L’AI Act n’est plus seulement un règlement à lire en se promettant de s’en occuper « un jour ». Depuis le 2 août 2026, une partie de ses règles peut effectivement être contrôlée et sanctionnée. La Commission européenne vient de détailler son dispositif d’application : Bureau européen de l’IA, autorités nationales, inspections, demandes d’informations, accès aux modèles, plaintes et amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Pour les entreprises, le sujet devient très concret.

La Commission européenne a mis à jour le 6 octobre 2026 son cadre consacré à l’application du Règlement sur l’intelligence artificielle, plus connu sous le nom d’AI Act. Il précise comment les contrôles sont répartis entre le Bureau européen de l’IA, ou AI Office, les autorités nationales et le Contrôleur européen de la protection des données (CEPD).

Réponse rapide : oui, des contrôles sont désormais possibles. Non, toutes les dispositions de l’AI Act ne sont pas encore applicables. Et non, une PME ne risque pas automatiquement 35 millions d’euros parce qu’un chatbot a oublié une mention.

🇪🇺 L’AI Act entre dans sa phase de contrôle

Depuis le 2 août 2026, le Bureau européen de l’IA et les autorités compétentes des États membres peuvent faire respecter certaines dispositions du règlement. Sont notamment concernées les pratiques interdites, les règles relatives aux modèles d’IA à usage général, ou GPAI pour General-Purpose AI, et les nouvelles obligations de transparence concernant certains systèmes et contenus générés par IA.

C’est une étape importante. Jusqu’ici, beaucoup d’entreprises avaient surtout entendu parler de classification des risques, de documentation ou de formation des salariés.

👮 Qui contrôle quoi ?

Le dispositif européen repose sur plusieurs niveaux.

Le Bureau européen de l’IA surveille les grands modèles

L’AI Office, rattaché à la Commission européenne, est compétent notamment pour les fournisseurs de modèles d’IA à usage général comme les grands modèles de fondation. Il peut également intervenir sur certains systèmes basés sur ces modèles lorsque le modèle et le système sont développés par le même fournisseur ou au sein du même groupe, ainsi que sur certains systèmes intégrés dans de très grandes plateformes ou moteurs de recherche soumis au Digital Services Act (DSA).

Pour vérifier la conformité, le Bureau européen de l’IA peut demander des informations et de la documentation, demander l’accès à un modèle afin de l’évaluer, faire réaliser des évaluations techniques, demander des mesures correctives et, dans certains cas, imposer une limitation de la mise à disposition du modèle.

🇫🇷 En France, la DGCCRF se prépare à jouer un rôle central

Pour les autres systèmes d’IA, le contrôle repose principalement sur les autorités nationales de surveillance du marché. La Commission européenne liste actuellement la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) comme point de contact français. Une nuance importante subsiste : la Commission lui associe encore un astérisque indiquant que la décision nationale de désignation définitive reste en attente d’adoption.

💸 Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires

C’est évidemment la partie qui attire le regard. Mais il faut parler de plafonds, pas d’une grille automatique d’amendes.

Infraction	Amende maximale
Pratiques d’IA interdites	35 M€ ou 7 % du CA mondial annuel
Non-respect de certaines obligations applicables aux fournisseurs, déployeurs, organismes notifiés ou obligations de transparence	15 M€ ou 3 % du CA mondial
Informations fausses, incomplètes ou trompeuses communiquées aux autorités	7,5 M€ ou 1 % du CA mondial

Pour une entreprise autre qu’une PME, le plafond applicable correspond en principe au montant le plus élevé entre la somme fixe et le pourcentage prévu. Pour les PME, y compris les start-up, le règlement prévoit au contraire que le plafond corresponde au montant le plus faible entre ces deux références..

🔍 À quoi peut ressembler un contrôle ?

Pour les modèles et systèmes relevant directement du Bureau européen de l’IA, le nouveau cadre décrit beaucoup plus clairement la mécanique. L’AI Office peut commencer par un dialogue de conformité avec le fournisseur. Il peut ensuite adresser une Request for Information (RFI), c’est-à-dire une demande formelle ou informelle d’informations.

Il peut demander l’accès au modèle pour procéder à une évaluation, demander des corrections, ouvrir une enquête puis, si nécessaire, limiter sa commercialisation ou prononcer une sanction. La Commission explique d’ailleurs que les dialogues techniques restent son premier outil pour travailler avec les fournisseurs des modèles les plus avancés. Les pouvoirs coercitifs interviennent lorsque ce dialogue ne suffit plus.

🗣️ Les utilisateurs et salariés peuvent également déclencher l’alerte

La Commission a mis en place plusieurs canaux de signalement. Une personne physique ou morale peut déposer une plainte concernant une violation présumée relevant des compétences du Bureau européen de l’IA. Les personnes travaillant chez un fournisseur ou en relation professionnelle avec lui peuvent utiliser un outil spécifique pour lanceurs d’alerte, permettant dans certains cas un signalement anonyme. Les entreprises qui construisent leurs propres applications sur un modèle d’IA à usage général disposent également d’un canal spécifique pour signaler certains manquements du fournisseur du modèle.

Pour les directions générales, juridiques et informatiques, c’est un point à ne pas sous-estimer. Une politique IA qui existe uniquement dans un PowerPoint de comité de direction risque désormais d’être un peu légère.

📅 Attention, le calendrier de l’AI Act a changé en 2026

C’est probablement le point qui générera le plus de confusion dans les prochains mois.

Le règlement a été modifié en juillet 2026 par le Digital Omnibus sur l’IA, avec le règlement européen 2026/1744. Certaines échéances ont donc été décalées par rapport au calendrier initial.

Au 2 août 2026, sont notamment applicables et contrôlables certaines interdictions, les obligations concernant les modèles d’IA à usage général et les règles de transparence.
Le 2 décembre 2026, de nouvelles interdictions concernant notamment certains contenus intimes non consentis entrent en application. C’est également la date limite concernant certaines obligations techniques de marquage pour des systèmes déjà commercialisés avant le 2 août 2026.
Les règles concernant les systèmes d’IA à haut risque figurant à l’annexe III doivent désormais s’appliquer à partir du 2 décembre 2027.

Pour certains systèmes à haut risque intégrés dans des produits réglementés, l’échéance est reportée au 2 août 2028.