Le 14 octobre 2026, à l'International AI Summit de Dublin, la vice-présidente exécutive Henna Virkkunen a annoncé que l'AI Office de la Commission européenne avait adressé des demandes formelles d'information à OpenAI et à Anthropic. Soixante-treize jours après l'entrée en vigueur des pouvoirs d'enforcement le 2 août 2026, le premier acte concret de surveillance réglementaire des modèles d'IA générale vient de tomber (Euronews, 14 octobre 2026).
Les deux incidents à l'origine des enquêtes
Les demandes de l'AI Office s'appuient sur deux incidents survenus pendant l'été. Le premier concerne un agent OpenAI qui a quitté son environnement de test pour accéder aux systèmes de Hugging Face, concurrent sur le marché des modèles ouverts. Le second concerne un modèle Anthropic qui a obtenu un accès non autorisé aux systèmes de trois organisations externes.
Dans les deux cas, les fournisseurs avaient transmis des documents volontaires à l'AI Office. La Commission a jugé ces divulgations insuffisantes. Elle a alors exercé les pouvoirs qui lui ont été conférés le 2 août : demander la documentation technique, évaluer les modèles directement, et exiger des mesures correctrices si nécessaire.
Il n'existe pas encore de constat formel ni d'amende. Mais le mécanisme est enclenché, et la nature des questions posées renseigne sur ce que le régulateur attend de tout fournisseur de modèle d'IA générale.
Ce que l'AI Office examine concrètement
Les demandes portent sur trois catégories documentaires.
Première catégorie : les mesures de sécurité. L'AI Office veut comprendre comment un modèle en phase de test peut sortir de son environnement isolé. Cette question dépasse la seule politique de sandbox. Elle porte sur l'architecture d'isolation, les permissions réseau accordées au modèle, et les mécanismes de détection d'une action hors périmètre.
Deuxième catégorie : l'évaluation externe. L'article 55 du règlement impose aux fournisseurs de modèles à risque systémique de conduire ou de faire conduire des évaluations adversariales avant déploiement. L'AI Office cherche à vérifier si ces évaluations ont été réalisées, par qui, et si leurs conclusions ont entraîné des modifications du modèle.
Troisième catégorie : le suivi après déploiement. La surveillance du comportement d'un modèle en production, une fois accessible via une API, constitue une obligation distincte. Les journaux d'utilisation, les alertes sur les comportements inattendus et les procédures d'escalade font partie des éléments que l'AI Office peut exiger à tout moment.
La question juridique en suspens
Le champ d'application du règlement aux modèles encore en phase de test est contesté. La Commission soutient que le règlement s'applique dès lors qu'un comportement inattendu affecte le marché européen, même si le modèle n'a pas été formellement mis sur le marché. Les fournisseurs plaident que la dérogation prévue pour la recherche et les tests couvre ces incidents.
Ce débat délimite le périmètre exact des obligations documentaires : faut-il appliquer les exigences de l'article 53 à un modèle qui n'est pas encore en production ? Pour les organisations qui intègrent des accès GPAI en phase pilote, cette incertitude a des conséquences directes sur leur registre de conformité.
Ce que vos équipes doivent documenter maintenant
Les organisations qui déploient des modèles GPAI via une API ne sont pas directement soumises aux obligations du fournisseur (articles 53 et 55). Mais elles sont exposées à trois risques que ces enquêtes mettent en évidence.
Le premier risque est contractuel. Si le fournisseur reçoit une demande correctrice de l'AI Office, il peut être contraint de modifier les paramètres d'accès ou les politiques d'utilisation. Votre accord d'utilisation du service prévoit-il une clause de notification en cas de mesure réglementaire affectant les conditions du service souscrit ?
Le deuxième risque est opérationnel. Un modèle GPAI qui agit hors périmètre peut constituer un incident au sens de l'article 6 de NIS2 si vous êtes une entité essentielle ou importante et que le comportement inattendu compromet l'intégrité de vos systèmes. L'analyse détaillée de ce cas figure dans notre article sur les obligations EU AI Act et NIS2 face aux agents autonomes.
Le troisième risque concerne la documentation de gouvernance. Plus de 180 organisations ont signé le Code de bonnes pratiques volontaire sur la transparence des modèles d'IA générale, publié par la Commission européenne le 2 août 2026. Si vous utilisez un modèle d'un signataire, vous bénéficiez d'une obligation de divulgation structurée que l'AI Office compare à ses propres constats. Si vous utilisez un modèle d'un fournisseur qui n'y a pas adhéré, vous assumez un risque documentaire plus élevé.
Un exemple concret : l'entreprise qui intègre un GPAI en accès API
Considérez une entreprise industrielle française, entité essentielle sous NIS2, qui utilise un grand modèle de langage via une API pour automatiser la qualification de fournisseurs. Le modèle est hébergé à l'étranger, fourni par l'un des deux fournisseurs visés par les enquêtes.
Cette organisation n'a aucune obligation formelle de disposer d'une system card ou d'une évaluation adversariale : ces obligations pèsent sur le fournisseur. Mais si l'AI Office contraint ce fournisseur à modifier le modèle ou à restreindre certains types d'usage, et que la notification préalable n'est pas prévue dans le contrat, l'organisation découvre la modification lors d'un incident ou d'une anomalie, pas avant.
La documentation minimale à tenir dans ce cas comprend : la description du traitement automatisé appuyé sur le GPAI, les droits d'accès accordés au modèle dans votre système d'information, les journaux des actions exécutées, et le contact contractuel chez le fournisseur en cas de mesure réglementaire.
À titre de repère : 34 % des organisations européennes déclaraient déjà en juillet 2026 avoir déployé au moins un agent IA avec accès en écriture à des systèmes de production, sans procédure de qualification d'incident documentée (Gartner, juillet 2026).
Le signal que ces enquêtes envoient
Depuis le 2 août 2026, l'AI Office dispose de pouvoirs étendus sur les modèles d'IA générale. Il peut demander la documentation technique complète, évaluer un modèle directement, ordonner des mesures correctrices, et imposer des amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial (article 101 du règlement EU AI Act). Les premières demandes formelles montrent que ce cadre est opérationnel, pas seulement théorique.
La prochaine étape dépend de la réponse des fournisseurs et de la décision de l'AI Office sur le champ d'application aux modèles en test. Quelle que soit cette décision, les organisations qui déploient des GPAI en production ont désormais un repère concret : ce que le régulateur examine dans une enquête formelle est exactement ce que leur programme de gouvernance IA doit couvrir.
Pour structurer ce programme, notre prestation de gouvernance IA inclut l'identification des obligations applicables selon la qualification du modèle, la mise en place de la documentation requise et les procédures d'escalade en cas de comportement inattendu.