Code de pratique GPAI : l’IA Act entre dans la phase opérationnelle
Le Code de pratique GPAI publié par la Commission européenne donne aux fournisseurs de modèles IA une voie pratique de conformité.
La conformité IA devient un processus d’ingénierie documentaire : inventaire, preuves, évaluations, politiques de données et mécanismes de suivi.
Ce que change le Code
Le Code de pratique transforme des obligations générales en mesures plus actionnables. Il donne aux fournisseurs GPAI une voie volontaire pour démontrer la conformité, mais les clients doivent aussi s’en saisir comme grille de due diligence.
Impact pour acheteurs
Lors d’un achat de modèle, demander seulement une fiche sécurité ne suffit plus. Il faut obtenir politique d’entraînement, résumé des données, mesures copyright, évaluations de risques systémiques, procédures d’incident et engagement de mise à jour.
Impact pour intégrateurs
Les intégrateurs doivent documenter la chaîne complète : modèle source, adaptation, prompts système, données injectées, garde-fous, logs, évaluation et supervision humaine. Cette documentation devient un actif projet, pas une annexe juridique.
Prochaine étape
Construire une fiche modèle standardisée : usage prévu, niveau de risque, fournisseur, version, hébergement, données traitées, métriques d’évaluation, limites connues et responsable métier.
Grille de lecture Noolya : transformer une annonce IA en décision d’architecture mesurable.
Grille de décision
- Valeur : tester le sujet sur des tâches métier mesurables, pas sur la démonstration publique seule.
- Coût : calculer le coût par tâche terminée, incluant retries, supervision humaine et infrastructure.
- Risque : documenter données exposées, dépendance fournisseur, conditions d’accès et réversibilité.
- Industrialisation : prévoir logs, tests, métriques et responsable de modèle avant passage en production.
Où en est le calendrier de l'AI Act après le report de juillet 2026 ?
Le calendrier a changé, et beaucoup de plans de conformité rédigés en 2025 sont désormais faux sur les dates.
Le règlement (UE) 2026/1744, dit omnibus numérique IA, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, a repoussé les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027, et celles de l'annexe I au 2 août 2028.
Ce qui reste dû depuis le 2 août 2026 : les obligations de transparence de l'article 50, l'obligation de littératie IA de l'article 4, et les pouvoirs de sanction. Les obligations des modèles à usage général, elles, s'appliquent depuis le 2 août 2025 — le Code de pratique GPAI n'a donc rien perdu de son actualité.
Le report ne vide pas le sujet, il déplace la pression. Une organisation qui utilise des modèles GPAI est concernée maintenant ; c'est l'échéance des systèmes à haut risque qui recule.
Quelles questions poser à un fournisseur de modèle GPAI ?
Le Code de pratique donne une grille utilisable telle quelle en due diligence. Douze questions couvrent l'essentiel, et l'absence de réponse écrite à l'une d'elles est en soi une information.
Sur la documentation. Une fiche modèle publique existe-t-elle ? Précise-t-elle les usages prévus et les usages déconseillés ? Les limites connues sont-elles nommées ?
Sur les données d'entraînement. Un résumé suffisamment détaillé est-il publié ? Quelle politique de respect du droit d'auteur ? Un mécanisme d'opposition existe-t-il pour les ayants droit ?
Sur les risques. Le modèle est-il classé comme présentant un risque systémique ? Quelles évaluations ont été conduites, par qui, et les résultats sont-ils communicables ?
Sur l'exploitation. Les requêtes sont-elles conservées, et combien de temps ? Servent-elles à l'entraînement, et peut-on s'y opposer contractuellement ? Quelle procédure en cas d'incident, et sous quel délai êtes-vous prévenu ?
Ces réponses ne sont pas un exercice juridique : elles alimentent directement la fiche modèle que vous devrez produire si un client, un auditeur ou une autorité la demande.
Questions fréquentes
Le Code de pratique GPAI est-il obligatoire ? Non, il est volontaire. Un fournisseur qui y adhère bénéficie d'une présomption de conformité sur les points couverts ; un fournisseur qui ne l'adopte pas doit démontrer sa conformité autrement. Pour un acheteur, l'adhésion est donc un signal utile, pas une garantie.
Une entreprise qui utilise ChatGPT ou Copilot est-elle concernée ? Oui, mais pas au même titre. Les obligations du Code pèsent sur les fournisseurs de modèles. L'entreprise utilisatrice est déployeur : elle supporte ses propres obligations, notamment la transparence envers les personnes concernées, la supervision humaine et, depuis le 2 août 2026, la formation des personnes qui manipulent ces systèmes.
Que faire si un fournisseur refuse de répondre ? Le documenter. Une demande écrite restée sans réponse est une pièce du dossier : elle montre la diligence de votre côté et déplace la charge. Si le système concerné touche à une décision sensible, c'est aussi un argument sérieux pour évaluer une alternative. Faut-il refaire la fiche modèle à chaque mise à jour du fournisseur ? Pas intégralement, mais la version et la date doivent suivre. Une fiche modèle qui référence une version retirée depuis six mois ne prouve rien. Le rythme praticable est une revue trimestrielle, avec mise à jour immédiate dès qu'un changement touche les données traitées, la localisation ou les conditions d'exploitation.
Conclusion
L’actualité confirme une règle simple : les modèles avancent plus vite que les organisations qui les adoptent. L’avantage durable ne vient pas du premier test réussi, mais d’une capacité à comparer, gouverner, intégrer et remplacer les briques IA avec méthode.
Sources
Pour situer ce sujet dans une démarche complète, Noolya détaille l'audit de conformité IA et l'AI Act.
