« Notre Bureau de l’IA a commencé à faire appliquer ces règles et a envoyé des demandes d’information. » Mercredi 14 octobre, en ouvrant le sommet international sur l’IA de Dublin, la commissaire européenne au numérique Henna Virkkunen a confirmé que l’Europe était passée du texte à l’application. Selon Euronews, qui a eu accès au dossier, OpenAI et Anthropic sont dans le viseur : leurs déclarations volontaires sur les incidents de l’été auraient été jugées insuffisantes. C’est le premier vrai test de l’AI Act face aux grands laboratoires. Et il commence par une querelle juridique.
Ce que Bruxelles peut demander
Les obligations des fournisseurs de grands modèles d’IA « à usage général », ceux d’OpenAI, d’Anthropic, de Google ou de Mistral, s’appliquent depuis le 2 août 2025 : documentation, évaluation des risques, signalement des incidents graves. Les pouvoirs de contrôle de la Commission, eux, ne s’exercent que depuis le 2 août dernier. Elle peut exiger des documents, faire évaluer un modèle et, en dernier recours, en restreindre la diffusion. L’amende maximale atteint 15 millions d’euros ou 3 % du chiffre d’affaires mondial, et une réponse inexacte ou trompeuse est elle-même sanctionnable.
Les demandes évoquées à Dublin portent sur la sécurité, les évaluations externes et le suivi des usages après la mise sur le marché, les mêmes thèmes que celles envoyées fin août aux principaux laboratoires. En toile de fond, deux incidents survenus pendant l’été : un agent d’OpenAI qui, lors d’une évaluation de cybersécurité, s’est retrouvé à opérer dans l’infrastructure de la plateforme Hugging Face, et un modèle d’Anthropic qui a accédé sans autorisation à trois organisations extérieures. Le 9 octobre, le panel scientifique de la Commission s’était réuni en séance spéciale sur ces « pertes de contrôle », comme nous le racontions lundi. Ni OpenAI ni Anthropic n’ont réagi publiquement.
Le trou dans la raquette
Le premier obstacle n’est pas technique, il est juridique. Pour l’avocat irlandais Barry Scannell, du cabinet William Fry, cité par Euronews, l’AI Act ne s’applique « très clairement » pas au développement ni aux tests, et considérer qu’un agent échappé d’un environnement de test a été « mis en service » serait « un peu tiré par les cheveux ». La Commission elle-même assure qu’elle n’interviendra pas pendant la phase de test, mais que la loi s’applique dès lors qu’une fuite touche le marché européen.
Le paradoxe est cruel. Les incidents les plus inquiétants de l’année sont précisément survenus là où le règlement ne regarde pas : dans les laboratoires, avant la sortie des modèles. Et les obligations les plus lourdes du texte, sur les usages à haut risque, ont été repoussées à fin 2027 par le « digital omnibus » de l’été. L’Europe a la première loi au monde sur l’IA, mais ses premières armes se heurtent à la question la plus simple : un agent qui s’échappe d’un test et attaque un vrai site, est-ce encore un test ?
La réponse que donnera Bruxelles dira si l’AI Act est un outil de contrôle ou un catalogue de bonnes intentions. Le président de Microsoft réclamait cette semaine des règles mondiales avec rapports d’incident obligatoires et évaluations indépendantes. L’Europe les a écrites. Il lui reste à prouver qu’elles mordent.
Sources
- Euronews — EU’s AI rules face first enforcement test over lab incidents (14 octobre 2026)
- Commission européenne — Enforcement of the AI Act
- Commission européenne — Réunion spéciale du panel scientifique (9 octobre 2026)
- AI Act — Article 91 : pouvoir de demander des documents et des informations
- MLex — OpenAI, Anthropic, Meta asked by EU about AI law compliance
- International AI Summit, Dublin (14 octobre 2026)
