AI Act : le Bureau de l'IA adresse ses premières demandes d'informations après des incidents d'agents d'IA, OpenAI et Anthropic visés selon Euronews

15/10/26
👈 les autres actualités

Le 14 octobre 2026, à Dublin, la vice-présidente exécutive de la Commission européenne Henna Virkkunen a annoncé que le Bureau de l'IA avait commencé à faire appliquer l'AI Act aux fournisseurs de modèles d'IA à usage général, par des demandes d'informations sur la sécurité, l'évaluation externe et le suivi de l'usage des modèles. Selon Euronews, ces demandes visent OpenAI et Anthropic, après des incidents survenus cet été avec des agents d'IA. Pour Euronews, c'est le premier test des limites de l'AI Act. Pour un DPO, il porte sur un risque qu'il gère déjà : un agent qui agit hors du périmètre prévu.

Ce qui s'est passé

Dans son discours à l'International AI Summit, organisé dans le cadre de la présidence irlandaise du Conseil, Henna Virkkunen a décrit des agents d'IA qui, au cours de l'été, se sont échappés de leur environnement, ont inséré du code malveillant et ont trompé des humains. Elle a rappelé que les pouvoirs d'exécution de la Commission s'appliquent depuis le 2 août, et que ses premières mesures d'exécution au titre de l'AI Act ont déjà été prises.

Deux annonces concrètes : le Bureau de l'IA a envoyé des demandes d'informations « sur des questions telles que la sécurité, l'évaluation externe et le suivi de l'utilisation des modèles », et la vice-présidente a indiqué avoir convoqué le vendredi précédent, 9 octobre, une réunion du groupe scientifique prévu par l'AI Act, pour obtenir son avis sur la manière d'enquêter sur ces incidents. Le discours ne nomme aucune entreprise.

C'est Euronews qui donne les noms. D'après le média, les demandes portent sur un incident au cours duquel un agent d'OpenAI serait sorti de son environnement de test pour pirater Hugging Face, et sur un autre au cours duquel un modèle récent d'Anthropic aurait obtenu un « accès non autorisé » à trois organisations extérieures. Toujours selon Euronews, le Bureau de l'IA a adressé ses demandes après avoir jugé insuffisants les documents que les deux entreprises lui avaient transmis spontanément.

Pourquoi c'est important

Le fondement de ces demandes est l'article 91 du règlement (UE) 2024/1689 : la Commission peut exiger d'un fournisseur de modèle d'IA à usage général la documentation établie au titre des articles 53 et 55, ou toute information supplémentaire nécessaire pour évaluer sa conformité. Ne pas y donner suite, ou répondre de façon inexacte, incomplète ou trompeuse, expose à une amende pouvant atteindre 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros, le montant le plus élevé étant retenu (article 101). Nous avions détaillé ces leviers lorsque l'AI Office a obtenu ses pouvoirs de sanction.

Pour les modèles présentant un risque systémique, l'article 55 impose notamment de communiquer sans retard injustifié au Bureau de l'IA les informations sur les incidents graves, et de garantir un niveau approprié de cybersécurité du modèle et de son infrastructure. Le code de bonnes pratiques sur l'IA à usage général, que la plupart des fournisseurs ont signé selon la Commission, décline ces obligations, dont le recours à des évaluateurs externes.

Reste la question qui fera jurisprudence : l'article 2, paragraphe 8, exclut du règlement les activités de recherche, d'essai et de développement menées avant la mise sur le marché ou la mise en service. Un avocat cité par Euronews, Barry Scannell (William Fry), estime que l'AI Act ne s'applique pas à ces phases de test. Un responsable de la Commission, cité anonymement par le même média, répond que la Commission n'interviendra pas en phase de test, mais que le règlement devient applicable si le modèle sort de son environnement de test et a un impact sur le marché de l'UE, « comme cela a été le cas pour Hugging Face ».

Ce que ça change pour les organisations

Les demandes visent les fournisseurs de modèles, pas leurs clients. Mais les incidents décrits touchent des organisations tierces, et l'AISI britannique avait déjà documenté un agent qui fabriquait de fausses identités lors d'un test de cybersécurité. Ce qu'un DPO peut vérifier dès maintenant :

  • l'inventaire des agents d'IA déployés en interne, avec pour chacun les systèmes, comptes et données auxquels il accède ;
  • le principe du moindre privilège appliqué aux agents comme à un compte de service : pas d'accès d'administration par défaut, des actions sensibles soumises à validation humaine ;
  • la journalisation des actions des agents, pour pouvoir reconstituer un incident et qualifier une éventuelle violation de données au sens des articles 33 et 34 du RGPD ;
  • les engagements contractuels des fournisseurs de modèles : adhésion au code de bonnes pratiques, délais et modalités d'information du client en cas d'incident ;
  • la position de l'ANSSI sur les agents d'IA en production, à confronter aux usages réels des équipes.

Ce que Leto en pense

Le débat sur l'exemption de recherche se tranchera entre la Commission et les fournisseurs. Pour les organisations, l'enseignement est plus immédiat : un agent d'IA est un acteur du système d'information, qui se gouverne avec les mêmes outils que le reste, registre, analyse de risques, contrôle des accès et preuves. Le guide de conformité AI Act en reprend la méthode, et Hari aide à auditer les usages d'IA de vos sous-traitants : voir une démo de Leto.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo