Les modèles d'IA à usage général (GPAI) sont au cœur de la mise en œuvre de l'EU AI Act. Depuis le 2 août 2025, leurs fournisseurs sont soumis à des obligations spécifiques. Cet article explique ce que ces règles impliquent concrètement pour une PME française qui utilise, intègre ou déploie ces modèles.
TL;DR
L'essentiel en 30 secondes
- Les obligations GPAI du Règlement (UE) 2024/1689 s'appliquent depuis le 2 août 2025 et se précisent en 2026 via les lignes directrices et le Code de bonnes pratiques de la Commission.
- Les PME et start-up bénéficient de démarches allégées : documentation technique simplifiée (Art. 63) et accès prioritaire aux bacs à sable réglementaires (Art. 62).
- Les sanctions pour pratiques interdites atteignent 35 M€ ou 7 % du chiffre d'affaires mondial (Article 99) ; les fournisseurs de GPAI relèvent d'un régime distinct (Art. 101).
- La norme ISO/IEC 42001:2023 fournit un cadre de gestion recommandé pour structurer la conformité.
- La Commission met à disposition un service desk gratuit et un Code de bonnes pratiques GPAI.
1. Contexte des lignes directrices 2026
Le Règlement (UE) 2024/1689, dit EU AI Act, est entré en vigueur le 1er août 2024. Son application est échelonnée. Les règles sur les modèles d'IA à usage général (Chapitre V, Articles 51 à 56) s'appliquent depuis le 2 août 2025.
Un modèle GPAI est un modèle entraîné sur de larges volumes de données, capable d'accomplir un grand nombre de tâches distinctes. Les grands modèles de langage entrent dans cette catégorie.
La Commission a publié en juillet 2025 le Code de bonnes pratiques GPAI et des lignes directrices sur le périmètre de ces obligations. En 2026, ces documents servent de référence pratique aux autorités et aux entreprises. Toute évolution réglementaire postérieure doit être vérifiée sur EUR-Lex [à vérifier].
Les objectifs de la Commission sont triples :
- Sécurité — garantir la robustesse et la fiabilité des systèmes.
- Innovation — préserver la compétitivité des acteurs européens, PME comprises.
- Éthique — assurer transparence, non-discrimination et respect des droits fondamentaux.
Les domaines les plus surveillés sont ceux classés à haut risque par l'Annexe III du règlement : santé, transport, emploi, justice, accès aux services essentiels. Une PME de ces secteurs doit redoubler de vigilance.
2. Les cinq piliers des lignes directrices
Les lignes directrices structurent la conformité autour de cinq exigences. Le tableau suivant les résume.
| Pilier | Exigence principale | Référence AI Act |
|---|---|---|
| Sécurité et robustesse | Résistance aux erreurs, attaques et usages détournés | Art. 15 |
| Transparence et explicabilité | Information claire sur le fonctionnement et les limites | Art. 13, Art. 50 |
| Protection des données | Gouvernance des données d'entraînement et de test | Art. 10 |
| Responsabilité et conformité | Documentation technique et traçabilité des acteurs | Art. 11, Art. 53 |
| Éthique et supervision humaine | Contrôle humain et prévention des biais | Art. 14 |
Chaque pilier se traduit par des livrables documentaires concrets. Un fournisseur de GPAI doit notamment tenir une documentation technique conforme à l'Annexe XI et publier un résumé des contenus utilisés pour l'entraînement (Art. 53).
3. Implications pour les PME françaises
La bonne nouvelle : le règlement prévoit des mesures d'allègement pour les PME et start-up. Elles ne constituent pas une exemption totale.
- Documentation simplifiée : l'Art. 63 autorise les PME, y compris les start-up, à fournir la documentation technique sous une forme simplifiée définie par la Commission.
- Accès prioritaire aux bacs à sable : l'Art. 62 garantit un accès prioritaire et gratuit aux bacs à sable réglementaires, ainsi que des frais d'évaluation de conformité réduits.
- Canaux dédiés : la Commission et les autorités nationales doivent ouvrir des canaux de communication adaptés aux PME.
Attention : ces mesures allègent la charge administrative, mais n'exonèrent pas des obligations de fond. Le plan initial évoquait une exonération au titre d'un « Art. 61 » : cette référence est inexacte et n'est pas retenue ici (voir le glossaire pour la distinction entre allègement et exemption).
Estimation indicative des coûts de mise en conformité (hypothèses de travail, à ajuster selon le secteur) :
| Taille de la PME | Complexité des systèmes | Coût estimé de mise en conformité |
|---|---|---|
| 10-49 salariés | Usage simple de GPAI tiers | 3 000 – 8 000 € [à vérifier] |
| 50-149 salariés | Intégration dans un produit | 8 000 – 20 000 € [à vérifier] |
| 150-250 salariés | Déploiement à haut risque | 20 000 – 50 000 € [à vérifier] |
Ces montants sont des ordres de grandeur, non des chiffres officiels. L'accompagnement gratuit du service desk réduit une partie de ces coûts. Pour un cadrage complet, consultez notre article pilier AI Act pour les PME françaises.
Évaluez votre exposition GPAI en 10 minutes
Notre questionnaire identifie vos obligations réelles et les documents à produire selon votre usage des modèles d'IA à usage général.
Obtenir mon diagnostic4. Alignement avec le RGPD et ISO/IEC 42001:2023
L'EU AI Act ne remplace pas le RGPD. Les deux textes se complètent. Lorsqu'un modèle GPAI traite des données personnelles, les deux régimes s'appliquent simultanément.
| Dimension | RGPD | EU AI Act | ISO/IEC 42001:2023 |
|---|---|---|---|
| Objet | Protection des données personnelles | Sécurité des systèmes d'IA | Système de management de l'IA |
| Nature | Obligation légale | Obligation légale | Norme volontaire |
| Outil clé | AIPD (analyse d'impact) | Documentation technique | Cycle d'amélioration continue |
| Autorité | CNIL | AI Office / autorités nationales | Certification par tierce partie |
Les synergies sont fortes. Une analyse d'impact relative à la protection des données (AIPD) exigée par le RGPD couvre déjà une partie de l'évaluation attendue par l'AI Act.
La norme ISO/IEC 42001:2023 fournit le cadre organisationnel. Elle structure gouvernance, gestion des risques et amélioration continue. Associée à l'ISO/IEC 23894:2023 (gestion des risques IA) et à l'ISO/IEC 27001:2022 (sécurité de l'information), elle permet une conformité intégrée plutôt que fragmentée.
Bonne pratique : cartographier une seule fois vos systèmes d'IA, puis dériver de cette cartographie les livrables RGPD, AI Act et ISO. Vous évitez ainsi les doublons documentaires.
5. Sanctions et contrôles en 2026
Les sanctions relèvent de l'Article 99 du règlement, et non d'un « Art. 83 » comme l'indiquait le plan initial. Cette correction est importante : citer un mauvais article affaiblit toute démarche de conformité.
| Type de manquement | Plafond amende | Plafond en % du CA mondial | Base légale |
|---|---|---|---|
| Pratiques d'IA interdites (Art. 5) | 35 M€ | 7 % | Art. 99 |
| Autres obligations (fournisseurs, déployeurs) | 15 M€ | 3 % | Art. 99 |
| Informations incorrectes aux autorités | 7,5 M€ | 1 % | Art. 99 |
| Manquements des fournisseurs de GPAI | 15 M€ | 3 % | Art. 101 |
Pour les PME et start-up, l'amende retenue est le montant le plus faible entre le plafond fixe et le pourcentage (Art. 99). Ce mécanisme protège les petites structures d'amendes disproportionnées.
Les contrôles combinent surveillance de marché nationale et supervision de l'AI Office pour les modèles GPAI. Une PME dispose de voies de recours : droit d'être entendue, contestation devant les juridictions nationales, saisine du service desk pour clarification. Pour le détail du régime de sanctions, consultez notre analyse dédiée : sanctions et amendes AI Act pour les PME.
6. Outils et ressources disponibles
La Commission met plusieurs ressources gratuites à disposition.
- AI Act Service Desk (
ai-act-service-desk.ec.europa.eu) — point d'entrée officiel pour les questions de conformité. - Code de bonnes pratiques GPAI — cadre volontaire aidant les fournisseurs à démontrer leur conformité.
- Fiches pratiques de la CNIL — 13 fiches consacrées à l'IA et au RGPD.
Côté français et professionnel, les guides du Cigref (janvier 2025) et de Numeum (mars 2025) offrent des lectures opérationnelles. Selon votre secteur, l'autorité compétente peut varier : ACPR pour la finance, ANSM et HAS pour la santé, ARCOM pour les médias.
Notre page sources officielles centralise ces références et leurs liens à jour.
7. Cas d'étude : une PME française en 2026
Le cas suivant est illustratif et ne désigne aucune entreprise réelle. Il montre une démarche type.
Une PME de 80 salariés, éditrice d'un logiciel RH, intègre un modèle GPAI tiers pour trier des candidatures. Ce cas d'usage relève du haut risque (Annexe III, domaine de l'emploi).
Étapes suivies :
- Cartographie — inventaire du système et qualification du niveau de risque.
- Analyse d'impact — AIPD RGPD étendue aux exigences de l'AI Act.
- Documentation — dossier technique simplifié au titre de l'Art. 63.
- Supervision humaine — recruteur habilité à revoir chaque décision (Art. 14).
- Gouvernance — mise en place d'un système de management inspiré d'ISO/IEC 42001:2023.
Résultats après six mois : traçabilité complète des décisions, réduction des biais détectés lors des tests, dossier prêt en cas de contrôle. Le coût est resté dans la fourchette basse grâce à l'accompagnement du service desk. Ces résultats sont propres à ce scénario et ne constituent pas une garantie.
Sécurisez votre conformité GPAI dès maintenant
Accédez à un pack documentaire complet : modèles de documentation technique, trames d'AIPD et registre des systèmes d'IA, alignés sur l'AI Act et ISO 42001.
Découvrir le pack completFAQ
Quelles sont les obligations pour une PME utilisant un système d'IA à haut risque ?
La PME doit documenter le système, réaliser une évaluation d'impact, assurer une supervision humaine et mettre en place des mesures de sécurité. La documentation peut prendre une forme simplifiée pour les PME et start-up (Art. 63). Aucun système à haut risque n'est totalement exonéré.
Comment bénéficier des démarches allégées pour les PME ?
Les PME accèdent en priorité aux bacs à sable réglementaires et à des frais d'évaluation réduits (Art. 62). Elles peuvent utiliser la documentation technique simplifiée (Art. 63). Un accompagnement est disponible via le service desk de la Commission.
Quels sont les coûts estimés pour la mise en conformité ?
Les coûts dépendent de la taille et de la complexité des systèmes. Les ordres de grandeur vont de quelques milliers à plusieurs dizaines de milliers d'euros [à vérifier]. L'accompagnement gratuit du service desk réduit ces montants.
Où trouver des ressources d'accompagnement ?
La Commission propose des outils gratuits via son service desk (ai-act-service-desk.ec.europa.eu) et le Code de bonnes pratiques GPAI. La CNIL publie 13 fiches pratiques IA. Notre page AI Act pour les PME françaises détaille ces ressources.
Quelles sont les sanctions en cas de non-conformité ?
Les pratiques interdites exposent à une amende de 35 M€ ou 7 % du chiffre d'affaires mondial (Article 99). Les manquements des fournisseurs de GPAI relèvent de l'Art. 101 (jusqu'à 15 M€ ou 3 %). Pour les PME, le montant le plus faible s'applique.
Sources officielles
- Texte consolidé de l'AI Act
- Règlement (UE) 2024/1689 — version officielle
- CNIL — fiches pratiques IA
- AI Act Service Desk — Commission européenne
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.