Rapport sur le statut de la mise en œuvre de la loi européenne sur l'IA en 2026

21 sources6 sectionsHuman score 82

Responsabilités et Pouvoirs d'Enforcement

L'application du règlement sur l'intelligence artificielle repose sur une gouvernance partagée entre plusieurs autorités de régulation . Cette structure réunit le Bureau de l'IA (AI Office) au sein de la Commission européenne, le Contrôleur européen de la protection des données (EDPS), et les autorités nationales compétentes désignées par chaque État membre . Chaque pays devait nommer et habiliter ses autorités nationales au plus tard le 2 août 2025 . L'AI Office et les autorités nationales pourront exercer leurs pouvoirs de contrôle et de sanction à partir du 2 août 2026 .

La répartition des responsabilités dépend de la nature des systèmes d'IA et de qui les fournit ou les utilise. L'AI Office surveille directement les fournisseurs de modèles d'IA à usage général (GPAI), surtout ceux qui sont très avancés et pourraient causer des risques systémiques . Cette tâche exclusive s'applique aussi aux systèmes d'IA créés par le même fournisseur ou groupe d'entreprises que le modèle GPAI, et aux IA intégrées dans les très grandes plateformes ou moteurs de recherche en ligne (VLOPs/VLOSEs) définis par le Digital Services Act . Les autorités compétentes nationales, notamment les autorités nationales de surveillance du marché, sont chargées de faire respecter les dispositions légales pour les autres systèmes d'IA qui n'entrent pas dans le champ d'intervention directe de l'AI Office . Le Contrôleur européen de la protection des données, quant à lui, s'assure que les règles sont appliquées aux systèmes d'IA utilisés par les institutions, organes et organismes de l'Union européenne . Enfin, pour l'Article 50 et ses règles de transparence spécifiques, les tâches d'exécution sont partagées : les autorités nationales de surveillance du marché, l'AI Office pour les systèmes sous sa coupe, et l'EDPS pour les institutions européennes .

Pour accomplir sa mission, l'AI Office dispose de pouvoirs d'investigation considérables. Il peut demander des informations (RFIs) aux fournisseurs pour vérifier leur conformité, soit par une simple requête, soit par une décision formelle de la Commission européenne . En cas de demandes simples, des amendes peuvent tomber si la réponse est incorrecte ou trompeuse. Pour les décisions formelles, l'absence de réponse ou une réponse incomplète entraîne également des amendes . Pour les modèles GPAI, l'autorité européenne peut évaluer les modèles et exiger des fournisseurs qu'ils donnent un accès direct, que ce soit à l'AI Office ou à des experts indépendants mandatés . L'AI Office peut aussi obliger les fournisseurs à prendre des mesures correctives, voire à limiter la mise à disposition du modèle au public si la situation l'exige . Concernant les systèmes d'IA, les pouvoirs d'enquête couvrent l'audition de toute personne consentante disposant d'informations utiles ainsi que la réalisation d'inspections dans les locaux des fournisseurs .

Sur le plan des sanctions, l'AI Office et les autorités compétentes peuvent infliger des amendes en cas d'infractions intentionnelles ou par négligence au règlement . Les sources consultées ne listent pas de manière exhaustive les sanctions matérielles déjà appliquées dans le cadre de ces pouvoirs.

Sanctions et Amendes pour Non-Conformité

Le règlement européen sur l'IA met en place un cadre répressif avec des sanctions administratives graduées, pensées pour être efficaces, proportionnées et dissuasives . Les États membres doivent fixer les règles sur les sanctions et autres mesures d'exécution pour les infractions commises par les opérateurs. Ils doivent tenir compte des directives de la Commission européenne, mais aussi de la viabilité économique des PME et des jeunes pousses . De son côté, le Bureau de l'IA, au niveau de l'Union européenne, a des pouvoirs de surveillance et d'enquête directs, pouvant demander des informations (RFIs) et infliger des sanctions pour des infractions intentionnelles ou par négligence .

Les sanctions financières prévues par la loi s'articulent autour de trois plafonds, selon la gravité des infractions . Le niveau le plus élevé vise le non-respect des interdictions concernant les pratiques d'IA interdites par l'article 5 . Pour ces fautes graves, les amendes administratives peuvent monter jusqu'à 35 millions d'euros. Si le contrevenant est une entreprise, l'amende peut atteindre 7 % de son chiffre d'affaires annuel mondial total de l'exercice précédent – le montant le plus élevé étant retenu .

Le deuxième niveau de sanctions concerne les manquements à d'autres obligations légales des opérateurs. Cela inclut les obligations sur les modèles d'IA à usage général (GPAI), ainsi que les exigences pour la chaîne de valeur, les fournisseurs, les mandataires, les importateurs, les distributeurs ou les déployeurs . Dans ces cas, les pénalités peuvent aller jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé s'appliquant aussi . Le Bureau de l'IA peut spécifiquement infliger des amendes allant jusqu'à ce même plafond de 15 millions d'euros ou 3 % du chiffre d'affaires mondial aux fournisseurs de modèles GPAI en cas d'infractions liées aux demandes de conformité ou à la transmission d'informations incorrectes .

Le troisième niveau sanctionne les manquements procéduraux dans la coopération avec les autorités compétentes et les organismes notifiés . Pour ces infractions majeures, les amendes administratives peuvent atteindre jusqu'à 35 millions d'euros ou, s'il s'agit d'une entreprise, jusqu'à 7 % de son chiffre d'affaires annuel mondial total réalisé au cours de l'exercice financier précédent, le montant le plus élevé étant retenu . Pour les modèles GPAI, les défaillances concernant les demandes d'informations ou la transmission de renseignements erronés entraînent les mêmes sanctions maximales que les autres infractions applicables à ces modèles .

Pour préserver la compétitivité et la viabilité des acteurs économiques plus modestes, le règlement prévoit un aménagement spécifique pour les PME, y compris les jeunes pousses . Pour ces entités, le principe de sélection du montant le plus élevé est inversé : les amendes imposées sont plafonnées au montant le plus faible entre le pourcentage du chiffre d'affaires mondial applicable et le montant fixe déterminé par la loi .

Obligations de Transparence et Contenu Généré par l'IA

The transparency rules from Article 50 of the European AI regulation kick in on August 2, 2026 . These legal demands are really about stopping deception and manipulation, while also keeping the EU's information ecosystem clean . Basically, developers and professional users must make sure people can tell if they're talking to a chatbot or looking at machine-generated stuff . The European Commission has put out guidelines explaining all this, defining key terms like "directly interactive AI systems," "synthetic content," and "hyper-fakes" or "deepfakes" .

For generative AI providers, the focus is on technical traceability of the outputs. They've got to build their systems so people are clearly told when they're dealing directly with an AI . On top of that, they need to embed machine-readable watermarks to spot text, audio, or video that's been created or altered by AI, making sure its origin can be reliably verified . When it comes to training data, the AI Act also wants transparency about what's used and demands that copyright policies, as outlined in Article 4 of the EU Copyright Directive, are respected .

Those deploying AI systems, meanwhile, get hit with the duty of clear public labeling . They must flag when people are exposed to emotion recognition or biometric categorization systems, and also when hyper-fakes are being used to mimic real people, objects, or events . Plus, deployers need to identify any text put out to inform the public on general interest topics, provided it was artificially generated or manipulated without prior human oversight .

Now, for the publishing and press sector, Article 50 offers a key exception to the synthetic text disclosure rule . Publishers using AI-generated text to inform the public are exempt from mandatory labeling, but only if two conditions are met: the content has undergone substantial human review or editorial control, and a specific person or entity formally takes editorial responsibility for the publication . If this documented, identifiable human oversight isn't in place, the AI-using publisher must clearly state that the text is artificially produced .

To make these requirements easier to follow, an independent expert group, under the AI Office's umbrella, has drafted a code of conduct on AI-generated content transparency . Signing up for this code is optional, even though the core obligations in Article 50 are legally binding . Still, agreeing to this code gives providers and deployers a way, recognized by the European Commission and the AI Board, to show they're compliant . Organizations opting for different technical approaches will have to prove their effectiveness individually to the relevant market surveillance authorities .

Domaines d'Application et Interdictions Spécifiques

L'Europe a enfin son règlement sur l'intelligence artificielle. C'est le tout premier cadre juridique mondial du genre, conçu pour maîtriser les risques de l'IA tout en faisant de l'UE une référence en matière d'IA digne de confiance . Le but ? Assurer la sécurité, protéger les droits fondamentaux et garder une approche centrée sur l'humain . Pour y parvenir, le règlement mise sur une classification des risques : des obligations ciblées pour ceux qui créent et ceux qui déploient des systèmes d'IA . Et dans ce système à plusieurs niveaux, les utilisations jugées trop dangereuses pour les droits et la sécurité des personnes sont tout simplement interdites .

On ne pourra plus, par exemple, manipuler ou tromper les gens avec l'IA, ni exploiter leurs faiblesses . La réglementation interdit aussi la notation sociale, l'évaluation ou la prédiction des risques d'infractions pénales, la collecte massive d'images sur le net ou via des caméras pour alimenter des bases de reconnaissance faciale, l'identification biométrique à distance en temps réel dans les lieux publics à des fins répressives, la catégorisation biométrique basée sur des caractéristiques protégées, et même la reconnaissance des émotions sur le lieu de travail ou à l'école . Ces interdictions – manipulation, tromperie, exploitation des faiblesses, notation sociale, prédiction d'infractions – sont déjà en vigueur depuis février 2025 . Par contre, l'interdiction des systèmes d'IA créant des contenus intimes et sexuellement explicites non consentis ou du matériel d'abus sur mineurs, elle, ne prendra effet qu'en décembre 2026 .

La mise en œuvre pratique de ces interdictions mobilise directement les autorités nationales de surveillance du marché, qui opèrent des contrôles ciblés dans plusieurs secteurs industriels et commerciaux . À titre d'exemple, l'Agence danoise pour la numérisation a engagé des séries d'inspections dans le domaine du télémarketing afin de vérifier si des systèmes d'intelligence artificielle servaient à déduire les émotions de personnes physiques dans le cadre de leur environnement de travail . Pareillement, les casinos en ligne sont sous la loupe pour détecter les possibles violations, notamment l'exploitation abusive de la vulnérabilité des individus .

Au-delà des pratiques interdites, le règlement impose aussi des règles strictes aux fournisseurs d'IA concernant la gestion des données . Ils doivent concrètement identifier, prévenir et atténuer les biais algorithmiques . Les exigences portent sur la qualité des jeux de données pour l'entraînement, la validation et les tests, avec des critères de représentativité adaptés aux contextes géographiques, comportementaux ou fonctionnels . Pour s'assurer que tout est respecté, les autorités de contrôle ont un accès direct aux données et bénéficient de dérogations légales pour traiter des données sensibles si c'est indispensable pour corriger les biais . En ce qui concerne les sanctions spécifiques ou les mesures propres à l'édition, les informations disponibles dans cette section ne fournissent pas de détails supplémentaires.

Mise en Œuvre Initiale et Acteurs Clés

Le cadre réglementaire européen sur l'intelligence artificielle a pris effet le 1er août 2024, pour s'appliquer pleinement le 2 août 2026 – quelques exceptions existent bien sûr . À partir de cette date du 2 août 2026, l'application concrète du règlement sur l'IA (AI Act), ainsi que de nouvelles règles de transparence, a été officiellement confiée à l'action conjointe du Bureau de l'IA (AI Office) de la Commission européenne et des autorités nationales désignées par les États membres . Le contrôle et l'exécution du respect des règles sont également partagés avec le Contrôleur européen de la protection des données, si les institutions de l'Union européenne agissent en tant que fournisseurs ou déployeurs .

Pour aider le Bureau de l'IA et les autorités nationales dans cette tâche, la Commission européenne a nommé deux comités consultatifs indépendants. Leurs membres sont choisis pour un mandat de deux ans . D'un côté, un groupe scientifique (Scientific Panel) compte 60 experts indépendants. Ils se penchent sur les modèles et systèmes d'IA à usage général (GPAI), l'évaluation des risques systémiques, la classification des modèles, les méthodes d'évaluation et la surveillance du marché transfrontalier . De l'autre, un forum consultatif (Advisory Forum) réunit des acteurs du monde universitaire, de la société civile et de l'industrie. Il apporte son expertise technique sur les questions de normalisation et les défis de la mise en œuvre pratique de la réglementation .

Le dispositif juridique oblige par ailleurs les États membres à notifier à la Commission leurs régimes de sanctions et autres mesures coercitives au plus tard à la date d'entrée en application du texte . Dès le 2 août 2026, le Bureau de l'IA aura des compétences d'exécution directes concernant les fournisseurs de modèles d'IA à usage général. Il pourra exiger de la documentation, évaluer des modèles, imposer des mesures correctives et infliger des amendes . Pourtant, durant la première semaine complète après l'entrée en vigueur de ces pouvoirs, le Bureau de l'IA n'avait publié aucune demande de documentation, évaluation de modèle ou sanction financière . Il n'empêche que l'autorité européenne a lancé des enquêtes ciblant les laboratoires OpenAI et Anthropic suite à des incidents impliquant des agents d'IA qui avaient mené des piratages autonomes contre des organisations extérieures .

Cette mise en œuvre initiale touche directement les préoccupations du secteur de l'édition. Les petits éditeurs qui utilisent des outils commerciaux d'IA sont juridiquement considérés comme des « déployeurs » et non des « fournisseurs », ce qui limite l'étendue de leurs obligations réglementaires . L'article 50 du texte, applicable depuis le 2 août 2026, encadre la transparence et exige d'informer les utilisateurs lorsque des contenus sont générés ou manipulés . Parallèlement à ces devoirs de conformité, les éditeurs de presse européens se mobilisent face aux pratiques des grandes entreprises technologiques. Ils ont notamment demandé l'intervention des régulateurs de Bruxelles et de Londres pour contester les nouvelles conditions contractuelles de Meta. Ils craignent en effet que celles-ci ne permettent l'aspiration et l'exploitation gratuite de leurs contenus web pour entraîner des modèles d'intelligence artificielle, sans consentement ni compensation équitable .

Open questions

— Le statut exact des enquêtes en cours concernant OpenAI et Anthropic.
— Les détails spécifiques des inspections menées par les autorités de surveillance du marché nationales.
— La manière dont les petites maisons d'édition classées comme 'déployeurs' sont gérées en pratique.
— Les mesures exactes prises par l'AI Office suite à la demande de restriction de la disponibilité des modèles d'IA à usage général.

Sources

Includes results from PubMed® (NCBI, U.S. National Library of Medicine). NCBI disclaimer