UE Vs IA : la course d’obstacles
Mi-juillet 2026, Bruxelles a ajouté une nouvelle pièce à son dispositif. L’UE veut se doter d’une capacité commune pour évaluer les modèles d’intelligence artificielle les plus avancés, notamment leurs aptitudes cyber, et mieux coordonner l’AI Office, ENISA, la Banque centrale européenne et les autorités nationales. Ce plan d’action répond à la menace concrète de modèles capables d’identifier une vulnérabilité, d’écrire un exploit ou d’accélérer une attaque en quelques minutes. Il résume aussi l’histoire réglementaire européenne : l’Union possède en effet déjà l’AI Act, NIS 2, DORA et le Cyber Resilience Act. Pourtant, chaque saut technologique l’oblige à ajouter une méthode, une structure ou une chaîne de responsabilités, dans une boucle sans fin.
L’AI Act illustre ce processus. Né dans un autre monde, il tente désespérément de rester dans la course : lorsque la Commission présente sa proposition, le 21 avril 2021, GPT-3 existe, mais l’IA générative reste un outil de spécialistes. Le texte classe surtout des systèmes attachés à un usage : recrutement, crédit, reconnaissance biométrique, dispositif médical, infrastructure critique… Il suppose qu’un produit puisse être identifié, documenté, testé puis surveillé.
ChatGPT ouvre au public le 30 novembre 2022, six jours avant que le Conseil n’arrête sa position. Un même modèle peut désormais écrire, coder, résumer, conseiller, produire des images et s’intégrer à des centaines d’applications. Le législateur ajoute alors les modèles de fondation, devenus modèles d’IA à usage général, au milieu de la négociation. Seul problème, entre propositions, trilogues, actes d’exécution, codes de conduite et normes harmonisées, le temps de l’UE se compte en années, celui des laboratoires en mois, d’une version révolutionnaire de modèle à l’autre.
« Il n’y a pas de pause »… vraiment ?
De fait, la cible continue d’avancer sans attendre les législateurs de l’UE. GPT-4 apporte la multimodalité en mars 2023. Gemini, Claude et Llama accélèrent la concurrence. Les modèles de raisonnement consacrent davantage de calcul à chaque réponse. Les agents utilisent des outils, naviguent dans des logiciels et enchaînent des actions sans validation humaine permanente. Or, l’AI Act a besoin de savoir qui fournit le système, qui le déploie, quand une mise à jour constitue une modification substantielle et comment retracer une décision. Des chercheurs soulignent déjà qu’un agent à haut risque dont le comportement dérive de manière non traçable ne peut pas satisfaire certaines exigences essentielles du règlement.
Le 4 juillet 2025, Thomas Regnier, porte-parole de la Commission, assurait qu’il n’y avait « pas de stop the clock. Il n’y a pas de période de grâce. Il n’y a pas de pause ». Face à ce sprint technologique, Bruxelles a pourtant fini par s’essouffler. En novembre 2025, la Commission présentait son « AI Omnibus », un volet du Digital Omnibus destiné à simplifier l’application de l’AI Act. Le 7 mai 2026, Parlement et Conseil concluaient un accord provisoire repoussant au 2 décembre 2027 les principales obligations visant les systèmes à haut risque, initialement attendues en août 2026. Les règles applicables à certains produits seraient reportées jusqu’en août 2028. Tout l’AI Act n’est cependant pas suspendu : les pratiques interdites et plusieurs obligations concernant les modèles généralistes sont déjà entrées en application, mais le recul reconnaît que le calendrier légal précédait l’adoption des normes et le déploiement des outils nécessaires à sa pleine application.
RGPD, DSA, DMA, NIS 2… la valse des acronymes
« La course à l’IA est loin d’être terminée. Nous n’en sommes qu’au début », avouait déjà Ursula von der Leyen au sommet de l’IA à Paris, en février 2025, elle qui promettait aussi d’unifier les règlements sur l’IA à l’échelle continentale et de « rendre cela plus facile [… d’] alléger la charge administrative ». En ajoutant des haies sur la piste d’athlétisme ?
L’AI Act n’est en effet que le premier obstacle. Une entreprise qui développe un assistant en Europe doit d’abord trouver des données compatibles avec le RGPD, expliquer leur origine, limiter les informations personnelles utilisées et prévoir l’exercice de droits individuels. Si son corpus contient des œuvres protégées, elle doit respecter les exceptions de fouille de textes et de données ainsi que les réservations formulées par les ayants droit. Si elle veut accéder aux smartphones ou aux moteurs dominants, elle doit se conformer au Digital Markets Act. Si elle produit ou recommande des contenus, le Digital Services Act peut entrer en jeu. Si son logiciel agit dans un produit connecté, le Cyber Resilience Act ajoute des obligations de sécurité. NIS 2 pèse sur ses clients essentiels ; la directive sur la responsabilité des produits étend le risque juridique aux logiciels.
Pris séparément, ces textes répondent à des enjeux réels. Le DMA peut même ouvrir le marché : le 16 juillet 2026, la Commission a imposé à Google d’ouvrir onze fonctions d’Android à des assistants concurrents et de partager certaines données de recherche anonymisées, au nom du libre choix des consommateurs. Google réplique en invoquant la vie privée et la cybersécurité.
Investir « dans un environnement où je suis entravé »
Pourtant, la difficulté apparaît lorsque le même système est soumis à plusieurs textes, selon des définitions, des autorités et des calendriers différents. Si cet effet cumulatif reste difficile à prouver, chaque règlement européen produit des effets négatifs documentés. Roland Busch, directeur général de Siemens, a qualifié en 2025 le Data Act de « toxique » pour les modèles économiques numériques. « Nous sommes assis sur un trésor de données en Europe, mais nous ne savons pas encore l’exploiter. » « C’est absurde de traiter les données industrielles et les données de machines comme des données personnelles… Je ne peux pas expliquer à mes actionnaires pourquoi j’investis de l’argent dans un environnement où je suis entravé », ajoutait le dirigeant.
Meta a renoncé en 2024 à lancer dans l’Union un futur modèle Llama multimodal, en invoquant « la nature imprévisible de l’environnement réglementaire européen », visant principalement le RGPD. Apple a retardé Apple Intelligence, puis certaines fonctions de Siri, en mettant en cause le DMA. Dans les deux cas, les utilisateurs et développeurs européens ont été servis plus tard.
Pour concrétiser la course d’obstacles, imaginons une start-up française qui développerait un assistant d’aide au diagnostic des AVC. Pour entraîner son modèle, elle devrait négocier l’accès à des données de santé, réaliser une analyse d’impact RGPD et sécuriser ses environnements. Comme le logiciel contribuerait au diagnostic, elle monterait ensuite un dossier de dispositif médical pour obtenir un marquage CE.
Taxes et règles, la couche française
L’AI Act ajouterait la gouvernance des données, la journalisation, la supervision humaine, la robustesse et la surveillance après commercialisation. Les hôpitaux réclameraient en outre des garanties NIS 2 sur la chaîne d’approvisionnement et les incidents cyber. La mise en conformité du produit pourrait alors devenir un fardeau administratif trop lourd pour une jeune pousse… et peut-être trop cher pour ses clients.
La France pousse plus loin cette contradiction entre réglementation et innovation. Elle a ainsi été pionnière dans l’application des droits voisins de la presse. En mars 2024, l’Autorité de la concurrence a infligé 250 millions d’euros d’amende à Google pour non-respect d’engagements pris envers les éditeurs, notamment parce que le groupe avait utilisé des contenus pour entraîner Bard sans les informer suffisamment ni permettre une négociation distincte. Le conflit change d’échelle avec la recherche générative : le moteur peut synthétiser plusieurs articles et fournir une réponse qui dispense de cliquer sur les articles sources, privant les ayants droit de leurs revenus.
De plus, Google a retardé en France le lancement d’AI Overviews et d’AI Mode. En mai 2026, James Manyika, vice-président senior technologie et société de Google, dénonçait une incertitude « désastreuse pour les utilisateurs français ». Le groupe a finalement annoncé, le 30 juin, un lancement durant l’été. Si la régulation n’a finalement pas fermé le marché, elle l’a freiné.
Paris envisage parallèlement de renforcer la protection des créateurs. Un rapport parlementaire présenté en juillet 2026 propose une contribution sur les fournisseurs d’IA générative réalisant un certain chiffre d’affaires en France.
Un cadre lisible et stable
Elle financerait les auteurs et professions créatives, sans que cela vaille licence ou immunité contre une action en contrefaçon. Les entreprises ayant conclu des accords pourraient bénéficier d’un allégement. Si aucun taux, seuil ou mécanisme de recouvrement n’est encore arrêté, cette contribution nationale pourrait toutefois être plus simple à appliquer à un acteur implanté en France qu’à un fournisseur facturant depuis l’étranger.
Donnant d’une main ce qu’elle prend de l’autre, la France finance ainsi l’IA avec le crédit d’impôt recherche ou France 2030, tout en préparant de nouvelles obligations de transparence et de possibles prélèvements. Pourtant, Emmanuel Macron avait pointé dès 2023 le nœud du problème français et européen : « On peut décider de réguler beaucoup plus vite et beaucoup plus fort que nos grands compétiteurs, mais on régulera des choses qu’on ne produira plus ou qu’on n’inventera pas. Ce n’est jamais une bonne idée. »
Il ne saurait pourtant être question de supprimer tous ces règlements qui, individuellement, ont leur bien-fondé : le RGPD protège les données personnelles, le droit d’auteur évite que la création devienne une matière première gratuite, le DMA peut desserrer l’étau des plateformes. « Il est temps de passer de la transparence à une réglementation plus sérieuse et contraignante de l’IA », réclamait même Dario Amodei, patron d’Anthropic, avec des tests et la possibilité de bloquer leur mise à disposition lorsqu’ils présentent des risques graves.
Ce qui manque à l’Europe est plutôt un parcours de conformité unifié, simplifié et lisible, qui ne cherche pas à réglementer chaque aspect du marché. Au-delà du cadre réglementaire, se pose aussi la question des capitaux, des capacités de calcul et d’une commande publique capables de soutenir ses propres acteurs. Faute de quoi, l’Europe continuera de courir derrière les géants de l’IA tout en ajoutant des haies devant ses propres entrepreneurs. Ses champions, comme Mistral, risquent alors de ne jamais franchir la ligne de départ, sans même parler de faire la course en tête.