Des pouvoirs effectifs depuis le 2 août 2026 L'AI Act encadrait déjà les modèles d'IA à usage général depuis août 2025. Ce qui change depuis le 2 août 2026, c'est la capacité à sanctionner. Le Bureau de l'IA, rattaché à la Commission, peut réclamer des documents, accéder aux modèles, exiger des corrections et, si nécessaire, restreindre leur mise à disposition. Le plafond est connu. 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Refuser l'accès nécessaire à une évaluation peut aussi être sanctionné. Qui est fournisseur ? On imagine volontiers que seuls quelques grands laboratoires sont visés. C'est une lecture trop rapide. Une entreprise qui modifie un modèle existant peut devenir fournisseur du modèle modifié, avec les obligations qui vont avec. Les lignes directrices de la Commission du 18 juillet 2025 posent un test en deux temps. La modification doit changer de façon significative la généralité, les capacités ou le risque systémique du modèle. Et un critère chiffré sert d'indicateur : un calcul de modification supérieur au tiers du calcul d'entraînement d'origine. Quand l'éditeur ne publie pas ce chiffre, des seuils de repli s'appliquent. Un tiers de 10 puissance 23 FLOP pour un modèle sans risque systémique. Un tiers de 10 puissance 25 pour un modèle à risque systémique. Ce qui reste loin de la ligne, et ce qui s'en approche Un réglage par prompts, un RAG sur des documents internes, un ajustement léger : très en dessous du seuil, en principe. Une reprise d'entraînement massive, ou une génération de données synthétiques à grande échelle, c'est autre chose. Le calcul consacré aux données synthétiques pourrait entrer dans le décompte. Et l'open source n'exonère pas de tout. La politique de respect du droit d'auteur et le résumé du contenu d'entraînement restent exigés. L'exemption ne joue pas pour les modèles à risque systémique. Documenter avant qu'on ne vous le demande Le seuil du tiers est un repère, pas un verdict automatique. D'où l'intérêt d'une fiche par projet d'adaptation : modèle de base et version, licence, calcul publié par l'éditeur ou mention qu'il est inconnu, calcul consommé à chaque étape, évaluations avant et après, périmètre de diffusion. Pour le DPO, c'est le prolongement naturel de la protection des données personnelles déjà documentée pour les jeux d'entraînement. Une seule trace, deux usages.
