La gouvernance du règlement européen sur l’intelligence artificielle. Bureau de l’IA, Comité IA, forum consultatif, groupe scientifique et autorités nationales

1Le chapitre VII du règlement s’intitule « Gouvernance ». Il comporte deux sections : la première, consacrée à la gouvernance au niveau de l’Union, institue le Bureau de l’IA, le Comité européen de l’intelligence artificielle, le forum consultatif et le groupe scientifique d’experts indépendants ; la seconde, consacrée aux autorités nationales compétentes, tient en un seul article. Sept articles au total, dont trois ont été retouchés par la révision de 2026^[3].

2Un chapitre de gouvernance se lit d’abord par ce qu’il ne dit pas. Il ne confère la personnalité juridique à aucun des organes qu’il crée. Il ne leur attribue aucun pouvoir de décision. Il n’énonce, à leur égard, aucune clause d’indépendance : le mot n’apparaît dans le chapitre que pour qualifier les experts du groupe scientifique à l’égard des fournisseurs, et les autorités nationales dans l’exercice de leurs pouvoirs. Aucun organe de gouvernance de l’Union n’est rendu indépendant de la Commission, et l’on verra que le seul qui porte le mot dans son intitulé est aussi celui dont l’autonomie de fonctionnement est la plus étroitement encadrée.

1. Le Bureau de l’IA : une fonction, non une institution

La règle

3L’article 64 tient, dans sa rédaction de 2024, en deux phrases. La Commission « développe l’expertise et les capacités de l’Union dans le domaine de l’IA par l’intermédiaire du Bureau de l’IA » ; les États membres « facilitent l’accomplissement des tâches confiées au Bureau de l’IA, telles qu’elles sont définies dans le présent règlement ». Aucune de ces deux phrases ne crée quoi que ce soit. La première désigne un mode d’action de la Commission, la seconde impose aux États membres un devoir de coopération dont le contenu n’est pas précisé.

4La raison de cette économie se trouve ailleurs, à l’article 3, point 47, qui définit le Bureau de l’IA comme « la fonction de la Commission consistant à contribuer à la mise en œuvre, au suivi et à la surveillance des systèmes d’IA et de modèles d’IA à usage général et de la gouvernance de l’IA, établi par la décision de la Commission du 24 janvier 2024 », avant d’ajouter, en une incise décisive : « les références faites au Bureau de l’IA dans le présent règlement s’entendent comme faites à la Commission »^[4].

La genèse

5La proposition de 2021 ne connaissait pas le Bureau de l’IA. Un contrôle négatif conduit sur le texte intégral de la proposition COM(2021) 206 final ne renvoie aucune occurrence de cette dénomination^[5]. La structure y était différente : la Commission présidait elle-même le Comité, en assurait le secrétariat et en préparait l’ordre du jour, sans qu’aucune entité intermédiaire fût interposée. Le Bureau de l’IA n’est donc pas issu du travail du colégislateur mais d’un acte propre de la Commission : la décision C(2024) 390 final du 24 janvier 2024, dont le considérant 8 énonce qu’elle est adoptée « à titre d’urgence, avant l’adoption de ce règlement, à la suite de l’accord politique des colégislateurs intervenu le 8 décembre 2023 »^[6].

6L’organe central de l’exécution du règlement a ainsi été institué près de six mois avant la publication du règlement lui-même, par un acte que le colégislateur n’a pas discuté et qu’il s’est borné, ensuite, à mentionner dans une définition. Le considérant 148 en prend acte sans commentaire : « Le Bureau de l’IA a été créé par voie d’une décision de la Commission »^[7]. Il est rare qu’un règlement d’harmonisation renvoie, pour la constitution de l’autorité chargée de l’appliquer, à un acte d’organisation interne antérieur à sa propre existence.

7La décision du 24 janvier 2024 est explicite sur la nature de ce qu’elle crée. Son article 1er dispose que le Bureau « fait partie de la structure administrative de la direction générale des réseaux de communication, du contenu et des technologies », et le considérant 6 ajoute qu’il est « soumis à son plan de gestion annuel ». Une note de bas de page appelée sous cet article 1er précise, pour lever toute équivoque, qu’il ne s’agit pas d’un office « au sens du règlement financier »^[8]. Le Bureau de l’IA est donc une composante d’une direction générale, dépourvue d’existence budgétaire propre et de tout statut distinct.

La portée

8Cette qualification n’est pas une subtilité rédactionnelle : elle produit des effets sur toute la chaîne. Lorsque l’article 68, paragraphe 3, charge le groupe scientifique d’alerter le Bureau de l’IA sur les risques systémiques, c’est la Commission qui est alertée. Lorsque l’article 68, paragraphe 4, dispose que « le Bureau de l’IA met en place des systèmes et des procédures visant à prévenir et gérer efficacement les conflits d’intérêts potentiels » des experts indépendants, c’est la Commission qui organise l’indépendance de ceux qui doivent la conseiller. Lorsque l’article 65, paragraphe 8, confie au Bureau de l’IA le secrétariat du Comité IA, c’est la Commission qui tient le secrétariat de l’enceinte des États membres.

9La comparaison avec le règlement général sur la protection des données rend la singularité manifeste. Ce texte institue le Comité européen de la protection des données « en tant qu’organe de l’Union » et lui reconnaît « la personnalité juridique » ; il énonce que ce comité « exerce les missions et les pouvoirs qui lui sont conférés … en toute indépendance » et qu’il « ne sollicite ni n’accepte d’instructions de quiconque » ; il précise enfin que « la Commission a le droit de participer aux activités et réunions du comité sans droit de vote »^[9]. Le règlement sur l’intelligence artificielle ne reprend aucune de ces trois dispositions. Il crée une gouvernance sans sujet de droit.

2. La clause de ressources de 2026, ou la réserve recopiée

La règle

10La révision de 2026 a ajouté à l’article 64 un paragraphe 3 nouveau, ainsi rédigé : « Sans préjudice de la procédure budgétaire, il est alloué au Bureau de l’IA les ressources appropriées pour lui permettre de s’acquitter efficacement de ses missions et d’exercer ses pouvoirs en ce qui concerne l’exécution du présent règlement. »^[10] La phrase est à la voix passive : elle ne désigne pas celui qui alloue. Comme le Bureau de l’IA est la Commission, et que la Commission est l’auteur de la répartition interne de ses effectifs, la disposition prescrit à la Commission de se doter elle-même.

La genèse

11Le considérant 29 du règlement de 2026 dit plus, et dit mieux, que l’article qu’il justifie. Il énonce que la Commission « devrait allouer des ressources humaines, financières et techniques adéquates au Bureau de l’IA afin de veiller à ce qu’il puisse s’acquitter efficacement, et dans des délais raisonnables, de ses tâches …, y compris lui affecter un personnel permanent suffisant en nombre et doté de compétences et d’une expertise technique poussées »^[11]. Trois éléments de ce considérant n’ont pas franchi le seuil du dispositif : l’énumération des trois catégories de ressources, l’exigence de délais raisonnables, et surtout la mention du personnel permanent. L’article adopté ne connaît que « les ressources appropriées ».

12Cette omission n’est intelligible que si l’on remonte à la décision de 2024. Son article 8, intitulé « Financement », dispose que, pour les fonctionnaires travaillant au Bureau, « les ressources humaines nécessaires sont couvertes par le personnel de la direction générale déjà affecté à la gestion de l’action ou redéployé au sein de la direction générale, compte tenu des contraintes budgétaires, sans préjudice de la procédure annuelle d’allocation »^[12]. Le Bureau de l’IA a donc été créé sans un seul poste nouveau, par redéploiement à effectif constant, sous une réserve d’allocation annuelle.

13Le rapprochement des deux textes est saisissant. Ce que le colégislateur a inscrit au rang législatif en 2026 — « sans préjudice de la procédure budgétaire » — est mot pour mot la réserve qui figurait déjà, en 2024, dans l’acte dont la pratique avait montré qu’il ne produisait pas de moyens. La clause n’a pas été renforcée en changeant de rang : elle a été transportée. Le considérant nomme la difficulté — l’absence de personnel permanent —, et l’article reprend la formule qui l’a causée.

La portée

14L’asymétrie apparaît lorsqu’on compare cette clause à celle que le même règlement impose aux États membres. L’article 70, paragraphe 3, exige que les autorités nationales compétentes disposent de ressources « techniques, financières et humaines suffisantes, ainsi que d’infrastructures », et qu’elles disposent « en permanence d’un personnel en nombre suffisant ». Trois différences de rédaction séparent les deux dispositions : les ressources des États membres doivent être « suffisantes » quand celles du Bureau doivent être « appropriées » ; l’obligation nationale énumère les trois catégories et exige un personnel permanent, là où l’obligation adressée à la Commission ne retient ni l’énumération ni la permanence ; enfin, l’obligation nationale n’est assortie d’aucune réserve budgétaire.

15La quatrième différence est la plus nette. L’article 70, paragraphe 6, oblige les États membres à faire rapport à la Commission « sur l’état des ressources financières et humaines des autorités nationales compétentes » et à lui présenter « une évaluation de l’adéquation de ces ressources », cette information étant transmise au Comité IA « pour discussion et recommandations éventuelles ». Aucune obligation symétrique ne pèse sur la Commission au titre de l’article 64. Les États membres rendent compte de leurs moyens à celui qui les surveille ; celui-ci ne rend compte des siens à personne. Les termes exprès que le règlement emploie à l’égard des États membres, il ne les emploie à l’égard de la Commission que dans un considérant.

3. Le Comité IA : ce que le colégislateur a repris à la Commission

La règle

16L’article 65 crée le Comité européen de l’intelligence artificielle. Il est « composé d’un représentant par État membre », désigné par celui-ci pour trois ans renouvelables une fois. Le Contrôleur européen de la protection des données « participe en qualité d’observateur ». Le Bureau de l’IA « assiste également aux réunions … sans toutefois prendre part aux votes ». Les représentants adoptent le règlement intérieur « à la majorité des deux tiers », et le Comité « est présidé par l’un des représentants des États membres ».

17L’article 66 énumère ses tâches en quinze points, de a) à o). Le verbe qui les gouverne est sans ambiguïté : le Comité « conseille et assiste la Commission et les États membres », et il « peut notamment » accomplir les actes énumérés. Recueillir l’expertise, contribuer à l’harmonisation des pratiques administratives, émettre des recommandations et des avis écrits, faciliter l’élaboration de critères communs, coopérer avec d’autres institutions, conseiller la Commission sur les questions internationales, fournir des avis sur les alertes qualifiées relatives aux modèles à usage général. Aucun de ces quinze chefs ne comporte un pouvoir de décision.

La genèse

18La comparaison avec la proposition de 2021 est ici l’instrument le plus éclairant, car elle mesure exactement ce que le colégislateur a voulu changer. Trois modifications ont été opérées.

19La première touche la présidence. L’article 57, paragraphe 3, de la proposition disposait : « Le Comité est présidé par la Commission. » L’article 65, paragraphe 8, du règlement adopté dispose : « Le Comité IA est présidé par l’un des représentants des États membres. »^[13] La Commission a perdu la conduite formelle de l’enceinte.

20La deuxième touche le règlement intérieur. La proposition prévoyait que le Comité adopte le sien « à la majorité simple de ses membres une fois celui-ci approuvé par la Commission » — c’est-à-dire sous condition d’un accord préalable de celle-ci. Le règlement adopté supprime cette condition et durcit la majorité, qui passe à deux tiers. Le veto a disparu.

21La troisième touche la composition, et elle est la plus lourde de conséquences. La proposition de 2021 composait le Comité « des autorités de contrôle nationales, qui sont représentées par leur directeur ou un de leurs hauts fonctionnaires de niveau équivalent, et du Contrôleur européen de la protection des données ». Le règlement adopté le compose « d’un représentant par État membre », et le considérant 149 précise que ces représentants « peuvent être toute personne appartenant à des entités publiques »^[14]. Le Comité est ainsi passé d’un réseau de régulateurs à une conférence de représentants d’États. Et le Contrôleur européen de la protection des données, qui en était membre en 2021, n’y est plus qu’observateur.

La portée

22Ce troisième déplacement mérite d’être mesuré à l’aune du modèle dont il s’écarte. Le Comité européen de la protection des données « se compose du chef d’une autorité de contrôle de chaque État membre et du Contrôleur européen de la protection des données » : il réunit ceux qui appliquent le texte. Le Comité IA réunit ceux que les États membres désignent, qui peuvent être des agents ministériels sans fonction de contrôle. La différence n’est pas cosmétique : elle détermine si l’enceinte est un lieu de coordination administrative entre autorités ou un lieu de représentation politique des capitales.

23La rétrogradation du Contrôleur européen de la protection des données produit, quant à elle, une conséquence que le texte n’a pas résolue. L’article 70, paragraphe 9, désigne ce même Contrôleur comme « autorité compétente responsable de leur surveillance » lorsque les institutions, organes ou organismes de l’Union relèvent du champ du règlement. Il est donc, pour un pan entier du texte, l’autorité de surveillance du marché. Il siège pourtant au Comité IA sans voix, tandis que des représentants d’États membres qui n’exercent eux-mêmes aucune fonction de surveillance y votent. Une autorité qui applique le règlement délibère sans y prendre part ; des représentants qui ne l’appliquent pas décident.

24Une singularité de rédaction achève de caractériser l’article 65. Son paragraphe 6 impose au Comité d’établir deux sous-groupes permanents, puis ajoute : « Le sous-groupe permanent pour la surveillance du marché devrait agir au titre de groupe de coopération administrative (ADCO) … au sens de l’article 30 du règlement (UE) 2019/1020. » Le conditionnel est la langue des considérants, non celle du dispositif ; la version anglaise emploie de même « should act as »^[15]. La seule prescription que le paragraphe adresse au sous-groupe une fois créé est ainsi formulée sur le mode de la recommandation. L’articulation avec le régime général de la surveillance du marché — laquelle commande l’application d’un corps entier de règles procédurales — repose sur un verbe qui n’oblige pas.

4. Le secrétariat, ou ce que la Commission a conservé

La règle

25L’article 65, paragraphe 8, poursuit : « Le Bureau de l’IA assure le secrétariat du Comité IA, convoque les réunions à la demande du président et prépare l’ordre du jour conformément aux tâches du Comité IA au titre du présent règlement et à son règlement intérieur. » Trois attributions, donc : le secrétariat, la convocation, l’ordre du jour.

26Ces trois attributions sont exactement celles que la proposition de 2021 confiait à la Commission dans la même phrase où elle lui confiait la présidence : « La Commission convoque les réunions et prépare l’ordre du jour » et « apporte un appui administratif et analytique aux activités du Comité » Le colégislateur a retiré la présidence ; il n’a rien retiré du reste. La conduite formelle a changé de main, la conduite matérielle est demeurée où elle était.

La difficulté

27Le mécanisme du secrétariat tenu par un tiers n’a rien d’inédit en droit de l’Union ; il est même celui qu’a retenu le règlement général sur la protection des données. Mais ce texte l’a assorti de trois garanties que le règlement sur l’intelligence artificielle ne reprend pas. Le comité « dispose d’un secrétariat, qui est assuré par le Contrôleur européen de la protection des données » ; ce secrétariat « accomplit ses tâches sous l’autorité exclusive du président du comité » ; et le personnel qui y participe « est soumis à une structure hiérarchique distincte de celle du personnel » de l’autorité qui l’héberge, un protocole d’accord publié devant fixer les modalités de cette séparation^[16].

28Aucune de ces trois garanties ne figure à l’article 65. Le secrétariat du Comité IA n’est pas placé sous l’autorité de son président. Le personnel qui l’assure n’est soumis à aucune séparation hiérarchique : il relève de la direction générale des réseaux de communication, du contenu et des technologies, comme le reste du Bureau de l’IA. Aucun protocole d’accord n’est prévu, et aucun n’a été publié. Le règlement a emprunté la technique sans les précautions qui, dans le texte d’origine, en conditionnaient l’acceptabilité.

29La difficulté n’est pas théorique. Parmi les quinze tâches de l’article 66 figure celle de « fournir des conseils sur la mise en œuvre du présent règlement, en particulier en ce qui concerne le contrôle de l’application des règles relatives aux modèles d’IA à usage général », et celle d’émettre des avis « sur l’élaboration et l’application de codes de conduite et de codes de bonne pratique …, ainsi que des lignes directrices de la Commission ». Le Comité IA est donc appelé à se prononcer sur des instruments que la Commission élabore, dans une enceinte dont la Commission prépare l’ordre du jour et tient le procès-verbal. Le règlement n’organise, sur ce point, aucune procédure de saisine d’office qui affranchirait le Comité de la maîtrise de l’ordre du jour : le paragraphe 8 subordonne la convocation à « la demande du président », mais la préparation de l’ordre du jour n’est soumise à aucune demande.

La portée

30À ce jour, le règlement intérieur du Comité IA, que l’article 65, paragraphe 5, lui impose d’adopter et qui doit établir « les procédures de sélection, la durée du mandat et les spécifications des missions du président, les modalités de vote détaillées et l’organisation des activités du Comité IA et de celles de ses sous-groupes », n’a pas été publié. La page que la Commission consacre au Comité, dont la dernière mise à jour affichée est le 9 juillet 2026, n’en fait aucune mention et n’identifie pas davantage l’État membre qui exerce la présidence : elle se borne à indiquer que le Comité « est présidé par l’un des États membres »^[17]. Huit réunions se sont pourtant tenues depuis le 10 septembre 2024, la dernière le 11 juin 2026.

31Les documents que le Comité a approuvés sont, en revanche, publics : deux appréciations d’adéquation de codes de bonne pratique, un document sur l’articulation avec la réglementation des dispositifs médicaux, et trois rapports de son sous-groupe consacré à la normalisation, dont l’un porte sur les éléments possibles de futures demandes de normalisation aux fins de la conformité à l’article 40^[18]. L’existence même de ce dernier rapport confirme que la question de l’étendue des demandes de normalisation reste ouverte, plus de deux ans après l’entrée en vigueur du règlement.

5. Le forum consultatif : la représentation sans le mandat

La règle

32L’article 67 crée un forum consultatif chargé « fournir une expertise technique et conseiller le Comité IA et la Commission ». Sa composition doit être « équilibrée » à deux égards : entre catégories de parties prenantes — industrie, jeunes pousses, petites et moyennes entreprises, société civile, monde universitaire — et entre intérêts commerciaux et non commerciaux. Les membres sont nommés par la Commission. L’Agence des droits fondamentaux, l’Agence de l’Union européenne pour la cybersécurité, le Comité européen de normalisation, le Comité européen de normalisation électrotechnique et l’Institut européen de normalisation des télécommunications en sont membres permanents.

33Le forum élit deux coprésidents parmi ses membres, établit son règlement intérieur, se réunit au moins deux fois par an, peut créer des sous-groupes, peut préparer avis et recommandations à la demande du Comité IA ou de la Commission, et « prépare un rapport annuel sur ses activités », lequel « est rendu public ».

La genèse

34Le forum consultatif est, comme le groupe scientifique, une création postérieure à la proposition de 2021 : un contrôle négatif sur le texte intégral de celle-ci ne renvoie aucune occurrence de l’une ni de l’autre de ces deux dénominations^[19]. La proposition initiale n’organisait aucune participation structurée des parties prenantes ni de la communauté scientifique à la gouvernance ; les deux enceintes procèdent des travaux du Parlement européen et du trilogue.

La portée

35La présence de trois organismes européens de normalisation parmi les cinq membres permanents mérite d’être relevée. Le règlement fait dépendre la démonstration de la conformité aux exigences du chapitre III d’une présomption attachée aux normes harmonisées, dont ces trois organismes sont les auteurs. Ils siègent donc de droit dans l’organe chargé de conseiller sur l’application d’un texte dont la mise en œuvre repose sur leurs propres travaux. Le règlement ne prévoit aucune règle de déport à leur égard.

36Deux obligations que l’article 67 met à la charge du forum demeurent inexécutées. La première est le règlement intérieur : le paragraphe 6 dispose que « le forum consultatif établit son règlement intérieur », mais la page que la Commission lui consacre, dont la dernière mise à jour affichée est le 1er juin 2026, l’annonce encore au futur — le règlement intérieur « sera voté et adopté par les membres du forum consultatif »^[20]. La seconde est le rapport annuel du paragraphe 10 : aucun n’a été trouvé sur les pages consultées, non plus qu’aucune mention d’un tel rapport.

37La même page comporte enfin une inexactitude qui restreint le texte. Elle indique que les membres « exercent des mandats de deux ans, renouvelables une fois », soit quatre ans au plus. L’article 67, paragraphe 4, dispose au contraire que « la durée du mandat des membres du forum consultatif est de deux ans et peut être prolongée au maximum de quatre ans » — la version anglaise portant « which may be extended by up to no more than four years »^[21]. La prolongation s’ajoute au mandat initial : le maximum est de six ans, non de quatre. L’écart n’est pas anodin pour un organe dont la légitimité repose sur le renouvellement de ses parties prenantes, et il illustre une fois de plus qu’une page institutionnelle ne se substitue pas au texte.

6. Le groupe scientifique : le seul acte contraignant de la gouvernance

La règle

38L’article 68 se distingue de tous les autres articles du chapitre en ce qu’il ne constitue pas lui-même l’organe qu’il annonce : il charge la Commission d’adopter « au moyen d’un acte d’exécution, des dispositions relatives à la constitution d’un groupe scientifique d’experts indépendants ». Le règlement fixe seulement les trois conditions que les experts doivent remplir — une expertise à la pointe des connaissances, l’indépendance « vis-à-vis de tout fournisseur de systèmes d’IA ou de modèles d’IA à usage général », la capacité de mener des activités « avec diligence, précision et objectivité » — et les quatre catégories de tâches qui leur incombent, au premier rang desquelles l’alerte sur les risques systémiques.

39L’acte d’exécution attendu est le règlement d’exécution (UE) 2025/454 du 7 mars 2025^[22]. Il présente une particularité qu’il faut souligner d’emblée : c’est, à la date du 9 août 2026, le seul acte d’exécution contraignant adopté sur le fondement du règlement sur l’intelligence artificielle. Tous les autres instruments qui en organisent l’application — lignes directrices, codes de bonne pratique, avis d’adéquation, modèles de déclaration — sont dépourvus de force obligatoire. L’unique norme dérivée obligatoire du dispositif porte ainsi sur la composition d’un organe consultatif, non sur le fond des obligations.

La composition, chiffrée

40Le règlement d’exécution fixe un plafond : le nombre d’experts « ne peut en aucun cas dépasser 60 », ce chiffre résultant, selon le considérant 3, de la consultation du Comité IA. Il fixe aussi une règle de composition géographique : au moins un et au maximum trois ressortissants de chaque État membre et de chaque membre de l’Association européenne de libre-échange partie à l’Espace économique européen, « à condition que des candidats de ce pays satisfassent aux critères » ; et surtout, les ressortissants de ces pays « constituent au moins quatre cinquièmes des experts ». Le considérant 4 explicite le choix ainsi opéré : « Compte tenu de l’importance d’intégrer des points de vue divers au sein du groupe scientifique, les ressortissants de pays tiers devraient pouvoir être désignés experts. »

41La liste publiée par la Commission permet de vérifier l’application de ces règles, et le résultat est instructif. Le groupe compte soixante membres : le plafond absolu est atteint. Les vingt-sept États membres y sont représentés, de même que la Norvège et l’Islande. Six pays occupent le plafond de trois — l’Allemagne, la Belgique, l’Espagne, l’Italie, la Pologne et la Suède. Onze membres sont ressortissants de pays tiers : deux du Canada, deux des États-Unis d’Amérique, deux du Royaume-Uni, un d’Australie, un de Chine, un d’Égypte, un de Suisse et un d’Ukraine^[23]. Quarante-neuf experts relèvent donc de l’Union ou de l’Espace économique européen, pour un seuil requis de quarante-huit. La marge est d’une unité.

7. Une indépendance encadrée par celui qu’elle conseille

La désignation

42L’article 5, paragraphe 1, du règlement d’exécution dispose : « Au début de chaque mandat …, la Commission désigne un président et un vice-président parmi les membres du groupe scientifique. À cette fin, le groupe scientifique, statuant à la majorité simple de ses membres, recommande un président et un vice-président parmi ses membres. » La recommandation appartient au groupe, la désignation à la Commission.

43Il faut mettre ce mécanisme en regard des deux autres. Le Comité IA « est présidé par l’un des représentants des États membres », sans intervention de la Commission. Le forum consultatif « élit parmi ses membres deux coprésidents ». Le groupe scientifique, seul des trois, voit sa présidence désignée par la Commission. Des trois organes de gouvernance de l’Union, celui que le règlement qualifie d’indépendant dans son intitulé même est ainsi le seul dont l’institution qu’il conseille choisisse le président.

Le règlement intérieur et le secrétariat

44L’article 8, paragraphe 1, du même acte prolonge cette logique : « Sur proposition du secrétariat et en accord avec celui-ci, le groupe scientifique adopte un règlement intérieur à la majorité simple de ses membres. » Le groupe ne peut donc adopter son règlement intérieur ni de sa propre initiative, ni contre l’avis du secrétariat. Or ce secrétariat est assuré « conjointement » par le Bureau de l’IA et le Centre commun de recherche — deux services de la Commission. L’accord requis est celui de la Commission.

45La comparaison est de nouveau parlante : le Comité IA adopte le sien à la majorité des deux tiers sans condition d’accord, et le forum consultatif « établit » le sien. La condition d’accord préalable que le colégislateur avait supprimée en 2024 pour le Comité IA — la proposition de 2021 la lui imposait — a été réintroduite par voie d’acte d’exécution au profit du groupe scientifique.

L’accès à l’information

46La mission première du groupe scientifique est d’alerter sur les risques systémiques que présentent les modèles à usage général. Pour l’exercer, il lui faut des informations que seuls les fournisseurs détiennent. Le règlement lui ouvre une voie : il peut demander à la Commission d’adresser au fournisseur une demande de documentation. L’acte d’exécution en fixe les conditions, et elles sont exigeantes.

47La demande ne peut émaner que du rapporteur désigné pour la tâche, et celui-ci « ne présente une telle demande que si au moins un tiers des membres du groupe scientifique l’ont autorisé à le faire ». Elle doit démontrer qu’un refus « empêchera le rapporteur … d’accomplir sa tâche » et que l’étendue des informations demandées « n’excède pas ce qui est nécessaire ». Le Bureau de l’IA évalue alors la nécessité et la proportionnalité de la demande ; s’il conclut par la négative, « il en informe le groupe scientifique en indiquant les motifs de son refus ». S’il conclut par l’affirmative et que la Commission obtient les documents, un second filtre s’ouvre : le Bureau « a la possibilité de refuser l’accès aux informations demandées » s’il a des raisons de supposer l’existence de risques prévisibles pour la sécurité ou la confidentialité des données.

48L’alerte qualifiée elle-même est soumise à un seuil que le règlement ne prévoyait pas : « Toute décision d’adresser une alerte qualifiée au Bureau de l’IA … nécessite au moins la majorité simple des membres du groupe scientifique. » Une fois émise, elle est évaluée par le Bureau de l’IA, qui « décide s’il y a lieu de prendre des mesures » ; et s’il décide de n’en prendre aucune, « il clôture l’alerte qualifiée ».

La portée

49Il ne s’agit pas de contester la légitimité de ces filtres, qui protègent des secrets d’affaires dont la divulgation intempestive engagerait l’Union. Il s’agit d’en tirer la conséquence exacte : le groupe scientifique n’est pas un organe de contrôle, c’est un organe de conseil dont l’accès aux faits est gouverné par l’institution qu’il conseille. Son indépendance, telle que le texte la définit, est une indépendance à l’égard des entreprises surveillées, non à l’égard de l’autorité de surveillance. Cette distinction ne diminue pas la valeur du dispositif, mais elle interdit de le présenter comme un contre-pouvoir.

50Deux obligations de publicité restent, à ce jour, inexécutées. L’article 8, paragraphe 4, prévoit que le règlement intérieur du groupe « est accessible au public sur un site web spécifique de la Commission », et l’article 12 impose au secrétariat de publier ce même règlement intérieur ainsi que « les avis ou recommandations fournis ». La page consacrée au groupe scientifique publie effectivement les noms des soixante experts, leurs déclarations de confidentialité et d’engagement et une notice biographique consolidée ; elle ne comporte ni règlement intérieur, ni avis, ni recommandation, et indique que le président et le vice-président seront désignés^[24]. Aucun des trois organes de gouvernance de l’Union n’a donc, à la date de vérification, de règlement intérieur publié.

51Un dernier détail achève de caractériser cet acte d’exécution : son article 12, dernier tiret, impose la publication des informations relatives « aux auditions thématiques visées à l’article 7, paragraphe 4 ». Or l’article 7, paragraphe 4, traite de la désignation d’un expert par la Commission pour réaliser des évaluations pour son compte ; les auditions thématiques sont régies par le paragraphe 5. Le renvoi est erroné, et il l’est dans les deux versions linguistiques vérifiées^[25]. Le défaut est véniel ; il rejoint néanmoins celui, déjà relevé, du considérant 41 du règlement de 2026, qui vise l’article 54, paragraphe 2, là où le pendant de l’article 53, paragraphe 4, est l’article 55, paragraphe 2. Le seul acte contraignant de la gouvernance et le considérant qui clarifie la valeur des codes se citent l’un et l’autre inexactement.

8. Le barème effacé : quand la loi s’aligne sur son acte d’exécution

La règle

52L’article 69 permet aux États membres de « faire appel à des experts du groupe scientifique pour soutenir leurs activités de contrôle de l’application du présent règlement ». Ce recours n’est pas gratuit : les États membres « peuvent être tenus de payer des honoraires ». C’est le régime de ces honoraires qui a changé en 2026, et le changement mérite d’être suivi pas à pas, car il constitue l’un des cas les plus nets, dans ce règlement, d’ajustement du texte de niveau législatif sur la pratique de son acte d’exécution.

Les trois états du texte

53Premier état. La rédaction publiée en 2024 disposait : « La structure et le niveau des honoraires ainsi que le barème et la structure des dépens récupérables sont définis dans l’acte d’exécution visé à l’article 68, paragraphe 1, en tenant compte des objectifs consistant à mettre en œuvre le présent règlement de façon appropriée, à assurer un bon rapport coût-efficacité et à garantir que tous les États membres aient un accès effectif à des experts. »^[26] Le colégislateur avait donc délégué la fixation du barème, mais en l’assortissant de trois objectifs, dont le dernier — l’accès effectif de tous les États membres — répondait à une préoccupation évidente : un barème uniforme pèse plus lourd sur les administrations les moins dotées.

54Deuxième état. L’acte d’exécution du 7 mars 2025 n’a rien fait de tel. Un contrôle négatif sur son texte intégral en langue française ne renvoie aucune occurrence du mot « honoraires »^[27]. Son article 9, intitulé « Rémunération », ne règle que la rémunération versée aux experts par la Commission lorsqu’ils sont désignés rapporteur ou contributeur, « conformément aux dispositions en vigueur à la Commission », et le remboursement de leurs frais de déplacement et de séjour, « dans les limites des crédits disponibles ». Ni structure, ni niveau, ni barème, ni dépens récupérables : la délégation n’a pas été exercée.

55Troisième état. La révision de 2026 a remplacé le paragraphe par une phrase unique : les États membres « peuvent être tenus de payer des honoraires pour les conseils et le soutien fournis par les experts à un taux équivalent aux rémunérations applicables à la Commission en vertu de l’acte d’exécution visé à l’article 68, paragraphe 1 ». Le considérant 30 en donne le motif : il s’agit de « simplifier le barème du groupe scientifique », les honoraires devant être « équivalents à la rémunération que la Commission est tenue de verser dans des circonstances similaires »^[28].

La portée

56Le mouvement est donc le suivant : le colégislateur avait commandé un barème assorti d’objectifs ; l’acte d’exécution ne l’a pas établi ; le colégislateur a réécrit sa propre disposition pour la faire coïncider avec ce que l’acte d’exécution avait effectivement prévu. La loi s’est alignée sur son acte d’exécution, et non l’inverse. La qualification de « simplification » retenue par le considérant décrit exactement le résultat : il n’y a plus rien à établir, puisque le renvoi opère par lui-même.

57Ce qui a disparu, en revanche, n’est pas mentionné. Les trois objectifs ont été supprimés avec la phrase qui les portait, et parmi eux la garantie que « tous les États membres aient un accès effectif à des experts ». Cet objectif ne subsiste plus, dans l’ensemble du dispositif, qu’à un seul endroit : l’article 14, paragraphe 3, du règlement d’exécution, qui impose au Bureau de l’IA de tenir compte, dans son appréciation, « de la nécessité de garantir un accès effectif aux experts pour tous les États membres ». Encore ce vestige ne couvre-t-il pas l’hypothèse de l’article 69 : il vise les demandes de soutien émanant des autorités de surveillance du marché, non le recours des États membres aux experts pour leurs propres activités. Une garantie de rang législatif, formulée en termes d’objectif opposable, a été remplacée par un critère d’appréciation discrétionnaire figurant dans un acte dérivé et portant sur un autre objet.

9. Les autorités nationales : la charge, le compte rendu, la carence

La règle

58L’article 70 impose à chaque État membre d’établir ou de désigner « au moins une autorité notifiante et au moins une autorité de surveillance du marché ». Ces autorités « exercent leurs pouvoirs de manière indépendante, impartiale et sans parti pris » ; leurs membres « s’abstiennent de tout acte incompatible avec leurs fonctions ». Chaque État membre désigne en outre une autorité de surveillance du marché « pour faire office de point de contact unique » et en communique l’identité à la Commission. La dernière phrase du paragraphe 2 énonce une obligation qui pèse sur celle-ci, et non sur les États membres : « La Commission publie une liste des points de contact uniques. »

La genèse

59La proposition de 2021 retenait une organisation plus resserrée. Son article 59, paragraphe 2, disposait que chaque État membre désigne « une autorité de contrôle nationale » qui « agit en tant qu’autorité notifiante et autorité de surveillance du marché, sauf si un État membre a des raisons organisationnelles et administratives de désigner plus d’une autorité ». Le modèle par défaut était donc le régulateur unique, la pluralité étant l’exception à justifier. Le règlement adopté inverse la présomption : il exige au moins deux autorités, notifiante et de surveillance, et laisse aux États membres la liberté d’en désigner davantage « en fonction des besoins organisationnels de l’État membre », au prix d’un point de contact unique destiné à recomposer l’interlocuteur que la structure a éclaté.

La portée : une liste sans noms

60La liste que l’article 70, paragraphe 2, oblige la Commission à publier existe. Son état, à la date de vérification, mérite d’être exposé sans commentaire préalable. Elle recense les vingt-sept États membres. Huit d’entre eux sont renseignés : Chypre, l’Espagne, l’Irlande, l’Italie, la Lettonie, la Lituanie, le Luxembourg et la Slovénie. Les dix-neuf autres — l’Allemagne, l’Autriche, la Belgique, la Bulgarie, la Croatie, le Danemark, l’Estonie, la Finlande, la France, la Grèce, la Hongrie, Malte, les Pays-Bas, la Pologne, le Portugal, la Roumanie, la Slovaquie, la Suède et la Tchéquie — portent un tiret. Trois des huit désignations renseignées sont en outre assorties d’un astérisque signifiant, selon la légende, que « la décision nationale de désignation est encore en attente d’adoption définitive » : celles de l’Espagne, du Luxembourg et de la Slovénie. Cinq États membres ont donc une désignation définitivement adoptée et publiée^[29].

61La même page indique que cette liste « est mise à jour en continu à la lumière du processus d’application en cours du règlement ». Sa dernière mise à jour affichée est le 26 septembre 2025 : elle n’a pas bougé depuis plus de dix mois. Elle comporte enfin une contradiction interne : un paragraphe antérieur y annonce que « la Commission examine les notifications et publiera une liste des points de contact uniques en temps utile », alors que la liste figure quelques lignes plus bas. Et elle rappelle que, à défaut de désignation dans le délai, « la Commission peut engager une procédure d’infraction formelle contre l’État membre ».

62Ce constat éclaire rétrospectivement la justification du report des obligations relatives aux systèmes à haut risque. Le considérant 40 du règlement de 2026 énonce que ce report tient aux « retards dans la disponibilité des normes, des spécifications communes et des orientations de substitution, ainsi que dans la mise en place des autorités nationales compétentes »^[30]. La cause écrite du report est donc double, et la seconde branche est celle dont on parle le moins : le colégislateur a différé l’application du régime central du règlement notamment parce que les États membres n’avaient pas constitué les administrations chargées de le faire respecter. Le régime des sanctions, lui, est applicable depuis longtemps ; il l’est dans des États où l’autorité qui les prononcerait n’est pas publiquement identifiée.

Le conseil aux entreprises

63Le paragraphe 8 de l’article 70 autorise les autorités nationales compétentes à « fournir des orientations et des conseils sur la mise en œuvre du présent règlement, en particulier aux PME, y compris les jeunes pousses », en tenant compte des orientations du Comité IA et de la Commission, et après consultation des autorités sectorielles lorsque le système relève d’autres actes de l’Union. La révision de 2026 n’y a apporté qu’un ajout : l’extension du bénéfice de ce conseil « aux petites entreprises à moyenne capitalisation »^[31]. La retouche s’inscrit dans le mouvement général de la révision, qui a introduit cette catégorie nouvelle dans plusieurs dispositions.

64La difficulté que soulève cette faculté n’a pas été traitée. L’autorité qui conseille est celle-là même qui, le cas échéant, sanctionnera : le règlement ne dit ni si le conseil donné engage l’autorité, ni s’il peut être opposé dans une procédure ultérieure, ni s’il fait obstacle à l’imposition d’une amende. La question n’est pas nouvelle en droit de la surveillance du marché, mais elle se pose ici avec une acuité particulière, parce que les orientations dont l’autorité doit « tenir compte » — celles du Comité IA et de la Commission — sont elles-mêmes dépourvues de force obligatoire. Un conseil non obligatoire, fondé sur des orientations non obligatoires, délivré par l’autorité qui détient le pouvoir de sanction : la sécurité juridique que l’ajout de 2026 entend servir n’est pas garantie par le texte qui l’organise.

La reddition de comptes

65Reste l’obligation de rendre compte. Les États membres font rapport à la Commission « sur l’état des ressources financières et humaines des autorités nationales compétentes » et lui présentent « une évaluation de l’adéquation de ces ressources », tous les deux ans. La Commission « transmet ces informations au Comité IA pour discussion et recommandations éventuelles ». Le règlement ne prévoit ni publication de ces rapports, ni publication des recommandations que le Comité pourrait en tirer. La chaîne d’information est complète — de l’État membre à la Commission, de la Commission au Comité — et fermée : elle ne débouche sur aucune publicité.

Ce que la gouvernance ne comporte pas

66Le chapitre VII se laisse résumer par quatre absences, dont chacune est textuelle.

67Aucun organe ne dispose de la personnalité juridique, et le seul qui exerce des pouvoirs n’est pas un organe : le Bureau de l’IA est une fonction de la Commission, ainsi que le texte le dit lui-même, et une composante d’une direction générale, ainsi que le dit la décision qui l’a institué avant le règlement. Aucun organe ne prend de décision obligatoire : le Comité IA « conseille et assiste », le forum consultatif « peut préparer des avis », le groupe scientifique « conseille et soutient ». Aucun n’est rendu indépendant de la Commission : l’indépendance n’est exigée que des experts à l’égard des fournisseurs et des autorités nationales dans l’exercice de leurs pouvoirs. Aucun, enfin, n’a publié le règlement intérieur que le règlement ou son acte d’exécution lui imposent d’adopter.

68Ces absences ne condamnent pas le dispositif : une gouvernance centralisée dans une administration a ses mérites, dont la cohérence n’est pas le moindre, et le règlement l’assume en confiant à la Commission une compétence exclusive sur les modèles à usage général. Elles interdisent en revanche une lecture répandue, qui présente le chapitre VII comme un équilibre entre pouvoirs. Il n’organise pas une séparation : il organise une concentration, tempérée par des consultations dont il tient lui-même le secrétariat, l’ordre du jour et, pour l’une d’entre elles, la présidence.

69La révision de 2026 n’a pas modifié cette économie ; elle l’a accentuée sur deux points et corrigée sur aucun. Elle a inscrit au rang législatif une clause de ressources qui reprend la réserve budgétaire dont l’acte de 2024 avait déjà montré l’inefficacité. Elle a effacé du texte l’objectif d’accès effectif de tous les États membres aux experts, après que l’acte d’exécution eut omis de le mettre en œuvre. Et elle a étendu la compétence exclusive du Bureau de l’IA aux systèmes fondés sur des modèles à usage général développés au sein d’une même entreprise, mouvement qui relève de la surveillance et qui sera examiné avec elle.

70Il reste que l’architecture décrite dans ce chapitre n’a pas encore été mise à l’épreuve. Les huit réunions du Comité IA, les soixante experts nommés, les cent soixante-quatorze membres du forum consultatif attestent que les enceintes existent. Mais aucun règlement intérieur n’est public, aucun avis du groupe scientifique n’a été publié, aucun rapport annuel du forum consultatif n’a paru, et dix-neuf États membres n’ont pas de point de contact unique publiquement identifié. La gouvernance du règlement est installée ; elle n’est pas encore documentée.