Le Code de bonnes pratiques pour l'IA à usage général, publié par la Commission européenne le 10 juillet 2025, est un outil volontaire destiné aux fournisseurs de modèles GPAI : ses trois chapitres (transparence, droit d'auteur, sûreté et sécurité) aident à respecter les obligations des Articles 53 et 55, applicables depuis le 2 août 2025. Une PME est le plus souvent déployeur : le Code ne lui impose rien directement, mais il fournit un critère pour choisir ses fournisseurs. Les amendes visant les fournisseurs de modèles GPAI (jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial, Art. 101) peuvent être infligées par la Commission depuis le 2 août 2026.
L'essentiel en 30 secondes
- La Commission européenne a publié le Code de bonnes pratiques pour l'IA à usage général le 10 juillet 2025 ; la Commission et le Comité IA l'ont reconnu comme outil volontaire adéquat pour démontrer le respect des obligations GPAI.
- Le Code comporte 3 chapitres : transparence, droit d'auteur, sûreté et sécurité (ce dernier pour les modèles à risque systémique, Art. 55).
- Une PME est le plus souvent déployeur de GPAI, pas fournisseur : le Code la concerne surtout indirectement, via le choix de ses prestataires (adhésion au Code, documentation fournie, politique de droit d'auteur).
- Les fournisseurs de modèles GPAI risquent jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial (Art. 101), distinct du plafond de 7 % réservé aux pratiques interdites. Les modèles mis sur le marché avant le 2 août 2025 ont jusqu'au 2 août 2027 pour se conformer.
- Le Code est publié sur le site de la Commission européenne ; les lignes directrices de la Commission sur le périmètre des obligations des fournisseurs de GPAI sont publiées sur la même plateforme.
1. Contexte : l'AI Act et les défis pour les PME
Le règlement (UE) 2024/1689 impose des obligations graduées aux acteurs de l'IA. Les fournisseurs de modèles GPAI portent des devoirs spécifiques : documentation technique, informations pour les fournisseurs de systèmes qui intègrent le modèle, politique de respect du droit d'auteur et résumé public du contenu d'entraînement (Art. 53(1)), et, pour les modèles à risque systémique, des obligations renforcées (Art. 55).
Les codes de bonnes pratiques visent à faciliter l'application des articles denses du règlement par des engagements concrets. Pour comprendre le cadre général, voir le guide AI Act pour les PME françaises et la page sur les modèles de langage et l'open source.
Un point mérite d'être clarifié d'emblée. Le Code de bonnes pratiques GPAI vise les fournisseurs de modèles à usage général. Une PME qui utilise ces modèles via un service tiers est déployeur : ses obligations directes relèvent surtout de l'Article 4 (maîtrise de l'IA) et, selon l'usage, de l'Article 50. Voir l'article déployeur ou fournisseur : comment savoir ?.
2. Les trois chapitres du Code
Le Code s'articule autour de trois chapitres. Il est volontaire : un fournisseur qui y adhère peut s'appuyer sur lui pour démontrer qu'il respecte ses obligations ; un fournisseur qui n'y adhère pas doit le démontrer autrement.
| Chapitre officiel du Code GPAI | Objet | Qui est visé |
|---|---|---|
| Transparence | Documentation du modèle (formulaire de documentation du modèle) et informations fournies aux fournisseurs de systèmes qui l'intègrent (Art. 53) | Les fournisseurs de modèles GPAI |
| Droit d'auteur | Politique de respect du droit d'auteur de l'Union (Art. 53(1)(c)) | Les fournisseurs de modèles GPAI |
| Sûreté et sécurité | Gestion des risques systémiques (Art. 55) | Fournisseurs de modèles à risque systémique |
Pour une PME déployeuse, le Code se lit comme une grille de questions à poser à ses fournisseurs d'IA :
- Le fournisseur est-il signataire du Code ? La liste des signataires est publiée par la Commission (21 organisations à la date de la page, dont Amazon, Anthropic, Google, IBM, Microsoft, Mistral AI et OpenAI ; xAI n'a signé que le chapitre sûreté et sécurité).
- Quelle documentation est disponible ? Le fournisseur de modèle doit fournir des informations aux fournisseurs de systèmes qui l'intègrent (Art. 53(1)(b)).
- Quelle politique de droit d'auteur ? Chaque fournisseur de modèle doit en avoir une et publier un résumé du contenu d'entraînement (Art. 53(1)(c) et (d)).
- Quel périmètre contractuel ? Les clauses de responsabilité, de confidentialité et de réutilisation des données se vérifient dans le contrat, hors du Code.
- Quelle information sur les risques ? Pour un modèle à risque systémique, le chapitre sûreté et sécurité décrit des pratiques de gestion des risques.
Ces questions ne remplacent pas la lecture du Code ni un contrat clair. Voir l'article évaluer un fournisseur d'IA : 30 questions à poser. Les définitions des termes techniques figurent dans le glossaire.
3. Ce que le Code change pour une PME
L'effet du Code sur une PME dépend de son rôle.
| Situation | Rôle probable | Ce qui compte |
|---|---|---|
| Vos équipes utilisent un assistant d'IA grand public | Déployeur | Art. 4 et, selon l'usage, Art. 50 ; vérifier les conditions du fournisseur. Le Code ne vous impose rien directement. |
| Vous intégrez un modèle GPAI dans votre produit via une API | Fournisseur d'un système d'IA en aval | Demander la documentation du fournisseur de modèle (Art. 53(1)(b)) et respecter vos propres obligations (Art. 50 si agent conversationnel). |
| Vous développez votre propre modèle à usage général | Fournisseur de modèle | Obligations des Art. 53 et 55 ; le Code est un moyen de les démontrer. |
Une PME qui documente ses usages d'IA et choisit des fournisseurs transparents peut plus facilement répondre aux questionnaires de conformité de ses clients.
Le détail des sanctions encourues figure sur la page sanctions et amendes AI Act pour les PME. Pour la chaîne de responsabilité entre fournisseur de modèle et fournisseur de système, voir l'article Article 25 : chaîne de valeur.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 30 novembre, puis 99 €.
Créer mon pack — 29 €4. Comment une PME peut s'y préparer
La démarche suit une séquence simple en trois étapes.
- Inventorier l'ensemble des systèmes d'IA en usage, y compris les outils SaaS intégrant du GPAI.
- Vérifier les fournisseurs : adhésion au Code, documentation, conditions d'usage des données, finalité, mesures de sécurité.
- Sensibiliser le personnel aux règles d'usage et aux obligations de transparence (Art. 4 et 50).
L'inventaire consiste à recenser chaque outil, son fournisseur et la base légale du traitement des données. Il alimente ensuite votre registre RGPD ; le modèle de registre des systèmes d'IA peut servir de support.
La documentation doit rester à jour : actualisez-la à chaque changement de prestataire ou de finalité. La CNIL publie des fiches pratiques sur l'IA et le RGPD utiles à cette étape.
La sensibilisation ancre la conformité dans les usages. Un collaborateur informé signale les dérives plus tôt. L'Art. 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel (voir le guide sur la maîtrise de l'IA).
5. Exemples concrets de mise en œuvre
Trois cas fréquents illustrent la démarche. Les bonnes pratiques indiquées sont des recommandations de bon sens, non des exigences du Code.
| Cas d'usage | Risque principal | Bonne pratique |
|---|---|---|
| Système de recommandation | Opacité de l'algorithme | Expliciter les critères de recommandation à l'utilisateur |
| Outil de recrutement | Biais discriminatoires | Tester l'absence de biais et documenter les résultats |
| Chatbot client | Fuite de données personnelles | Garantir la confidentialité et informer l'utilisateur |
Pour un système de recommandation, la transparence est une bonne pratique : indiquez que l'IA intervient et sur quels critères généraux. L'Art. 50 ne vise pas, en tant que tel, un moteur de recommandation, mais le RGPD peut imposer d'informer les personnes lorsque des données personnelles sont traitées.
Un outil de recrutement mérite une vigilance renforcée. Les systèmes qui trient des candidatures relèvent de l'Annexe III, point 4(a) : leurs obligations de haut risque s'appliquent à partir du 2 décembre 2027. Documentez vos tests de non-discrimination.
Un chatbot client doit protéger les données échangées. Le fournisseur de l'outil doit le concevoir de façon que l'utilisateur sache qu'il échange avec une IA, sauf si c'est évident (Art. 50(1)) ; le déployeur vérifie que cette information est bien affichée. Encadrez la conservation des conversations.
6. Outils et ressources disponibles
Plusieurs ressources officielles soutiennent votre mise en conformité. Aucune ne remplace un conseil juridique adapté à votre situation.
- Code de bonnes pratiques GPAI — publié sur le site de la Commission européenne, avec ses questions-réponses.
- Fiches pratiques de la CNIL — orientées protection des données et IA : cnil.fr.
- AI Act Service Desk — assistance de la Commission sur les questions techniques, via ai-act-service-desk.ec.europa.eu.
Le service desk permet de poser des questions d'interprétation ; il ne délivre pas de validation individuelle contraignante. Les lignes directrices de la Commission ne sont pas non plus contraignantes : seule la Cour de justice de l'Union européenne donne une interprétation faisant autorité.
Combinez ces ressources avec une veille régulière : le cadre GPAI évolue au fil des lignes directrices de la Commission (voir le calendrier de l'AI Act).
7. Échéances et obligations
Le calendrier d'application conditionne vos priorités. Le tableau ci-dessous synthétise les jalons clés.
| Échéance | Événement | Base |
|---|---|---|
| 10 juillet 2025 | Publication du Code de bonnes pratiques GPAI | Commission / AI Office |
| 2 août 2025 | Entrée en application des obligations GPAI | Art. 53 et 55 |
| 2 août 2026 | Application générale du règlement (transparence, Art. 50) ; la Commission peut infliger des amendes aux fournisseurs de modèles GPAI (Art. 101) | Art. 113, Art. 101 |
| 2 août 2027 | Mise en conformité des modèles GPAI mis sur le marché avant août 2025 | Art. 111 |
| 2 décembre 2027 | Obligations de haut risque de l'Annexe III (règlement (UE) 2026/1744) | Art. 113 |
Les obligations varient selon votre rôle et votre taille. Un fournisseur de modèle GPAI porte des devoirs plus lourds qu'un simple déployeur.
Les sanctions se lisent article par article. Le tableau suivant clarifie les plafonds, souvent confondus.
| Type de manquement | Base légale | Plafond |
|---|---|---|
| Pratiques interdites | Art. 99 | 35 M€ ou 7 % du CA mondial |
| Obligations des opérateurs (dont déployeurs, Art. 26) et transparence (Art. 50) | Art. 99 | 15 M€ ou 3 % |
| Fournisseurs de modèles GPAI | Art. 101 | 15 M€ ou 3 % |
| Informations inexactes | Art. 99 | 7,5 M€ ou 1 % |
Le plafond de 7 % ne s'applique donc pas aux manquements GPAI courants. Il vise les pratiques interdites de l'Article 5. Le détail complet et un calculateur figurent sur sanctions et amendes AI Act.
8. Conclusion : un critère de choix des fournisseurs
Le Code de bonnes pratiques GPAI est un outil d'application volontaire pour les fournisseurs de modèles à usage général : il traduit des articles complexes en engagements lisibles et permet à un fournisseur de démontrer sa conformité. Pour une PME utilisatrice, c'est surtout un critère de choix de ses fournisseurs.
Vérifiez la source et la date des documents que vous appliquez : le Code a été publié le 10 juillet 2025 et les obligations GPAI s'appliquent depuis le 2 août 2025.
La Commission européenne et la CNIL publient des ressources publiques sur ces sujets. Pour bâtir votre feuille de route, partez du guide AI Act pour les PME françaises.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 30 novembre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €FAQ
Quels sont les principaux domaines couverts par les codes de bonnes pratiques GPAI ?
Le Code de la Commission comporte trois chapitres : transparence, droit d'auteur, sûreté et sécurité. Il s'adresse aux fournisseurs de modèles GPAI. Une PME déployeuse l'utilise comme grille de questions à poser à ses fournisseurs.
Comment les PME peuvent-elles appliquer ces codes ?
Commencez par un inventaire de vos systèmes d'IA. Vérifiez ensuite vos fournisseurs (adhésion au Code, documentation, conditions d'usage des données), puis sensibilisez votre personnel. La CNIL fournit des fiches pratiques, et l'AI Act Service Desk propose une assistance. Le glossaire définit les termes techniques.
Quelles sont les conséquences d'une non-conformité ?
Les plafonds dépendent du manquement. Les fournisseurs de modèles GPAI risquent jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial (Art. 101), amendes que la Commission peut infliger depuis le 2 août 2026. Le plafond de 7 % vise les pratiques interdites (Art. 99). Voir sanctions et amendes AI Act.
Où puis-je trouver les codes de bonnes pratiques GPAI ?
Le Code est publié sur le site de la Commission européenne. Le règlement se lit sur EUR-Lex et sur artificialintelligenceact.eu. Pour le cadre général, voir le guide AI Act pour les PME françaises.
Quelle est la date d'application de ces codes pour les PME ?
Le Code a été publié le 10 juillet 2025 ; les obligations GPAI s'appliquent depuis le 2 août 2025 (Art. 53 et 55). Les modèles mis sur le marché avant cette date disposent d'un délai jusqu'au 2 août 2027 (Art. 111(3)). Les obligations dépendent de votre rôle, fournisseur ou déployeur, plus que de votre effectif.
Sources officielles
- Texte de l'AI Act — artificialintelligenceact.eu
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Code de bonnes pratiques pour l'IA à usage général — Commission européenne
- Lignes directrices sur les obligations des fournisseurs de modèles d'IA à usage général — Commission européenne
- Fiches pratiques IA — CNIL
- AI Act Service Desk — Commission européenne
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.