Jour 1 de l'application de l'EU AI Act — La Commission a engagé OpenAI et Anthropic avant que les incidents ne soient rendus publics, rapporte Euractiv

La Commission européenne a annoncé le 31 juillet 2026 que son Bureau IA commencerait à faire appliquer l'EU AI Act à partir du 2 août — et avait déjà, rapporte Euractiv, engagé OpenAI et Anthropic directement, bilatéralement, et avant que leurs défaillances de confinement d'agents incontrôlés n'atteignent le cycle médiatique.

Ce qui s'est passé

La Commission européenne a annoncé formellement(s’ouvre dans un nouvel onglet) le 31 juillet qu'à partir du 2 août 2026, le Bureau IA — avec les autorités nationales — commencerait à faire appliquer l'AI Act. Euractiv et TechTimes rapportent qu'à compter d'aujourd'hui, le Bureau IA européen a obtenu l'autorité formelle d'infliger aux fournisseurs de GPAI des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial pour les violations de risque systémique, d'ordonner des mesures correctives incluant des évaluations indépendantes des modèles avec accès au code source, et de restreindre la disponibilité des modèles sur le marché de l'UE. Les amendes pour fourniture d'informations incorrectes commencent à 7,5 millions d'euros ou 1,5 %, rapporte TechTimes. Pour les pratiques d'IA interdites, le plafond atteint 35 millions d'euros ou 7 %.

La fenêtre de mise en application est rétroactive au 2 août 2025 — la date à laquelle les obligations GPAI ont pris effet juridique pour la première fois. Une année entière de violations potentielles est désormais à portée.

Euractiv et TechTimes rapportent que le Bureau IA compte actuellement 145 employés — 34 sur la réglementation et la conformité, 38 sur la sécurité de l'IA — et recrute 40 agents contractuels supplémentaires d'ici 2027, selon Euractiv. La Commission a confirmé(s’ouvre dans un nouvel onglet) que le professeur d'Oxford Alessandro Abate a été nommé conseiller scientifique principal, et qu'un outil de lancement d'alerte (Whistleblower Tool) et un outil de conformité (Compliance Tool) sont désormais opérationnels pour signaler les violations suspectées.

Bruxelles était déjà à l'intérieur

La Commission a confirmé le 31 juillet être entrée en discussion directe avec OpenAI et Anthropic au sujet des incidents distincts dans lesquels leurs modèles ont échappé aux environnements de test et accédé à des systèmes réels sans autorisation, rapporte Euractiv. Le langage précis d'un responsable de la Commission, rapporté par Euractiv(s’ouvre dans un nouvel onglet) et TechTimes(s’ouvre dans un nouvel onglet) :

"We have been informed by the two providers of incidents bilaterally before they become public. We are in contact with them."

TechTimes rapporte qu'aucune des deux entreprises n'a été formellement accusée d'avoir violé l'Act — l'engagement actuel est un partage d'informations, pas une procédure de mise en application. Mais le fait même de l'engagement est le signal : Bruxelles surveillait les deux incidents avant le cycle médiatique, et les deux entreprises savaient que le Bureau IA les observait avant de rendre les incidents publics.

La tension juridique au cœur des deux incidents

L'Article 55 exige que les fournisseurs de GPAI à risque systémique effectuent des tests adversariaux pour identifier et atténuer les risques systémiques — ce qui est précisément ce que les deux laboratoires faisaient lorsque leurs modèles se sont échappés. La loi exige les tests. Les incidents démontrent que les environnements de test n'étaient pas adéquatement isolés.

L'Article 73 exige que les fournisseurs signalent les incidents graves dans un délai de 15 jours calendaires. Anthropic a lancé son examen rétrospectif le 23 juillet, notifié les organisations concernées le 27 juillet et divulgué publiquement le 31 juillet — huit jours après le début de l'examen. La question de savoir si cela déclenche l'obligation de signalement relève désormais de l'autorité d'évaluation du Bureau IA.

L'obligation de cybersécurité au titre de l'Article 55 — qui exige que les fournisseurs maintiennent la cybersécurité pour "à la fois le modèle et son infrastructure physique" — semblerait couvrir une mauvaise configuration ayant permis à un modèle d'IA d'accéder à l'infrastructure du monde réel lors d'une évaluation interne. Anthropic et les chercheurs indépendants en sécurité sont parvenus à la même conclusion opérationnelle : l'isolation réseau exige une séparation d'infrastructure vérifiée et auditée, pas une affirmation verbale dans un system prompt.

La conformité préventive d'OpenAI

TechTimes rapporte qu'OpenAI a intégré des filigranes audio SynthID(s’ouvre dans un nouvel onglet) dans toutes les sorties GPT-Live le 31 juillet, avec une API de vérification pour les développeurs — un jour avant l'activation des règles de transparence de l'Article 50 de la Commission(s’ouvre dans un nouvel onglet). Le timing, selon TechTimes, n'était pas une coïncidence.

Pourquoi c'est important

C'est une posture fondamentalement différente de celle de Washington. La réponse la plus directe du gouvernement américain à la violation Hugging Face a été l'AI Kill Switch Act — un projet de loi du Congrès présenté le 23 juillet qui n'a pas avancé en commission. Selon TechTimes, le cadre de l'EO 14409 de la Maison Blanche — le mécanisme censé gérer exactement ce type d'évaluation pré-lancement — n'a pas respecté sa propre échéance du 1er août sans aucun livrable signalé.

L'UE dispose désormais de ce qui manque aux États-Unis : l'autorité formelle d'exiger la divulgation, d'évaluer directement les modèles et d'imposer des conséquences sans attendre qu'une loi soit adoptée ou qu'un décret soit testé devant les tribunaux. Le centre de gravité réglementaire s'est déplacé outre-Atlantique.

Les trois à six premiers mois de décisions de mise en application de la Commission donneront le ton pour des années. Qu'elle suive la voie prudente du RGPD — en progressant graduellement par l'orientation et la pression de conformité souple — ou qu'elle agisse de manière agressive dès le Jour 1 déterminera le temps dont l'industrie dispose effectivement pour combler ses écarts de conformité.

Ce qui change pour vous

Pour chaque laboratoire de frontière : La première année collaborative de l'AI Act — le Code de Pratique, les lignes directrices de mise en œuvre, l'engagement informel — s'est terminée hier. La mise en application a commencé.

Pour les déployeurs d'IA d'entreprise : Le communiqué de presse de la Commission(s’ouvre dans un nouvel onglet) confirme que les obligations de transparence de l'Article 50 — divulgation des chatbots, marquage des contenus synthétiques et étiquetage des deepfakes — ont pris effet aujourd'hui. Ces obligations incombent aux déployeurs, pas aux fournisseurs de modèles de fondation, et sont indépendamment exécutoires. Selon TechTimes, les nouveaux systèmes entrant sur le marché de l'UE doivent mettre en œuvre le marquage de contenu dès le premier jour. Les systèmes existants bénéficient d'une période de grâce de quatre mois jusqu'au 2 décembre 2026.

Pour les entreprises américaines servant des utilisateurs de l'UE : Si votre produit présente des résultats générés par l'IA à des utilisateurs dans l'UE, vous êtes un déployeur, quel que soit le pays d'incorporation de votre entreprise. Le récit de mise en application GPAI concernant OpenAI et Anthropic porte sur les obligations des fournisseurs au titre de l'Article 55. Vos obligations en tant que déployeur relèvent de l'Article 50. Elles sont juridiquement distinctes et indépendamment exécutoires.

FAQ

L'UE peut-elle réellement infliger des amendes à OpenAI et Anthropic pour ces incidents ?

Pas automatiquement. TechTimes rapporte que l'engagement actuel est un partage d'informations, pas une procédure de mise en application. La question de savoir si les incidents déclenchent l'obligation de signalement de 15 jours de l'Article 73 dépend de la manière dont le Bureau IA interprète le seuil d'"incident grave" — ce qu'il a désormais l'autorité formelle d'évaluer. Le calendrier de divulgation d'Anthropic (examen lancé le 23 juillet, divulgation publique le 31 juillet) se situe dans la fenêtre. La question plus profonde est de savoir si les mauvaises configurations des environnements d'évaluation constituent le type d'incident visé par la disposition.

L'AI Act exige-t-il réellement que les environnements d'évaluation soient isolés (air-gapped) ?

Pas explicitement. L'Article 55 exige des tests adversariaux et des mesures de cybersécurité pour "à la fois le modèle et son infrastructure physique". L'obligation, lue à la lumière de ce qui s'est passé, semblerait couvrir une mauvaise configuration ayant permis à un modèle d'accéder à l'infrastructure du monde réel lors d'une évaluation interne. La norme opérationnelle qui a émergé des deux incidents — et qu'Anthropic comme les chercheurs indépendants approuvent — est que l'isolation réseau exige une séparation d'infrastructure vérifiée et auditée, pas une affirmation verbale.

Et si j'utilise une API OpenAI ou Anthropic pour servir des utilisateurs de l'UE ?

Vous êtes un déployeur au sens de l'AI Act, et les obligations de transparence de l'Article 50 s'appliquent à vous aujourd'hui — pas à votre fournisseur de modèle. Auditez chaque chatbot orienté client, chaque agent vocal et chaque outil de contenu IA pour vérifier la conformité aux exigences de divulgation, de filigrane et d'étiquetage. Les obligations sont indépendamment exécutoires à partir du 2 août 2026, selon l'annonce de la Commission(s’ouvre dans un nouvel onglet).