Meilleure IA open source

L’AI Act et les modèles open source : ce que doit faire une entreprise qui en affine un

L’AI Act accorde aux modèles open source une exemption partielle, et la plupart des entreprises qui en affinent un ne deviennent jamais fournisseur d’un nouveau modèle. Une lecture des articles, des lignes directrices de la Commission et de l’omnibus de 2026, conclue par une liste de contrôle.

Par La rédaction · Mis à jour le · 8 min de lecture

Une responsable de la conformité et un ingénieur examinent un règlement imprimé à onglets sur un bureau, près d’une haute fenêtre, dans un bureau européen.
Pour la plupart des entreprises, les obligations de l’AI Act autour des modèles ouverts relèvent de la documentation, pas de l’interdiction.
Sommaire
  1. La question derrière la recherche
  2. Comment le règlement traite l’IA open source
  3. Ce qui change quand une entreprise affine un modèle
  4. Les dates
  5. Le volet protection des données
  6. Liste de contrôle pour une entreprise qui affine un modèle ouvert
  7. Questions fréquentes
  8. Sources

La question derrière la recherche

Une entreprise européenne qui bascule son travail d’IA sur un modèle open-weight, puis entraîne ce modèle sur ses propres données, se pose une question légitime : est-ce que cela fait d’elle un fournisseur de modèle d’IA, avec les obligations qui vont avec ? Le règlement sur l’IA est long, il a déjà été modifié une fois, et l’essentiel des commentaires porte sur les grands laboratoires plutôt que sur les entreprises qui adaptent leurs modèles. Ce guide lit les articles pertinents et les lignes directrices de la Commission pour ce cas plus étroit. Il s’agit d’un résumé d’orientation, pas d’un avis juridique.

Comment le règlement traite l’IA open source

Le règlement distingue les systèmes d’IA, c’est-à-dire les applications que les gens utilisent, des modèles d’IA à usage général sur lesquels ces systèmes reposent⁠1.

Les systèmes open source. L’article 2, paragraphe 12, prévoit que le règlement ne s’applique pas aux systèmes d’IA publiés sous licence libre et open source, sauf s’ils sont mis sur le marché comme systèmes à haut risque, ou s’ils relèvent des pratiques interdites de l’article 5 ou des obligations de transparence de l’article 50⁠1.

Les modèles open source. Pour les modèles à usage général, l’article 53, paragraphe 2, dispense les fournisseurs de modèles publiés sous licence libre et open source des obligations de documentation technique de l’article 53, paragraphe 1, points a) et b). L’article 54, paragraphe 6, lève l’obligation, pour les fournisseurs établis hors de l’UE, de désigner un mandataire. Aucune de ces exemptions ne s’applique aux modèles à risque systémique⁠1.

Ce qui reste applicable. Tout fournisseur de modèle à usage général, ouvert ou non, doit mettre en place une politique de respect du droit d’auteur de l’Union et publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement, au titre de l’article 53, paragraphe 1, points c) et d). Le considérant 104 confirme que l’exemption open source ne couvre pas ces deux obligations⁠1.

Ce qui compte comme ouvert. Le considérant 102 rattache l’ouverture à la publication des paramètres, des poids, de l’architecture et des informations d’utilisation. Le considérant 103 exclut les composants fournis contre paiement ou monétisés d’une autre manière, tout en précisant que la publication dans des dépôts ouverts ne constitue pas en soi une monétisation⁠1. Les lignes directrices de la Commission reprennent les conditions : une licence qui permet l’accès, l’utilisation, la modification et la distribution sans monétisation ; des poids, une architecture et des informations d’utilisation publics ; et l’absence de risque systémique⁠2.

Le risque systémique. Un modèle est présumé présenter un risque systémique lorsque son entraînement a mobilisé plus de 10^25 opérations en virgule flottante, selon l’article 51, paragraphe 2⁠1. Le critère indicatif de la Commission pour qualifier un modèle d’usage général est une puissance de calcul d’entraînement supérieure à 10^23 opérations, combinée à la capacité de générer du langage, des images ou de la vidéo⁠2.

Ce qui change quand une entreprise affine un modèle

C’est le point qui inquiète le plus souvent les entreprises, et les lignes directrices de la Commission sont rassurantes. Une entreprise qui modifie un modèle à usage général ne devient fournisseur du modèle modifié que si la modification mobilise plus d’un tiers de la puissance de calcul utilisée pour entraîner le modèle d’origine. En dessous de ce seuil, les modifications mineures ne déclenchent pas d’obligations de fournisseur⁠23.

Une entreprise au-dessus du seuil est traitée comme fournisseur du modèle modifié, mais ses obligations de documentation ne portent que sur la modification : ce qui a été changé et les nouvelles données utilisées, pas l’ensemble du modèle⁠2. Le fine-tuning économe en paramètres, comme LoRA, n’entraîne qu’un petit nombre de paramètres ajoutés⁠4, ce qui devrait maintenir un fine-tuning d’entreprise ordinaire bien en dessous du tiers de la puissance de calcul d’entraînement du modèle d’origine ; le chiffre doit tout de même être estimé et consigné.

Les systèmes à haut risque obéissent à une règle distincte. En vertu de l’article 25, paragraphe 1, un déployeur est considéré comme le fournisseur d’un système d’IA à haut risque si, entre autres cas, il y appose son nom ou sa marque ou le modifie substantiellement⁠1. Une entreprise qui intègre un modèle dans un usage à haut risque, recrutement, crédit ou autre, doit commencer par lire cet article.

Les dates

DateCe qui s’applique
2 février 2025Obligation de maîtrise de l’IA de l’article 4 pour les fournisseurs et les déployeurs⁠5
2 août 2025Obligations des fournisseurs de modèles d’IA à usage général⁠3
2 août 2026Pouvoirs d’exécution de la Commission sur les modèles à usage général, amendes comprises ; contrôle national de la maîtrise de l’IA⁠35
27 juillet 2026Entrée en vigueur du règlement (UE) 2026/1744, l’omnibus numérique sur l’IA⁠6
2 août 2027Échéance pour les modèles à usage général mis sur le marché avant le 2 août 2025⁠3
2 décembre 2027Obligations pour les systèmes à haut risque de l’annexe III, reportées par l’omnibus⁠6
2 août 2028Obligations pour les systèmes à haut risque de l’annexe I, reportées par l’omnibus⁠6

L’omnibus, proposé par la Commission en novembre 2025 et adopté en juillet 2026, a aussi assoupli l’article 4, simplifié la documentation pour les PME et les petites entreprises de taille intermédiaire, et ajouté de nouvelles interdictions visant l’IA qui génère des hypertrucages intimes ou des contenus pédopornographiques⁠76. Depuis cette modification, l’article 4 ne fixe plus de niveau suffisant de maîtrise de l’IA, mais la Commission estime que s’en remettre aux seules notices d’utilisation est en général insuffisant⁠5.

Le code de bonnes pratiques volontaire pour l’IA à usage général, publié en juillet 2025, décrit comment les fournisseurs peuvent satisfaire aux obligations de transparence et de droit d’auteur, avec un chapitre distinct sur la sûreté et la sécurité pour les modèles à risque systémique. Mistral AI et Aleph Alpha figurent parmi ses signataires⁠8.

Le volet protection des données

Entraîner un modèle sur des données d’entreprise qui comportent des données personnelles constitue un traitement au sens du RGPD, quoi que prévoie l’AI Act. L’avis 28/2024 du Comité européen de la protection des données fait référence : un modèle entraîné sur des données personnelles ne peut pas, dans tous les cas, être considéré comme anonyme, et ne l’est que si l’extraction de données personnelles et leur obtention par des requêtes sont toutes deux d’une probabilité insignifiante. L’intérêt légitime peut fonder le développement et le déploiement d’un modèle, sous réserve d’un test en trois étapes, et une entreprise qui déploie le modèle d’un tiers doit vérifier qu’il a été développé de manière licite⁠9. En France, la CNIL a publié des fiches pratiques sur la base légale, l’intérêt légitime et le statut d’un modèle au regard du RGPD⁠10.

Liste de contrôle pour une entreprise qui affine un modèle ouvert

  1. Recenser chaque modèle utilisé, sa version et sa licence, et vérifier si la licence répond aux conditions open source de la Commission.
  2. Vérifier le statut de risque systémique du modèle de base. Au-delà de 10^25 opérations, son fournisseur porte les obligations supplémentaires ; une entreprise qui l’affine sous le seuil du tiers n’en hérite pas.
  3. Estimer la puissance de calcul de chaque fine-tuning et conserver le chiffre. En dessous du tiers de la puissance d’entraînement d’origine, l’entreprise n’est pas fournisseur d’un nouveau modèle à usage général.
  4. Documenter la modification dans tous les cas : données utilisées, changements apportés et méthode d’évaluation. C’est obligatoire au-dessus du seuil et de bonne pratique en dessous.
  5. Confronter l’usage à la liste des systèmes à haut risque et à l’article 25, paragraphe 1, avant tout déploiement.
  6. Mener une analyse RGPD des données d’entraînement, minimiser les données personnelles et documenter le test de l’intérêt légitime lorsqu’il fonde le traitement, en s’appuyant sur les fiches de la CNIL.
  7. Mettre en place un programme de maîtrise de l’IA pour les équipes qui utilisent ou supervisent le système.
  8. Inscrire les échéances au calendrier, en particulier le 2 décembre 2027 pour les systèmes à haut risque.

Une entreprise qui a fait ces huit choses peut répondre aux questions que lui poseront vraisemblablement un régulateur, un client ou le comité social et économique, et la plupart constateront qu’affiner un modèle ouvert les laisse dans la position de déployeur soumis à des obligations de documentation, pas dans celle de fournisseur de modèle.

Questions fréquentes

L’AI Act s’applique-t-il à l’IA open source ?

En partie. Les systèmes d’IA publiés sous licence libre et open source échappent au règlement, sauf s’ils sont à haut risque, relèvent des pratiques interdites ou des règles de transparence. Les modèles à usage général open source sont dispensés de certaines obligations de documentation, mais doivent toujours disposer d’une politique en matière de droit d’auteur et publier un résumé de leurs contenus d’entraînement ; les modèles à risque systémique ne bénéficient d’aucune exemption.

Si nous affinons un modèle open source, devenons-nous fournisseur au sens de l’AI Act ?

En général, non. Selon les lignes directrices de la Commission, une entreprise qui modifie un modèle à usage général n’en devient fournisseur que si la modification mobilise plus d’un tiers de la puissance de calcul utilisée pour entraîner le modèle d’origine. Même dans ce cas, ses obligations ne portent que sur la modification, par exemple les changements apportés et les nouvelles données d’entraînement.

Quand les règles de l’AI Act sur les modèles à usage général s’appliquent-elles ?

Les obligations des fournisseurs de modèles d’IA à usage général s’appliquent depuis le 2 août 2025. Les pouvoirs d’exécution de la Commission, amendes comprises, s’appliquent depuis le 2 août 2026. Les modèles mis sur le marché avant le 2 août 2025 doivent être en conformité au plus tard le 2 août 2027.

L’omnibus numérique a-t-il reporté l’AI Act ?

Il a reporté les règles relatives au haut risque. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, repousse les obligations pour les systèmes à haut risque au 2 décembre 2027 pour ceux de l’annexe III et au 2 août 2028 pour ceux relevant de l’annexe I. Il assouplit aussi l’obligation de maîtrise de l’IA. Il ne semble pas modifier les obligations relatives aux modèles à usage général.

Qu’est-ce qu’un modèle d’IA à usage général présentant un risque systémique ?

Le règlement présume un risque systémique lorsqu’un modèle a été entraîné avec plus de 10^25 opérations en virgule flottante. Ces modèles portent des obligations supplémentaires de sûreté et de sécurité, et l’exemption open source ne leur est pas applicable.

L’AI Act impose-t-il de former les salariés à l’IA ?

L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour assurer la maîtrise de l’IA de leur personnel ; il s’applique depuis le 2 février 2025. Depuis l’omnibus de 2026, il ne fixe plus de niveau suffisant, mais la Commission estime que s’en remettre aux seules notices d’utilisation est en général insuffisant.

Sources

  1. Regulation (EU) 2024/1689 (Artificial Intelligence Act). EUR-Lex, 12 juil. 2024. Consulté le 9 nov. 2026.
  2. Questions and answers on the guidelines for general-purpose AI providers. European Commission. Consulté le 9 nov. 2026.
  3. Guidelines for providers of general-purpose AI models. European Commission. Consulté le 9 nov. 2026.
  4. PEFT. Hugging Face. Consulté le 9 nov. 2026.
  5. AI literacy: questions and answers. European Commission. Consulté le 9 nov. 2026.
  6. Regulation (EU) 2026/1744 (Digital Omnibus on AI). EUR-Lex, 24 juil. 2026. Consulté le 9 nov. 2026.
  7. Digital Omnibus on AI: regulation proposal. European Commission, 19 nov. 2025. Consulté le 9 nov. 2026.
  8. The General-Purpose AI Code of Practice. European Commission, 10 juil. 2025. Consulté le 9 nov. 2026.
  9. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. European Data Protection Board, 18 déc. 2024. Consulté le 9 nov. 2026.
  10. Les fiches pratiques IA. CNIL. Consulté le 9 nov. 2026.

Mis à jour le 9 nov. 2026: Première publication, intégrant le règlement (UE) 2026/1744 (omnibus numérique sur l’IA).

À lire aussi

Aussi en : English · Deutsch · Español · Italiano · Nederlands · Polski