AI Act : le Bureau européen de l'IA interroge plus de 30 fournisseurs de modèles

Une demande d'informations au titre de l'article 91 du règlement européen sur l'intelligence artificielle (AI Act, règlement UE 2024/1689) est l'acte par lequel la Commission européenne exige d'un fournisseur de modèle d'IA à usage général la documentation technique prouvant sa conformité. Le 1er septembre 2026, la Commission a confirmé en avoir adressé à plus de trente entreprises du secteur. C'est le premier exercice concret de ses pouvoirs d'exécution.

Ces envois interviennent un mois après le 2 août 2026, date à laquelle le Bureau européen de l'IA a acquis ses pleins pouvoirs de surveillance et de sanction sur les modèles à usage général (GPAI, pour general-purpose AI). Jusque-là, la relation avec les fournisseurs reposait sur des dialogues volontaires. Avec des demandes formelles, les réponses deviennent opposables et leur inexactitude est elle-même sanctionnable.

Que contiennent les premières demandes du Bureau de l'IA ?

Selon Thomas Regnier, porte-parole de la Commission pour le numérique, cité le 2 septembre 2026, les demandes couvrent deux blocs distincts. Le premier porte sur la sûreté et la sécurité des modèles les plus avancés, ceux susceptibles de présenter un risque systémique. Le second porte sur le respect du droit d'auteur et sur les obligations de transparence à l'égard des fournisseurs en aval.

La Commission n'a pas divulgué la liste des entreprises visées. Les demandes du second bloc ciblent en priorité les fournisseurs qui n'ont pas participé aux dialogues de conformité informels menés par le Bureau de l'IA. Henna Virkkunen, vice-présidente exécutive chargée de la souveraineté technologique, résume l'objectif : garantir que l'IA soit conçue, lancée et utilisée en Europe de manière sûre et transparente.

Comment fonctionne une demande d'informations de l'article 91 ?

Le règlement encadre strictement cet outil. La procédure suit cinq étapes.

1. Dialogue préalable : le Bureau de l'IA peut engager un échange structuré avec le fournisseur avant toute demande formelle.
2. Demande motivée : l'article 91(4) impose de préciser la base juridique, l'objet, les informations exigées, le délai de réponse et les amendes encourues.
3. Réponse documentée : le fournisseur transmet la documentation prévue aux articles 53 et 55, soit la documentation technique du modèle et, pour les modèles à risque systémique, l'évaluation et l'atténuation de ces risques.
4. Évaluation du modèle : en vertu de l'article 92, la Commission peut ensuite procéder à ses propres évaluations, y compris par accès au modèle.
5. Mesures et sanctions : l'article 93 permet d'exiger des mesures correctrices, voire de restreindre la mise à disposition du modèle. L'article 101 prévoit des amendes atteignant 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, notamment pour des informations inexactes ou trompeuses.

Une demande d'informations n'est donc pas une enquête, mais elle en constitue l'antichambre. La Commission indique être en contact étroit avec OpenAI et Anthropic dans ce cadre.

Quelles organisations québécoises sont concernées ?

Le règlement s'applique selon le marché, pas selon le siège social. Un fournisseur établi au Québec qui met un modèle à usage général à disposition dans l'Union européenne relève des mêmes obligations qu'un fournisseur européen, pouvoirs d'investigation du Bureau de l'IA compris.

Trois conséquences pratiques en découlent. La documentation technique doit exister avant la demande, puisque le délai de réponse est fixé par la Commission et non négocié. La traçabilité des données d'entraînement, notamment au regard du droit d'auteur, devient une pièce de conformité et non un simple enjeu contractuel. Enfin, une réponse incomplète expose à une sanction distincte du manquement de fond.

Le Canada dispose-t-il d'un pouvoir équivalent ?

Non. Aucune autorité canadienne ne peut aujourd'hui exiger la documentation technique d'un modèle d'IA avant qu'un préjudice soit allégué. Le Commissariat à la protection de la vie privée du Canada (CPVP) intervient a posteriori, sur le fondement de la protection des renseignements personnels : son enquête conjointe sur OpenAI, menée avec la Commission d'accès à l'information du Québec (CAI) et les commissariats de l'Alberta et de la Colombie-Britannique, a été publiée le 6 mai 2026.

Le projet de loi C-36, déposé en première lecture en juin 2026 par le ministre de l'Intelligence artificielle et de l'Innovation numérique, Evan Solomon, vise la transparence de la prise de décision automatisée pour les décisions importantes concernant des personnes. Il ne crée pas de pouvoir de contrôle sur les modèles eux-mêmes. Au Québec, la Loi 25 encadre les décisions automatisées fondées sur des renseignements personnels (article 12.1), pas l'entraînement des modèles. L'écart entre Bruxelles et Ottawa se mesure désormais en actes, et non plus seulement en textes, un mois après l'entrée en application des pouvoirs d'exécution européens.

Questions fréquentes

Qu'est-ce qu'un modèle d'IA à usage général au sens de l'AI Act ?

Un modèle à usage général (GPAI) est un modèle entraîné sur de vastes volumes de données, capable d'accomplir un large éventail de tâches distinctes et intégrable dans plusieurs systèmes en aval. Les grands modèles de langage en relèvent. Leurs fournisseurs sont supervisés directement par le Bureau européen de l'IA, et non par les autorités nationales.

Une entreprise canadienne peut-elle recevoir une demande d'informations européenne ?

Oui, si elle met un modèle d'IA à usage général sur le marché de l'Union européenne. L'AI Act s'applique en fonction du lieu de mise sur le marché, pas du lieu d'établissement. Le fournisseur doit désigner un mandataire dans l'Union et détenir la documentation technique exigée par les articles 53 et 55.

Quelle amende risque un fournisseur qui répond mal à une demande ?

L'article 101 du règlement UE 2024/1689 prévoit des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond couvre notamment la transmission d'informations inexactes, incomplètes ou trompeuses en réponse à une demande de la Commission.

Quelle est la prochaine échéance du calendrier de l'AI Act ?

Le 2 décembre 2027 pour la majorité des obligations applicables aux systèmes à haut risque de l'annexe III (emploi, crédit, éducation, justice, biométrie), et le 2 août 2028 pour ceux de l'annexe I. Ce report résulte du règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026.

Sources

• Enforcement framework of the AI Act (Commission européenne, 2026)
• Article 91 du règlement (UE) 2024/1689, pouvoir de demander des informations
• European Commission sends first requests for information to more than 30 AI providers (Agence Europe, 1er septembre 2026)
• L'UE interroge des dizaines d'entreprises grâce à ses nouveaux pouvoirs sur l'IA (The Media Leader, 2 septembre 2026)
• Conclusions en vertu de la LPRPDE no 2026-002, enquête conjointe sur OpenAI (CPVP, 6 mai 2026)
• Projet de loi C-36, Loi visant à protéger la vie privée et les données des consommateurs (Parlement du Canada, 45-1)