AI Act : des règles pensées avant ChatGPT, révisées sans nouvelle analyse

Les start-up américaines captent 61 % du financement mondial de l'intelligence artificielle. Les européennes en captent 6 %. Ce chiffre ne vient pas d'un lobby : il vient du rapport remis à la Commission européenne par Mario Draghi.

Il sert désormais d'argument massue à ceux qui affirment que l'Europe s'est tiré une balle dans le pied en réglementant l'IA. La réalité est plus intéressante, et le reproche fondé est ailleurs.

search Le chiffre qui structure tout le débat

Le rapport Draghi sur l'avenir de la compétitivité européenne, remis le 9 septembre 2024, chiffre l'écart de financement entre l'Europe et les États-Unis et évalue le besoin d'investissement européen à 800 milliards d'euros par an, soit 4 à 5 % du PIB de l'Union.

Ce chiffre mérite pourtant une lecture prudente. Un écart de financement mesure des flux de capitaux, pas l'effet causal d'un texte de loi. Le retard européen en capital-risque préexiste largement à l'AI Act, qui n'était pas en vigueur quand ces écarts se sont creusés.

Il reste qu'il est vrai, qu'il vient de la Commission elle-même, et qu'il place le débat au bon niveau : pas celui du formulaire de conformité, celui de la place de l'Europe dans une industrie qui se construit maintenant.

policy Ce que l'AI Act impose réellement aujourd'hui

Avant d'avoir un avis, il faut savoir ce qui s'applique. La plupart des commentaires portent sur des obligations qui n'existent pas encore, ou qui ne visent pas celui qu'on croit.

• 2 février 2025 : pratiques interdites et maîtrise de l'IA. Concerne fournisseurs et déployeurs, à proportion du contexte.
• 2 août 2025 : gouvernance, sanctions, modèles d'usage général. Principalement les fournisseurs de modèles.
• 2 août 2026 : majeure partie du règlement, dont la transparence de l'article 50. Selon votre rôle et votre usage.
• 2 décembre 2027 : haut risque de l'annexe III. Biométrie, emploi, crédit aux personnes physiques, éducation, infrastructures critiques.
• 2 août 2028 : haut risque intégré aux produits réglementés, annexe I.

Un point de vocabulaire décide de presque tout. L'AI Act distingue le fournisseur, qui conçoit ou fait développer le système et le met sur le marché sous son nom, et le déployeur, qui l'utilise sous sa propre autorité. Leurs obligations ne sont pas les mêmes.

Pour l'article 50, c'est au fournisseur de concevoir un système qui informe la personne qu'elle interagit avec une IA, sauf si c'est évident au vu du contexte. Le marquage technique des contenus synthétiques lui incombe également. Le déployeur doit signaler les hypertrucages et certains textes publiés pour informer le public sur une question d'intérêt général, avec une exception lorsque le contenu a fait l'objet d'un examen humain substantiel assorti d'une responsabilité éditoriale.

Une PME qui branche un agent conversationnel fourni par un tiers est donc en principe déployeuse. Elle doit vérifier que l'information apparaît, pas la construire elle-même. Mais elle redevient fournisseur si elle fait développer l'outil et le met en service sous sa propre marque, ce qui est fréquent et rarement conscientisé.

restore Ce qui a changé en juillet

Le régime du haut risque a été repoussé avant même sa date d'application. Le reste du règlement, lui, s'appliquait déjà.

La chronologie est publique. La Commission présente son paquet de simplification numérique le 19 novembre 2025. Le Conseil arrête son mandat le 13 mars 2026, le Parlement sa position le 26 mars, et les colégislateurs s'accordent le 7 mai. Le règlement (UE) 2026/1744 est publié le 24 juillet et entre en vigueur le 27.

Il reporte l'annexe III au 2 décembre 2027 et l'annexe I au 2 août 2028. Il étend aux petites entreprises à moyenne capitalisation des simplifications réservées aux PME, et prévoit une transition pour le marquage de certains systèmes génératifs déjà commercialisés.

Mais l'appeler une dérégulation serait inexact, et c'est important pour comprendre la suite. Le texte final rétablit une obligation simplifiée d'enregistrement, maintient un critère de stricte nécessité pour certains traitements de données sensibles, et ajoute de nouvelles pratiques interdites. C'est un texte mixte, pas un détricotage.

rule Le vrai reproche, et il est plus sérieux

On lit souvent que l'Europe a légiféré sur l'IA sans rien mesurer. C'est faux, et il faut le dire clairement.

La proposition de 2021 était accompagnée d'une analyse d'impact formelle, qui comparait plusieurs options et chiffrait des coûts de conformité. Le travail a été fait.

Le problème est sa date. Cette analyse décrit l'état de la technologie et du marché en 2021, c'est-à-dire avant la diffusion massive des modèles génératifs et bien avant les agents. Elle fonde encore aujourd'hui l'architecture du règlement.

Et pour la réforme de 2025 et 2026, qui a touché aux délais, à la maîtrise de l'IA, à l'enregistrement, aux données sensibles et à la répartition des compétences de contrôle, la Commission n'a pas produit d'analyse d'impact distincte. Elle a estimé les modifications techniques. Le service de recherche du Parlement européen relève explicitement cette absence, ainsi que la brièveté relative des consultations.

La critique défendable n'est donc pas que l'Europe décide à l'aveugle. Elle est que l'analyse initiale est antérieure au bouleversement génératif, et que la révision accélérée n'a pas été réévaluée à la hauteur de ce qu'elle changeait réellement.

Les autorités de protection des données ne disent pas autre chose. Dans leur avis conjoint, le Comité européen de la protection des données et le Contrôleur européen soutiennent l'objectif de simplification, tout en contestant des points précis : l'assouplissement de la maîtrise de l'IA, la suppression de certaines obligations d'enregistrement, et l'élargissement du traitement de données sensibles pour détecter les biais. Leur position n'est ni « ne changez rien », ni une condamnation de la méthode.

group Ce que dit l'industrie quand on l'écoute en entier

Le 12 mai 2026, Arthur Mensch, dirigeant de Mistral, a été entendu sous serment par la commission d'enquête de l'Assemblée nationale sur les dépendances et vulnérabilités numériques. L'extrait qui a circulé est celui d'un entrepreneur français qui regarde l'ambiance réglementaire et part aux États-Unis.

L'audition complète dit autre chose, et c'est plus intéressant.

Quand il décrit ce qui lui coûte le plus cher, il ne désigne pas l'AI Act. Il désigne l'absence de marché unifié, qu'il qualifie de « principale lourdeur » : une entité juridique à ouvrir dans chaque pays, des centaines de documents à signer, des dizaines de comptes bancaires, un régime de stock-options et un droit du travail différents à chaque frontière, une fiscalité non harmonisée.

L'AI Act n'arrive qu'ensuite, dans une critique d'empilement : RGPD, droit d'auteur et fouille de textes, AI Act, trois cadres qui portent sur des objets voisins sans dire la même chose, appliqués par vingt-sept autorités au zèle variable.

La distinction n'est pas de la finasserie. Si le problème était l'AI Act, il suffirait de l'alléger, ce qui vient d'être fait sans que personne ne déclare le problème résolu. Si le problème est la fragmentation fiscale, sociale et bancaire de vingt-sept marchés, aucun assouplissement de l'AI Act n'y changera quoi que ce soit.

Deuxième point, et c'est le plus solide de l'audition : Mensch dit que Mistral absorbe cette charge « parce qu'on est assez gros », avec cinq personnes dédiées à la conformité. Une entreprise de mille salariés encaisse un coût fixe. Une PME de quinze personnes, non.

C'est l'argument qui devrait dominer le débat et qu'on n'entend jamais : une réglementation à coût fixe ne pénalise pas l'Europe, elle pénalise les petits au profit des gros, des deux côtés de l'Atlantique.

Une précaution, enfin. Mensch dirige une entreprise qui bénéficie directement d'un allègement réglementaire et d'une commande publique européenne. Il a parlé sous serment, ce qui engage la sincérité de son témoignage, pas l'exactitude de ses prévisions. Ses observations de terrain sont précieuses, ses extrapolations demandent vérification.

compare_arrows Les chiffres du débat, passés au banc d'essai

La thèse macroéconomique avancée en audition est la suivante : si l'Europe achète son intelligence artificielle à l'extérieur, elle ajoute un déficit commercial massif à celui qu'elle a déjà sur les services numériques. Le raisonnement tient. L'arithmétique, moins.

• « Chez Mistral, l'IA représente 10 % de la masse salariale ». Déclaration interne non auditée. À attribuer, non généralisable à une entreprise qui ne fabrique pas cette technologie.
• « 10 % de la rémunération des salariés européens, soit 1 000 milliards ». La rémunération des salariés vaut 48,0 % d'un PIB de l'Union d'environ 18 800 milliards, soit près de 9 000 milliards. Dix pour cent font environ 900 milliards. Ordre de grandeur cohérent.
• « 400 millions de personnes multipliées par 10 000 euros, soit 8 000 milliards ». Le produit vaut 4 000 milliards. Et l'Union compte 452 millions d'habitants mais environ 221 millions de personnes occupées, ce qui donnerait plutôt 2 200 milliards. Erreur de calcul doublée d'une erreur de population.
• « Un kilowatt par salarié équipé, soit un demi-GPU ». Aucune méthodologie publique. Non vérifiable en l'état.
• « La France dispose de 9 GW, ou 90 TWh par an ». Neuf gigawatts constants produiraient 78,8 TWh. RTE mesure par ailleurs 92,3 TWh d'exports nets en 2025. Approximation mal définie plutôt qu'erreur.

La ligne qui compte est la troisième, et l'erreur n'est pas qu'arithmétique : elle mélange population totale et population occupée, deux grandeurs qui diffèrent d'un facteur deux. Entre 900 milliards et 8 000 milliards, il n'y a pas une nuance, il y a la différence entre un marché important et un marché qui réécrirait le PIB européen.

Ce n'est pas un procès en malhonnêteté : ce sont des ordres de grandeur lancés à l'oral. Mais ils circulent désormais sans leurs réserves, et on demande à des États d'engager des centaines de milliards sur cette base.

Il faut y ajouter une limite que Mensch pose lui-même : il reconnaît le manque de recul et rappelle que la délégation continue de tâches à un agent ne fonctionne que depuis six mois. Les gains de productivité qu'il cite, dont un facteur cinq dans certains services clients, sont des observations rapportées par un fournisseur à propos de ses propres clients, sans protocole ni groupe de comparaison. Les estimations disponibles restent précoces et difficiles à généraliser.

bolt La question que le débat réglementaire masque

Pendant qu'on discute de formulaires, une contrainte physique avance sans faire de bruit.

Mensch décrit son métier comme la transformation d'électrons en capacité de calcul, et propose de penser l'intelligence artificielle comme une ressource dont il faut sécuriser l'approvisionnement. Il soutient que la contrainte actuelle se situe du côté de l'offre et non de la demande : ce qui manque, ce sont des puces, de la mémoire et des électrons.

Encore faut-il ne pas confondre les grandeurs. 9 GW désignent une puissance, 90 TWh une énergie annuelle. Un solde exportateur annuel constaté n'est ni une réserve garantie, ni une puissance ferme disponible à toute heure, ni une capacité de raccordement là où s'implanteraient des centres de données.

Cela posé, l'audition soulève une question que nous formulons ici comme la nôtre, et qui reste conditionnelle. Si de nouvelles charges concentrées accroissent la rareté du réseau ou les besoins d'investissement, leurs coûts peuvent être répartis au-delà des seuls utilisateurs directs de l'IA. Trancher demanderait d'examiner la tarification du réseau, les mécanismes de capacité et le financement des infrastructures. Une audition n'y suffit pas.

Mais si l'hypothèse se vérifie, le débat change de nature. On ne discute plus de savoir si l'Europe réglemente trop, mais de qui paie la facture énergétique d'une technologie dont les gains sont très inégalement répartis. Et c'est un terrain où les décisions sont lentes : une règle se modifie en dix-huit mois, l'Omnibus vient de le montrer. Un raccordement, non.

checklist Ce qu'une PME fait de tout ça, concrètement

Le débat est géopolitique. Votre situation ne l'est pas. Cinq actions, dans cet ordre.

1. Qualifiez votre rôle, système par système. Êtes-vous fournisseur, déployeur, importateur ou distributeur ? C'est cette réponse qui détermine vos obligations, pas la technologie employée. Une entreprise peut cumuler plusieurs rôles selon les outils.
2. Vérifiez la transparence, y compris celle des autres. Pour un agent conversationnel, assurez-vous que l'information apparaît dès la première interaction, et gardez une trace de cette vérification. L'obligation de conception pèse sur le fournisseur, mais la diligence reste la vôtre.
3. Tenez une fiche d'inventaire d'une page par système. Finalité, fournisseur, données traitées, personnes concernées, responsable interne, supervision, procédure d'incident. Cette fiche n'est pas une preuve de conformité, elle vous dit quelles analyses déclencher.
4. Favorisez la maîtrise de l'IA, et documentez vos mesures. Depuis le 2 février 2025, fournisseurs et déployeurs doivent prendre des mesures adaptées au contexte et aux connaissances des personnes concernées. Une sensibilisation générale, complétée de consignes propres aux fonctions les plus exposées, vaut mieux qu'une formation identique pour tous.
5. Ne commandez pas d'audit haut risque sans préqualification. La plupart des usages administratifs ordinaires n'y tombent pas, mais la qualification dépend de la finalité. Le crédit visé par l'annexe III concerne l'évaluation de la solvabilité de personnes physiques, pas toute opération financière. Faites qualifier avant de faire auditer.

lightbulb Notre avis

La question n'est pas de savoir s'il faut plus ou moins de règles. Elle est de savoir si chaque modification répond à un problème identifié, avec des effets mesurés et une charge proportionnée à la taille des entreprises.

L'AI Act reposait sur une analyse d'impact, mais elle date de 2021, avant la diffusion massive de l'IA générative. L'Omnibus répond à de vraies difficultés de mise en œuvre, notamment l'absence de normes techniques disponibles à temps, mais la Commission n'a pas produit d'analyse d'impact distincte pour cette réforme. Et le texte final mélange reports, simplifications, garanties rétablies et interdictions nouvelles.

L'audition d'Arthur Mensch déplace utilement le débat. La fragmentation juridique, fiscale, sociale et bancaire du marché européen pèse probablement davantage sur le développement international d'une entreprise que l'AI Act pris isolément.

C'est d'ailleurs l'angle mort du débat. On discute de savoir si l'Europe règle trop, jamais de savoir qui paie la règle. Une obligation identique coûte le même prix à une entreprise de mille personnes et à une entreprise de quinze, ce qui revient à protéger ceux qui sont déjà installés.

Pour vous, la démarche reste proportionnée. Qualifiez votre rôle pour chaque système, tenez un inventaire, vérifiez les obligations de transparence, favorisez la maîtrise de l'IA, et n'engagez un audit spécialisé qu'après avoir identifié une finalité ou un risque qui le justifie.