Le règlement européen sur l’IA (EU AI Act) : checklist pratique pour les équipes data

Si vous développez des modèles d’IA, fournissez des données à des équipes qui entraînent des LLM ou gérez une infrastructure de web scraping qui alimente l’un d’eux, vous avez sans doute entendu parler de l’EU AI Act, des amendes et des responsabilités qui vont avec. La plupart des gros titres laissent penser qu’il ne concerne que les grands laboratoires de données. Pourtant, les règles descendent bien plus bas dans la chaîne : elles touchent les équipes internes qui créent des modèles d’IA pour leurs propres besoins, les fournisseurs de données et les fournisseurs de proxies. Dans cet article, DataImpulse, fournisseur de proxies éthique, explique à qui le règlement s’applique exactement, ce qui a changé le 2 août 2026 et ce que ces changements signifient pour vous, selon votre place dans la chaîne de données.

L’essentiel :

• L’EU AI Act encadre l’IA. Certains changements sont entrés en vigueur le 2 août 2026.
• En réalité, aucune nouvelle règle n’a été ajoutée : seuls des mécanismes de contrôle ont été mis en place pour vérifier le respect des règles existantes.
• Même si vous utilisez le modèle en interne et gratuitement, mais pour soutenir un produit existant, ou même si votre entreprise est établie hors de l’UE mais compte des clients européens, les nouvelles exigences s’appliquent à vous.
• Désormais, les fournisseurs de GPAI et les équipes data doivent être prêts à fournir le résumé des données d’entraînement et les documents relatifs aux politiques de droit d’auteur.
• Si un fournisseur de GPAI a utilisé des données qui ne répondent pas aux nouvelles exigences, c’est ce fournisseur de GPAI, et non un fournisseur de données, qui serait tenu pour responsable.
• Lorsque vous choisissez des fournisseurs de données ou d’infrastructure, y compris des fournisseurs de proxies, n’hésitez pas à les interroger sur leurs politiques de droit d’auteur et sur la provenance des données, et vérifiez qu’ils suivent en continu les évolutions, car de nouvelles règles apparaissent en permanence.

Qu’est-ce que l’EU AI Act ?

L’EU AI Act est un texte de l’Union européenne qui encadre l’IA. Il ne traite pas tous les modèles de la même façon : il classe les systèmes selon un niveau de risque (interdit, risque élevé, risque limité, risque minimal) et impose des obligations différentes à chacun de ces niveaux.

La partie la plus pertinente pour les équipes data et de web scraping figure dans un chapitre distinct consacré à l’IA à usage général (GPAI, General-Purpose AI) : des modèles comme Gemini, Claude, ChatGPT et d’autres, que l’on peut adapter à de nombreuses tâches. Comme les données collectées par web scraping sur des sources publiques servent à entraîner ces modèles, le règlement comprend des règles sur la manière dont ces données doivent être collectées.

À qui s’applique l’EU AI Act

L’expression « fournisseurs de GPAI » rend un peu confus l’identification des acteurs réellement concernés. Voyons cela en détail :

• Les entreprises et équipes qui créent des modèles GPAI et les utilisent, même uniquement en interne, sans les vendre ni les lancer auprès du public. Si votre entreprise entraîne ou affine un modèle à usage général et l’utilise dans ses activités, vous êtes un fournisseur au sens de la loi, avec les mêmes responsabilités qu’un laboratoire d’IA commercial.
• Les entreprises qui confient la création et l’entraînement du modèle à des sociétés sous-traitantes. Même si vous déléguez tous les processus à un tiers, vous restez un fournisseur : la responsabilité juridique n’est pas transférée avec les tâches techniques.
• Toute personne qui modifie ou affine un modèle existant. Si vous menez une modification majeure, vous devenez fournisseur de cette version modifiée, avec les responsabilités correspondantes.
• Les entreprises hors UE, si leurs modèles interagissent avec les marchés européens. Ce qui compte n’est pas le lieu d’enregistrement de l’entreprise, mais sa présence sur les marchés de l’UE ou le fait que les résultats du travail du modèle touchent ces marchés.
• Les fournisseurs de modèles open source, car une licence ouverte n’implique ni l’absence de responsabilités juridiques ni la dispense de respecter les lois.

Il existe une exception : les modèles au stade de la recherche, du développement ou du prototypage, qui ne servent pas encore à soutenir un produit ou un service réel. Toutefois, dès qu’un modèle est utilisé pour autre chose, même en interne et gratuitement, toutes les exigences s’appliquent.

Techniquement, un groupe n’est pas directement encadré par la loi : les fournisseurs de données et les fournisseurs de web scraping ou de proxies. C’est celui qui développe un modèle d’IA qui est tenu pour responsable, et non celui qui l’utilise. En pratique, cependant, ce groupe n’est pas totalement épargné.

Ce qui a changé exactement depuis le 2 août 2026

En réalité, aucune nouvelle règle n’a été introduite le 2 août 2026, seulement des mécanismes de contrôle qui vérifient si les règles existantes sont respectées.

Techniquement, les obligations relatives aux GPAI sont en vigueur depuis août 2025. Cependant, pendant l’année précédente, les régulateurs européens ne pouvaient que « collaborer de manière informelle » avec les entreprises d’IA. Il n’existait pas de véritables sanctions en cas de non-respect. Désormais, l’AI Office peut officiellement enquêter, exiger des documents, évaluer et infliger des amendes.

Par ailleurs, les nouvelles exigences de l’article 50 sont désormais en vigueur. Elles comprennent l’obligation de signaler les contenus générés par l’IA (deepfakes, médias synthétiques, information de l’utilisateur lorsqu’il s’adresse à un bot, etc.). Cela concerne les sorties de l’IA, et non la collecte de données, donc c’est moins important pour les fournisseurs de données et de web scraping ; cela reste néanmoins une partie de la même réglementation.

Autre nouveauté : un report distinct, l’« Omnibus », a repoussé les changements les plus stricts. Les fournisseurs de modèles d’IA à haut risque, parmi lesquels les outils de recrutement, de scoring de crédit et les outils utilisés en médecine, disposent donc de plus de temps pour s’adapter, vraisemblablement jusqu’à la période décembre 2027 – août 2028. Ce report ne touche pas les règles relatives aux GPAI, au droit d’auteur et aux données d’entraînement, qui restent en vigueur.

En parallèle, les modèles plus anciens ont bénéficié d’une période de transition prolongée. Ainsi, un modèle GPAI lancé avant août 2025 a jusqu’en août 2027 pour se mettre pleinement en conformité. Les modèles plus récents doivent être conformes dès le départ.

En matière de collecte de données, il y a deux obligations principales :

• Publier le résumé des données d’entraînement. Les fournisseurs de GPAI doivent fournir un résumé public structuré de toutes les catégories de données utilisées pour l’entraînement du modèle : jeux de données publics, données sous licence, contenus issus du web scraping, données des utilisateurs, données synthétiques, etc. Cela ne signifie pas qu’il faut citer chaque source, mais la liste doit rester suffisamment précise et honnête pour avoir un sens.
• Appuyer les politiques de conformité au droit d’auteur. Les fournisseurs doivent disposer de politiques documentées prouvant qu’ils obtiennent les données de manière légale, qu’ils détectent et respectent les signaux d’opt-out comme robots.txt, ai.txt, les avertissements TDM fondés sur les métadonnées, ainsi que les conditions d’utilisation rédigées en langage humain (selon au moins une décision discutable de la Cour européenne). Si un fournisseur collecte des données par web scraping et entraîne son modèle sur des contenus obtenus en violation des restrictions, il perd la protection juridique qui couvre habituellement la fouille de textes et de données, ce qui ouvre la voie à des réclamations pour atteinte au droit d’auteur.

Que signifient les nouveautés de l’AI Act pour vous

Selon la façon dont vous interagissez avec l’IA, les changements récents ont des conséquences différentes pour vous.

Si vous développez ou affinez un modèle d’IA :

Que vous vendiez votre modèle ou l’utilisiez en interne pour vos propres besoins, la loi vous classe comme fournisseur. Vous devez être prêt à fournir :

• Un résumé des données d’entraînement
• Une politique de droit d’auteur documentée
• Des informations sur la manière dont vous avez obtenu vos données et sur le respect des signaux d’opt-out, et non une simple reconstitution après coup

Déléguer le web scraping ou le développement du modèle à des équipes sous-traitantes ne réduit pas votre responsabilité. Vous devrez obtenir tous les documents précités auprès du tiers avec lequel vous avez travaillé et être prêt à les fournir.

Si vous fournissez des données, une infrastructure de web scraping ou des proxies à des entreprises qui développent des modèles d’IA :

Directement, l’AI Act n’encadre pas votre activité. Cependant, vos clients subissent désormais une pression de conformité accrue : ils rechercheront donc des produits et services qui répondent aux nouvelles exigences et restrictions. Comme vos clients doivent fournir des politiques de droit d’auteur et des résumés de données même s’ils n’ont pas collecté eux-mêmes les données mais les ont achetées chez vous, vous devez à votre tour pouvoir leur fournir des informations sur les jeux de données que vous vendez. Cela comprend :

• Les catégories de contenus collectés
• La période approximative de collecte des données
• La réaction aux signaux d’opt-out : votre crawler a-t-il vérifié leur existence et les a-t-il respectés ?
• L’exclusion des sources connues comme peu fiables : sites pirates ou plateformes qui contournent le contrôle d’accès
• Un journal d’audit prouvant que tous ces éléments ont été pris en compte au moment de la collecte des données

Techniquement, vous n’êtes pas tenu de disposer de toutes ces informations. En pratique, vos clients l’exigeront sans discussion possible.

Si vous fournissez des données qui ne servent pas à l’entraînement d’IA :

Si vous fournissez des données pour la comparaison de prix, l’ad verification, l’analyse de marché, etc., sans rapport avec l’entraînement de LLM, l’EU AI Act ne vous concerne pas directement. Cela ne veut évidemment pas dire que vous pouvez ignorer les signaux d’opt-out ou collecter des données sur des sources peu fiables. De plus, les développeurs se disputent des données récentes qui n’ont pas encore servi à l’entraînement : il est donc stratégique de chercher à respecter les exigences de conformité, au cas où vos jeux de données serviraient un jour à entraîner des IA.

Checklists pour les équipes data

Si vous êtes fournisseur de GPAI et que vous entraînez ou affinez des modèles, vous devriez avoir des réponses claires aux questions suivantes :

• Disposez-vous d’un résumé des données d’entraînement publié, à jour et conforme au modèle de la Commission ?
• Disposez-vous d’une politique de droit d’auteur documentée sur la détection et le respect des signaux d’opt-out ?
• Pouvons-nous retracer la configuration du scraper et la liste des signaux d’opt-out actifs lors de la collecte d’un jeu de données donné ?
• Si nous avons confié l’entraînement du modèle ou la collecte de données à un tiers, pouvons-nous tout de même obtenir la documentation nécessaire ?
• Notre modèle a-t-il été lancé sur un marché, ou sommes-nous encore à l’abri, au stade de la recherche ou du prototypage ?
• Disposons-nous d’un processus clair pour traiter les réclamations des titulaires de droits concernant nos données d’entraînement ?

Si vous fournissez des données d’entraînement ou des proxies, vous devez aussi être sûr de certains points :

• Nos crawlers vérifient-ils robots.txt et les signaux d’opt-out spécifiques à l’IA connus avant de collecter des données ?
• Consignons-nous quand et comment les signaux d’opt-out ont été vérifiés, et pouvons-nous reconstituer la conformité plus tard, si nécessaire ?
• Pouvons-nous classer les données par source d’une manière qui réponde aux besoins de nos clients en matière de conformité des données ?
• Excluons-nous les sources connues comme des sites pirates ou celles qui contournent le contrôle d’accès technique ?
• Nos politiques et notre documentation fournissent-elles toutes les informations dont nos clients ont besoin pour rédiger leurs résumés de données ?
• Traitons-nous la détection et le respect des signaux d’opt-out comme un événement ponctuel, ou le faisons-nous en continu, avec un suivi des changements ?

Comment choisir ses fournisseurs de données et de proxies dans le contexte actuel

Désormais, les indicateurs de performance ne sont pas seuls à compter : la préparation à la conformité aussi. C’est particulièrement vrai si les données servent à l’entraînement d’IA, c’est-à-dire pour tout modèle lié au marché européen. Ne cherchez pas uniquement la vitesse ou le taux de réussite. Les infrastructures optimisées seulement pour contourner les obstacles d’accès ne conviennent pas à la collecte de données destinées à l’entraînement d’IA, même si elles peuvent convenir à d’autres usages comme le suivi des prix.

Il est également important de choisir des fournisseurs capables de fournir des journaux d’audit et des informations sur les sources de données. Posez des questions sur la provenance, pas seulement sur la taille du pool d’IP. En revanche, ne pensez pas que ce qui coûte plus cher garantit automatiquement une meilleure conformité. Un modèle tarifaire avantageux et la conformité peuvent aller de pair.

Enfin, rappelez-vous que la conformité est un processus, et non une case cochée une fois pour toutes. Les exigences évoluent, de nouvelles règles se forment en permanence, et il vous faut un fournisseur flexible, prêt à communiquer et à travailler avec vous en continu, pas seulement un prestataire qui répond à vos besoins du moment.

En résumé

Quelle que soit votre activité, entraînement de modèles d’IA, fourniture de données ou simple mise à disposition d’infrastructure, la règle est simple : sachez d’où viennent vos données et soyez prêt à étayer vos affirmations par des documents. Même si l’EU AI Act ne vous concerne pas directement, la tendance est claire : les données doivent toujours être obtenues légalement, et le processus doit être documenté. Cela vous évitera des problèmes juridiques, mais vous donnera aussi un excellent avantage concurrentiel, car les développeurs d’IA et les équipes data prêteront de plus en plus attention aux sources de données et à la conformité, et pas seulement aux indicateurs techniques comme la vitesse ou le taux de réussite.

Questions fréquentes