Code GPAI : quand le volontariat structure la conformité

Le code de bonne pratique pour les modèles d’IA à usage général, publié le 10 juillet 2025, est volontaire ; il n’est pourtant pas périphérique. Il traduit en mesures organisées des obligations de l’AI Act et donne aux fournisseurs qui y adhèrent une voie de démonstration de conformité. Au 12 février 2026, l’organisation des signataires autour d’un groupe de travail présidé par le Bureau européen de l’IA montre comment cette voie volontaire devient un cadre de mise en œuvre suivi. Pour le dirigeant, la question n’est donc pas de confondre code et loi, mais de savoir comment les deux se combinent dans la preuve et la gouvernance.

Mise à jour du 10 septembre 2026. Le règlement (UE) 2026/1744 modifiant l’AI Act a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet. Les nouvelles échéances des systèmes à haut risque sont désormais fixées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Point complet dans notre article de référence.

L'essentiel en 30 secondes

• La version finale du code GPAI a été rendue disponible le 10 juillet 2025.
• Les obligations de l’AI Act applicables aux fournisseurs de modèles à usage général s’appliquent depuis le 2 août 2025.
• Le code comporte des chapitres sur la transparence, le droit d’auteur et la sûreté et sécurité.
• Le Bureau européen de l’IA a invité les fournisseurs à adhérer et a publié une liste de signataires le 1er août 2025.
• La première réunion constitutive du groupe de travail des signataires s’est tenue le 30 janvier 2026, sous la présidence du Bureau européen de l’IA.

Ce qui s'est passé

La Commission a reçu la version finale du code le 10 juillet 2025. Elle le présente comme un outil volontaire, élaboré par treize experts indépendants avec la contribution de plus de mille parties prenantes. Son objectif pratique est d’aider le secteur à appliquer les règles de l’AI Act relatives aux modèles d’IA à usage général. Il ne remplace donc ni le règlement ni l’analyse juridique du fournisseur ; il propose une manière structurée de satisfaire aux obligations auxquelles le règlement renvoie.

Trois ensembles donnent sa colonne vertébrale au code. Le chapitre sur la transparence concerne les fournisseurs de modèles à usage général. Il prévoit notamment une documentation de modèle et la mise à disposition d’informations utiles aux fournisseurs en aval. Le chapitre sur le droit d’auteur concerne également l’ensemble des fournisseurs concernés et propose une politique de respect du droit de l’Union. Le chapitre sur la sûreté et la sécurité vise les fournisseurs des modèles les plus avancés présentant un risque systémique ; il porte sur la gestion de ces risques.

Le 2 août 2025, les obligations correspondantes de l’AI Act sont devenues applicables. La Commission a indiqué que les fournisseurs qui signent volontairement le code peuvent démontrer leur conformité aux obligations concernées en y adhérant, une fois le code endossé par la Commission et les États membres. La logique est importante : la signature n’efface pas l’obligation légale ; elle organise un chemin de conformité que le régulateur peut suivre.

Des signataires à un dispositif de travail

L’adhésion elle-même est formalisée. Le Bureau européen de l’IA a prévu un formulaire de signataire, à faire signer par une personne disposant de l’autorité nécessaire pour engager le fournisseur. La liste des adhérents a été publiée le 1er août 2025. Cette publication a une portée de gouvernance : elle permet d’identifier les entreprises qui ont choisi ce cadre et de distinguer l’adhésion au code des promesses générales en matière d’IA responsable.

La structuration va plus loin avec le groupe de travail des signataires. La première réunion, le 30 janvier 2026, a été constitutive. Son objet est l’échange sur la mise en œuvre du code ; il est présidé par le Bureau européen de l’IA. Au 12 février, cela ne transforme pas le groupe en législateur. En revanche, il crée un lieu où une interprétation opérationnelle commune, des difficultés de mise en œuvre et des pratiques de documentation peuvent être discutées avec l’autorité qui suit le code.

Ce point explique le glissement, dans les organisations, du « volontaire » vers le « déterminant ». Lorsqu’un code aligne des engagements détaillés, une liste publique d’adhérents, un mécanisme d’échange et une surveillance de l’adhérence, l’écart entre le texte du code et les pratiques internes devient visible. La pression ne vient pas d’une nouvelle obligation autonome : elle vient de la nécessité de prouver que la voie choisie est réellement appliquée.

Ce que le code change dans la preuve

Pour la transparence, le code est concret. Les signataires s’engagent à établir et tenir à jour une documentation de modèle, à donner aux fournisseurs en aval les informations nécessaires et à fournir les informations demandées au Bureau européen de l’IA. La documentation doit être conservée comme preuve, protégée contre les modifications non intentionnelles et tenue pendant dix ans après la mise sur le marché du modèle. Les informations supplémentaires demandées par un fournisseur en aval doivent, sauf circonstances exceptionnelles, être fournies au plus tard 14 jours après la demande.

Limites et décision de direction

Il faut conserver une distinction juridique nette. Le code se décrit comme un document d’orientation pour démontrer la conformité aux articles 53 et 55 ; l’adhérence n’est pas une preuve concluante de conformité à elle seule. Une entreprise non signataire peut chercher à démontrer sa conformité autrement. Une entreprise signataire doit, elle, éviter le risque inverse : invoquer le code tout en laissant les engagements sans propriétaire, sans éléments de preuve ou sans contrôle des changements.

La décision de signer doit donc être précédée d’une analyse de capacité. Quels modèles sont placés sur le marché de l’Union ? Quels engagements de chaque chapitre sont applicables ? Les données de formation, la documentation, les demandes des fournisseurs en aval et la gestion des risques sont-elles déjà gouvernées ? Le bon indicateur n’est pas le nombre de politiques internes ; c’est la capacité à produire l’information demandée, cohérente et à jour.

Ce qu'il faut faire maintenant

• Qualifier le rôle — confirmer si l’organisation est fournisseur d’un modèle à usage général et pour quels modèles.
• Lire par chapitre — attribuer transparence, droit d’auteur et sûreté-sécurité aux fonctions responsables.
• Tester la documentation — simuler une demande d’un fournisseur en aval et vérifier le délai, la version et les contrôles.
• Gouverner l’adhésion — si la signature est envisagée, la faire porter par une personne habilitée et inscrire les engagements dans les contrôles internes.
• Suivre le groupe de signataires — documenter les échanges pertinents pour l’interprétation et la mise en œuvre du code.

Sources

• Code de bonne pratique GPAI, version finale, engagements chiffrés (conservation dix ans, délai de quatorze jours aux fournisseurs en aval) : code-of-practice.ai
• Commission européenne, version finale du code GPAI et ses trois chapitres : ec.europa.eu
• Commission européenne, invitation à adhérer, formulaire et modalité de signature : digital-strategy.ec.europa.eu
• Parlement européen, analyse du code, liste publiée le 1er août et statut non contraignant : europarl.europa.eu
• Commission européenne, réunion constitutive du groupe de travail des signataires : digital-strategy.ec.europa.eu

← AI Act : le calendrier européen à préparer avant août 2026 (2026-01-15)Contenus IA : ce que le marquage impose aux entreprises (2026-03-05) →