AI Office : le régulateur bruxellois de l'IA obtient ses pouvoirs de sanction

Depuis le 2 août, l'AI Office ne se contente plus de coordonner l'application de l'AI Act : il peut exiger la documentation technique des modèles d'IA les plus puissants, commander des audits indépendants avec accès au code source, et infliger des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Une bascule institutionnelle passée presque inaperçue, mais qui change concrètement l'équation de conformité pour toute organisation qui développe, intègre ou déploie des systèmes d'IA en Europe.

Ce qui s'est passé

Créé le 24 janvier 2024 au sein de la Commission européenne, l'AI Office a d'abord servi de bureau d'études : coordination de la mise en œuvre de l'AI Act, expertise technique, représentation de l'UE dans les enceintes internationales (OCDE, G7, G20, Conseil de l'Europe, ISO/IEC). Deux ans et demi de rodage avant de recevoir, le 2 août, ses véritables pouvoirs de police à l'égard des modèles d'IA à « risque systémique ».

Trois leviers structurent désormais son action. L'article 91 de l'AI Act lui permet d'exiger des fournisseurs de modèles les plus puissants toute la documentation produite au titre des articles 53 et 55 : documentation technique, évaluation des capacités, analyses de risques. Il peut ensuite commander des évaluations indépendantes, y compris un accès au code source, en mandatant des experts extérieurs. Enfin, il peut imposer des amendes pouvant atteindre 3 % du chiffre d'affaires mondial annuel ou 15 millions d'euros, le montant le plus élevé étant retenu — un simple refus de transmettre une documentation, ou la fourniture d'informations incomplètes, suffit à caractériser le manquement.

Pour tenir ce rôle, la structure passe à 145 personnes, dont 34 dédiées à la réglementation et à la conformité et 38 à la seule surveillance des modèles les plus avancés. Au niveau national, ce sont les autorités de surveillance du marché qui prennent le relais pour les autres systèmes d'IA : en France, c'est la CNIL qui a été désignée autorité de référence, épaulée par une quinzaine d'autorités sectorielles (DGCCRF, Arcom, ACPR, AMF, ANSM, HAS selon le domaine).

Pourquoi c'est important

Cette montée en puissance clarifie une question que beaucoup de DPO et RSSI se posaient depuis l'adoption de l'AI Act : qui contrôle quoi ? Notre guide sur les autorités compétentes en France détaille cette architecture à deux étages — l'AI Office pour les modèles d'IA à usage général présentant un risque systémique, et les autorités nationales, au premier rang desquelles la CNIL, pour la très grande majorité des systèmes d'IA effectivement utilisés par les entreprises françaises.

L'enjeu dépasse la seule répartition des compétences. La Commission a également mis en place un outil dédié aux lanceurs d'alerte pour les salariés du secteur technologique et un outil de conformité pour signaler confidentiellement des comportements jugés illégaux. Autrement dit, une gouvernance IA défaillante en interne peut désormais remonter directement jusqu'à Bruxelles sans passer par une autorité nationale — un canal de risque que peu d'organisations ont encore intégré dans leur cartographie. Notre analyse de l'observatoire CNIL 2025 des DPO montrait déjà que seules 6 % des structures s'estiment bien préparées à l'AI Act, alors que 55 % des DPO l'ont déjà dans leur périmètre.

Ce que ça change pour les organisations

Pour l'immense majorité des PME et ETI, qui ne développent pas de modèles de fondation, l'exposition directe à l'AI Office reste limitée : ce sont des déployeurs, pas des fournisseurs de GPAI à risque systémique. Mais trois points de vigilance méritent d'être ajoutés à la feuille de route conformité, détaillée dans notre guide complet de conformité AI Act :

• vérifier si un usage intensif de fine-tuning ou d'intégration profonde d'un modèle tiers ne fait pas basculer l'organisation, même partiellement, vers un statut de fournisseur au sens des articles 53 et 55 — avec l'obligation documentaire qui en découle ;
• anticiper que la CNIL, désormais officiellement outillée sur l'AI Act, pourra multiplier les demandes d'information sur les systèmes d'IA à haut risque déployés en interne, au même titre qu'elle le fait déjà pour le RGPD ;
• formaliser un cadre d'usage interne de l'IA — à l'image de la charte IA d'entreprise — pour réduire le risque qu'un salarié, faute de canal interne clair, choisisse de signaler un usage problématique directement via l'outil de lancement d'alerte de la Commission.

Ce que Leto pense de cette décision

145 personnes pour surveiller l'ensemble de l'écosystème européen des modèles d'IA à risque systémique, c'est peu au regard de l'ampleur de la tâche — et l'AI Office le sait, puisqu'il concentre déjà ses moyens sur une poignée de fournisseurs de très grands modèles plutôt que sur la base large des PME. C'est précisément pour cette raison que la vraie pression réglementaire, pour la plupart des organisations françaises, ne viendra pas de Bruxelles mais de la CNIL. Le message pour les DPO n'est donc pas « l'AI Office ne me concerne pas », mais l'inverse : plus l'échelon européen se professionnalise sur les gros acteurs, plus l'échelon national aura les moyens et la légitimité pour se professionnaliser à son tour sur tous les autres.

Sources : Silicon.fr · Commission européenne — AI Office