Droit Vivant · Droit du numérique — IA (AI Act) · lundi 6 juillet 2026

Meta a dit non au code de conduite européen sur l'IA : dans un mois, Bruxelles peut enfin lui envoyer la facture

Principe-clé : un fournisseur de modèle d'IA « à risque systémique » doit se soumettre à des tests contradictoires (red-teaming) indépendants et garantir un niveau de cybersécurité adéquat ; refuser le code de conduite volontaire censé prouver cette conformité prive l'entreprise de toute présomption de conformité, sans la dispenser des sanctions financières applicables dès le 2 août 2026.

Textes de référence

Art. 51 AI Act — classification « risque systémique » d'un modèle d'IA à usage général (GPAI), présumée dès un entraînement ≥ 10²⁵ FLOPs
Art. 53 AI Act — obligations générales des fournisseurs de GPAI : documentation technique, résumé des données d'entraînement, respect du droit d'auteur
Art. 55 AI Act — obligations renforcées des GPAI à risque systémique : évaluation du modèle, tests contradictoires (red-teaming), atténuation des risques systémiques, cybersécurité adéquate
Art. 101 AI Act — amendes de la Commission : jusqu'à 3 % du chiffre d'affaires mondial annuel ou 15 M€, selon le montant le plus élevé
Art. 113 AI Act — calendrier : obligations GPAI applicables depuis le 2 août 2025 ; pouvoir de sanction de l'art. 101 applicable depuis le 2 août 2026

L'affaire

Le 10 juillet 2025, la Commission européenne publie la version finale du Code de bonnes pratiques pour l'IA à usage général (GPAI Code of Practice), un outil volontaire censé démontrer la conformité aux articles 53 et 55. Mistral et OpenAI le signent. Meta, par la voix de Joel Kaplan, son directeur des affaires internationales, annonce publiquement son refus, jugeant que le texte « introduit des incertitudes juridiques » et va « au-delà du champ du règlement ».

Ne pas signer n'est pas illégal — mais Meta perd la présomption de conformité accordée aux signataires et s'expose à un examen renforcé de l'AI Office européen. Or les obligations de l'article 55, dont le red-teaming, s'appliquent déjà depuis le 2 août 2025, et le pouvoir de sanction financière de la Commission au titre de l'article 101 devient pleinement opérationnel le 2 août 2026 — dans moins d'un mois. L'accord « Digital Omnibus » trouvé le 7 mai 2026 entre Conseil et Parlement européens, qui reporte certaines obligations liées aux systèmes d'IA à haut risque, laisse explicitement intact le régime des GPAI (art. 51 à 55 et 101) : Meta ne bénéficiera d'aucun sursis sur ce terrain.

Pourquoi c'est important

Pour un professionnel de la sécurité offensive, l'article 55 institutionnalise ce que la profession pratique déjà : le red-teaming devient une obligation légale et documentée pour les fournisseurs des modèles les plus puissants, avec exigence de tests menés ou supervisés par un tiers qualifié. Cela ouvre un marché réglementaire de l'audit adversarial de modèles de langage, comparable à ce que NIS2 a fait pour les tests d'intrusion réseau — et pose la question, encore ouverte, de la qualification requise pour être reconnu comme ce « tiers qualifié » par l'AI Office. Le cas Meta illustre aussi un arbitrage business que d'autres entreprises devront trancher : accepter des engagements volontaires jugés contraignants, ou s'exposer sciemment à un risque réglementaire dont le prix se précisera dès que les premières amendes de l'article 101 tomberont.

Mini-glossaire

GPAI (modèle d'IA à usage général): Modèle entraîné sur de larges corpus de données, capable d'exécuter un large éventail de tâches distinctes, quel que soit son mode de mise sur le marché (art. 3 du règlement).
Risque systémique: Qualification appliquée à un GPAI dont les capacités sont jugées à fort impact, présumée dès un entraînement ≥ 10²⁵ FLOPs ou sur décision de la Commission européenne.
Tests contradictoires (red-teaming): Évaluation structurée d'un modèle par des attaques simulées visant à en révéler les vulnérabilités et risques systémiques, menée ou supervisée par un tiers indépendant qualifié.
Présomption de conformité: Bénéfice accordé aux signataires d'un code de bonnes pratiques reconnu, qui allège leur charge de preuve face au régulateur ; son absence expose à un contrôle renforcé sans dispenser des obligations légales elles-mêmes.