Le Bureau européen de l'IA adresse ses premières demandes d'information aux fournisseurs de modèles

Le Bureau européen de l'IA a adressé le 29 août des demandes formelles d'information à plusieurs fournisseurs de modèles d'IA à usage général, portant sur la sécurité des modèles, les évaluations externes indépendantes et la surveillance des modèles une fois mis sur le marché. Les destinataires comprendraient OpenAI, Anthropic et Google. Ces demandes interviennent quatre semaines après l'entrée en application, le 2 août, des obligations du règlement sur l'IA relatives aux modèles à usage général, assorties de sanctions pouvant atteindre 3% du chiffre d'affaires mondial.

Les demandes d'information sont ingrates et faciles à sous-estimer. Elles sont pourtant le moment où une réglementation cesse d'être un texte pour devenir une pratique, car elles imposent une première réponse à la question qui compte: ces obligations sont-elles seulement vérifiables?

Les trois sujets retenus sont bien choisis. La sécurité des modèles, l'évaluation externe et la surveillance après mise sur le marché sont précisément les domaines où les fournisseurs formulent des affirmations publiques qu'aucun tiers ne peut aujourd'hui vérifier. Un laboratoire peut déclarer avoir mené des tests adverses, avoir accordé un accès significatif à des évaluateurs indépendants et surveiller les dommages après diffusion. Tant qu'un régulateur ne réclame pas les éléments sous-jacents, chacune de ces déclarations est un énoncé d'intention.

Le problème le plus ardu se pose du côté du régulateur. Apprécier si une évaluation a été réellement indépendante, ou si un dispositif de surveillance dépasse une simple boîte de réception d'assistance, exige un jugement technique que les autorités de contrôle ont historiquement dû construire lentement et à grands frais. Une demande d'information ne vaut que par la capacité à lire la réponse avec scepticisme.

Le contexte éclaire aussi le rythme. L'échéance d'évaluation de conformité pour les systèmes à haut risque — emploi, crédit, police, santé — a été repoussée à décembre 2027 par l'omnibus numérique, de sorte que l'application qui commence porte sur la couche des modèles plutôt que sur les applications où surviennent l'essentiel des dommages concrets.

Reste à voir si quelque chose suit ces courriers. Des conclusions publiées, ou une première sanction, établiraient que les obligations lient. Un silence prolongé établirait autre chose.