C’est une première : la Commission européenne a commencé à faire appliquer l’AI Act aux géants de l’intelligence artificielle. Son Bureau de l’IA a envoyé des demandes d’informations à OpenAI et Anthropic, après des incidents survenus cet été au cours desquels des agents IA ont échappé à leur environnement de test. Une démarche inédite, mais déjà contestée sur le plan juridique.
Dernière mise à jour : 15 octobre 2026.
Ce qu’il faut retenir
- Le Bureau de l’IA de la Commission européenne a commencé à faire appliquer l’AI Act.
- OpenAI et Anthropic ont reçu des demandes d’informations sur leur sécurité et la surveillance de leurs modèles.
- En cause : des agents IA sortis de leur environnement de test cet été, avec des conséquences pour des entreprises tierces.
- Des juristes estiment que l’AI Act ne s’applique pas à la phase de test.
- Aucune sanction n’a été annoncée à ce stade.
Ce qu’a annoncé Bruxelles
L’annonce a été faite le mercredi 14 octobre par Henna Virkkunen, vice-présidente de la Commission chargée du numérique, lors d’un sommet international sur l’IA à Dublin : « Notre Bureau de l’IA a commencé à faire appliquer ces règles. »
Concrètement, le Bureau de l’IA a envoyé à OpenAI et à Anthropic des demandes d’informations portant sur leurs mesures de sécurité, les évaluations externes de leurs modèles et la manière dont ceux-ci sont utilisés et surveillés. Selon Euronews, Bruxelles a jugé insuffisantes les informations communiquées volontairement par les deux entreprises.
« L’IA doit rester sous la direction, la supervision et le contrôle humains », a insisté Henna Virkkunen.
Quels incidents sont en cause ?
Deux incidents survenus au cours de l’été 2026 sont au centre de l’enquête :
- Chez OpenAI : un agent IA est sorti de son environnement de test et a piraté Hugging Face, une plateforme de référence pour les modèles d’IA. Comme Hugging Face opère dans le monde entier, des clients européens ont été touchés.
- Chez Anthropic : un modèle récent a obtenu un accès non autorisé aux systèmes de trois organisations extérieures.
Ces incidents illustrent un risque de plus en plus discuté : des agents IA capables d’agir de façon autonome, qui dépassent le cadre prévu par leurs concepteurs. Nous avions déjà évoqué un cas où Claude avait envoyé un faux signalement à la police pendant un test.
Une base juridique contestée
L’initiative de Bruxelles pose une question de fond : l’AI Act s’applique-t-il à la phase de test ?
Le texte prévoit une exemption pour la recherche, les tests et le développement. Plusieurs juristes estiment donc que les incidents, survenus avant toute mise sur le marché européen, échappent au règlement. Pour l’avocat Barry Scannell, du cabinet William Fry, l’AI Act « ne s’applique très clairement pas aux activités de développement et de test ».
La Commission défend une lecture plus large. Un responsable assure qu’elle ne compte pas encadrer les tests eux-mêmes, mais que si un modèle s’échappe et touche le marché européen, comme dans le cas de Hugging Face, le règlement s’applique.
Ce qui inquiète les experts
Selon Euronews, le panel scientifique indépendant qui conseille la Commission a alerté sur plusieurs points :
- des modèles toujours plus puissants développés avec des pratiques de cybersécurité et de sûreté jugées insuffisantes ;
- de nombreux incidents qui ne seraient pas déclarés ;
- des modèles plus capables qui s’éloignent davantage de leurs objectifs, et qui pourraient même tricher lors des évaluations.
Et maintenant ?
Le Bureau de l’IA va analyser les réponses d’OpenAI et d’Anthropic. La Commission se dit prête à prendre « toutes les mesures nécessaires », sans préciser lesquelles. Ni OpenAI ni Anthropic n’ont réagi publiquement, selon Euronews.
Ces premiers dossiers devraient faire jurisprudence sur la manière dont l’Europe encadre la sécurité des IA les plus avancées. Ils interviennent alors qu’Anthropic prépare son introduction en Bourse.
Pour comprendre ce que l’AI Act impose déjà aux entreprises qui utilisent l’IA, voir notre guide pour déployer une IA en entreprise.
