Le contrôle des modèles d’intelligence artificielle à usage général et les sanctions du règlement européen. Pouvoirs de la Commission, amendes et garanties procédurales

1Le règlement organise l’exécution à deux niveaux. Pour les systèmes d’intelligence artificielle, elle appartient en principe aux autorités nationales de surveillance du marché, la révision de 2026 y ayant ménagé au profit de la Commission une compétence exclusive sur une catégorie déterminée. Pour les modèles à usage général, il n’y a pas de partage : la compétence est exclusivement celle de la Commission, et elle l’était dès 2024.

2Cette section du chapitre IX, et le chapitre XII qui la prolonge, forment ainsi le seul endroit du règlement où une administration de l’Union constate elle-même un manquement, en ordonne la cessation et en sanctionne la persistance. Il faut lire ces articles en gardant présente la définition de l’article 3, point 47 : le Bureau de l’IA est « la fonction de la Commission », et les références qui lui sont faites « s’entendent comme faites à la Commission »^[3]. Aucune des dispositions qui suivent ne met en présence deux autorités distinctes.

1. Une compétence exclusive, et trois façons de la saisir

La règle

3L’article 88 énonce que « la Commission dispose de pouvoirs exclusifs pour surveiller et contrôler le respect du chapitre V, en tenant compte des garanties procédurales prévues à l’article 94 », et qu’elle « confie l’exécution de ces tâches au Bureau de l’IA, sans préjudice des pouvoirs d’organisation dont elle dispose ainsi que de la répartition des compétences entre les États membres et l’Union fondée sur les traités ». L’exclusivité vaut pour l’ensemble du chapitre V, c’est-à-dire pour les obligations documentaires de tous les fournisseurs de modèles comme pour les obligations renforcées des modèles à risque systémique.

4Trois voies conduisent à l’exercice de ces pouvoirs. La première est l’initiative propre du Bureau de l’IA, qui « peut prendre les mesures nécessaires pour contrôler la mise en œuvre et le respect effectifs du présent règlement par les fournisseurs de modèles ». La deuxième est la demande d’une autorité nationale de surveillance du marché, « lorsque cela est nécessaire et proportionné pour contribuer à l’accomplissement des tâches qui leur incombent ». La troisième est l’alerte qualifiée du groupe scientifique, examinée plus loin.

Un droit de réclamation propre aux fournisseurs en aval

5L’article 89, paragraphe 2, ajoute une quatrième voie, d’une nature différente : « Les fournisseurs en aval ont le droit d’introduire une réclamation pour violation du présent règlement. » La réclamation doit être motivée et comporter trois éléments — le point de contact du fournisseur de modèle, la description des faits et des dispositions prétendument enfreintes, et toute autre information jugée pertinente, « y compris, le cas échéant, les informations recueillies de sa propre initiative ».

6Ce droit mérite d’être distingué de celui que l’article 85 ouvre à toute personne devant les autorités nationales. Il est réservé aux fournisseurs en aval, c’est-à-dire aux opérateurs qui intègrent le modèle dans leurs propres systèmes ; il s’exerce devant la Commission ; et il porte sur le respect du chapitre V par leur cocontractant. Sa logique est économique autant que réglementaire : le fournisseur en aval a besoin, pour satisfaire à ses propres obligations, d’informations que seul l’amont détient, et l’on a vu ailleurs que le chapitre V lui reconnaît à ce titre un droit à la documentation. La réclamation de l’article 89 en est la sanction procédurale. Le considérant 162 le confirme : le Bureau de l’IA « devrait donner la possibilité aux fournisseurs en aval d’introduire des réclamations concernant d’éventuelles infractions »^[4]. Le texte ne prévoit en revanche ni délai de traitement, ni obligation de répondre, ni voie de recours contre l’inaction.

2. L’alerte, la demande d’informations, et un renvoi qui se trompe

L’alerte qualifiée

7L’article 90 permet au groupe scientifique d’adresser au Bureau de l’IA une alerte qualifiée dans deux hypothèses : lorsqu’il a des raisons de soupçonner qu’un modèle « présente un risque concret identifiable au niveau de l’Union », ou qu’il « satisfait aux conditions visées à l’article 51 », c’est-à-dire aux conditions de la classification en risque systémique. La première hypothèse porte sur un danger, la seconde sur une qualification : le groupe scientifique peut donc alerter non seulement sur ce qu’un modèle fait, mais sur ce qu’il est, et provoquer ainsi le débat sur son classement.

8L’alerte doit être motivée et comporter les mêmes trois éléments que la réclamation du fournisseur en aval. À sa suite, la Commission « peut exercer les pouvoirs prévus à la présente section aux fins de l’évaluation de la question », après avoir informé le Comité IA. Le verbe est permissif, et l’on a vu ailleurs que le règlement d’exécution qui organise le groupe scientifique ajoute à cette faculté un pouvoir de clôture : le Bureau de l’IA décide s’il y a lieu d’agir et, dans la négative, « clôture l’alerte qualifiée » sans qu’aucune motivation lui soit imposée.

La demande d’informations

9L’article 91 permet à la Commission d’exiger du fournisseur la documentation établie au titre des articles 53 et 55, ou « toute information supplémentaire nécessaire pour évaluer la conformité du fournisseur ». La demande mentionne sa base juridique et son objet, précise les informations requises, fixe un délai et indique les amendes encourues en cas d’informations inexactes, incomplètes ou trompeuses.

10Le paragraphe 5 comporte une règle d’imputation qui mérite d’être signalée : « Les avocats dûment habilités à agir peuvent fournir des informations pour le compte de leurs clients. Les clients demeurent néanmoins pleinement responsables si les informations fournies sont incomplètes, inexactes ou trompeuses. » La formule est empruntée au droit de la concurrence, et son effet est net : l’intervention du conseil n’opère aucun transfert de responsabilité, l’amende de l’article 101 frappant le fournisseur quel que soit l’auteur matériel de la réponse.

Le renvoi erroné, et sa rectification silencieuse

11Le paragraphe 3 du même article permet au groupe scientifique de provoquer une demande d’informations : sur sa demande dûment motivée, la Commission peut en adresser une au fournisseur « lorsque l’accès à ces informations est nécessaire et proportionné pour l’accomplissement des tâches du groupe scientifique au titre de l’article 68, paragraphe 2 ».

12L’article 68, paragraphe 2, ne traite pas des tâches du groupe scientifique. Il traite de sa composition : il énumère les trois conditions que les experts doivent remplir et charge la Commission d’en fixer le nombre. Les tâches figurent au paragraphe 3, qui commence par les mots « Le groupe scientifique conseille et soutient le Bureau de l’IA, notamment en ce qui concerne les tâches suivantes ». Le renvoi de l’article 91, paragraphe 3, est donc erroné, et il l’est dans les deux versions linguistiques vérifiées^[6].

13Le relevé complet des renvois rend la chose plus frappante encore. Dans l’ensemble du dispositif consolidé, l’article 68, paragraphe 2, est cité exactement deux fois : à l’article 91, paragraphe 3, pour désigner les tâches — à tort —, et à l’article 92, paragraphe 2, pour désigner les critères auxquels doivent satisfaire les experts indépendants — à juste titre. Quant au paragraphe 3, celui qui énonce effectivement les tâches, le règlement ne le cite jamais. Son acte d’exécution, en revanche, le cite dix fois^[7].

14La rectification est explicite dans le texte qui met en œuvre la disposition fautive. L’article 15, paragraphe 1, du règlement d’exécution (UE) 2025/454 vise la demande présentée « en application de l’article 91, paragraphe 3, du règlement (UE) 2024/1689 » et la subordonne à ce que l’accès soit nécessaire « pour l’accomplissement d’une tâche visée à l’article 68, paragraphe 3, dudit règlement ». L’acte d’exécution corrige donc, sans le signaler, le renvoi de l’article qu’il exécute. La correction est heureuse — la lecture littérale de l’article 91, paragraphe 3, priverait la disposition de tout objet, puisqu’un critère de sélection ne s’accomplit pas —, mais elle est opérée par un acte dérivé, là où le vice affecte le règlement lui-même.

3. L’évaluation : accéder au modèle sans l’acte qui en fixe les conditions

La règle

15L’article 92 permet au Bureau de l’IA, après consultation du Comité IA, de procéder à des évaluations du modèle dans deux cas : lorsque les informations obtenues au titre de l’article 91 « sont insuffisantes », et pour « enquêter sur les risques systémiques », en particulier à la suite d’une alerte qualifiée. La Commission peut désigner à cette fin « des experts indépendants chargés de procéder à des évaluations pour son compte, y compris des experts du groupe scientifique ».

16Le pouvoir d’accès est le plus étendu du règlement : « la Commission peut demander l’accès au modèle d’IA à usage général concerné par l’intermédiaire d’API ou d’autres moyens et outils techniques appropriés, y compris le code source ».

L’acte d’exécution qui manque

17Le paragraphe 6 est une obligation, non une faculté : « La Commission adopte des actes d’exécution établissant les modalités détaillées et les conditions des évaluations, y compris les modalités détaillées d’intervention d’experts indépendants, et la procédure relative à leur sélection. » Le texte impose la procédure d’examen de l’article 98, paragraphe 2, laquelle associe les représentants des États membres.

18Aucun acte de cette nature n’a été adopté. Le seul acte d’exécution pris sur le fondement du règlement demeure celui qui institue le groupe scientifique^[8]. Il en résulte que la Commission peut désigner des experts pour évaluer un modèle sans que la procédure de sélection que le règlement lui commandait d’établir existe — et le règlement d’exécution de 2025 ne comble pas la lacune : il se borne à prévoir, lorsque la Commission désigne un expert du groupe scientifique pour de telles évaluations, un examen du risque que cette désignation fasse obstacle à l’accomplissement impartial de sa tâche au sein du groupe^[9]. Une règle de déport, non une procédure de sélection.

4. Les mesures, et des engagements sans garanties

19L’article 93 énumère trois mesures que la Commission peut demander : prendre les mesures appropriées pour se conformer aux articles 53 et 54 ; mettre en œuvre des mesures d’atténuation « lorsque l’évaluation … a suscité des préoccupations sérieuses et fondées quant à un risque systémique au niveau de l’Union » ; enfin « de restreindre la mise à disposition du modèle sur le marché, de le retirer ou de le rappeler ». La dernière est la plus lourde du règlement à l’égard d’un modèle, et elle n’est assortie d’aucune condition propre : elle relève de la clause générale de nécessité et d’adéquation qui ouvre le paragraphe.

20Le paragraphe 3 organise une procédure d’engagements : si, au cours du dialogue structuré, le fournisseur d’un modèle à risque systémique « s’engage à mettre en œuvre des mesures d’atténuation », la Commission peut « par une décision, rendre ces engagements contraignants et déclarer qu’il n’y a plus lieu d’agir ».

La comparaison qui révèle la lacune

21La formule est exactement celle que la révision de 2026 a introduite à l’article 75 ter pour les systèmes relevant du Bureau de l’IA. Mais cette dernière disposition, plus récente, l’a assortie de trois garanties que l’article 93, paragraphe 3, ne comporte pas. Elle énumère les causes de réouverture de la procédure — changement important des faits, manquement aux engagements, décision fondée sur des informations inexactes. Elle impose au Bureau, s’il estime les engagements insuffisants, de « il rejette ces engagements dans une décision motivée lors de la clôture de la procédure ». Et l’article 75 quinquies impose la publication des décisions prises sur ce fondement, avec le nom des parties.

22Aucune de ces trois garanties ne joue pour les modèles. Le fournisseur dont les engagements sont écartés n’a pas droit à une décision motivée ; celui dont ils sont acceptés ne sait pas dans quelles conditions la procédure peut être rouverte ; et le public n’apprend rien de l’issue. Le régime le plus ancien est ainsi le moins encadré, et l’écart ne s’explique par aucune différence de nature entre les deux situations : c’est le même mécanisme, transposé deux ans plus tard avec les précautions que l’expérience avait suggérées, sans que la disposition d’origine en bénéficie^[10].

5. Les droits procéduraux : une phrase

23L’article 94 tient en une phrase : « L’article 18 du règlement (UE) 2019/1020 s’applique mutatis mutandis aux fournisseurs du modèle d’IA à usage général, sans préjudice des droits procéduraux plus spécifiques prévus par le présent règlement. » L’article ainsi rendu applicable est celui qui, dans le régime général de la surveillance du marché, impose que toute mesure restrictive soit motivée, indique les voies de recours et leurs délais, et ne soit prise qu’après avoir mis l’opérateur en mesure de présenter ses observations, sauf urgence^[11].

24C’est peu, et la comparaison le montre. Pour les fournisseurs de systèmes relevant du Bureau de l’IA, l’article 75 quinquies, introduit en 2026, rend applicable le même article 18, puis ajoute quatre garanties : le respect plein du droit de la défense, un droit d’accès au dossier organisé selon des modalités de divulgation négociée, la délimitation des documents exclus de cet accès, et la publication des décisions. Pour les institutions de l’Union, l’article 100 énonce que le Contrôleur européen de la protection des données doit donner à l’institution concernée « la possibilité de faire connaître son point de vue », ne fonder ses décisions « que sur les éléments et les circonstances au sujet desquels les parties concernées ont pu formuler des observations », respecter pleinement les droits de la défense et accorder un droit d’accès au dossier.

25Trois régimes, donc, et une hiérarchie inattendue : les institutions de l’Union et les fournisseurs de systèmes bénéficient de garanties écrites détaillées ; les fournisseurs de modèles, qui sont les seuls à encourir une amende infligée directement par la Commission sur le fondement d’une appréciation de leur comportement, n’en ont qu’un renvoi. Ces garanties sont assurément complétées par les principes généraux du droit de l’Union, que la Cour de justice fait respecter ; il reste que le règlement, qui a pris soin de les expliciter deux fois, ne l’a pas fait là où le pouvoir est le plus concentré.

6. Deux sortes de codes, et des lignes directrices sans terme

Les codes de conduite de l’article 95

26Le chapitre X s’ouvre sur un instrument qu’il ne faut pas confondre avec les codes de bonne pratique de l’article 56. Les codes de conduite de l’article 95 poursuivent un objet inverse : là où les codes de bonne pratique servent à démontrer le respect d’obligations existantes, les codes de conduite servent à faire appliquer volontairement, « aux systèmes d’IA autres que les systèmes d’IA à haut risque », tout ou partie des exigences du chapitre III. Ils étendent le droit à qui n’y est pas soumis ; les autres aident à s’y conformer.

27Le paragraphe 2 en élargit encore l’objet, à tous les systèmes cette fois, et énumère cinq matières : les éléments applicables des lignes directrices éthiques de l’Union, « l’évaluation et la réduction au minimum de l’incidence des systèmes d’IA sur la durabilité environnementale », la promotion de la maîtrise de l’IA, « la facilitation d’une conception inclusive et diversifiée » y compris par des équipes de développement diversifiées, et enfin l’évaluation de l’impact négatif sur les personnes vulnérables, « y compris en ce qui concerne l’accessibilité pour les personnes handicapées, ainsi que sur l’égalité de genre ».

28La liste est remarquable par sa situation dans le texte. La durabilité environnementale, la diversité des équipes et l’égalité de genre ne figurent nulle part ailleurs dans le règlement comme contenu d’une obligation : elles apparaissent ici, dans le seul article entièrement volontaire du dispositif. Ce qui a été écarté du droit contraignant subsiste sous forme d’encouragement — et l’encouragement lui-même n’est pas adressé aux opérateurs mais à l’administration, puisque c’est le Bureau de l’IA et les États membres qui « encouragent et facilitent ». La révision de 2026 y a ajouté un paragraphe imposant de tenir compte des besoins des petites et moyennes entreprises et des petites entreprises à moyenne capitalisation.

29La genèse éclaire la portée de cette liste. L’ancêtre de l’article 95 est l’article 69 de la proposition de 2021, qui invitait déjà à l’application volontaire des exigences aux systèmes non à haut risque et énumérait, comme second objet, « à la viabilité environnementale, à l’accessibilité pour les personnes handicapées, à la participation des parties prenantes à la conception et au développement des systèmes d’IA et à la diversité des équipes de développement »^[12]. Le texte adopté a conservé l’ensemble, y a ajouté les lignes directrices éthiques de l’Union, la maîtrise de l’IA et l’égalité de genre, et a ouvert l’élaboration des codes aux déployeurs, à la société civile et au monde universitaire, là où la proposition ne visait que les fournisseurs. Il a en revanche changé de destinataire : c’étaient « la Commission et le Comité » qui devaient encourager, ce sont désormais le Bureau de l’IA et les États membres. Sur cinq années de procédure, cette matière s’est enrichie et démocratisée sans jamais cesser d’être facultative.

Les lignes directrices de l’article 96

30L’article 96 est la base juridique de tous les instruments interprétatifs que la Commission a publiés depuis 2025 — sur les pratiques interdites, sur la définition d’un système d’intelligence artificielle, sur les obligations des fournisseurs de modèles, sur les obligations de transparence^[13]. Il énumère sept matières, la septième ayant été ajoutée en 2026 : l’application des exigences des articles 8 à 15 et des articles 25 et 26 ; les pratiques interdites ; « la mise en œuvre pratique des dispositions relatives aux modifications substantielles » ; les obligations de transparence ; la relation avec la législation d’harmonisation de l’annexe I ; la définition d’un système d’IA ; et la mise en œuvre de trois dispositions relatives à l’articulation avec cette même législation.

31Une seule de ces sept matières est assortie d’une échéance. Le point g), ajouté par la révision, dispose que « ces lignes directrices sont publiées le 1er août 2027 au plus tard »^[14]. Les six autres n’en portent aucune, ce qui explique qu’aucune ligne directrice sur les modifications substantielles n’ait été publiée à ce jour sans qu’aucun délai soit dépassé. La situation contraste avec celle relevée ailleurs à propos du signalement des incidents graves, où l’obligation était datée et n’a pas été tenue : ici, l’absence n’est pas un manquement, elle est la conséquence d’une habilitation sans terme.

32Deux autres modifications de 2026 méritent d’être relevées. La première élargit le point a), qui visait les seules exigences des articles 8 à 15 et y ajoute les articles 25 et 26 — la répartition des responsabilités dans la chaîne de valeur et les obligations des déployeurs. La seconde ajoute un alinéa imposant à la Commission, lorsqu’elle publie ces lignes directrices, d’associer le Comité IA et d’accorder « une attention particulière aux besoins des PME …, des pouvoirs publics locaux et des secteurs les plus susceptibles d’être affectés ». L’obligation d’associer le Comité est nouvelle : jusqu’alors, l’article 96 n’imposait aucune consultation, et l’article 66 se bornait à permettre au Comité d’émettre des avis sur les lignes directrices.

7. La délégation : deux horloges, aucun acte

33L’article 97 organise la délégation de pouvoir selon le schéma habituel : période de cinq ans tacitement renouvelable, faculté de révocation à tout moment par le Parlement européen ou le Conseil, droit d’objection dans les trois mois prolongeables de trois mois. La révision de 2026 y a apporté une modification de structure : elle a créé une seconde période de cinq ans, courant à compter du 27 juillet 2026, pour les deux habilitations qu’elle a elle-même introduites, la première continuant de courir à compter du 1er août 2024 pour les habilitations d’origine. Deux horloges parallèles gouvernent donc désormais la délégation, et le rapport que la Commission doit établir « au plus tard neuf mois avant la fin de la période de cinq ans » devra en tenir compte.

34Le règlement compte, après la révision, dix dispositions habilitant la Commission à adopter des actes délégués, portant au total sur quatorze paragraphes — de la modification des définitions du champ d’application à celle des critères de classification des modèles à risque systémique. Huit de ces habilitations courent depuis le 1er août 2024, les deux autres depuis le 27 juillet 2026^[15]. Aucune n’a été exercée : la vérification conduite sur les actes liés à la notice du règlement ne fait apparaître aucun acte délégué. Ce constat vaut en particulier pour l’article 51, paragraphe 3, qui permet de modifier le seuil de présomption du risque systémique, et pour l’article 7, qui permet de modifier la liste de l’annexe III.

8. Les sanctions nationales : trois plafonds et dix critères

La règle

35L’article 99 laisse aux États membres le soin de déterminer le régime des sanctions, mais il en fixe les plafonds. Trois niveaux : trente-cinq millions d’euros ou sept pour cent du chiffre d’affaires annuel mondial pour le non-respect des pratiques interdites de l’article 5 ; quinze millions d’euros ou trois pour cent pour la méconnaissance des obligations limitativement énumérées au paragraphe 4 ; sept millions cinq cent mille euros ou un pour cent pour la fourniture d’informations inexactes, incomplètes ou trompeuses. Dans les trois cas, « le montant le plus élevé étant retenu ».

36Le paragraphe 7 énumère dix critères d’individualisation. Deux d’entre eux organisent une forme de prise en compte des poursuites parallèles : l’autorité tient compte de ce que des amendes ont déjà été infligées « par d’autres autorités de surveillance du marché au même opérateur pour la même violation », et de ce que d’autres autorités en ont infligé « pour des violations d’autres dispositions du droit de l’Union ou du droit national, lorsque ces violations résultent de la même activité ou omission ». Le texte n’interdit pas le cumul ; il impose de le prendre en considération dans la fixation du montant.

Ce que la révision a changé

37Le paragraphe 1 a été réécrit, et trois différences apparaissent à la comparaison. La première comble une lacune de rédaction : la version de 2024 énonçait que le régime national « peuvent également comprendre des avertissements et des mesures non monétaires », sans mentionner les amendes administratives, alors même que les paragraphes suivants en plafonnaient le montant. La version révisée ajoute « des amendes administratives » en tête de cette énumération^[16]. La deuxième substitue « à toute violation du présent règlement commise par des opérateurs » à « aux violations du présent règlement commises par des opérateurs ».

38La troisième est la plus fine. La version de 2024 disposait : « Elles tiennent compte des intérêts des PME, y compris les jeunes pousses, et de leur viabilité économique » — le sujet étant les sanctions, c’est-à-dire le régime au stade de son établissement par l’État membre. La version révisée dispose : « Lorsqu’ils imposent des sanctions, les États membres tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique. » La contrainte se déplace de la conception du régime vers le prononcé de la sanction : ce n’est plus le barème qui doit ménager la petite entreprise, c’est l’autorité qui doit le faire au cas par cas.

39Deux autres modifications complètent le tableau. Un point d bis nouveau ajoute à la liste du paragraphe 4 les obligations des articles 25, paragraphes 2 et 4, relatives à la chaîne de valeur : leur méconnaissance devient passible du plafond intermédiaire. Et un paragraphe 6 bis étend aux petites entreprises à moyenne capitalisation la règle du plafond le plus faible — mais pour les seuls paragraphes 4 et 5. Le paragraphe 3, qui sanctionne les pratiques interdites, en est exclu, alors que le paragraphe 6 le fait bénéficier aux petites et moyennes entreprises. Sur les pratiques prohibées, la catégorie créée en 2026 ne reçoit donc aucune atténuation^[17].

Deux réserves de souveraineté

40Le paragraphe 8 laisse à chaque État membre le soin d’établir « les règles déterminant dans quelle mesure des amendes administratives peuvent être imposées à des autorités et organismes publics établis sur son territoire ». La formule n’impose pas de sanctionner les personnes publiques : elle laisse l’État libre de décider s’il le fait et dans quelle mesure. Un pan considérable des systèmes de l’annexe III étant déployé par des administrations, l’effectivité du régime varie d’un État à l’autre selon un choix que le règlement ne contraint pas.

41Le paragraphe 9 admet, de son côté, que les amendes soient prononcées « par les juridictions nationales compétentes ou par d’autres organismes », l’application devant avoir « un effet équivalent ». La sanction peut donc être administrative dans un État et juridictionnelle dans un autre. Enfin, le paragraphe 11 impose aux États membres de faire rapport chaque année à la Commission sur les amendes infligées ; le règlement ne prévoit pas la publication de ces rapports.

9. Les amendes de l’Union : les institutions et les modèles

Les institutions de l’Union

42L’article 100 habilite le Contrôleur européen de la protection des données à infliger des amendes administratives aux institutions, organes et organismes de l’Union. Deux plafonds : un million cinq cent mille euros pour le non-respect des pratiques interdites, sept cent cinquante mille euros pour toute autre non-conformité. Sept critères d’individualisation sont énumérés, dont le dernier est « le budget annuel de l’institution » — l’équivalent fonctionnel du chiffre d’affaires.

43Le rapprochement avec l’article 99 est instructif. Une entreprise qui recourt à une pratique interdite encourt trente-cinq millions d’euros ou sept pour cent de son chiffre d’affaires ; une institution de l’Union qui recourt à la même pratique encourt un million cinq cent mille euros, soit vingt-trois fois moins en valeur absolue, sans plafond proportionnel. L’écart peut se justifier : une institution publique n’a pas de chiffre d’affaires, et l’amende y frappe en définitive le contribuable. Il reste que le règlement ne l’explique nulle part.

44Le paragraphe 6 va plus loin, et il est sans équivalent dans tout le texte : après avoir affecté les amendes au budget général de l’Union, il ajoute que « les amendes ne compromettent pas le bon fonctionnement de l’institution, organe ou organisme de l’Union faisant l’objet d’une amende ». Aucune clause de cette nature ne protège l’entreprise sanctionnée, pour laquelle le règlement se borne à exiger que les sanctions soient « effectives, proportionnées et dissuasives ». La formule institue, au bénéfice des seules personnes publiques de l’Union, une limite tirée non de la gravité du manquement ni des facultés du contrevenant, mais de la continuité du service.

L’amende sur les modèles

45L’article 101 permet à la Commission d’infliger aux fournisseurs de modèles à usage général des amendes « n’excédant pas 3 % de leur chiffre d’affaires annuel mondial total …, ou 15 000 000 EUR, le montant le plus élevé étant retenu ». Quatre manquements sont visés : la violation des dispositions pertinentes du règlement, le défaut de réponse à une demande d’informations ou la fourniture d’informations inexactes, le non-respect d’une mesure demandée, et le refus d’accès au modèle.

46Une condition, absente de l’article 99, gouverne l’ensemble : l’amende suppose que la Commission constate que le fournisseur a agi « de manière délibérée ou par négligence ». L’élément moral est donc, pour les modèles, une condition de la sanction. Il n’en va pas de même pour les systèmes : à l’article 99, le fait que « la violation a été commise délibérément ou par négligence » ne figure qu’au paragraphe 7, parmi les dix critères servant à fixer le montant. Le manquement matériel suffit à fonder l’amende nationale ; il ne suffit pas à fonder celle de la Commission.

47Une seconde différence tient à l’absence de clémence pour les petites structures. Les paragraphes 6 et 6 bis de l’article 99, qui imposent de retenir le plafond le plus faible pour les petites et moyennes entreprises et les petites entreprises à moyenne capitalisation, visent « chaque amende visée au présent article » — c’est-à-dire à l’article 99. L’article 101 n’en comporte pas l’équivalent. Il impose en revanche de tenir compte « la nature, la gravité et la durée de la violation, tout en tenant dûment compte des principes de proportionnalité et d’adéquation », ce qui laisse à la Commission la latitude d’y parvenir par une autre voie.

Les garanties promises

48Le paragraphe 2 impose la communication de constatations préliminaires et le droit d’être entendu. Le paragraphe 5 confère à la Cour de justice une compétence de pleine juridiction : elle « peut supprimer, réduire ou majorer l’amende infligée ». Le paragraphe 6, enfin, est une obligation : « La Commission adopte des actes d’exécution contenant les modalités détaillées des procédures et des garanties procédurales en vue de l’adoption éventuelle de décisions en vertu du paragraphe 1 », selon la procédure d’examen.

49Ces actes d’exécution n’ont pas été adoptés. Le constat prend un relief particulier lorsqu’on le rapproche de l’économie temporelle du règlement. L’article 113 rend le chapitre XII applicable par anticipation, avant la date générale d’application — mais il en excepte expressément l’article 101, lequel suit donc le régime de droit commun^[18]. Autrement dit, le législateur a choisi de différer l’entrée en vigueur de cette amende par rapport au reste des sanctions, précisément pour laisser le temps d’en organiser la procédure ; ce délai supplémentaire s’est écoulé, l’article est aujourd’hui applicable, et les modalités qu’il annonce n’existent pas. La Commission peut donc infliger une amende de quinze millions d’euros ou de trois pour cent du chiffre d’affaires mondial sur le fondement d’un article qui renvoie, pour les garanties procédurales, à un acte qu’elle n’a pas pris.

Un pouvoir concentré, des modalités absentes

50Le régime examiné ici est celui où le règlement va le plus loin. Une administration de l’Union y détient seule le pouvoir de contrôler, d’évaluer, d’ordonner et de sanctionner, sur des opérateurs qui sont, pour l’essentiel, les plus grandes entreprises technologiques mondiales. Ce choix se défend : la matière est unique, les moyens d’évaluation sont rares, et l’éclatement entre vingt-sept autorités aurait produit une application divergente que le considérant 162 entendait précisément éviter.

51Mais un pouvoir concentré appelle des modalités écrites, et c’est là que le dispositif est incomplet. Les deux actes d’exécution que le règlement commandait — sur la conduite des évaluations et sur les garanties procédurales de l’amende — n’ont pas été adoptés. Les droits procéduraux des fournisseurs de modèles tiennent en un renvoi d’une phrase, quand ceux des institutions de l’Union et des fournisseurs de systèmes sont détaillés. Les engagements peuvent être rendus contraignants sans que les conditions de réouverture, de rejet motivé et de publication, écrites deux ans plus tard pour les systèmes, s’appliquent aux modèles.

52S’y ajoutent deux imperfections de rédaction qui, prises isolément, seraient vénielles. Une troisième disposition renvoie à des codes de bonne pratique « approuvés » alors que le pouvoir de les approuver a disparu. Et le règlement, pour désigner les tâches du groupe scientifique, renvoie deux fois au paragraphe qui n’en traite pas et jamais à celui qui les énonce, son acte d’exécution rectifiant l’erreur sans la signaler. Le lecteur qui suit les renvois du texte n’aboutit pas au bon endroit ; celui qui suit ceux de l’acte dérivé y aboutit.

53Ces défauts convergent avec ceux relevés ailleurs dans la série, et il faut se garder d’en tirer une conclusion trop générale. Ils ne portent pas sur la substance des obligations, qui est écrite avec soin, mais sur l’appareil qui les met en œuvre. Le règlement sur l’intelligence artificielle est un texte d’obligations achevé et un texte d’exécution inachevé — et l’écart entre les deux est, à ce jour, ce qui détermine réellement sa portée.