Exigences en matière de preuves pour les enquêtes sur le règlement européen sur l'IA

Le 1er septembre 2026, l'European AI Office est passé de l'élaboration de politiques à une mise en application active, adressant ses premières demandes formelles d'informations à plus de 30 fournisseurs de modèles d'IA à usage général (GPAI). Selon l'analyse juridique de ces premières enquêtes (Simmons & Simmons, 2026), les demandes se concentrent sur la sécurité des modèles, les résultats des tests d'intrusion (adversarial testing) et les détails granulaires de la surveillance après commercialisation. Pour les détenteurs et les acheteurs de données, cela signale que la conformité n'est plus un simple exercice de cases à cocher ; c'est un processus probatoire lourd en documentation.

Le fardeau de la documentation technique (Annexe IV)

En vertu de l'Article 11 de l'EU AI Act, les fournisseurs de systèmes d'IA à haut risque et de modèles GPAI doivent tenir une documentation technique complète. Lors d'une enquête, l'European AI Office exigera les éléments énumérés à l'Annexe IV. Il ne s'agit pas d'un résumé, mais d'une analyse approfondie de l'architecture du système. Vous devez être prêt à fournir :

• Spécifications de conception : Descriptions détaillées des méthodes et des étapes suivies pour le développement du système d'IA, y compris la logique des algorithmes et les choix de conception effectués.
• Architecture du système : Documentation sur la manière dont le système interagit avec d'autres logiciels et le matériel sur lequel il est censé fonctionner.
• Ressources informatiques : Chiffres divulgués sur la consommation d'énergie et la puissance de calcul utilisées pour l'entraînement initial et l'ajustement (fine-tuning).

Pour les acheteurs de données, il est essentiel de s'assurer que votre fournisseur dispose de ces éléments. Vous devriez donner la priorité à l'acquisition de données d'entraînement conformes et rares pour l'EU AI Act qui incluent déjà les métadonnées nécessaires pour alimenter ces dossiers techniques.

Gouvernance des données et preuves de provenance

L'Article 10 de l'Acte impose une gouvernance stricte des données. En cas d'enquête, un détenteur ou un acheteur de données doit prouver l'intégrité des ensembles de données d'entraînement, de validation et de test. L'European AI Office exige des preuves de « provenance des données », ce qui inclut l'origine des données, les méthodes de collecte et la base juridique de leur utilisation. Selon le texte officiel de l'AI Act (Règlement (UE) 2024/1689), la documentation doit couvrir :

• Caractéristiques du jeu de données : Informations sur la densité, la quantité et la qualité des données.
• Atténuation des biais : Preuves des mesures prises pour identifier et traiter les biais potentiels, en particulier ceux affectant la santé et la sécurité des personnes ou les droits fondamentaux.
• Libération des droits : Un résumé des politiques concernant le droit d'auteur et les ensembles de données spécifiques utilisés pour entraîner le modèle.

Les détenteurs de données cherchant à monétiser leurs actifs doivent désormais traiter les « journaux de provenance » comme une partie centrale du produit. Un ensemble de données sans une piste d'audit claire de son cycle de vie est de plus en plus considéré comme un passif plutôt que comme un actif.

Journaux opérationnels et tests d'intrusion

L'une des exigences les plus strictes pour les modèles GPAI à risque systémique est la fourniture de résultats de tests d'intrusion (adversarial testing). Les récentes demandes de l'European AI Office visaient spécifiquement les rapports de « red-teaming ». Les enquêteurs chercheront des preuves que le modèle a été testé contre des invites malveillantes, des tentatives de débridage (jailbreaking) et l'empoisonnement des données. L'Article 12 exige que les systèmes d'IA à haut risque génèrent automatiquement des journaux tout au long de leur cycle de vie. Ces journaux doivent fournir un enregistrement chronologique du fonctionnement du système, permettant la traçabilité des sorties vers des entrées et des étapes de traitement spécifiques.

Risques financiers et échelles de mise en application

Les enjeux en cas de manquement à la fourniture de ces preuves sont sans précédent. L'EU AI Act établit une structure d'amendes par paliers. Le non-respect des exigences de gouvernance des données (Article 10) peut entraîner des amendes administratives allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour la fourniture d'informations trompeuses ou fausses aux régulateurs lors d'une enquête, l'amende peut atteindre 7,5 millions d'euros ou 1 % du chiffre d'affaires (Article 99, Règlement (UE) 2024/1689). Cela fait du « coût de la preuve » un poste budgétaire vital dans tout projet d'IA.

Ce que cela signifie pour vous

Pour les détenteurs de données, votre stratégie de monétisation repose désormais sur la documentation. Vous ne vendez plus seulement des informations brutes ; vous vendez un « pack de données conformes » qui comprend des certificats de provenance et des rapports d'audit de biais. Des actifs de haute qualité et pré-vérifiés peuvent être répertoriés dans notre catalogue de jeux de données pour attirer des acheteurs qui cherchent spécifiquement à atténuer les risques d'audit liés à l'EU AI Act. Pour les acheteurs de données, les mesures d'application du 1er septembre servent d'avertissement : la diligence raisonnable doit s'étendre au-delà de la performance du modèle jusqu'à la piste probante des données qui l'ont construit. Si vous ne pouvez pas produire les journaux, vous ne pouvez pas déployer le modèle.