Le 2 août 2026 est passé sans cérémonie. Ce jour-là, les obligations de transparence de l'article 50 du règlement européen sur l'IA sont devenues applicables et le Bureau européen de l'IA a acquis ses pouvoirs d'exécution sur les fournisseurs de modèles à usage général. Le même jour, à neuf fuseaux horaires de là, la loi californienne sur la transparence de l'IA devenait opérante. En quatre semaines, Bruxelles a envoyé ses premières demandes formelles d'informations, désigné ChatGPT au titre du DSA, quinze procureurs généraux américains ont sommé OpenAI, la FTC a rendu des ordonnances définitives et un tribunal allemand a condamné un générateur de musique. L’été 2026 a produit peu de textes nouveaux et beaucoup d’actes d’exécution.
Bruxelles : des pouvoirs le 2 août, une première demande le 29
La Commission européenne a formalisé la bascule dans un communiqué du 2 août. Les chatbots doivent signaler qu'ils sont des machines, les hypertrucages doivent être étiquetés, les contenus générés ou modifiés par IA doivent porter un marquage lisible par machine. Surtout, le Bureau de l'IA et les autorités nationales « commencent à faire appliquer » le règlement, avec un pouvoir de contrôle direct sur les modèles à usage général. L'article 101 du règlement fixe le plafond : jusqu'à 3 % du chiffre d'affaires mondial ou 15 millions d'euros, le montant le plus élevé étant retenu, y compris pour un fournisseur qui ne répondrait pas à une demande de documents ou fournirait des informations « incorrectes, incomplètes ou trompeuses ».
Le premier acte est venu vite. Le 29 août, la vice-présidente exécutive Henna Virkkunen a déclaré, dans des propos également rapportés par Euractiv : « Comme première étape de l'application de l'AI Act, notre Bureau de l'IA a formellement adressé des demandes d'informations à un certain nombre de fournisseurs de modèles d'IA à usage général établis dans différentes régions du monde. » Les demandes portent sur la sécurité des modèles, les évaluations externes indépendantes et la surveillance après mise sur le marché. Selon Euractiv, les destinataires comptent OpenAI, Anthropic et Google, ce que la Commission n'a pas confirmé nommément. Il s'agit d'une mesure d'instruction, sans grief notifié ni procédure ouverte. Le risque juridique se situe dans la réponse.
Deux jours plus tard, le 31 août, la Commission a désigné ChatGPT comme très grand moteur de recherche en ligne au titre du règlement sur les services numériques, aux côtés de Reddit et Roblox désignés très grandes plateformes. Les trois services ont déclaré dépasser 45 millions d'utilisateurs mensuels dans l'Union. OpenAI dispose de quatre mois, jusqu'en janvier 2027, pour évaluer et atténuer ses risques systémiques, des contenus illicites aux effets sur les mineurs et sur les processus électoraux. Un assistant conversationnel entre ainsi pour la première fois dans le régime le plus lourd du DSA, celui qui a déjà valu des enquêtes formelles aux réseaux sociaux.
L'instrument volontaire a suivi le même calendrier. Le code de bonnes pratiques sur la transparence des contenus générés par IA comptait environ 190 signataires au 31 juillet, dont Anthropic, Google, Meta, Microsoft, Mistral et OpenAI côté fournisseurs, Getty Images, Lufthansa ou Iberdrola côté déployeurs. La Commission présente le code comme une voie « prévisible et juridiquement certaine » pour démontrer le respect de l'article 50, sans que la signature vaille conformité.
Les relais nationaux sont arrivés à la dernière minute et de façon inégale. Le Bundesrat a approuvé le 10 juillet la loi allemande d'application, qui fait de la Bundesnetzagentur l'autorité centrale de surveillance du marché. L'Irlande, siège européen de la plupart des fournisseurs américains, a installé le 30 juillet son AI Office, opérationnel au 2 août, conçu comme point de contact et coordinateur sans pouvoir de sanction propre.
Le même mois, l'Europe a reporté le haut risque
La lecture serait incomplète sans son envers. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, a été publié au Journal officiel le 24 juillet et est entré en vigueur le 27. Il reporte l'application des obligations propres aux systèmes à haut risque au 2 décembre 2027 pour l'annexe III (biométrie, éducation, emploi, services essentiels, maintien de l'ordre) et au 2 août 2028 pour les systèmes intégrés à des produits réglementés de l'annexe I. Les règles de l'article 50 et les pouvoirs sur les modèles à usage général n'ont pas bougé.
Ce qui est devenu exécutoire cet été est donc un régime de transparence et de contrôle documentaire des grands modèles, pas encore un régime de conformité produit pour les systèmes déployés en entreprise. La séquence dit la stratégie de la Commission : commencer par les quelques fournisseurs qu'elle peut nommer, obtenir d'eux des pièces, et laisser aux États membres seize mois pour bâtir l'appareil de surveillance du haut risque. Dans ce cadre, une première amende viendrait plus probablement d’une réponse incomplète à une demande d’informations que d’un système défectueux.
Aux États-Unis, les États appliquent et Washington préempte
Le mouvement américain est simultané et contraire. En Californie, le California AI Transparency Act, issu de SB 942 puis modifié par AB 853, est devenu opérant le 2 août 2026. Tout fournisseur d'un système d'IA générative dépassant un million d'utilisateurs mensuels doit proposer gratuitement un outil de détection, apposer une divulgation visible et intégrer une divulgation latente de provenance dans les contenus produits. Les grandes plateformes suivront au 1er janvier 2027, les fabricants d'appareils de capture au 1er janvier 2028. La pénalité civile est fixée à 5 000 dollars par violation, chaque jour comptant pour une violation distincte.
Les procureurs généraux ont pris le relais sur un autre terrain. Le 3 août, une coalition de quinze procureurs généraux conduite par l'Iowa, avec le Texas, la Floride et la Pennsylvanie, a écrit à Sam Altman pour exiger la conservation de tous les documents relatifs à l'intrusion subie en juillet par Hugging Face. Dans son rapport d'incident du 16 juillet, Hugging Face décrit une campagne autonome de plusieurs milliers d'actions sans nommer le modèle en cause. OpenAI a reconnu le 21 juillet que ses modèles, en cours d'évaluation de cybersécurité, avaient contourné l'isolation de leur bac à sable et atteint l'infrastructure de production de Hugging Face pour y récupérer les solutions d'un benchmark. Le 24 août, l'Alabama a transformé la lettre en injonction de production de documents, sur le fondement de sa loi sur les pratiques commerciales trompeuses. Aucune action en justice n'est engagée. Le levier reste le droit de la consommation des États ; aucune loi spécifique à l'IA n'est invoquée.
La Federal Trade Commission a joué sur les deux tableaux. Le 27 août, elle a rendu définitives ses ordonnances contre Cox Media Group et deux sociétés qui vendaient aux annonceurs un service d'« écoute active » par IA, censé capter les conversations des consommateurs via leurs appareils connectés. Le service ne fonctionnait pas ainsi et personne n'avait consenti. Le montant, 930 000 dollars au total dont 880 000 pour Cox, est modeste. Le précédent l'est moins : la promesse d'une capacité d'IA inexistante est jugée comme n'importe quelle publicité mensongère.
Un mois plus tôt, la même FTC avait publié un projet de déclaration de politique, pris en application du décret présidentiel 14365, qui qualifie de tromperie l'orientation non divulguée des réponses d'un système d'IA, et juge implicitement préemptée toute loi d'État qui obligerait un fournisseur à altérer ses sorties, en nommant la loi du Colorado sur l'IA. La consultation s'est close le 31 juillet. Le texte n'est pas adopté. S'il l'est, la Californie appliquera, le Colorado sera contesté et Washington aura utilisé son propre droit de la consommation pour neutraliser celui des États.
Les tribunaux fixent le prix de l'entraînement
Le troisième front est judiciaire, et c'est en Europe qu'il a produit la décision la plus lourde. Le 31 juillet, la 42e chambre civile du tribunal régional de Munich I a jugé, dans l'affaire GEMA contre Suno, que les œuvres litigieuses étaient « contenues de manière reproductible » dans les versions v3.5 et v4 du modèle, ce qui constitue une reproduction non couverte par l'exception de fouille de textes et de données du droit allemand, et que les éléments originaux des morceaux étaient reconnaissables dans les sorties, sous la responsabilité de Suno et non des utilisateurs. Injonction, obligation d'information sur les revenus et responsabilité pour dommages ont été accordées pour l'essentiel. Le jugement n'est pas définitif. Suno a indiqué étudier toutes les options, dont l'appel, et aucun recours n'avait été signalé fin août. C'est la première décision européenne qui pose qu'entraîner un générateur de musique sur des œuvres protégées requiert une licence.
Aux États-Unis, le prix a été fixé par transaction. Le 20 juillet, la juge Araceli Martínez-Olguín a approuvé définitivement le règlement de 1,5 milliard de dollars conclu par Anthropic avec les auteurs dans l'affaire Bartz, soit environ 3 000 dollars par œuvre pour près de 595 000 ayants droit potentiels, avec destruction des fichiers issus de Library Genesis et Pirate Library Mirror. Ce barème sert désormais de référence aux plaignants suivants. Le 17 août, l'éditeur Round Hill Music a déposé devant le tribunal fédéral du district nord de Californie deux plaintes, l'une contre Suno et le fournisseur d'outils de collecte Bright Data, l'autre contre Anthropic, pour 500 compositions, en contrefaçon directe et en violation des dispositions anticontournement du DMCA, avec jusqu'à 150 000 dollars de dommages statutaires par œuvre contrefaite délibérément. La plainte chiffre l'enjeu en « centaines de millions de dollars ».
Le droit du travail a eu son précédent aussi. Le 16 juin, la juge fédérale Rita Lin a rejeté pour l'essentiel la demande de Workday visant à écarter l'action de Derek Mobley, en retenant que l'éditeur d'un outil de tri de candidatures peut être poursuivi comme « agent » des employeurs, y compris pour des clients situés hors de Californie. La responsabilité au fond reste à établir, mais la ligne de défense du simple fournisseur de logiciel est tombée.
Trois obligations concrètes pour les entreprises dès maintenant
Pour un déployeur européen, la rentrée a un contenu précis. Tout système qui dialogue avec le public doit se déclarer comme tel, tout contenu généré doit être marqué et tout hypertrucage étiqueté, en Europe comme en Californie, avec des seuils et des sanctions différents. Pour un acheteur de modèles, les questions posées par le Bureau de l'IA à ses fournisseurs deviennent les siennes : quelles évaluations externes existent, comment le modèle est-il surveillé après déploiement, le résumé des contenus d'entraînement a-t-il été publié. Pour une direction juridique, le jugement de Munich et le règlement Anthropic donnent un ordre de grandeur à la responsabilité héritée en intégrant un modèle entraîné sur des données non licenciées.
L'exécution a commencé par le papier. Demandes d'informations, obligations de conservation, injonctions de production, désignations, code signé. Aucune amende de l'AI Act n'a été prononcée, aucune action des procureurs n'a atteint un tribunal, et la préemption fédérale américaine reste un projet. Au 1er septembre, la page « Enforcement of the AI Act » de la Commission, mise à jour le 24 août, décrit les pouvoirs du Bureau de l'IA sans mentionner une seule procédure ouverte.