Le code de pratique GPAI de la loi européenne sur l'IA est un cadre de gouvernance volontaire développé dans le cadre de la loi de l'Union européenne sur l'intelligence artificielle (loi sur l'IA). Il fournit des orientations détaillées aux fournisseurs de modèles d'IA à usage général (GPAI), y compris les grands modèles de langage et autres modèles de fondation, sur la manière de respecter les obligations réglementaires énoncées dans la loi sur l'IA. Le code a été finalisé en 2025 après un processus de rédaction multipartite, visant à traduire les exigences juridiques de haut niveau en pratiques concrètes et actionnables pour la transparence, le respect du droit d'auteur et la gestion des risques systémiques.
Le code n'est pas juridiquement contraignant en soi, mais sa conformité est présumée démontrer la conformité avec les exigences de la loi sur l'IA pour les modèles GPAI. Il a été développé par le Bureau de l'IA, l'organisme de l'UE chargé de superviser la réglementation GPAI, en collaboration avec des experts indépendants, des représentants de l'industrie et la société civile. La version finale a été publiée en juillet 2025, après une consultation publique qui a recueilli plus de 430 soumissions d'entreprises, de chercheurs et de groupes de défense.
Contexte et contexte juridique
La loi de l'UE sur l'IA, adoptée en août 2024, est entrée en vigueur le 1er août 2024, la plupart des dispositions s'appliquant progressivement. Les modèles GPAI, définis comme des modèles d'IA entraînés sur des données à grande échelle et capables d'effectuer un large éventail de tâches, sont soumis à des obligations spécifiques en vertu du chapitre V de la loi. Ces obligations incluent la fourniture de documentation technique, la publication d'un résumé du contenu d'entraînement et la mise en œuvre de politiques pour respecter le droit d'auteur de l'UE.
Pour les modèles GPAI présentant un risque systémique - définis comme ceux dont la puissance de calcul cumulative dépasse 10^25 opérations en virgule flottante (FLOPs) - des exigences supplémentaires s'appliquent, telles que la réalisation d'évaluations de modèles et de tests adverses. La loi sur l'IA mandate que le Bureau de l'IA facilite la création de codes de pratique pour détailler comment ces obligations peuvent être respectées. Le code de pratique GPAI est l'instrument principal à cette fin.
Processus de rédaction et calendrier
Le processus de rédaction a commencé en septembre 2024, lorsque le Bureau de l'IA a lancé une consultation pour recueillir des contributions sur la portée et le contenu du code. En novembre 2024, le Bureau de l'IA a nommé quatre présidents indépendants : Yoshua Bengio, lauréat du prix Turing et pionnier de l'apprentissage profond ; Marietje Schaake, ancienne membre du Parlement européen ; Alexander Peukert, professeur de droit d'auteur ; et Anja Feldner, experte en politique numérique. Ces présidents ont dirigé des groupes de travail axés sur la transparence, le droit d'auteur et le risque systémique.
Quatre groupes de travail ont été établis, chacun abordant un domaine spécifique : les dispositions relatives à la transparence et au droit d'auteur, l'identification et l'évaluation des risques systémiques, l'atténuation technique des risques, et la gouvernance et l'examen. Chaque groupe comprenait des représentants de grands développeurs d'IA tels que OpenAI, Anthropic, Google DeepMind et Microsoft (AI), ainsi que des startups européennes, des communautés open-source et des organisations de la société civile. Les groupes se sont réunis régulièrement de janvier à avril 2025, produisant des versions successives.
Une première version a été publiée en février 2025, suivie d'une deuxième version en avril 2025. Le Bureau de l'IA a tenu une consultation publique sur la deuxième version, recevant des commentaires de plus de 430 parties prenantes. La version finale, intégrant des révisions sur des questions telles que les exclusions de droit d'auteur et les seuils de risque systémique, a été adoptée le 10 juillet 2025.
Dispositions clés : transparence et droit d'auteur
Le chapitre sur la transparence du code exige que les fournisseurs de modèles GPAI maintiennent une documentation technique détaillée, y compris l'architecture du modèle, les sources de données d'entraînement et les ressources informatiques utilisées. Les fournisseurs doivent également publier un résumé suffisamment détaillé du contenu d'entraînement, comme l'exige la loi sur l'IA. Le code précise que ce résumé doit être structuré pour permettre aux titulaires de droits d'identifier si leurs œuvres ont été utilisées, sans révéler de secrets commerciaux propriétaires.
Sur le droit d'auteur, le code mandate que les fournisseurs mettent en œuvre une politique pour se conformer à la directive de l'UE sur le droit d'auteur dans le marché unique numérique (2019/790), y compris l'exception de fouille de textes et de données et le mécanisme d'exclusion. Les fournisseurs doivent faire des efforts raisonnables pour garantir que les données d'entraînement n'incluent pas d'œuvres où les titulaires de droits ont explicitement réservé leurs droits par des moyens lisibles par machine. Le code encourage également l'utilisation d'outils techniques, tels que robots.txt et les registres de contenu, pour faciliter les exclusions.
Pour les fournisseurs qui utilisent des données extraites du web, le code exige qu'ils maintiennent un enregistrement des sources et qu'ils répondent rapidement aux demandes des titulaires de droits. Il suggère également d'adopter une norme de 'meilleurs efforts' pour filtrer le contenu exclu, reconnaissant que la conformité parfaite est techniquement difficile. La version finale a assoupli les propositions antérieures de filtrage obligatoire, reflétant les préoccupations de l'industrie sur la faisabilité.
Gestion des risques systémiques
Le chapitre sur le risque systémique s'applique aux modèles GPAI dont la puissance de calcul d'entraînement cumulée dépasse 10^25 FLOPs, un seuil fixé par la loi sur l'IA. En 2025, cela inclut des modèles comme GPT-4 et GPT-5 d'OpenAI, Claude 3 d'Anthropic et Gemini Ultra de Google. Le code exige que ces fournisseurs mènent des évaluations rigoureuses de modèles, y compris des tests de red-teaming et adverses, pour identifier les préjudices potentiels tels que les capacités cyber-offensives, la création de menaces biologiques et la perte de contrôle.
Les fournisseurs doivent mettre en œuvre un système de gestion des risques qui comprend un cadre d'évaluation des risques, des mesures d'atténuation et des protocoles de signalement des incidents. Le code précise que les évaluations doivent être menées par des tiers indépendants lorsque cela est possible, et que les résultats doivent être partagés avec le Bureau de l'IA. Il exige également que les fournisseurs surveillent les capacités émergentes qui pourraient escalader le risque après le déploiement.
Une disposition notable est l'exigence pour les fournisseurs d'établir un 'plan d'atténuation des risques systémiques' mis à jour au moins annuellement. Ce plan doit traiter les risques liés aux menaces chimiques, biologiques, radiologiques et nucléaires (CBRN), ainsi que les cyberattaques et la manipulation. Le code encourage la collaboration avec BAIR (Berkeley AI Research) et d'autres institutions académiques pour développer des références d'évaluation.
Gouvernance et mécanismes de conformité
Le code établit une structure de gouvernance sous le Bureau de l'IA, qui surveillera l'adhésion par une combinaison d'auto-évaluation et d'audits. Les fournisseurs sont tenus de soumettre des rapports de conformité annuels, et le Bureau de l'IA peut mener des examens ciblés en réponse à des plaintes ou des risques émergents. Le code crée également un 'Panel du code de pratique GPAI' composé d'experts indépendants pour conseiller sur l'interprétation et les mises à jour.
Pour les modèles open-source, le code inclut une section spéciale qui assouplit certaines exigences de documentation, reconnaissant les profils de risque différents des poids publiés ouvertement. Cependant, les fournisseurs open-source doivent toujours se conformer aux obligations de droit d'auteur et aux dispositions sur le risque systémique si leurs modèles dépassent le seuil de calcul. Le code encourage l'utilisation de cartes de modèles et de fiches techniques, une pratique popularisée par MIT CSAIL et d'autres groupes de recherche.
La non-conformité au code ne déclenche pas automatiquement des pénalités, mais elle déplace la charge de la preuve sur le fournisseur pour démontrer des moyens alternatifs de conformité. La loi sur l'IA prévoit des amendes allant jusqu'à 3 % du chiffre d'affaires annuel mondial pour les violations des obligations GPAI, ce qui pourrait s'appliquer si un fournisseur ne respecte pas les exigences juridiques sous-jacentes.
Réactions de l'industrie et adoption
Les grandes entreprises d'IA ont exprimé un soutien prudent au code, bien que certaines aient soulevé des préoccupations concernant la charge administrative et la faisabilité de certaines mesures de droit d'auteur. OpenAI et Anthropic ont tous deux publié des déclarations accueillant favorablement la clarté fournie par le code, tout en notant que certaines dispositions nécessitent un développement technique supplémentaire. Google DeepMind a souligné l'importance de l'alignement international, car le code pourrait influencer les réglementations dans d'autres juridictions.
Les startups européennes, telles que Mistral AI et Aleph Alpha, ont été plus critiques, arguant que les exigences de documentation du code pourraient désavantager les petits acteurs. La communauté open-source, représentée par des groupes comme Hugging Face, a accueilli favorablement les dispositions assouplies pour les modèles ouverts mais a appelé à des orientations plus explicites sur ce qui constitue un résumé de données d'entraînement 'suffisamment détaillé'.
Les organisations de la société civile, y compris Access Now et European Digital Rights (EDRi), ont salué l'accent mis par le code sur la transparence mais ont exhorté à des mécanismes d'application plus forts. Elles ont noté que la nature volontaire du code signifie que les fournisseurs pourraient choisir de l'ignorer, et ont appelé le Bureau de l'IA à mener des audits proactifs plutôt que de se fier à l'auto-déclaration.
Relation avec d'autres réglementations et normes
Le code de pratique GPAI est conçu pour compléter d'autres instruments de l'UE, y compris la loi sur les services numériques et le règlement général sur la protection des données (RGPD). Il s'aligne également sur des initiatives internationales telles que les principes de l'IA de l'OCDE et la convention-cadre du Conseil de l'Europe sur l'IA. Le code fait référence aux normes techniques en cours de développement par le CEN-CENELEC, les organismes européens de normalisation, qui fourniront des spécifications plus granulaires.
L'approche du code en matière de risque systémique s'inspire des méthodologies de la recherche sur Deep learning, y compris les pratiques de red-teaming utilisées dans les évaluations de sécurité des Neural network. Il intègre également des leçons de la littérature sur Reinforcement Learning from AI Feedback (RLAIF) (apprentissage par renforcement à partir de retours d'IA), qui a informé la manière dont les fournisseurs peuvent aligner les modèles sur les directives de sécurité. Le code encourage les fournisseurs à partager les résultats d'évaluation avec la communauté de recherche, favorisant une culture de transparence.
Révisions futures et impact
Le code est conçu comme un document vivant, avec un cycle d'examen tous les deux ans. Le premier examen est prévu pour 2027, moment auquel le Bureau de l'IA évaluera si le code a effectivement réduit les risques et si les seuils doivent être ajustés. Les dispositions du code sur le droit d'auteur et le risque systémique sont susceptibles d'évoluer à mesure que les capacités techniques et les interprétations juridiques se développent.
À la fin de 2025, le code a déjà influencé les pratiques des entreprises. Plusieurs fournisseurs, y compris OpenAI et Anthropic, ont publié des rapports de conformité initiaux et mis à jour leur documentation de modèles pour s'aligner sur les modèles du code. Le code a également servi de référence pour d'autres juridictions, y compris le Canada et le Japon, qui développent des cadres similaires pour les modèles de fondation.
L'impact à long terme du code dépendra de l'approche d'application du Bureau de l'IA et de la volonté des fournisseurs de s'engager de manière constructive. Bien que le code soit volontaire, ses spécifications détaillées créent une forte incitation à la conformité, car un écart nécessiterait qu'un fournisseur justifie des mesures alternatives. Cette dynamique a conduit certains observateurs à décrire le code comme une 'soft law avec des bords durs', reflétant son potentiel à façonner le comportement de l'industrie de l'IA malgré sa nature non contraignante.