Obligations GPAI : ce que doivent faire fournisseurs et développeurs
Quatre obligations pour les fournisseurs de modèles GPAI, quatre de plus en cas de risque systémique, et ce que doivent faire ceux qui développent dessus.
Les fournisseurs de modèles d'IA à usage général (GPAI) ont quatre obligations (article 53). Ils doivent documenter le modèle, informer les fournisseurs en aval, publier un résumé des données d'entraînement et définir une politique de respect du droit d'auteur.
Les obligations visent les modèles mis sur le marché de l'UE dès le 2 août 2025. La Commission peut sanctionner les manquements dès le 2 août 2026. Les amendes peuvent atteindre 3 % du chiffre d'affaires mondial ou 15 millions d'EUR, le plus élevé des deux (article 101). Pour les modèles antérieurs, les manquements ne peuvent pas survenir avant le 2 août 2027 (article 111, paragraphe 3). Les fournisseurs hors UE ont besoin d'un mandataire dans l'UE, avec une exception pour l'open source (article 54). Prochaine étape : les fournisseurs rédigent la documentation ; les fournisseurs en aval (concepteurs de systèmes) demandent les informations sur le modèle.
Un modèle GPAI est un modèle d'IA qui accomplit de nombreuses tâches différentes
Un modèle d'IA à usage général présente une généralité significative, exécute avec compétence un large éventail de tâches distinctes et peut être intégré dans de nombreux systèmes et applications en aval (article 3, point 63). La recherche, les essais et le développement d'un modèle avant sa mise sur le marché ou sa mise en service sont hors du champ du règlement, mais pas les essais en conditions réelles (article 2, paragraphe 8). Les modèles développés et mis en service dans le seul but de la recherche et du développement scientifiques sont aussi exclus (article 2, paragraphe 6).
Tous les modèles GPAI
Les fournisseurs de modèles GPAI doivent respecter les quatre obligations de l'article 53, paragraphe 1, avec une exception pour les modèles open source (article 53, paragraphe 2).
Modèles GPAI présentant un risque systémique
Un modèle présente un risque systémique s'il dispose de capacités à fort impact (article 51, paragraphe 1, point a)). Ce sont des capacités égales ou supérieures à celles des modèles GPAI les plus avancés (article 3, point 64). Le règlement présume cette situation lorsque l'entraînement a nécessité plus de 1025 opérations en virgule flottante (FLOP) (article 51, paragraphe 2). La Commission peut aussi désigner un modèle. Ces fournisseurs doivent en plus respecter les obligations de l'article 55.
L'article 53 impose quatre obligations aux fournisseurs GPAI
Documenter le modèle
Rédigez et tenez à jour la documentation technique du modèle, y compris les résultats de son entraînement, de ses essais et de son évaluation. Mettez-la à la disposition du Bureau de l'IA (la fonction de la Commission chargée de superviser les modèles GPAI) et des autorités nationales sur demande (article 53, paragraphe 1, point a)).
Informer les fournisseurs en aval
Élaborez et mettez à disposition des informations sur les capacités et les limites du modèle, afin que les fournisseurs qui développent des systèmes d'IA dessus puissent respecter leurs propres obligations. Cela ne change rien à la nécessité d'observer et de protéger les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d'affaires, conformément au droit de l'Union et au droit national (article 53, paragraphe 1, point b)).
Mettre en place une politique de droit d'auteur
Mettez en place une politique de respect du droit d'auteur de l'Union. Elle doit identifier et respecter les réserves de droits des titulaires contre la fouille de textes et de données (analyse automatisée de contenus pour y trouver des tendances) (article 53, paragraphe 1, point c) ; directive (UE) 2019/790, article 4, paragraphe 3).
Publier un résumé des données d'entraînement
Publiez un résumé suffisamment détaillé des contenus utilisés pour entraîner le modèle, selon le modèle de document du Bureau de l'IA (article 53, paragraphe 1, point d)).
Les fournisseurs de modèles sous licence libre et ouverte sont dispensés des deux premières obligations, documentation et information, si les paramètres, l'architecture et les informations d'utilisation sont publics. La politique de droit d'auteur et le résumé restent obligatoires. La dispense ne couvre pas les modèles présentant un risque systémique (article 53, paragraphe 2).
Les fournisseurs de modèles mis sur le marché avant le 2 août 2025 ont jusqu'au 2 août 2027 pour se conformer (article 111, paragraphe 3). La Commission ne peut pas sanctionner un manquement de ces modèles aux obligations avant le 2 août 2027 (article 101, paragraphe 1, point a)). Les amendes prévues à l'article 101, paragraphe 1, points b) à d), pour défaut de réponse à une demande d'informations, de suivi d'une mesure demandée ou d'accès pour une évaluation, s'appliquent à partir du 2 août 2026.
Les fournisseurs peuvent s'appuyer sur des codes de bonne pratique (article 56) pour démontrer qu'ils respectent ces obligations, jusqu'à la publication d'une norme harmonisée. Le respect des normes européennes harmonisées confère une présomption de conformité dans la mesure où ces normes couvrent ces obligations. Les fournisseurs qui n'adhèrent pas à un code de bonnes pratiques approuvé ou ne respectent pas une norme européenne harmonisée doivent démontrer qu'ils disposent d'autres moyens appropriés de mise en conformité et les soumettre à l'appréciation de la Commission (article 53, paragraphe 4). Prochaine étape : lisez le code de bonnes pratiques de l'IA à usage général de la Commission et ses lignes directrices à l'intention des fournisseurs de modèles d'IA à usage général.
Les modèles à risque systémique ont quatre obligations supplémentaires
Les fournisseurs de modèles GPAI présentant un risque systémique doivent respecter ces obligations en plus des articles 53 et 54 (article 55, paragraphe 1). Ils doivent aussi notifier la Commission dans un délai de deux semaines après que le modèle remplit la condition de capacités à fort impact, ou après qu'il est connu qu'il la remplira (article 52, paragraphe 1).
Évaluer et tester le modèle
Évaluez le modèle avec des protocoles et des outils normalisés reflétant l'état de la technique. Cela inclut des tests contradictoires (attaquer volontairement le modèle pour trouver ses faiblesses) (article 55, paragraphe 1, point a)).
Évaluer et atténuer les risques systémiques
Évaluez et atténuez les risques systémiques possibles au niveau de l'Union, y compris leurs origines (article 55, paragraphe 1, point b)).
Signaler les incidents graves
Suivez les incidents graves, documentez-les avec les mesures correctives possibles et signalez-les sans retard injustifié au Bureau de l'IA et, le cas échéant, aux autorités nationales compétentes (article 55, paragraphe 1, point c)).
Protéger contre les cyberattaques
Assurez un niveau adéquat de protection en matière de cybersécurité pour le modèle et son infrastructure physique (article 55, paragraphe 1, point d)).
Si vous fournissez un système d'IA construit sur un modèle GPAI, vous êtes fournisseur en aval
Un fournisseur en aval fournit un système d'IA qui intègre un modèle d'IA, qu'il ait conçu ce modèle lui-même ou qu'il le tienne d'une autre entité (article 3, point 68). Les obligations de l'article 53 restent à la charge du fournisseur du modèle.
Demandez ses informations au fournisseur du modèle
Le fournisseur du modèle doit mettre à votre disposition des informations sur les capacités et les limites du modèle (article 53, paragraphe 1, point b)). Utilisez-les pour votre propre évaluation des risques. Les droits de propriété intellectuelle et les secrets d'affaires du fournisseur restent protégés. Les fournisseurs de modèles libres et ouverts sans risque systémique en sont dispensés.
Votre propre système est classé séparément
Si votre système d'IA est à haut risque au titre de l'annexe III (la liste des usages à haut risque du règlement, comme le recrutement ou l'évaluation du crédit), vous devez respecter les exigences applicables aux systèmes à haut risque en tant que fournisseur, à partir du 2 décembre 2027 (article 113). Les systèmes mis sur le marché ou mis en service avant cette date ne sont couverts qu'après des modifications importantes de leur conception ; en tout état de cause, les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent prendre les mesures nécessaires pour se conformer au plus tard le 2 août 2030 (article 111, paragraphe 2). Les obligations du fournisseur du modèle au titre de l'article 53 concernent le modèle, pas votre système.
Questions fréquentes : usage d'une API et fournisseurs hors de l'UE
L'utilisation d'une API fait-elle de moi un fournisseur de modèle GPAI ?
Non. Développer un système d'IA sur un modèle GPAI via une API fait de vous un fournisseur en aval. Les obligations de l'article 53 restent à la charge du fournisseur du modèle. Si vous modifiez un modèle ou procédez à son réglage fin, la réponse peut changer : le considérant 109 précise que les obligations du fournisseur devraient se limiter à cette modification, et les lignes directrices de la Commission indiquent à partir de quand un changement est assez important pour faire de vous un fournisseur. Ces lignes directrices ne sont pas juridiquement contraignantes, et l'interprétation de la Commission peut évoluer. Si votre système est à haut risque, vous respectez les exigences applicables aux systèmes à haut risque en tant que son fournisseur.
Que se passe-t-il si mon fournisseur de modèle GPAI est hors de l'UE ?
Les obligations s'appliquent toujours si le modèle est mis sur le marché de l'UE (article 2, paragraphe 1, point a)). Le fournisseur doit d'abord désigner un mandataire dans l'UE, sauf si le modèle est libre et ouvert et ne présente pas de risque systémique (article 54).
Le détail de chaque obligation
Calendrier des échéances du règlement sur l'IA
Présente toutes les dates d'application du règlement, y compris celles du GPAI.
Article 53 : obligations des fournisseurs GPAI
Traite les quatre obligations de chaque fournisseur GPAI.
Article 55 : obligations en cas de risque systémique
Traite les obligations supplémentaires des fournisseurs de modèles à risque systémique.
Scanara prépare des preuves à partir de vos dépôts
Scanara lit vos dépôts GitHub connectés et exécute des analyses à base de règles pour repérer les schémas courants d'IA et d'apprentissage automatique. Il peut manquer du code non standard. Par ailleurs, il génère des projets de documentation à partir de modèles et de vos réponses aux évaluations, comme preuves pour votre travail de conformité. Vous décidez de la classification.