Nouveau Code de Pratique pour l’IA : Vers une Conformité Volontaire

Un nouveau jalon dans l’Acte sur l’IA de l’UE – Publication de la version presque finale du Code de pratique pour l’IA à usage général

Le 10 juillet 2025, la Commission européenne a publié une version presque finale du Code de pratique pour l’IA à usage général (GPAI) dans le cadre du Règlement (UE) 2024/1689 (Acte sur l’IA).

Ce Code, conçu comme un Mécanisme de conformité volontaire, joue un rôle crucial dans le paysage réglementaire intérimaire qui mène à l’application des obligations des fournisseurs d’IA à usage général à partir d’août 2025. Il offre des conseils pratiques aux fournisseurs d’IA sur la façon de répondre à des obligations spécifiques en vertu de l’Acte sur l’IA, et est particulièrement pertinent pour démontrer une adhésion précoce aux Articles 53 et 55, qui établissent des exigences en matière de transparence, de conformité au droit d’auteur, et de mitigation des risques systémiques dans le développement et le déploiement de modèles GPAI.

Contexte

Obligations des fournisseurs de GPAI. L’Acte sur l’IA introduit des obligations spécifiques pour les modèles GPAI capables d’effectuer une large gamme de tâches et de s’intégrer à divers systèmes. Les fournisseurs de modèles GPAI doivent maintenir une documentation technique détaillée, publier des résumés des données d’entraînement, se conformer à la législation sur le droit d’auteur de l’UE, et partager des informations avec les régulateurs et les utilisateurs en aval. La non-conformité peut entraîner des amendes allant jusqu’à 15 millions d’euros ou 3% du chiffre d’affaires mondial, selon la valeur la plus élevée.

Modèles présentant un risque systémique. Les fournisseurs qui proposent des modèles GPAI présentant un risque systémique font face à des exigences encore plus strictes, notamment des évaluations de modèles, des mesures de mitigation des risques, des rapports d’incidents et des mesures de cybersécurité. De nombreux fournisseurs à l’échelle mondiale ont déjà développé des modèles qui dépassent le seuil de calcul au-delà duquel un modèle GPAI est présumé avoir des capacités à fort impact, et donc présenter un risque systémique.

Objectifs et fonction juridique

Objectif. Le Code de pratique sert d’outil de conformité transitoire. Il est référencé à l’article 56 de l’Acte sur l’IA et est destiné à :

Aider les fournisseurs de modèles GPAI à répondre aux obligations de transparence, de droit d’auteur et de sécurité en vertu de l’Acte sur l’IA ;
Offrir un moyen structuré de présenter et de maintenir la documentation, les politiques et les garanties techniques ;
Permettre aux autorités compétentes, y compris le Bureau de l’IA, d’évaluer si les fournisseurs respectent leurs obligations légales en vertu de l’Acte sur l’IA.

Applicabilité. Le Code est structuré autour de deux niveaux d’applicabilité :

Tous les fournisseurs de modèles GPAI sont tenus de se conformer aux chapitres sur la transparence et le droit d’auteur du Code.
Seuls les fournisseurs de modèles GPAI présentant un risque systémique sont soumis au chapitre sur la sécurité et la sûreté du Code.

Chapitre 1 du Code : Transparence

L’Acte sur l’IA exige que les fournisseurs GPAI maintiennent une documentation robuste et partagent des informations avec les régulateurs et les utilisateurs en aval. Le chapitre sur la transparence aborde ces devoirs par trois mesures principales.

Exigences de documentation. Les fournisseurs peuvent créer et mettre à jour leur documentation de modèle en utilisant le formulaire de documentation standardisé du Code, capturant des détails tels que l’architecture du modèle, les méthodes d’entraînement, les canaux de distribution et les capacités.
Partage d’informations. Les fournisseurs peuvent rendre la documentation pertinente accessible aux utilisateurs en aval et fournir des informations supplémentaires sur demande du Bureau de l’IA ou des autorités nationales compétentes.
Contrôles d’intégrité. Les fournisseurs sont tenus de mettre en œuvre des contrôles d’assurance qualité et de sécurité pour préserver l’exactitude et l’intégrité de la documentation au fil du temps.

Chapitre 2 du Code : Droit d’auteur

L’Acte sur l’IA exige que les fournisseurs GPAI établissent des politiques garantissant la conformité avec la législation de l’UE sur le droit d’auteur et les droits connexes. Le chapitre sur le droit d’auteur fournit des conseils concrets pour aider les fournisseurs à développer et à mettre en œuvre des politiques qui gouvernent l’utilisation légale des données d’entraînement.

Adoption de politiques. Les fournisseurs doivent mettre en œuvre une politique de droit d’auteur qui inclut des responsabilités internes et des garanties procédurales.
Utilisation légale des données. Lors de la collecte de données d’entraînement via le web, les fournisseurs doivent s’assurer qu’ils ne contournent pas les restrictions d’accès technologiques.
Reconnaissance des réservations de droits. Les fournisseurs doivent honorer les réservations de droits exprimées par les titulaires de droits et soutenir les normes industrielles évolutives pour signaler de telles réservations.
Mitigation des résultats portant atteinte aux droits. Les fournisseurs doivent déployer des sauvegardes techniques et des restrictions politiques pour réduire la probabilité de génération de contenu portant atteinte aux droits d’auteur.
Mécanismes de plainte. Un point de contact et un processus doivent être en place pour recevoir et répondre aux préoccupations des titulaires de droits.

Chapitre 3 du Code : Sécurité et sûreté

Pour les modèles GPAI qui répondent au seuil de risque systémique, le chapitre sur la sécurité et la sûreté fournit un cadre complet aligné avec l’article 55 de l’Acte sur l’IA.

Développement de cadre. Les fournisseurs doivent établir, mettre en œuvre et mettre à jour un cadre de sécurité et de sûreté détaillant comment ils évaluent et atténuent les risques systémiques tout au long du cycle de vie du modèle.
Évaluation et mitigation des risques. Les fournisseurs doivent effectuer des évaluations structurées et définir des critères d’acceptation des risques.
Rapport d’incidents et surveillance externe. Les fournisseurs doivent documenter les incidents graves et interagir avec des évaluateurs indépendants.
Sauvegardes en matière de cybersécurité. Des protections techniques appropriées doivent être en place pour prévenir l’accès non autorisé et le vol de modèles.

Prochaines étapes

Est-ce suffisant ? Dans les semaines à venir, les États membres et la Commission européenne examineront si le Code est suffisant pour soutenir la conformité avec les obligations liées au GPAI en vertu de l’Acte sur l’IA.

Signataires précoces. Une grande entreprise américaine et une grande entreprise européenne qui développent des modèles GPAI populaires ont déjà accepté de signer le Code.

Questions restantes. Des matériaux complémentaires comme des lignes directrices clarifiant des termes et concepts clés liés au GPAI sont encore en attente, créant une incertitude quant aux attentes de conformité complètes.