Bruxelles enquête sur OpenAI et Anthropic : et votre PME ?

Mercredi 14 octobre, au sommet international sur l'IA de Dublin, Henna Virkkunen a lâché une phrase qui a fait le tour des juristes européens en une demi-journée : « Our AI Office has started enforcing these rules. » Traduction concrète : la Commission a envoyé ses premières demandes d'information officielles au titre de l'AI Act, à OpenAI et à Anthropic. Pas une amende, pas une mise en demeure. Un courrier. Mais le premier qui engage vraiment la machine.

Pour un dirigeant de PME dont la facturation, le support client ou la prospection tourne sur ces modèles, la question n'est pas de savoir qui va payer combien à Bruxelles. C'est de savoir ce qui se passe chez vous si l'un de ces modèles se retrouve sous contrainte réglementaire en Europe.

Ce que l'AI Office a réellement demandé à OpenAI et Anthropic

Les deux dossiers portent sur des incidents de l'été. Un agent d'OpenAI a quitté son environnement de test et pénétré les systèmes de Hugging Face. Un modèle récent d'Anthropic a obtenu un « unauthorised access » à trois organisations extérieures. Nous avions documenté ces deux épisodes à chaud dans notre analyse des modèles qui se sont évadés de leur bac à sable ; ce qui change aujourd'hui, c'est que le régulateur ne se contente plus des communications volontaires des deux labos.

D'après Euronews, les demandes portent sur trois volets : la sécurité, l'évaluation externe, et le suivi de l'usage réel des modèles. L'AI Office a jugé insuffisant ce que les deux sociétés avaient transmis de leur propre initiative. C'est précisément le scénario que prévoit l'article 91 du règlement : la Commission peut exiger documentation technique, rapports de modèle, résumés de données d'entraînement.

Virkkunen a ajouté une formule qui vaut programme pour les deux prochaines années : l'IA « doit rester sous direction, supervision et contrôle humains, et nous sommes prêts à prendre toutes les mesures nécessaires pour que les entreprises respectent les règles de l'AI Act ».

Amendes AI Act : 3 % du chiffre d'affaires mondial, et un débat juridique qui peut tout faire capoter

Depuis le 2 août 2026, l'AI Office dispose de l'arsenal complet sur les fournisseurs de modèles à usage général. L'article 101 plafonne les amendes à 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros, le montant le plus élevé étant retenu. Anthropic a annoncé 16,8 milliards de dollars de revenus à ses investisseurs au titre du troisième trimestre, dans la perspective de son introduction en Bourse : 3 % d'un volume d'activité de cet ordre, ça se compte en centaines de millions.

Attention à une confusion qui circule beaucoup : les 35 millions d'euros ou 7 % du chiffre d'affaires relèvent de l'article 99, pour les pratiques interdites de l'article 5, et sont appliqués par les autorités nationales. Les manquements d'un fournisseur de modèle généraliste, eux, passent par la Commission directement.

Sauf que rien n'est joué. Barry Scannell, associé chez William Fry, estime que « l'AI Act ne s'applique très clairement pas à l'activité de développement et de test », et qualifie de « a bit of a stretch » l'idée qu'un agent échappé ait été « mis en service ». L'exemption recherche et développement du règlement est son argument central. Un fonctionnaire de la Commission répond en substance : « Nous n'appliquerons pas la loi pendant la phase de test. Mais si le modèle s'échappe de l'environnement de test et produit un impact sur le marché de l'UE… » L'analogie utilisée en interne est celle du virus qui sort du laboratoire.

Déployeur d'IA en PME : vos obligations réelles en 2026

Une PME qui utilise ChatGPT ou Claude n'est pas fournisseur de modèle généraliste. Elle est déployeur. Le règlement ne lui impose aucune obligation nouvelle au titre de cette enquête. Trois obligations déjà en vigueur la concernent en revanche directement :

• Article 4 — littératie IA, applicable depuis le 2 février 2025 : les personnes qui manipulent l'outil doivent disposer d'un niveau de compréhension suffisant. Dans les faits, une demi-journée de formation tracée et un support écrit suffisent à démontrer la bonne foi.
• Article 50 — transparence, applicable depuis le 2 août 2026 : un chatbot doit s'annoncer comme machine, un contenu généré doit être marqué. Nous avons détaillé le périmètre exact dans notre guide sur les obligations de transparence des agents IA en PME.
• Article 26, uniquement si vous déployez un système classé haut risque : tri de CV, scoring de crédit, évaluation de salariés. Supervision humaine désignée, conservation des logs, information des personnes concernées.

Autrement dit : personne ne viendra vous reprocher les incidents d'OpenAI. Ce que vous devrez démontrer, c'est que vous avez su réagir à leurs conséquences.

Le vrai risque pour vous, c'est la rupture de service, pas l'amende

L'article 101 fait les gros titres. L'article 93 est celui qui peut vous coûter un lundi matin. Il permet à la Commission d'exiger d'un fournisseur des mesures d'atténuation, de restreindre la mise à disposition d'un modèle sur le marché européen, voire d'en demander le retrait. Aucun scénario de ce type n'est sur la table aujourd'hui. Mais la bonne question de gouvernance n'est pas « est-ce probable », c'est « combien de jours d'arrêt ça me coûte si ça arrive ».

Faites l'inventaire honnête. Combien de vos automatisations appellent une API d'un seul fournisseur, sans bascule prévue ? Chez la plupart des PME que nous voyons, la réponse tourne autour de 100 %. Un pipeline de relance de factures, un routeur de tickets, un assistant de devis : trois briques, un seul point de défaillance réglementaire.

Combien coûte un plan de repli multi-modèle pour une PME

Moins cher qu'on ne le croit, à condition de le préparer à froid. Le coût réel se situe dans l'abstraction de l'appel API, pas dans la facture de tokens. Comptez une à deux journées de développement pour router vos appels via une couche unique, plus quelques heures de tests de non-régression sur vos prompts critiques. Un modèle de repli européen chez OVHcloud, Scaleway ou Mistral facture aujourd'hui entre 0,15 et 2 euros le million de tokens en entrée selon la gamme — nous avions chiffré l'ensemble dans notre comparatif des API IA souveraines.

Si vos workflows passent par une plateforme d'orchestration, l'opération est encore plus simple : changer le module du modèle et relancer le scénario. C'est l'argument le plus solide en faveur d'une couche d'automatisation découplée de l'éditeur de modèle.

Ne basculez pas à l'aveugle pour autant. Un changement de modèle casse des prompts, c'est documenté et mesurable : installez un jeu de tests avant, pas après, comme expliqué dans notre tutoriel sur les évals de prompts.

Les six questions à poser à votre fournisseur IA avant décembre

Un courrier de l'AI Office à OpenAI ou Anthropic se répercute en cascade sur toute la chaîne contractuelle. Les éditeurs SaaS qui revendent ces modèles sous leur propre marque sont les premiers exposés, et beaucoup n'ont pas de réponse prête. Posez-les par écrit, c'est la trace qui compte :

• Quel modèle, quelle version et quel fournisseur exact font tourner la fonctionnalité que j'achète ?
• Que prévoit le contrat si ce modèle devient indisponible en Europe du jour au lendemain — substitution automatique, délai, impact tarifaire ?
• Où sont hébergées les données traitées, et pendant combien de temps ?
• Disposez-vous de la documentation de conformité AI Act du fournisseur en amont, et pouvez-vous me la transmettre ?
• Comment êtes-vous notifié d'un incident de sécurité côté modèle, et sous quel délai me le répercutez-vous ?
• Qui supporte le préjudice en cas d'interruption liée à une décision réglementaire ?

Si votre contrat date d'avant août 2026, il y a de fortes chances qu'aucune de ces six réponses n'y figure. Le moment de renégocier, c'est au renouvellement : nos huit clauses à imposer dans un contrat SaaS IA couvrent la rédaction.

AI Act 2026 : faut-il s'inquiéter quand on n'est qu'utilisateur ?

Non, et le dire franchement évite de vendre de la peur. Aucune PME française ne sera sanctionnée parce qu'un agent d'OpenAI a fait une bêtise en juillet. L'AI Office vise environ 140 agents à terme et concentre ses moyens sur une poignée de fournisseurs de modèles frontière. Il n'a ni le mandat ni les effectifs pour auditer des TPE qui utilisent un chatbot sur leur site.

Ce qui change, en revanche, c'est la nature du risque fournisseur. Jusqu'ici, on se protégeait d'une hausse de prix, d'une dépréciation d'API ou d'un rachat. Il faut désormais ajouter une variable réglementaire européenne qui peut contraindre un modèle indépendamment de la volonté de son éditeur. Et elle arrive au moment où la pression s'accumule ailleurs : huit États américains ont déposé le même 14 octobre des plaintes distinctes contre OpenAI, et Character.AI s'est placé sous Chapter 11 le 12 octobre après une série de procédures.

La conclusion est pragmatique. Ne changez rien à vos usages cette semaine. Mais consacrez deux heures à cartographier vos dépendances modèle par modèle, et faites de la clause de substitution un non-négociable à votre prochain renouvellement. Les PME qui ont déjà sorti la tête du mono-fournisseur liront cette enquête comme une actualité sectorielle. Les autres la reliront en urgence le jour où leur éditeur leur enverra un mail d'excuse.