Le fait
Septembre 2026 marque un basculement concret pour l’AI Act (règlement (UE) 2024/1689 sur l’intelligence artificielle) : on ne parle plus seulement de calendrier, mais de contrôles et de demandes écrites.
Deux fils se croisent.
Fil 1 — Commission européenne / Office IA (GPAI). Le 1er septembre 2026, la Commission a confirmé en briefing de presse avoir envoyé ses premières demandes d’information (requests for information) dans le cadre de l’application de l’AI Act à plus de 30 entreprises d’IA. Les thèmes annoncés : sécurité (y compris modèles à usage général et modèles avancés) et droit d’auteur / transparence. Ces pouvoirs d’enquête sur les fournisseurs de modèles GPAI (general-purpose AI : IA à usage général) sont applicables depuis le 2 août 2026.
En parallèle, plusieurs synthèses sectorielles (Enterprise DNA, Stynx, relais nationaux) indiquent une échéance autour du 15 septembre 2026 pour les fournisseurs de modèles GPAI dépassant le seuil de 10^25 FLOPs (opérations en virgule flottante) d’entraînement : première évaluation formelle de risque systémique à déposer auprès de l’Office IA. Ce seuil vise les modèles de frontière en usage commercial. À traiter comme échéance fortement relayée — à croiser avec les documents officiels de chaque fournisseur, sans inventer de taux de dépôt.
Fil 2 — Autorités nationales et usages à haut risque. Des articles de veille (Enterprise DNA, 8 sept. ; Stynx, 12 sept. ; relais néerlandais) décrivent une première vague de contrôles ou de demandes portés notamment par la CNIL (France), le BfDI (Allemagne) et l’AESIA (Espagne), ciblant trois familles d’usages : tri de CV / recrutement, scoring de crédit en banque de détail, triage / priorisation en santé privée. Ces sources parlent de pièces très concrètes : dossiers de documentation technique, schémas d’architecture, scripts de prétraitement, versionnage des poids de modèle, preuves de supervision humaine.
Nuance obligatoire. La page officielle de la Commission rappelle que, après l’AI Omnibus (simplification entrée en vigueur fin juillet 2026), les obligations pleines pour les systèmes à haut risque de l’annexe III (emploi, crédit, santé, etc.) s’appliquent à partir du 2 décembre 2027. Autrement dit : ce que septembre 2026 active pleinement côté GPAI (pouvoirs Commission, RFI, transparence) ne doit pas être confondu avec l’entrée en vigueur complète de toutes les obligations « haut risque » annexe III. Les contrôles nationaux rapportés peuvent relever de surveillance de marché, de préparation, de chevauchement RGPD / AI Act, ou de demandes documentaires — pas automatiquement d’un « jugement AI Act haut risque » déjà définitif. On documente ce que disent les sources secondaires ; on ne sur-affirme pas.
Contexte
Calendrier AI Act : ce qui est réellement « on » en septembre 2026
L’AI Act est entré en vigueur le 1er août 2024 et s’applique par paliers. Les pratiques interdites et l’obligation d’acculturation IA datent de février 2025. Les règles de gouvernance et les obligations GPAI sont applicables depuis août 2025, avec des pouvoirs d’exécution renforcés pour l’Office IA / la Commission à compter du 2 août 2026. Les règles de transparence (article 50 et voisins) sont également dans la fenêtre août 2026.
Le paquet AI Omnibus a reculé l’application pleine des cas à haut risque annexe III au 2 décembre 2027 (annexe I produits : 2 août 2028). Conséquence DSI : septembre 2026, c’est surtout la supervision GPAI qui devient tangible ; le haut risque « classique » reste sur une piste d’approche.
Ce que les sources secondaires disent des inspections nationales
Selon Enterprise DNA (8 sept.) et Stynx (12 sept.), la première vague vise RH, banque de détail et santé, avec CNIL, BfDI et AESIA en pointe. Niveau de détail attendu : diagrammes de flux, versionnage des poids, scripts de prétraitement — là où se nichent souvent les biais. Ces secteurs touchent emploi, argent, santé. Même avec l’échéance annexe III en 2027, RGPD et régulateurs sectoriels (ACPR, santé) restent actifs : attendre 2027 pour le dossier technique serait une mauvaise lecture du signal.
Divergence UE / États-Unis
Pendant que Bruxelles ouvre des dossiers et envoie des RFI, Washington discute pacing, task forces et contentieux antitrust (voir la plainte du 18 septembre 2026 contre plusieurs labs). Pour un groupe international, le même modèle peut être sous évaluation de risque systémique en Europe et sous pression concurrentielle aux US. La documentation n’est plus un exercice cosmétique : c’est le langage commun entre juristes, ingénieurs et régulateurs.
Pourquoi ça compte
1. La documentation technique devient une preuve réglementaire.
Une demande d’information au titre de l’article 91 de l’AI Act n’est pas un questionnaire marketing. Elle fixe une base légale, un objet, un délai, et rappelle les amendes en cas d’informations incorrectes, incomplètes ou trompeuses. Ce que vous avez dans Confluence ou dans un PDF « gouvernance IA » doit pouvoir soutenir une réponse formelle.
2. Le risque coule vers l’aval (deployers).
Même si les premières RFI ciblent surtout les fournisseurs de modèles GPAI, les entreprises qui déploient (RH, banque, clinique) dépendent de la conformité amont. Contrats, droit à l’information, clauses de coopération réglementaire, plan B si un modèle est restreint : c’est désormais de la diligence d’achat.
3. RH / crédit / santé : le haut risque « de fait » avant l’échéance 2027.
Un CV-sorter qui discrimine, un score de crédit opaque, un triage clinique non validé : le régulateur n’a pas besoin d’attendre décembre 2027 pour poser des questions au titre d’autres bases légales. Septembre 2026 est un réveil opérationnel.
4. Seuil FLOPs (10^25) : impact indirect pour la plupart des DSI.
Qui n’entraîne pas de modèle de fondation dépend quand même des résumés de données d’entraînement, de la politique copyright et des évaluations de red-teaming (tests adverses) du fournisseur.
5. Divergence transatlantique.
Un système pensé pour le marché US peut nécessiter journalisation, supervision humaine et traçabilité des versions avant un usage UE à fort impact.
Lecture Neurone21
Angle régulation-IA : septembre 2026 n’est pas « l’apocalypse conformité », c’est le moment où l’AI Act sort du PowerPoint. Priorité DSI : savoir ce que vous devez pouvoir montrer en 48 heures si la CNIL, un régulateur sectoriel ou un questionnaire fournisseur GPAI arrive.
Ce que les DSI / RSSI / juristes doivent documenter maintenant
- Inventaire IA classé par usage (pas par marque de modèle) : recrutement, crédit, triage, chatbot RH, copilote métier — rôle (fournisseur / deployer / utilisateur), données personnelles, décision automatisée ou non.
- Dossier technique minimal par système critique : architecture (où circulent les données), version du modèle / des poids, scripts de prétraitement, jeux de tests de biais, supervision humaine (qui valide quoi, avec quel journal).
- Chaîne fournisseur GPAI : qui détient le modèle de fondation, où est l’hébergement, quelle politique copyright / résumé des données d’entraînement, engagement de coopération en cas de RFI.
- Processus de réponse réglementaire : propriétaire unique, délai interne, validation croisée juridique + ingénierie avant envoi — les réponses trompeuses sont elles-mêmes un risque.
- Contrats : clauses AI Act, audit, information en cas de mesure corrective, sortie / bascule de modèle.
Checklist pratique (à coller dans le comité IA)
| Pièce | Pourquoi le régulateur la demande | Qui la produit |
|---|---|---|
| Schéma d’architecture & flux de données | Comprendre de la collecte à la décision | Architecture / data |
| Versionnage des poids / modèles | Savoir quelle version a décidé quoi, quand | MLOps / éditeur |
| Scripts de prétraitement | Repérer biais et filtres implicites | Data engineering |
| Preuves de supervision humaine | Montrer qu’une personne peut contredire le score | Métier + conformité |
| Évaluations / red-teaming (si GPAI systémique) | Attester les tests adverses et mitigations | Fournisseur modèle |
| Politique copyright & résumé d’entraînement | Transparence GPAI exigée par l’AI Act | Fournisseur modèle |
Ce qu’il ne faut pas faire
- Affirmer que « toutes les obligations haut risque annexe III sont déjà pleinement applicables depuis août 2026 » — l’Omnibus pousse l’échéance au 2 décembre 2027.
- Confondre RFI Commission sur GPAI (confirmées le 1er septembre) et inspections nationales sectorielles (rapportées par la presse spécialisée) : deux canaux, deux niveaux de preuve.
- Remplacer un dossier technique par une charte éthique.
- Attendre d’être nommé dans une RFI pour inventer le processus de réponse.
En résumé : septembre 2026, c’est le mois où l’Europe demande des pièces. Les DSI qui s’en sortent ne sont pas ceux qui ont le plus beau discours sur l’IA responsable — ce sont ceux qui peuvent prouver, version par version, comment une décision RH, crédit ou santé a été produite, et ce que fait le modèle de fondation en amont.
Sources
- Commission européenne — page AI Act / calendrier (dont Omnibus et échéances haut risque) : https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Allegiance Law — synthèse des premières RFI Commission (1er sept. 2026, >30 entreprises, sécurité + copyright/transparence) : https://allegiance.law/news/eu-ai-act-enforcement-has-started-commission-sends-first-information-requests-to-ai-companies/
- Enterprise DNA, 8 septembre 2026 — EU AI Act: First Compliance Inspections Are Now Underway : https://enterprisedna.co/resources/news/eu-ai-act-first-compliance-inspections-september-2026/
- Stynx, 12 septembre 2026 — AI Act : ce que les régulateurs vont réellement inspecter dès septembre 2026 : https://stynx.fr/article/ai-act-ce-que-les-regulateurs-vont-reellement-inspecter-des-septembre-2026
- Règlement (UE) 2024/1689 (AI Act), notamment obligations GPAI et articles relatifs aux pouvoirs d’information / évaluation