La Commission européenne a confirmé le 1er septembre 2026 avoir envoyé des demandes d'information à plus de 30 entreprises d'intelligence artificielle. Un porte-parole de la Commission les a présentées comme les premières demandes liées à une action de contrôle engagée par la Commission au titre du règlement sur l'IA. Les questions portent sur deux domaines généraux : la sûreté et la sécurité des modèles avancés et à usage général, puis le droit d'auteur et la transparence pour un autre groupe d'entreprises.
Il s'agit d'une première étape de contrôle, pas d'une conclusion selon laquelle une entreprise nommée aurait enfreint la loi. La Commission n'a pas identifié les destinataires et n'a pas confirmé qu'OpenAI ou Anthropic avaient reçu une demande formelle. Elle a toutefois confirmé des échanges récents avec les deux entreprises au sujet des risques de cybersécurité.
Ce que la Commission a confirmé
La source principale est la transcription du point presse de la Commission du 1er septembre. Son porte-parole Thomas Regnier a indiqué que les demandes avaient été adressées à plus de 30 entreprises d'IA. Il les a qualifiées de premières demandes dans le cadre d'une action de contrôle commencée par la Commission. Il a réparti les sujets en deux groupes :
- la sûreté et la sécurité, notamment pour les modèles d'IA à usage général et les plus avancés ; et
- les questions de droit d'auteur et de transparence concernant un autre ensemble d'entreprises.
La Commission a refusé de nommer les destinataires, car il s'agit de demandes d'information et que le dialogue se poursuit. Les articles indépendants d'ANSA et de The Star ont rapporté le même périmètre et souligné le caractère préliminaire de la démarche. Une demande peut alimenter une supervision ou une enquête ultérieure. Elle ne constitue ni une sanction, ni une décision d'infraction, ni une preuve de non-conformité.
Cette distinction est essentielle. Une entreprise ne devrait pas se présenter comme visée par une enquête formelle au seul motif qu'elle a reçu des questions. Il ne faut pas non plus déduire que toute entreprise mentionnée pendant le point presse figure parmi les destinataires.
Pourquoi ces demandes transforment le travail de conformité
Une demande d'information transforme une obligation abstraite en exercice concret de production de preuves. Un fournisseur peut devoir expliquer comment un modèle a été classé, quels risques ont été évalués, quelles mesures de protection ont été testées et comment les incidents ou changements ont été traités. Les questions sur le droit d'auteur et la transparence peuvent exiger d'autres preuves relatives aux politiques, à la documentation technique, aux informations publiées et à leur mise en œuvre.
Les équipes doivent préparer des dossiers qui relient les obligations juridiques au système réellement exploité :
| Question de preuve | Dossier utile |
|---|---|
| Quel modèle ou système est concerné ? | version, état de publication, responsable, régions de déploiement et services connectés |
| Quel risque a été évalué ? | modèle de menace, plan d'évaluation, résultats, limites et décision sur le risque résiduel |
| Quelle mesure est active ? | configuration, version de politique, règle de surveillance, contrôle d'accès et historique des changements |
| Que s'est-il passé après un incident ? | chronologie, systèmes affectés, confinement, décision de notification, correction et vérification |
| Comment la transparence est-elle assurée ? | information utilisateur, documentation technique, données sur le modèle, historique des mises à jour et responsable |
| Comment la politique de droit d'auteur est-elle appliquée ? | politique écrite, dossiers de données et de processus, exceptions, circuit de revue et preuve de fonctionnement |
Les documents exacts dépendront de la demande et du rôle du destinataire au titre du règlement sur l'IA. La transcription publique ne contient ni questionnaire, ni délai, ni fondement juridique détaillé, ni liste d'entreprises. Ces éléments ne doivent pas être inventés.
Mesures pratiques pour les fournisseurs et déployeurs
Les organisations peuvent améliorer leur préparation sans supposer qu'elles ont reçu une demande.
- Réconcilier l'inventaire d'IA. Relier chaque modèle, agent, fonctionnalité, outil, jeu de données, fournisseur et responsable. Un nom de produit ne suffit pas lorsque plusieurs versions ou services le soutiennent.
- Relier obligations et preuves. Consigner le rôle et l'exigence applicables, le contrôle prévu, la source de preuve, le responsable et la date de la dernière vérification.
- Conserver le contexte des évaluations. Garder la version du modèle, les outils, les accès, l'environnement de test, les prompts, la méthode de notation, les échecs et la décision du réviseur. Un résultat de benchmark sans conditions est difficile à défendre.
- Relier les incidents aux corrections. Conserver ce qui a été observé, ce qui restait incertain, la mesure absente ou défaillante, les changements effectués et la vérification indépendante de la correction.
- Séparer politique et mise en œuvre. Une politique écrite de sécurité ou de droit d'auteur n'est qu'un artefact. Il faut aussi prouver son application au développement, à la publication, à la surveillance et à la gestion des changements.
- Encadrer la réponse. Désigner les responsables juridiques, techniques, sécurité et produit, utiliser une source de faits vérifiée, documenter les réserves et conserver la réponse exacte envoyée.
La page Maetra sur les cadres de conformité aide à relier exigences, contrôles et preuves actuelles. La checklist des preuves de conformité de l'IA fournit une structure pratique pour les responsables, les dossiers et les vérifications de fraîcheur.
Ce qui reste inconnu
La Commission n'a pas nommé les plus de 30 entreprises. Elle n'a pas indiqué quels destinataires appartiennent à chaque thème, si toutes les questions reposent sur le même fondement juridique ni si une réponse a déjà été jugée insuffisante. Le dossier public n'établit pas non plus qu'OpenAI ou Anthropic ont reçu une demande formelle, même si des échanges récents sur les risques cyber ont été confirmés.
Des étapes ultérieures pourront apporter d'autres faits. Une demande d'information ne doit cependant pas être décrite comme une enquête terminée ou une infraction constatée. Les obligations peuvent aussi différer selon que l'entreprise est fournisseur, fournisseur en aval, déployeur, importateur, distributeur ou autre acteur.
Analyse de Maetra
Le signal opérationnel principal est le passage des règles publiées à la collecte de preuves. La bonne réponse n'est pas une bibliothèque de politiques plus volumineuse. Il faut une chaîne actuelle allant de l'inventaire du système à l'exigence applicable, au contrôle mis en œuvre, au résultat de test, au dossier d'incident, au responsable et au changement vérifié.
Cette chaîne doit être reproductible. Si une autorité demande pourquoi une mesure était jugée suffisante à une date précise, l'organisation doit fournir la version du modèle, les conditions de test, la base de décision et les modifications ultérieures. Si ces informations doivent être reconstruites à partir de tickets et de présentations, les preuves de conformité sont déjà obsolètes.