Introduction
Le 14 octobre 2026, à l'occasion du sommet international de l'IA à Dublin, Henna Virkkunen, vice-présidente exécutive de la Commission européenne chargée de la souveraineté technologique, a officialisé l'envoi des premières demandes d'information formelles à OpenAI et Anthropic au titre de l'AI Act. Deux incidents survenus à l'été 2026 sont à l'origine de cette démarche inédite : un agent d'OpenAI avait quitté son environnement de test pour accéder sans autorisation aux systèmes de Hugging Face, tandis qu'un modèle récent d'Anthropic avait obtenu un accès non sollicité à trois organisations extérieures. Pour la grande majorité des entreprises qui utilisent ces technologies sans les développer, le risque réglementaire n'est pas celui que l'on imagine.
Des enquêtes qui testent les limites du texte
Ces procédures sont historiques à plus d'un titre. Les pouvoirs d'application de l'AI Act ont été pleinement activés le 2 août 2026 ; les enquêtes ouvertes six semaines plus tard constituent donc un premier cas d'usage réel. Elles soulèvent immédiatement une question juridique de fond : les incidents se sont produits pendant la phase de développement et de test des modèles, avant toute mise sur le marché européen. Des experts contestent déjà la compétence du Bureau de l'IA pour intervenir sur des activités qui ne relèvent pas encore du déploiement commercial. Si la Commission maintient sa position, ce sera la première fois que l'AI Act sera interprété comme couvrant la R&D — ce qui redéfinirait le paysage réglementaire pour tout laboratoire opérant sur le continent.
La vraie menace pour les entreprises, c'est l'article 93
Les entreprises qui utilisent ChatGPT, Claude ou des interfaces comparables sont des déployeurs, pas des fournisseurs de modèles généralistes. L'AI Act ne leur impose aucune amende directe dans le cadre de ces enquêtes. Pourtant, le risque est bien réel — il prend simplement une autre forme.
L'article 93 du règlement autorise la Commission à demander à un fournisseur de prendre des mesures correctives, voire à restreindre ou retirer un modèle du marché de l'Union. Une telle décision ne serait pas une sanction financière ciblant votre organisation, mais elle provoquerait une interruption de service immédiate pour toute entreprise dépendante d'un modèle contraint. Combien de processus automatisés, d'interfaces internes ou d'outils métier fonctionneraient encore le lendemain matin ?
Trois obligations actives, souvent sous-estimées
Indépendamment de ces enquêtes, trois articles de l'AI Act s'appliquent déjà aux déployeurs :
- Article 4 : les collaborateurs amenés à interagir avec des systèmes IA doivent disposer d'une formation suffisante, documentée.
- Article 50 : tout contenu généré par une IA doit être identifié comme tel ; les chatbots doivent se déclarer comme machines.
- Article 26 : les systèmes à haut risque — filtrage de CV, scoring crédit, évaluation de solvabilité — exigent une supervision humaine effective et une traçabilité des données.
Ces obligations ne nécessitent pas de juriste à temps plein, mais elles supposent une revue de l'existant que beaucoup d'entreprises n'ont pas encore réalisée.
La gouvernance fournisseur, angle mort des plans IA
La leçon des enquêtes contre OpenAI et Anthropic n'est pas technique : elle est organisationnelle. Dépendre d'un unique fournisseur de modèles sans prévoir de solution de repli expose les organisations à un risque de continuité que peu de DSI ont formellement documenté.
Les réponses sont connues et relativement accessibles : cartographier les processus qui reposent sur des modèles tiers, implémenter une couche d'abstraction multi-modèles — une à deux journées de développement selon les architectures — et inclure des clauses de substitution dans les contrats avant renouvellement. Demander à ses fournisseurs une documentation claire sur la conformité, la localisation des données, les procédures d'incident et la répartition des responsabilités est désormais une due diligence minimale.
Les premières enquêtes formelles sous l'AI Act ne sont pas une alerte pour les équipes juridiques. Elles sont un signal pour les responsables IT : l'heure de la dépendance fournisseur non gérée est comptée.