Code GPAI de l’UE : 19 signataires, Meta absent, et des amendes jusqu’à 15 millions d’euros

Le 7 octobre 2026, la Commission européenne a publié la liste à jour des signataires du Code de bonnes pratiques pour l'IA à usage général. Dix-neuf organisations y figurent : OpenAI, Google, Microsoft, Anthropic, Amazon, Mistral AI, Cohere, IBM ou encore ServiceNow. Une absence fait pourtant jaser : celle de Meta. Et au milieu de la confusion qui règne sur les échéances, Bruxelles rappelle le vrai calendrier, avec des sanctions qui montent jusqu'à 15 millions d'euros.

Dix-neuf noms sur la liste, et un grand absent

La liste officielle rassemble Amazon, Anthropic, Black Forest Labs, Bria AI, Cohere, Domyn, Dweve, Fastweb, Google, IBM, LINAGORA, Microsoft, Mistral AI, Open Hippo, OpenAI, Pleias, Reflection AI, ServiceNow et WRITER. On y trouve les géants américains, le champion français Mistral AI, mais aussi des acteurs moins connus comme la française LINAGORA ou l'italienne Fastweb.

L'absence de Meta, qui développe les modèles Llama, est la plus commentée. Plusieurs observateurs rapportent que l'entreprise aurait refusé de signer ; Bruxelles se contente de constater que le groupe n'apparaît pas sur la liste publiée. xAI et DeepSeek n'y figurent pas non plus.

Ce Code de bonnes pratiques, prévu par l'article 56 de l'AI Act, reste un outil de conformité volontaire. Le signer, c'est adopter un mode d'emploi commun pour la transparence, le droit d'auteur et la gestion des risques, avec un dialogue facilité avec le Bureau européen de l'IA en cas de contrôle. Ne pas le signer ne dispense pas du respect des obligations de fond.

Pourquoi cette liste compte pour les entreprises françaises

Vous ne fabriquez pas de modèles d'IA ? Ce dossier vous concerne quand même. Toute entreprise française qui intègre GPT, Gemini, Claude, Llama ou Mistral Large dans ses produits doit savoir quel régime s'applique à son fournisseur.

La situation crée un monde à deux vitesses. Les signataires disposent d'un cadre de conformité balisé ; les non-signataires doivent démontrer, modèle par modèle, qu'ils respectent les mêmes obligations, sans la même présomption de bonne foi. Vérifier la signature du Code devient donc un réflexe de diligence raisonnable avant tout déploiement en production.

Et la pression monte concrètement. Selon Tech Insider, le Bureau européen de l'IA a envoyé ses premières demandes d'information formelles à OpenAI et Anthropic sur trois axes : la sécurité des infrastructures, l'évaluation indépendante des modèles et la surveillance post-commercialisation. Bruxelles ne se contente plus de publier des règles : il vérifie.

L'article 53 : le socle déjà en vigueur

Au-delà du Code, l'article 53 de l'AI Act impose un socle d'obligations à tout fournisseur de modèle d'IA à usage général, signataire ou non. Ces obligations s'appliquent depuis le 2 août 2025 pour tout modèle mis sur le marché européen après cette date.

Concrètement, un fournisseur doit tenir une documentation technique détaillée, informer les développeurs qui intègrent son modèle, adopter une politique de respect du droit d'auteur et publier un résumé des contenus utilisés pour l'entraînement. Ce dernier point reste l'un des plus débattus, car il touche aux questions de droit d'auteur déjà portées devant les tribunaux européens.

Les modèles distribués sous licence libre et gratuite bénéficient d'exemptions partielles sur certaines obligations documentaires, sauf s'ils présentent un risque systémique. Une distinction qui compte pour l'écosystème open source européen, où de petits projets communautaires redoutent une charge de conformité disproportionnée.

Le seuil des 10^25 FLOPs et le risque systémique

L'article 51 ajoute une catégorie à part : les modèles présentant un risque systémique. Un modèle est présumé y entrer dès que la puissance de calcul cumulée de son entraînement dépasse 10^25 opérations en virgule flottante. Les obligations qui en découlent sont bien plus lourdes : évaluation continue des risques, tests contradictoires standardisés, cybersécurité renforcée et signalement obligatoire des incidents graves au Bureau européen de l'IA.

Déterminer précisément quels modèles franchissent ce seuil reste délicat, car les fournisseurs commerciaux publient rarement le détail de leur puissance de calcul d'entraînement. Pour Mistral AI, la nuance est parlante : l'entreprise figure parmi les signataires, mais aucune source disponible ne confirme qu'un modèle Mistral précis, y compris Mistral Large 4 lancé début octobre 2026, ait officiellement franchi le seuil du risque systémique.

Les sanctions : jusqu'à 3 % du chiffre d'affaires ou 15 millions d'euros

L'article 101 de l'AI Act fixe le régime de sanction applicable aux fournisseurs de modèles GPAI : une amende allant jusqu'à 3 % du chiffre d'affaires annuel mondial de l'exercice précédent, ou 15 millions d'euros, le montant le plus élevé des deux étant retenu. Elle vise les infractions intentionnelles ou par négligence aux obligations prévues, y compris le refus de coopérer avec une demande d'information du Bureau de l'IA.

Il ne s'agit pas d'une sanction automatique : la Commission doit tenir compte de la nature, de la gravité et de la durée de l'infraction. Les pouvoirs d'exécution correspondants, évaluations de modèles et restriction d'accès au marché européen incluses, sont opérationnels depuis le 2 août 2026. Un régime distinct vise les entreprises qui se contentent de déployer de l'IA : fabriquer ou consommer de l'IA générative ne s'évalue pas de la même façon.

Pas de nouvelle échéance en octobre

Depuis début octobre 2026, une rumeur a circulé autour d'une supposée échéance de certification obligatoire à la mi-octobre pour les fournisseurs GPAI. Entre le 12 et le 17 octobre, plusieurs cabinets juridiques ont dû publier des rectificatifs : cette échéance n'existe pas. Les obligations générales de l'article 53 s'appliquent depuis le 2 août 2025.

La mise à jour de la Commission clarifie surtout le périmètre dans le temps : les modèles mis sur le marché après le 2 août 2025 doivent se conformer immédiatement, tandis que les modèles plus anciens bénéficient d'une transition plus longue, jusqu'en 2027 pour les obligations documentaires et de gestion des risques.

Le vrai prochain rendez-vous concerne l'article 50 : l'obligation de marquage lisible par machine du contenu synthétique, pour les systèmes déjà présents sur le marché avant août 2026. Elle entre pleinement en application le 2 décembre 2026 et vise les éditeurs d'outils de génération d'image, de voix ou de vidéo, ainsi que les équipes produit qui les intègrent : le contenu généré devra porter un marquage détectable par des outils automatisés, pas seulement un filigrane visuel facile à retirer.

Frequently Asked Questions

Le Code de bonnes pratiques GPAI est-il obligatoire ?

Non. C'est une voie de conformité volontaire prévue par l'article 56 de l'AI Act. Les fournisseurs qui ne signent pas restent soumis aux mêmes obligations de fond, mais doivent démontrer leur conformité par d'autres moyens.

Pourquoi Meta n'a pas signé le Code ?

Meta n'apparaît simplement pas sur la liste des 19 signataires publiée par la Commission européenne le 7 octobre 2026. Plusieurs sources spécialisées rapportent un refus de l'entreprise, mais aucune source officielle ne confirme un rejet explicite de sa part.

Quelle est la prochaine échéance réelle à surveiller ?

Le 2 décembre 2026, date d'entrée en application de l'obligation de marquage lisible par machine du contenu généré par IA pour les systèmes déjà commercialisés avant le 2 août 2026.