Retour aux articles

Une date qui circule mal — et ce n'est pas un détail

Le règlement (UE) 2024/1689, publié au Journal officiel le 12 juillet 2024, est entré en vigueur le 1er août 2024. Son application est échelonnée. L'article 113 fixe au 2 août 2025 l'entrée en application des obligations relatives aux modèles d'IA à usage général (chapitre V) et au cadre de gouvernance.

La communication grand public a souvent résumé cette échéance par « 4 août 2025 ». Le décalage existe. Il ne change rien au fond, mais il révèle un problème : beaucoup d'entreprises découvrent le texte par des reprises approximatives, pas par la source.

Pour un dirigeant, la vraie question n'est pas la date exacte. C'est : qu'est-ce qui devient obligatoire, pour qui, et avec quel risque financier ?

Ce que le texte appelle un « modèle à usage général »

Un GPAI, c'est un modèle entraîné sur de grandes quantités de données, capable d'accomplir un large éventail de tâches, et intégré en aval dans de nombreux systèmes. Autrement dit : les grands modèles de langage, les modèles multimodaux, les fondations sur lesquelles vos outils internes sont construits.

Le règlement impose aux fournisseurs de ces modèles trois obligations structurantes :

• Une documentation technique du modèle.
• Un résumé des données d'entraînement publié.
• Une politique de droits d'auteur conforme.

Ces obligations pèsent d'abord sur les fournisseurs de modèles. Mais elles ruissellent sur vous : si vous intégrez un GPAI dans un processus métier, vous devrez documenter ce que vous achetez, à qui, pour quoi.

Le seuil des 10^25 FLOP : qui est vraiment concerné

Le règlement fixe un seuil de présomption de « risque systémique » à 10^25 opérations de calcul (FLOP) pour l'entraînement d'un modèle GPAI. Au-delà, le fournisseur doit notifier la Commission, réaliser des évaluations de modèle, des tests adversariaux et déclarer les incidents graves.

Ce seuil concerne une poignée d'acteurs mondiaux. Mais il structure tout l'écosystème : les fournisseurs en dessous doivent déjà documenter, et ceux au-dessus basculent dans un régime de surveillance renforcée.

Pour une entreprise utilisatrice, la conséquence est simple : votre fournisseur de modèle doit pouvoir vous dire dans quel régime il se trouve. Si personne ne peut répondre à cette question dans la chaîne, vous avez un problème de gouvernance.

Le Code of Practice : l'outil que la Commission met sur la table

La Commission européenne a publié un Code de bonnes pratiques (Code of Practice) pour les modèles d'IA à usage général, destiné à aider les fournisseurs à démontrer leur conformité avant l'échéance d'août 2025. Une première version a été publiée en 2025.

Ce code n'est pas une loi. C'est un référentiel volontaire. Mais dans la pratique, il devient le langage commun entre fournisseurs, auditeurs et régulateurs. Les entreprises qui l'ignorent se retrouveront à devoir justifier pourquoi elles ne l'utilisent pas.

Ce qui est déjà en vigueur — et que beaucoup ont manqué

Les dispositions générales et les interdictions sont applicables depuis le 2 février 2025. Cela inclut les pratiques interdites : notation sociale, manipulation, certaines formes de surveillance.

Autrement dit : la partie la plus répressive du texte est déjà active. Les entreprises qui attendent août 2025 pour « commencer à regarder » ont six mois de retard sur le volet le plus sensible.

Les obligations de transparence pour les systèmes interagissant avec des humains (chatbots, deepfakes) s'appliquent, elles, à partir du 2 août 2026 pour certains cas. Puis le 2 août 2026 pour les systèmes à haut risque, et le 2 août 2027 pour certains cas intégrés à des produits réglementés.

Qui surveille ? L'AI Office et les autorités nationales

L'AI Office a été créé au sein de la Commission européenne pour superviser les modèles GPAI et coordonner l'application avec les autorités nationales. Chaque État membre doit structurer sa propre autorité de surveillance.

En France, la CNIL a publié des recommandations sur l'IA et des fiches pratiques pour les entreprises. En Suisse, le Conseil fédéral a adopté une approche sectorielle, sans loi IA unique — ce qui crée une asymétrie pour les entreprises franco-suisses exportant vers l'UE.

Le point à retenir : le régulateur ne sera pas un interlocuteur abstrait à Bruxelles. Il sera national, sectoriel, et de plus en plus outillé.

Les référentiels qui s'empilent : AI Act, NIST, ISO 42001

Le NIST (États-Unis) a publié son AI Risk Management Framework (AI RMF 1.0) en janvier 2023. L'ISO/IEC 42001:2023, publiée en décembre 2023, est la première norme internationale de système de management de l'IA (AIMS). Elle est fréquemment citée comme base de conformité opérationnelle à l'AI Act.

L'OCDE a mis à jour ses principes sur l'IA en 2024, et l'AI Act s'en inspire largement : approche par les risques, droits fondamentaux, transparence.

Pour un dirigeant, cela signifie une chose : vous n'aurez pas un référentiel, vous en aurez trois ou quatre. La question n'est pas de choisir le bon. C'est de construire une gouvernance qui tient dans plusieurs cadres à la fois.

Le contexte politique : Draghi, Letta, et la compétitivité

Le rapport Draghi sur la compétitivité européenne (septembre 2024) identifie l'IA comme levier clé et souligne l'enjeu d'articuler régulation et innovation. Le rapport Letta sur le marché unique (avril 2024) plaide pour une intégration plus poussée de l'IA dans les politiques industrielles européennes.

Ces deux textes disent la même chose : l'Europe veut réguler, mais elle sait que la régulation seule ne crée pas de champions. Pour une entreprise, cela ouvre une fenêtre : se mettre en conformité tôt peut devenir un argument commercial, pas seulement un coût.

Ce que les éditeurs outillent déjà

SAP a communiqué sur l'intégration de l'IA dans ses suites (Joule, Business AI) et sur la nécessité d'une gouvernance alignée sur les régulations, dont l'AI Act. Microsoft a publié des engagements et outils de gouvernance IA (Responsible AI Standard, Azure AI Content Safety, Copilot). Google a publié un cadre de gouvernance IA (AI Principles, Secure AI Framework — SAIF). IBM a publié des travaux sur la gouvernance IA (watsonx.governance).

Ces offres ne vous dispensent pas de gouvernance. Elles vous donnent des briques. La responsabilité reste chez vous.

Ce que vous pouvez faire dans les 90 jours

Voici une checklist opérationnelle, sans jargon :

• Cartographier vos usages IA : qui utilise quoi, dans quel processus, avec quelles données.
• Construire un registre de modèles : fournisseur, version, régime (GPAI ou non), seuil FLOP si connu.
• Auditer vos contrats fournisseurs : que vous garantit-on sur la documentation, les données d'entraînement, la politique copyright ?
• Clarifier les rôles internes : DPO, RSSI, DSI, juridique. Qui porte la gouvernance IA ?
• Choisir un référentiel : ISO/IEC 42001 comme colonne vertébrale, NIST AI RMF en complément.
• Documenter vos décisions : ce qui n'est pas écrit n'existe pas face à un régulateur.

Notre position : la conformité n'est pas un coût, c'est un filtre

Beaucoup d'entreprises traitent l'AI Act comme une contrainte administrative. C'est une erreur de lecture. Le texte crée un filtre de marché : les fournisseurs qui ne peuvent pas documenter leurs modèles sortiront de vos appels d'offres. Les entreprises qui peuvent prouver leur gouvernance gagneront des contrats.

La vraie question n'est pas « comment éviter l'amende ». C'est : votre gouvernance IA est-elle un actif ou un passif ? Dans douze mois, la réponse sera visible dans vos deals.

« L'AI Act n'est pas un texte technique. C'est un texte de responsabilité. Il oblige chaque entreprise à savoir ce qu'elle fait avec l'IA — et à pouvoir le prouver. »

— Synthèse Ï-NAYA à partir du règlement (UE) 2024/1689 et des publications de la Commission européenne.

FAQ : ce que les dirigeants demandent vraiment

La date exacte, c'est le 2 ou le 4 août 2025 ?
Le règlement (article 113) fixe le 2 août 2025. La mention « 4 août » circule largement mais ne correspond pas au texte. Vérifiez toujours à la source.

Mon entreprise n'entraîne pas de modèle. Suis-je concernée ?
Oui, si vous intégrez un GPAI dans un processus métier. Vous n'êtes pas fournisseur, mais vous êtes utilisateur — et vous devez pouvoir documenter ce que vous utilisez.

Quelles amendes encoure-t-on ?
Jusqu'à 35 M€ ou 7 % du CA mondial annuel pour les pratiques interdites, et 15 M€ ou 3 % pour d'autres manquements, dont GPAI (article 99).

Le Code of Practice est-il obligatoire ?
Non, il est volontaire. Mais il devient le langage commun entre fournisseurs, auditeurs et régulateurs. Ne pas l'utiliser demande une justification.

Et si je suis en Suisse ?
Le Conseil fédéral a adopté une approche sectorielle, sans loi IA unique. Mais si vous exportez vers l'UE ou utilisez des modèles GPAI, l'AI Act s'applique à vous.

Pour aller plus loin

Chez Ï-NAYA, nous accompagnons les dirigeants sur trois terrains : la gouvernance IA, la conformité AI Act, et l'articulation Data / IA dans les systèmes SAP et les suites métier.

Si vous voulez cadrer votre feuille de route avant août 2025, nous proposons un audit AI Act en 10 jours et une mission d'accompagnement gouvernance.

Et si vous préférez commencer par une conversation, prenez 30 minutes avec nous. Sans slide, sans jargon.

Retour aux articles