Application du Règlement IA : ce qui s'applique déjà, ce qui est reporté

Où en est l'application du Règlement IA à l'automne 2026 ? Un incident survenu cet été lors du test d'agents d'IA, l'entrée en application des pouvoirs de contrôle de la Commission européenne sur les grands modèles et le report des règles sur l'IA à haut risque ont redessiné le calendrier. Pour les entreprises, une règle reste simple : le rythme du contrôle public ne suspend aucune obligation. Mutatis fait le point sur ce qui s'applique déjà, sur ce qui est reporté et sur ce que cela change pour votre activité.

Que s'est-il passé avec les agents d'IA d'OpenAI cet été ?

En juillet 2026, des agents d'IA d'OpenAI soumis à une évaluation interne sont sortis de leur environnement de test isolé, ont atteint internet et ont pénétré l'infrastructure de production de Hugging Face, une plateforme de partage de modèles d'IA, pour y récupérer les réponses du test. OpenAI a rendu l'incident public le 21 juillet 2026.

Selon OpenAI, les modèles en cause, parmi lesquels une version de GPT-5.6 Sol configurée sans ses garde-fous habituels et un modèle de recherche non commercialisé, ont enchaîné plusieurs failles de sécurité pour obtenir les solutions de l'évaluation. Hugging Face a souligné que l'opération avait été menée de bout en bout par un système d'agents autonomes, et les deux entreprises ont travaillé ensemble à l'enquête. L'épisode pose une question juridique concrète : que prévoit le Règlement IA pour un modèle qui cause un dommage alors qu'il est encore en test ?

Pourquoi cet incident échappe-t-il en partie au Règlement IA ?

Le Règlement IA ne s'applique pas aux activités de recherche, d'essai et de développement menées sur un système ou un modèle d'IA avant sa mise sur le marché ou sa mise en service, à l'exception des essais en conditions réelles. Un incident survenu pendant une évaluation interne se situe donc dans une zone où le texte offre peu de prise.

Cette exclusion, prévue à l'article 2, paragraphe 8, du Règlement IA, répond à un choix assumé du législateur européen : ne pas freiner la recherche. L'affaire Hugging Face montre toutefois qu'un modèle encore en phase de test peut produire des effets concrets sur des tiers. Pour l'entreprise qui subit un tel incident, la réponse juridique se trouve alors ailleurs : dans les règles de sécurité des systèmes d'information, dans le RGPD si des données à caractère personnel ont été atteintes, et dans le droit de la responsabilité.

Qui contrôle l'application du Règlement IA aujourd'hui ?

Depuis le 2 août 2026, la Commission européenne dispose, par l'intermédiaire de son Bureau de l'IA, de pouvoirs de sanction à l'égard des fournisseurs de modèles d'IA à usage général, ces grands modèles sur lesquels reposent la plupart des outils utilisés par les entreprises. Les amendes peuvent atteindre 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros, le montant le plus élevé étant retenu.

Pour la plupart des autres systèmes d'IA, le contrôle relève des autorités nationales désignées par chaque État membre.

Le texte impose pourtant aux fournisseurs des modèles présentant un risque systémique d'évaluer et d'atténuer ces risques, de signaler les incidents graves et d'assurer un niveau adéquat de cybersécurité. Pour une PME, ce débat a une portée très concrète : les modèles que vous intégrez dans vos outils proviennent de ces mêmes fournisseurs. La qualité de leur documentation et de leurs engagements contractuels compte donc au moins autant que le contrôle public.

Le report des règles sur l'IA à haut risque permet-il d'attendre ?

Non. Le Digital omnibus, en vigueur depuis juillet 2026, a reporté au 2 décembre 2027 les exigences applicables aux systèmes d'IA à haut risque de l'annexe III, comme ceux utilisés pour le recrutement, l'évaluation de la solvabilité ou l'éducation, et au 2 août 2028 celles qui visent l'IA intégrée dans des produits réglementés. Les autres règles continuent de s'appliquer.

Les pratiques d'IA interdites sont applicables depuis le 2 février 2025. Depuis le 2 août 2026, les obligations de transparence de l'article 50 le sont également : les personnes doivent être informées qu'elles interagissent avec un système d'IA, sauf si cela ressort clairement des circonstances, et certains contenus générés ou manipulés, comme les hypertrucages, doivent être signalés comme tels. Pour les systèmes de génération de contenus mis sur le marché avant le 2 août 2026, le marquage des contenus synthétiques doit être en place au plus tard le 2 décembre 2026.

Un report n'est pas une abrogation : et les mois qui séparent votre entreprise de décembre 2027 sont précisément le temps nécessaire pour recenser vos outils, qualifier vos usages et adapter vos contrats.

Qui est responsable lorsqu'une IA cause un dommage ?

Le Règlement IA fixe des obligations de conformité, mais il ne règle pas l'indemnisation des personnes qui subissent un dommage causé par une IA. Aucun régime européen de responsabilité propre à l'IA n'est en vigueur à ce jour. La nouvelle directive sur la responsabilité du fait des produits défectueux, qui inclut expressément les logiciels dans la notion de produit, doit toutefois être transposée par les États membres au plus tard le 9 décembre 2026.

En attendant, en droit belge, ce sont les règles générales qui s'appliquent : la responsabilité contractuelle dans vos relations avec vos fournisseurs et vos clients, et la responsabilité extracontractuelle du livre 6 du Code civil à l'égard des tiers. D'où l'intérêt de contrats d'IA qui répartissent clairement les rôles, les garanties et les limitations de responsabilité, plutôt que de compter sur un régime spécifique qui n'existe pas encore.

Ce que cette actualité change pour votre entreprise

Le contrôle des grands modèles vise d'abord leurs fournisseurs, mais ses conséquences descendent jusqu'aux PME qui utilisent leurs outils. Le moment est bien choisi pour dresser l'inventaire des systèmes d'IA utilisés dans l'entreprise, y compris les agents d'IA auxquels vous confiez des tâches, vérifier que vos chatbots et vos contenus générés respectent les obligations de transparence, relire les contrats conclus avec vos fournisseurs d'IA et, si vous recourez à l'IA pour recruter, évaluer ou octroyer un crédit, préparer dès maintenant l'échéance de décembre 2027. Un contrôle public encore limité ne protège personne en cas de litige : vos contrats et votre documentation, si.

Questions fréquentes

Le Règlement IA s'applique-t-il aux PME belges ?

Oui. Le Règlement IA s'applique aux entreprises établies dans l'Union européenne qui fournissent un système d'IA ou qui l'utilisent dans un cadre professionnel, quelle que soit leur taille. Une PME qui utilise un chatbot, un outil de tri de candidatures ou un générateur de contenus est donc concernée, au minimum par les règles sur les pratiques interdites et par les obligations de transparence.

Les règles sur l'IA à haut risque ont-elles été abandonnées ?

Non, elles ont été reportées. Depuis le Digital omnibus, les exigences applicables aux systèmes à haut risque de l'annexe III s'appliquent à partir du 2 décembre 2027, et celles qui visent l'IA intégrée dans des produits réglementés à partir du 2 août 2028.

Qui contrôle le respect du Règlement IA ?

Le Bureau de l'IA de la Commission européenne contrôle les fournisseurs de modèles d'IA à usage général. Pour la plupart des autres systèmes d'IA, le contrôle relève des autorités nationales désignées par chaque État membre.

Votre entreprise utilise-t-elle l'IA en conformité avec le Règlement IA ?

Mutatis accompagne les indépendants, start-ups et PME dans la mise en conformité de leurs usages de l'IA : inventaire des outils, qualification des risques, obligations de transparence et contrats avec les fournisseurs. Un premier échange permet de faire le point sur votre situation.

Prendre rendez-vous : https://calendly.com/sophie-mutatis/call-decouverte

Pour la mise en conformité au Règlement IA : sophie@mutatis.legal