blacksloth.fr

AI Act : ce que l’article 91 permet à la Commission, et ce qui reste à confirmer

Depuis le 2 août 2026, le Bureau de l’IA de la Commission européenne peut exercer ses pouvoirs de contrôle sur les fournisseurs de modèles d’IA à usage général. Il a depuis recouru à des « demandes d’informations ». Le terme désigne un outil précis, encadré par l’article 91 du règlement, et non une enquête formelle. Voici ce que dit ce texte, ce que rapportent les sources et ce qui reste inconnu.

Ce que dit l’article 91

Selon le service d’assistance AI Act de la Commission, l’article 91 permet à la Commission de réclamer au fournisseur d’un modèle d’IA à usage général la documentation prévue aux articles 53 et 55, ainsi que toute information complémentaire nécessaire pour vérifier sa conformité. D’après la version consolidée publiée par artificialintelligenceact.eu, cet article s’applique à partir du 2 août 2026.

Le texte prévoit plusieurs garde-fous. Le Bureau de l’IA peut d’abord engager un « dialogue structuré » avec le fournisseur. La demande doit ensuite indiquer sa base juridique et son objet, préciser les informations attendues et fixer un délai de réponse. Elle rappelle enfin les amendes de l’article 101 en cas d’informations inexactes, incomplètes ou trompeuses. Le groupe scientifique d’experts peut aussi, par une demande motivée, solliciter la Commission pour qu’elle réclame des informations.

Ce que l’on risque en répondant mal, ou pas du tout

L’article 101 vise notamment le fournisseur qui ne donne pas suite à une demande au titre de l’article 91, ou qui fournit des informations inexactes, incomplètes ou trompeuses. Le plafond fixé par l’article 101 est de 3 % du chiffre d’affaires annuel mondial ou de 15 millions d’euros, le montant le plus élevé étant retenu. La page de la Commission sur l’application de l’AI Act (mise à jour le 20 octobre 2026) mentionne elle aussi, pour les obligations des modèles à usage général, des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.

La page de la Commission nuance selon le type de demande : pour une demande simple, l’amende peut sanctionner une réponse inexacte ou trompeuse ; pour une demande faite par décision, elle peut aussi sanctionner l’absence de réponse ou une réponse incomplète.

Le cabinet d’avocats Matheson ajoute que le Bureau peut ensuite passer à sa propre évaluation du modèle (article 92) et imposer des mesures correctives. Dans les cas graves, il pourrait restreindre la disponibilité du modèle dans l’Union.

Une demande d’informations n’est donc pas une sanction. Selon le site NeoTeo (qui relaie Euronews sur d’autres points), c’est « an investigative step, not a penalty or a finding that a company broke the law » : une étape d’enquête, pas une sanction ni un constat d’infraction.

Ce que les sources rapportent

Le cabinet Reed Smith, dans une note du 26 octobre 2026, indique que la vice-présidente exécutive Henna Virkkunen a fait cette annonce le 14 octobre 2026, au sommet international sur l’IA de Dublin : « We have sent our first Requests for Information to providers of the most advanced models around the world » (traduit par nos soins : « Nous avons envoyé nos premières demandes d’information aux fournisseurs des modèles les plus avancés au monde »). Selon la note, ces demandes portent sur trois thèmes : la sécurité, l’évaluation externe des modèles et la surveillance après leur mise sur le marché. Les destinataires ne sont pas nommés, et la note ne précise pas la date d’envoi.

Pourtant, d’autres sources placent des envois plus tôt. Une dépêche de l’AFP reprise par The Star le 2 septembre 2026 rapporte que la Commission a annoncé le 1er septembre avoir envoyé des demandes à plus de 30 entreprises du secteur. D’après l’agence, ces demandes constituent une étape préliminaire avant une éventuelle enquête formelle. Le porte-parole Thomas Regnier a dit qu’elles portaient surtout sur la sécurité des systèmes et le respect du droit d’auteur.

Matheson date l’envoi des premières demandes du 29 août 2026, comme une note de la Cloud Security Alliance, qui parle de plus de 30 entreprises. Ces deux textes sont des analyses privées, pas des documents de la Commission. Matheson distingue de plus deux volets : des demandes sur la sécurité adressées à certains développeurs parmi les plus avancés, et des demandes sur la transparence et le droit d’auteur adressées à plus de 30 entreprises qui n’avaient pas publié de résumé de leurs données d’entraînement. Une page de relais de l’article d’Euractiv, datée du 26 août 2026, décrit déjà des demandes formelles adressées à des développeurs de modèles avancés, ainsi que des contacts sur le droit d’auteur avec plus de 30 entreprises.

Une date, ou plusieurs vagues ?

On peut y voir deux lectures compatibles. Soit les demandes de fin août ou début septembre et l’annonce du 14 octobre décrivent les mêmes envois, présentés à deux moments différents. Soit il s’agit de vagues distinctes : l’une large, sur le droit d’auteur et la sécurité, l’autre ciblée sur la sécurité des modèles les plus avancés. Les sources consultées ne permettent pas de trancher. Nous n’avons pas pu lire le texte du discours de Dublin : la Commission le met en ligne sous forme de PDF, que nos outils n’ont pas su déchiffrer, et la page qui le reproduit a répondu par une erreur. Les propos et la date du 14 octobre rapportés par Reed Smith restent donc à confirmer à la source.

Qui est visé ?

Dans les sources que nous avons pu lire, la Commission n’a pas désigné les destinataires. La note de la Cloud Security Alliance (1er octobre) écrit que « The Commission has not officially confirmed which companies received requests » (la Commission n’a pas confirmé officiellement quelles entreprises ont reçu les demandes). L’AFP (2 septembre) indique aussi que les entreprises ne sont pas nommées. Ces deux constats sont antérieurs au discours de Dublin du 14 octobre, dont nous n’avons pas lu le texte : il pourrait préciser les destinataires. Des médias en citent pourtant. NeoTeo écrit que « Euronews reported that OpenAI and Anthropic received the requests » (Euronews aurait rapporté qu’OpenAI et Anthropic ont reçu les demandes).

Il s’agit d’une information de presse, non confirmée par la Commission, et notre lecture de la source ne permet pas de dire qu’elle repose sur un document officiel. Nous ne la tenons donc pas pour établie.

Le contexte, rapporté par l’AFP, est une série d’incidents survenus lors de tests de sécurité en juillet, impliquant OpenAI et Anthropic. Selon l’agence, la Commission dit prendre ces événements très au sérieux. Le lien exact entre ces incidents et chaque demande n’est pas documenté publiquement.

Ce que l’on ne sait pas, et ce qu’il faut surveiller

  • Le nombre exact et l’identité des destinataires, et la part relevant de la sécurité plutôt que du droit d’auteur.
  • Le contenu des réponses et les délais fixés : l’article 91 impose d’en fixer un, mais aucune source lue ne le donne.
  • La suite : Matheson s’attend à d’autres demandes, à des évaluations de modèles et à une supervision accrue.

Pour un lecteur qui développe ou déploie un modèle d’IA à usage général, le point pratique est simple : la documentation exigée par les articles 53 et 55 doit pouvoir être produite sur demande, et les réponses doivent être exactes, car une réponse inexacte ou trompeuse peut être sanctionnée.

Sources

In

, , , ,
Enable Notifications OK No thanks