TL;DR
L'essentiel en 30 secondes - La Commission européenne publie en 2026 les lignes directrices encadrant les codes de bonne pratique pour les modèles d'IA à usage général (GPAI), sur la base de l'Article 56 du Règlement (UE) 2024/1689. - Les PME françaises utilisant ou intégrant des modèles GPAI dans leurs produits sont concernées, avec un risque de sanctions allant jusqu'à 7 % du chiffre d'affaires annuel mondial (Art. 99 AI Act). - Les codes couvrent cinq domaines structurants : transparence, sécurité, éthique algorithmique, responsabilité humaine et conformité réglementaire. - L'adhésion au code de bonne pratique constitue une présomption de conformité pour les fournisseurs et un signal de confiance pour les déployeurs. - Sources principales : artificialintelligenceact.eu, eur-lex.europa.eu, CNIL, AI Office EU.
1. Introduction aux codes de bonne pratique GPAI 2026
Les codes de bonne pratique constituent un outil de droit souple inscrit dans le Règlement (UE) 2024/1689, dit AI Act. Ils visent les modèles d'IA à usage général (General Purpose AI, ou GPAI), c'est-à-dire les modèles capables d'exécuter un large éventail de tâches distinctes — génération de texte, traduction, code, image.
Définition opérationnelle
Un code de bonne pratique GPAI est un document de référence rédigé sous l'égide de l'AI Office européen, validé par la Commission via acte d'exécution. Il détaille les obligations techniques, documentaires et organisationnelles que doivent respecter les fournisseurs de modèles GPAI pour démontrer leur conformité à l'AI Act.
L'Article 56 du Règlement (UE) 2024/1689 prévoit explicitement ce mécanisme : « l'AI Office et le Comité IA encouragent et facilitent l'élaboration de codes de bonne pratique au niveau de l'Union ». L'objectif est clair : convertir les obligations légales du chapitre V en exigences techniques applicables.
Objectif poursuivi par la Commission européenne
La Commission cherche à atteindre trois résultats simultanés. Premièrement, harmoniser les pratiques industrielles à l'échelle européenne pour éviter la fragmentation réglementaire. Deuxièmement, fournir aux fournisseurs un canal de conformité documenté et prévisible. Troisièmement, sécuriser juridiquement les déployeurs en aval, dont une majorité de PME françaises.
Le premier code publié en 2025 portait sur trois piliers : transparence, droit d'auteur et sûreté. La version 2026 étend ce cadre en intégrant les retours d'expérience des premières mises en application et les recommandations de la CNIL.
Importance pour les PME françaises
Une PME française qui utilise un modèle GPAI — par exemple via une API de traitement automatique du langage naturel — devient juridiquement un déployeur au sens de l'AI Act. Si elle intègre ce modèle dans son propre produit commercialisé, elle peut devenir fournisseur en aval.
Dans les deux cas, le respect du code de bonne pratique par son fournisseur amont devient un critère contractuel et un point de vigilance dans sa propre documentation de conformité.
2. Contexte juridique : l'AI Act et les obligations
Rappel synthétique de l'AI Act
L'AI Act, adopté le 13 juin 2024 et entré en vigueur le 1er août 2024, structure le marché européen de l'IA selon une approche par niveau de risque. Pour comprendre comment ce cadre s'applique aux structures de 10 à 250 salariés, consultez notre guide complet AI Act pour PME françaises.
Les modèles GPAI font l'objet d'un régime spécifique au chapitre V du Règlement. Les obligations principales pèsent sur le fournisseur du modèle, avec une intensité renforcée pour les modèles présentant un risque systémique, c'est-à-dire ceux dépassant le seuil de 10²⁵ FLOPs d'entraînement (Art. 51).
Sanctions pour non-conformité
Les sanctions financières définies à l'Article 99 du Règlement (UE) 2024/1689 sont calibrées selon la gravité du manquement. Pour les violations relatives aux modèles GPAI, l'Article 101 prévoit des amendes spécifiques. Notre dossier dédié aux sanctions et amendes AI Act pour PME détaille les barèmes applicables et propose un calculateur d'exposition.
| Type de manquement | Sanction maximale | Base juridique |
|---|---|---|
| Pratiques interdites (Art. 5) | 35 M€ ou 7 % du CA mondial | Art. 99 §3 |
| Manquement obligations IA haut risque | 15 M€ ou 3 % du CA mondial | Art. 99 §4 |
| Information inexacte aux autorités | 7,5 M€ ou 1 % du CA mondial | Art. 99 §5 |
| Manquement fournisseur GPAI | 3 % du CA mondial ou 15 M€ | Art. 101 |
Référence officielle
Le texte consolidé est accessible sur eur-lex.europa.eu/eli/reg/2024/1689. Pour la version annotée et commentée, consultez artificialintelligenceact.eu.
3. Les 5 domaines clés des codes de bonne pratique
Les lignes directrices 2026 structurent les obligations des fournisseurs GPAI autour de cinq domaines opérationnels. Chacun se traduit par des livrables documentaires précis.
3.1 Transparence des algorithmes
L'Article 53 §1 (a) impose au fournisseur GPAI d'élaborer et de tenir à jour une documentation technique du modèle. Le code 2026 précise la granularité attendue : architecture, paramètres, méthodes d'entraînement, jeux de données utilisés, ressources énergétiques consommées.
Pour les PME déployeuses, cette transparence amont leur permet de remplir leurs propres obligations d'information utilisateur. Sans ces métadonnées, il devient impossible de rédiger une notice conforme.
3.2 Sécurité des données
Le domaine sécurité couvre la robustesse du modèle face aux attaques adversariales, la prévention des fuites de données d'entraînement et la résistance aux manipulations. Le code de pratique GPAI 2026 reprend les principes de l'ISO/IEC 27001:2022 et les croise avec les exigences de l'AI Act.
3.3 Éthique et biais
Le fournisseur doit documenter les mesures prises pour identifier, évaluer et atténuer les biais discriminatoires. Cela inclut les biais de genre, d'origine, d'âge ou socio-économiques présents dans les données d'entraînement. La CNIL a publié plusieurs fiches pratiques sur ce sujet, accessibles sur cnil.fr/fr/les-fiches-pratiques-ia.
3.4 Responsabilité des décideurs
L'Article 14 du Règlement impose un principe de contrôle humain effectif. Pour les modèles GPAI, cela se traduit par la mise en place de mécanismes permettant à l'opérateur humain d'interrompre, de superviser ou de corriger les sorties du modèle.
3.5 Conformité réglementaire
Le cinquième domaine intègre les obligations de coopération avec l'AI Office, la notification des incidents graves et la mise à disposition d'informations aux autorités compétentes. La norme ISO/IEC 42001:2023 fournit le cadre de management adapté.
Tableau récapitulatif des 5 domaines
| Domaine | Article AI Act | Livrable principal | Référentiel ISO associé |
|---|---|---|---|
| Transparence | Art. 53 §1 (a) | Documentation technique du modèle | ISO/IEC 42001:2023 |
| Sécurité | Art. 55 §1 (b) | Politique cybersécurité dédiée IA | ISO/IEC 27001:2022 |
| Éthique et biais | Art. 10 + Art. 53 | Rapport d'évaluation des biais | ISO/IEC 23894:2023 |
| Responsabilité humaine | Art. 14 | Procédure de supervision humaine | ISO/IEC 42001:2023 |
| Conformité réglementaire | Art. 53 §1 (c-d) | Registre de conformité GPAI | ISO/IEC 42001:2023 |
4. Avantages pour les PME : pourquoi s'y conformer ?
Adhérer aux principes des codes de bonne pratique GPAI 2026 — même sans y être directement signataire — apporte trois bénéfices concrets aux PME françaises.
4.1 Réduction des risques juridiques
L'Article 56 §3 prévoit que le respect d'un code approuvé permet aux fournisseurs « de démontrer le respect des obligations » de l'AI Act. Cette présomption se transmet partiellement aux déployeurs qui sélectionnent rigoureusement leurs fournisseurs.
Pour une PME française, cela signifie qu'exiger contractuellement la conformité au code GPAI de son fournisseur amont constitue une mesure de diligence raisonnable opposable.
4.2 Amélioration de la confiance des clients
Le marché B2B européen exige désormais des engagements vérifiables sur l'usage de l'IA. Les appels d'offres publics français intègrent depuis 2025 des clauses spécifiques sur la conformité IA, conformément aux orientations de la DGCCRF et de la DAJ.
Une PME documentant son adhésion aux principes du code GPAI dispose d'un argument commercial mesurable.
4.3 Opportunités de marché
Le règlement européen crée un effet de norme exportable. Les PME françaises qui adoptent les codes de bonne pratique peuvent accéder plus facilement aux marchés réglementés : santé, finance, énergie, secteur public. Ces marchés exigent désormais une chaîne de conformité IA documentée de bout en bout.
Sécurisez votre conformité GPAI dès maintenant
Notre pack documentaire regulia inclut les modèles de clauses contractuelles GPAI, le registre fournisseurs IA et la procédure d'audit conforme aux lignes directrices 2026. Demandez votre devis personnalisé en moins de 48 heures.
Recevoir le pack documentaire GPAI5. Étape 1 : Audit de conformité
L'audit constitue la première phase obligatoire de toute démarche de mise en conformité GPAI. Sans cartographie précise des systèmes d'IA en place, aucune stratégie ne peut être priorisée.
5.1 Évaluation des systèmes d'IA en place
L'audit débute par un inventaire exhaustif. Chaque système d'IA déployé dans l'entreprise — qu'il s'agisse d'un chatbot, d'un outil de génération de contenu, d'un système de recommandation ou d'un assistant de code — doit être recensé.
Les informations minimales à collecter pour chaque système sont les suivantes :
- Identifiant unique du système et nom commercial
- Fournisseur et version du modèle GPAI utilisé
- Finalité métier et processus impactés
- Catégorie de risque au sens de l'AI Act (interdit, haut risque, risque limité, risque minimal)
- Données traitées et base légale RGPD associée
- Responsable interne désigné (IA Lead, DPO, métier)
5.2 Identification des écarts
Une fois l'inventaire complet, chaque système est confronté aux exigences du code GPAI 2026. L'analyse d'écart se formalise dans une matrice à trois niveaux : conforme, partiellement conforme, non conforme.
| Niveau d'écart | Action immédiate | Délai recommandé |
|---|---|---|
| Conforme | Documentation et maintien en l'état | Revue annuelle |
| Partiellement conforme | Plan d'action ciblé | 6 mois |
| Non conforme | Suspension ou correction urgente | Immédiat à 3 mois |
Notre glossaire des termes IA Act détaille chacune des notions techniques mobilisées lors de cet audit.
6. Étape 2 : Mise en œuvre des mesures correctives
Une fois les écarts identifiés, la phase corrective s'organise autour de deux axes interdépendants : la dimension humaine et la dimension processus.
6.1 Formation du personnel
L'Article 4 du Règlement (UE) 2024/1689 introduit une obligation explicite de littératie en IA pour le personnel impliqué dans l'utilisation ou la supervision des systèmes d'IA. Cette obligation est entrée en application le 2 février 2025.
Pour une PME française, la formation doit cibler trois publics distincts :
- Direction générale : compréhension stratégique des obligations AI Act et arbitrage budgétaire
- DPO, RSSI, IA Lead : maîtrise technique et juridique des obligations GPAI
- Utilisateurs métier : usage responsable, signalement d'incidents, supervision humaine
Le service desk de la Commission, accessible sur ai-act-service-desk.ec.europa.eu, met à disposition des ressources pédagogiques gratuites mobilisables pour structurer cette formation.
6.2 Mise à jour des processus
La mise à jour processus se traduit par la révision des documents internes existants. Les modifications minimales à intégrer concernent généralement :
- La politique de sécurité informatique : ajout d'une section dédiée aux systèmes IA
- Le registre des traitements RGPD : extension aux traitements impliquant des GPAI
- Le règlement intérieur : encadrement de l'usage des outils IA générative par les salariés
- Les conditions générales fournisseurs : intégration des clauses de conformité GPAI
7. Étape 3 : Suivi et amélioration continue
La conformité GPAI n'est pas un état mais un processus. Les lignes directrices 2026 insistent sur le caractère itératif de la démarche.
7.1 Mise en place de contrôles internes
Les contrôles internes s'organisent selon trois lignes de défense, modèle inspiré du cadre COSO adapté à l'IA :
| Ligne | Acteur | Mission |
|---|---|---|
| 1ʳᵉ ligne | Métier opérationnel | Application quotidienne des procédures |
| 2ᵉ ligne | DPO, RSSI, IA Lead | Supervision, conseil, contrôle de cohérence |
| 3ᵉ ligne | Audit interne ou externe | Vérification indépendante annuelle |
7.2 Rapports périodiques
Le code de bonne pratique GPAI 2026 recommande la production d'un rapport annuel de conformité IA. Ce document, validé par la direction générale, présente l'évolution du périmètre, les incidents survenus, les mesures correctives engagées et les objectifs pour l'année suivante.
Ce rapport constitue également la preuve documentaire mobilisable en cas de contrôle des autorités compétentes — en France, l'autorité chef de file pour l'AI Act n'a pas encore été désignée par décret [à vérifier], mais la CNIL joue déjà un rôle structurant pour les aspects données personnelles.
Accélérez votre mise en conformité GPAI
regulia propose un pack documentaire complet incluant la matrice d'audit GPAI, le plan de formation littératie IA, les modèles de rapport annuel et les clauses contractuelles fournisseurs. Tout est aligné sur les lignes directrices 2026.
Demander une démonstration8. Ressources et support
La réussite d'une démarche de conformité GPAI repose sur la mobilisation des bonnes ressources externes. Voici les points d'appui essentiels.
8.1 Glossaire des termes techniques
Les notions techniques de l'AI Act et des codes GPAI utilisent un vocabulaire précis. Notre glossaire dédié recense plus de 80 termes définis avec leur référence juridique exacte, indispensable pour comprendre les exigences du règlement.
8.2 Service desk de l'AI Act
La Commission européenne, via l'AI Office, a mis en place un guichet unique à destination des entreprises. Le portail ai-act-service-desk.ec.europa.eu permet de soumettre des questions juridiques et techniques, et d'accéder aux FAQ officielles régulièrement mises à jour.
8.3 Liste consolidée des sources
Notre page sources officielles regroupe l'ensemble des références juridiques, normatives et techniques mobilisables : textes consolidés, normes ISO, fiches CNIL, guides sectoriels Cigref et Numeum.
FAQ
Q : Quelles sont les sanctions pour non-conformité aux codes GPAI ?
Les sanctions financières applicables aux manquements relatifs aux modèles GPAI sont définies à l'Article 101 du Règlement (UE) 2024/1689. Elles peuvent atteindre 3 % du chiffre d'affaires annuel mondial ou 15 M€ pour les fournisseurs GPAI. Pour les pratiques interdites (Art. 5), le plafond monte à 7 % du CA mondial ou 35 M€ (Art. 99 §3). Les PME doivent donc cartographier précisément leur exposition pour éviter des amendes disproportionnées par rapport à leur taille.
Q : Comment les PME peuvent-elles se conformer aux codes de bonne pratique ?
La démarche se structure en trois étapes opérationnelles : audit du parc d'IA existant, mise en œuvre des mesures correctives (formation, processus, documentation), puis suivi par contrôles internes et rapport annuel. Le service desk de l'AI Office propose des guides gratuits adaptés aux PME sur ai-act-service-desk.ec.europa.eu.
Q : Où trouver des ressources fiables pour comprendre les codes GPAI ?
Quatre sources prioritaires : le site officiel artificialintelligenceact.eu pour le texte consolidé, la CNIL pour les fiches pratiques RGPD-IA, le service desk de la Commission pour les FAQ officielles, et le glossaire regulia pour les définitions techniques mobilisables au quotidien.
Q : Les codes GPAI s'appliquent-ils aux PME de moins de 50 salariés ?
Oui. L'AI Act ne prévoit pas d'exemption générale pour les très petites structures. L'Article 62 prévoit toutefois des mesures de soutien spécifiques pour les PME et start-up : accès facilité aux bacs à sable réglementaires, frais réduits pour les évaluations de conformité, accompagnement par les autorités. La taille module les modalités, pas les obligations de fond.
Q : Quel est le délai pour la mise en conformité ?
Les obligations relatives aux modèles GPAI sont entrées en application le 2 août 2025, soit douze mois après l'entrée en vigueur du Règlement. Les obligations relatives aux systèmes d'IA à haut risque s'appliquent à partir du 2 août 2026. Pour les PME déployeuses, le délai effectif de structuration documentaire complète est estimé entre 12 et 18 mois selon le niveau de maturité initial.
Sources officielles
- Texte consolidé AI Act : artificialintelligenceact.eu
- Version officielle UE : eur-lex.europa.eu/eli/reg/2024/1689
- CNIL — fiches pratiques IA : cnil.fr
- AI Office EU — service desk : ai-act-service-desk.ec.europa.eu
- Norme ISO/IEC 42001:2023 — Système de management de l'IA
- Norme ISO/IEC 23894:2023 — Gestion du risque IA
- Norme ISO/IEC 27001:2022 — Sécurité de l'information
Disclaimer : Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.