L’Europe régule l’IA qu’elle ne fabrique pas

Le 2 août 2026 devait être le jour où le règlement européen sur l’intelligence artificielle cesserait d’être une promesse pour devenir une contrainte. Elle tombe dimanche, considérablement allégée, puisque le Parlement puis le Conseil ont voté en juin le report de seize mois des obligations les plus lourdes. Ce qui entre vraiment en application tient dans un seul article, le cinquantième, dont l’ambition se résume à une politesse élémentaire, savoir à qui l’on parle.

Dimanche, les machines devront se présenter

L’article 50 traite de la transparence et vise tous les systèmes, quel que soit leur niveau de risque. Un agent conversationnel doit prévenir son interlocuteur qu’il n’a rien d’humain, à moins que la chose ne saute aux yeux. Les sons, images, vidéos et textes produits ou retouchés par une machine doivent porter une marque lisible par une autre machine, dans la mesure du techniquement possible. Les deepfakes se signalent comme tels. Quiconque passe devant un système de reconnaissance des émotions ou de catégorisation biométrique doit en être averti. Un texte généré puis publié pour informer le public sur un sujet d’intérêt général doit enfin annoncer sa provenance, sauf lorsqu’un humain l’a relu et en assume la responsabilité éditoriale^[1].

Manquer à tout cela coûte jusqu’à quinze millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le plus élevé des deux montants l’emportant^[2]. Ce n’est pas la révolution que le calendrier laissait espérer, mais ce n’est pas rien non plus, car l’obligation de dire « je suis une machine » désamorce par avance une quantité impressionnante de malentendus.

La partie difficile attendra décembre 2027

Le reste du texte, et de loin le plus lourd, vient de reculer. Le paquet baptisé Digital Omnibus, vendu comme une simplification, a fait l’objet d’un accord entre le Conseil et le Parlement dans la nuit du 6 au 7 mai, avant un vote du Parlement le 16 juin et un feu vert définitif du Conseil le 29 juin^[3]. Les systèmes à haut risque de l’annexe III, ceux qui trient des candidatures, accordent des crédits, évaluent des élèves ou surveillent des infrastructures critiques, ne seront donc encadrés qu’à partir du 2 décembre 2027. Ceux qui se logent dans des produits déjà réglementés, dispositifs médicaux, machines et jouets, attendront le 2 août 2028.

Je devrais m’en indigner et je n’y parviens pas, tant le motif du report tient debout. Les normes harmonisées du comité CEN-CENELEC, celles qui devaient dire concrètement comment prouver sa conformité en matière de gestion des risques, de qualité des données ou de supervision humaine, ne seront pas prêtes. Leurs premiers brouillons sont partis en consultation publique en novembre 2025 et leur adoption finale n’est plus espérée avant le second semestre 2027^[4]. Difficile d’exiger d’une entreprise qu’elle respecte une règle dont personne n’a fini de rédiger le mode d’emploi. L’Europe a simplement reconnu qu’elle avait fixé la date de l’examen avant d’avoir écrit le programme.

Personne ne m’en a jamais parlé

Voilà le détail qui m’a le plus frappé en préparant cet article. Je suis conseiller et chef de projet dans le numérique, je passe mes journées avec des outils bourrés d’IA, au point d’en fabriquer moi-même, et le nom de ce règlement n’a jamais été prononcé devant moi. Pas une réunion de cadrage, pas une note, pas un juriste venu s’inquiéter de l’assistant qu’on installe. Le texte le plus commenté d’Europe depuis le RGPD n’a jamais franchi la porte des projets que je pilote.

L’État français n’a pas brillé davantage. Chaque pays devait désigner ses autorités de surveillance avant le 2 août 2025, la France a laissé passer l’échéance et figurait encore, cinq mois plus tard, parmi ceux qui n’avaient officiellement désigné personne^[5]. Il a fallu attendre le 17 février 2026 pour que le Sénat valide le texte confiant à la CNIL le rôle d’autorité de référence, entourée d’une quinzaine d’autorités sectorielles réparties par domaine, la DGCCRF pour la consommation, l’Arcom pour l’audiovisuel, l’ACPR pour la finance, l’ANSM et la HAS pour la santé^[6]. Le même 2 août 2026 impose par ailleurs à chaque État d’ouvrir un bac à sable réglementaire, cet espace où l’on teste une IA sous l’œil du régulateur avant de la lâcher dans la nature^[7].

La CNIL a fini par inscrire l’IA au programme de ses contrôles pour 2026^[8], et le sujet finira donc bien par atterrir sur les bureaux, y compris le mien. En attendant, la mise en conformité de dimanche tient pour la plupart des organisations en deux gestes, recenser les IA qui parlent aux gens ou fabriquent du contenu, puis écrire une phrase honnête à l’entrée du chatbot. J’ai vu des refontes de site dépenser plus d’énergie à choisir une nuance de bleu.

Pendant ce temps, Microsoft loue des GPU français

Le 21 juillet, Mistral AI et Microsoft ont annoncé un accord à plusieurs milliards de dollars. On imaginait volontiers l’américain rachetant le français, or c’est l’inverse qui se produit, puisque Microsoft loue de la capacité de calcul aux centres de données européens de Mistral, sans nouvelle prise de participation, afin de servir les clients du continent qui exigent que leurs données restent chez eux^[9]. Mistral déploie pour cela des milliers de processeurs graphiques NVIDIA Vera Rubin et voit ses modèles s’installer dans Azure, Foundry et Copilot Studio, tandis qu’une levée en préparation viserait une valorisation d’environ vingt milliards d’euros^[10].

La souveraineté numérique devient ainsi une prestation, facturée à l’heure de calcul, achetée par Microsoft auprès d’une entreprise parisienne pour être revendue à des Européens. On peut y voir une victoire française et on n’aurait pas tort. On peut aussi y voir ce que j’y vois, que la valeur se loge dans les machines et dans les modèles, jamais dans les articles d’un règlement.

Le contraste avec l’agenda bruxellois a d’ailleurs quelque chose de cruel. En juin, un modèle imaginaire attribué à Mistral enflammait les réseaux tout un week-end, uniquement parce que nous rêvions d’une IA européenne capable de rivaliser. Quelques jours plus tôt, Washington coupait l’accès aux deux meilleurs modèles d’Anthropic à tout ressortissant étranger, en rappelant au passage qui tient le manche. Entre les deux, l’Europe écrit des règles, et c’est à peu près la seule chose qu’elle produise à cette échelle.

Je continue pourtant de préférer cette Europe-là à celle qui n’aurait rien écrit du tout. Un continent qui pose comme principe qu’on a le droit de savoir si l’on parle à une machine défend quelque chose que ni Washington ni Pékin ne défendront à sa place. Encore faudra-t-il qu’il finisse par fabriquer ce qu’il encadre, sans quoi ses règles s’appliqueront pour l’essentiel à des produits venus d’ailleurs.

Dimanche, donc, les machines diront leur nom. La plupart le faisaient déjà, ce qui indique assez bien que la loi arrive après l’usage plutôt qu’avant. Rendez-vous le 2 décembre 2027 pour la partie sérieuse, avec trois générations de modèles d’écart et, si tout va bien, un règlement qui aura appris à courir aussi vite que ce qu’il encadre.