La Commission commence l'application de l'AI Act face à plus de 30 entreprises et discute des risques cybernétiques avec OpenAI et Anthropic

La Commission européenne a commencé les premières actions d'application de l'AI Act face à plus de 30 entreprises d'intelligence artificielle, en envoyant des demandes officielles d'informations concernant à la fois la sécurité et la sûreté des modèles, ainsi que le respect des règles sur le droit d'auteur et la transparence. C'est l'une des premières confirmations publiques que Bruxelles est passé de la préparation du cadre de surveillance à l'utilisation effective des outils prévus pour vérifier les entreprises. En bref

1. La Commission a envoyé des demandes d'informations à plus de 30 entreprises d'IA, décrivant ces demandes comme les premiers pas d'application.

2. Certaines des demandes concernent la sécurité et la sûreté, y compris pour les modèles d'IA à usage général et les systèmes les plus avancés.

3. D'autres entreprises ont reçu des demandes axées sur le droit d'auteur et la transparence.

4. La Commission ne révèle pas à ce stade quelles entreprises ont reçu les demandes officielles.

5. Bruxelles confirme cependant des contacts très récents avec OpenAI et Anthropic, y compris concernant les risques cybernétiques associés à leurs modèles. La Commission a confirmé lors du briefing de presse du 1er septembre que les premières demandes d'informations, RFI, ont déjà été transmises et que la procédure implique plus de 30 entreprises du secteur de l'intelligence artificielle. Les responsables européens ont présenté les demandes comme le début des actions d'application, sans indiquer pour l'instant l'existence de conclusions concernant d'éventuelles violations. Les demandes sont réparties entre deux domaines différents. Le premier concerne la sécurité et la sûreté des systèmes d'IA, avec une attention particulière aux modèles à usage général et aux systèmes les plus avancés disponibles. Le second suit les obligations concernant le droit d'auteur et la transparence, domaines pour lesquels la Commission a envoyé un autre ensemble de demandes aux entreprises. Bruxelles n'a pas publié les noms des entreprises concernées. La Commission a expliqué qu'elle est encore à l'étape initiale, où elle demande des informations et continue le dialogue avec les opérateurs, c'est pourquoi elle n'a pas l'intention de révéler la liste des entreprises qui ont reçu les demandes. Lors du briefing, les questions se sont concentrées en particulier sur OpenAI et Anthropic et sur les risques de sécurité cybernétique associés à leurs modèles. La Commission n'a pas dit si les deux entreprises figurent parmi les destinataires des RFI, mais a confirmé qu'elle avait eu des échanges récents avec les deux et que les discussions ont explicitement inclus les risques de cybersécurité. Les responsables européens ont souligné que ces risques sont traités en priorité dans la surveillance des modèles avancés et que le dialogue technique avec les entreprises se poursuit. La confirmation est pertinente à un moment où les modèles d'intelligence artificielle sont de plus en plus évalués non seulement pour le contenu qu'ils peuvent générer, mais aussi pour des capacités qui peuvent être utilisées dans des contextes sensibles du point de vue de la sécurité informatique. La Commission a cependant évité de détailler si les discussions avec OpenAI et Anthropic ont été déclenchées par des incidents individuels ou si elles font partie de l'évaluation plus large des risques associés aux modèles. Le message transmis a été qu'il existe des contacts récents et directs et que le sujet de la sécurité cybernétique fait partie de ces échanges. Séparément, l'Agence de l'Union européenne pour la cybersécurité, ENISA, continue un processus d'accès et d'intégration aux modèles avancés par le biais de discussions bilatérales avec les entreprises. La Commission a expliqué qu'un tel processus implique l'établissement de normes de sécurité et de critères de sûreté avant que l'agence puisse avoir accès dans les conditions nécessaires pour l'évaluation. La procédure n'est pas présentée comme finalisée. ENISA discute directement avec les entreprises pour définir les conditions, et la Commission a décrit le processus comme étant encore en cours. Dans le cas des plus de 30 entreprises, les demandes d'informations représentent le début de la vérification et non une sanction. La Commission peut utiliser les informations obtenues pour déterminer si des clarifications supplémentaires ou d'autres mesures sont nécessaires dans le cadre de ses compétences de surveillance. L'AI Act établit des obligations différentes en fonction du type et du niveau de risque des systèmes d'intelligence artificielle et introduit des exigences spéciales pour les modèles d'IA à usage général. Certaines de ces obligations concernent la documentation, la transparence, la gestion des risques et la coopération avec les autorités européennes. La confirmation du 1er septembre montre que cette architecture commence à être effectivement utilisée dans la relation entre la Commission et les entreprises. Plus de 30 opérateurs ont déjà entamé une première étape de vérification, tandis que Bruxelles maintient la confidentialité de l'identité des destinataires et continue le dialogue technique avec le secteur.