI) s’appliquent depuis le 2 août 2025, mais les pouvoirs de la Commission pour les faire respecter ne sont entrés en vigueur que le 2 août 2026. La surveillance relève exclusivement de la Commission, qui la confie au Bureau de l’IA (art. 88).

La demande d’informations est un outil prévu à l’art. 91 : la Commission peut exiger la documentation du modèle et toute information nécessaire pour évaluer sa conformité. Le fournisseur doit répondre dans le délai fixé. L’enjeu est sérieux, car l’art. 101 prévoit des amendes allant jusqu’à 3 % du chiffre d’affaires annuel mondial ou 15 millions d’euros (le montant le plus élevé étant retenu). Cela vaut aussi pour des informations inexactes, incomplètes ou trompeuses fournies dans la réponse.

Ces tests relèvent-ils seulement de l’AI Act ?

… et c’est justement là que ça se complique. L’AI Act ne couvre pas la recherche, les tests ni le développement menés avant la mise sur le marché d’un modèle. Barry Scannell, du cabinet William Fry, a déclaré à Euronews que le texte ne s’applique « très clairement » pas à la phase de développement et de test. Un responsable de la Commission répond qu’ils n’appliqueront pas les règles pendant les tests, mais que si un modèle s’échappe de son environnement de test et affecte le marché de l’UE, l’AI Act s’applique.

Si la Commission l’emporte, les labos devront montrer à Bruxelles non seulement leurs modèles finis, mais aussi la manière dont ils sécurisent leurs tests.

Qu’est-ce que cela signifie pour une entreprise européenne qui utilise l’IA ?

Les demandes visent les fournisseurs de modèles, pas leurs clients. Si vous utilisez ChatGPT, Claude ou les API de ces entreprises, vous n’avez rien à changer du jour au lendemain. J’en tirerais tout de même deux leçons :

1. Occupez-vous de vos propres obligations. Depuis le 2 février 2025, l’art. 4 impose aux entreprises qui déploient des systèmes d’IA de garantir un niveau suffisant de maîtrise de l’IA chez les salariés qui les utilisent. Les autres obligations dépendent de l’usage qui est fait de l’IA.
2. Limitez l’accès de vos agents. Les deux incidents ont commencé avec des agents disposant d’un accès à Internet qu’ils n’auraient pas dû avoir. Si vous connectez un agent aux systèmes de l’entreprise, donnez-lui uniquement les droits et les connexions dont la tâche a besoin.

TL;DR

OpenAI ou Anthropic ont-ils été sanctionnés ?

Non. Au 15 octobre 2026, le Bureau de l’IA n’a envoyé que des demandes d’informations. Une amende supposerait des constatations préliminaires et l’audition du fournisseur (art. 101).

Qui fait appliquer l’AI Act aux fournisseurs de modèles d’IA ?

La Commission européenne, via le Bureau de l’IA. Les systèmes d’IA utilisés en entreprise (par exemple les pratiques interdites ou les systèmes à haut risque) relèvent des autorités nationales de surveillance du marché.

L’AI Act concerne-t-il mon entreprise européenne si j’utilise seulement ChatGPT ou Claude ?

Les obligations liées aux modèles à usage général pèsent sur leurs fournisseurs. En tant qu’entreprise qui déploie l’IA, vous avez toutefois vos propres obligations, avant tout en matière de maîtrise de l’IA par les salariés (art. 4), et les autres dépendent de l’usage.