Un vendeur qui réclame des règles pour son propre produit attire l'attention. C'est exactement ce qu'a fait OpenAI en septembre 2026, avec une note de politique publique soutenant que la fenêtre d'action sur l'IA avancée reste ouverte pour peu de temps. Le texte plaide pour des preuves de sûreté plus solides, des standards partagés, des évaluations robustes et une coopération internationale. On pourrait y voir un accès de lucidité industrielle.

Je propose une lecture moins flatteuse et plus utile. Réclamer sa régulation n'est pas un aveu de faiblesse, c'est une manière de prendre la plume avant les autres. Celui qui écrit la règle en fixe le seuil, le périmètre et le calendrier. Rien de scandaleux là-dedans. Toute organisation qui pèse défend ses intérêts par des moyens légaux. Le faire ouvertement vaut mieux que de le faire en coulisse. Le problème commence quand un dirigeant lit cette note comme un bulletin météo sur son propre risque.

Pourquoi un fournisseur réclame sa propre régulation

Parce que la règle qui arrive de toute façon vaut mieux écrite par soi que subie. Un acteur dominant qui appelle à la régulation ne demande pas qu'on le freine, il demande qu'on fixe le niveau du seuil au bon endroit. Cette mécanique est documentée depuis longtemps en économie publique sous le nom de capture réglementaire, théorisée par George Stigler en 1971, laquelle n'exige aucune malveillance pour fonctionner.

Trois avantages qu'obtient celui qui écrit la règle en premier

• Il fixe le seuil. Un cadre qui ne s'applique qu'aux laboratoires disposant de ressources considérables devient un coût fixe. Les acteurs installés l'absorbent, les entrants beaucoup moins.
• Il choisit le niveau. Un cadre national unique remplace une mosaïque de règles locales. La simplification est réelle pour l'industrie, la perte de diversité normative l'est aussi.
• Il fixe le tempo. Déclarer que la fenêtre se referme crée une urgence qui favorise celui qui a déjà son texte prêt, en raccourcissant le temps de délibération des autres.

Rien de tout cela ne rend la démarche illégitime. Les propositions portées par les laboratoires sur les évaluations de capacités, la remontée d'incidents et la cybersécurité sont sérieuses sur le fond. Elles méritent d'être discutées pour ce qu'elles valent, sans procès d'intention et sans naïveté non plus.

Celui qui vend la technologie et qui rédige sa régulation occupe les deux sièges de la table. Ce n'est pas une accusation, c'est une donnée de départ pour lire ce qu'il écrit.

Quel périmètre cette demande dessine-t-elle ?

Elle dessine un périmètre étroit, centré sur les modèles les plus capables et sur les laboratoires qui les entraînent. Les développeurs modestes, les chercheurs et les entreprises utilisatrices restent volontairement en dehors. C'est cohérent avec la logique de sûreté défendue. C'est aussi ce qui explique pourquoi ce débat ne dit rien de votre exposition.

Ce que la loi américaine a déjà retenu comme seuil

La Californie a promulgué le 29 septembre 2025 le Transparency in Frontier Artificial Intelligence Act, entré en application le 1er janvier 2026. Le texte cible les développeurs de modèles entraînés au-delà d'un seuil de calcul, impose la publication d'un cadre de sûreté, la déclaration des incidents critiques et protège les lanceurs d'alerte. Il ne crée aucune obligation pour l'entreprise qui se contente d'utiliser ces modèles.

Au niveau fédéral, le décret Ensuring a National Policy Framework for Artificial Intelligence, signé le 11 décembre 2025 et publié au Federal Register le 16 décembre 2025, pousse dans le sens inverse de la fragmentation en cherchant à écarter les lois d'État jugées incompatibles avec la politique fédérale. Demander un cadre fédéral revient donc à demander autre chose qu'un simple relèvement du niveau de sûreté. Cela revient à demander un guichet unique.

Le point aveugle pour une organisation utilisatrice

Aucun de ces textes ne vous concerne directement si vous consommez des modèles plutôt que de les entraîner. Le risque que vous portez n'est pas celui d'une capacité dangereuse émergente. C'est celui d'une décision automatisée mal cadrée, d'une donnée sortie du périmètre, d'un contenu publié sans mention, d'un salarié qui utilise un outil dont personne n'a validé l'usage. Ce risque-là relève d'un tout autre corpus, déjà applicable.

Qu'est-ce que l'Europe a réellement reporté en juillet 2026 ?

Elle a reporté la partie lourde, pas la partie quotidienne. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026, modifie le calendrier du règlement (UE) 2024/1689 sur l'intelligence artificielle. Les obligations sur les systèmes à haut risque de l'annexe III, qui couvrent notamment l'emploi et la gestion des travailleurs, passent du 2 août 2026 au 2 décembre 2027. Celles de l'annexe I passent au 2 août 2028.

Une nuance mérite d'être posée. La réécriture de l'article 4 par le règlement de juillet 2026 remplace l'obligation de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA par celle de prendre des mesures favorisant son développement. Le changement de verbe n'est pas cosmétique, il déplace le curseur depuis un résultat attendu vers un effort démontrable. J'avais soutenu ailleurs que l'obligation de former à l'IA existe depuis février 2025 sans exiger de certification ni de niveau chiffré. Cette analyse reste valide. Elle devient simplement plus difficile à contester.

Qu'est-ce qui engage votre organisation aujourd'hui ?

Seul l'article 50 du règlement (UE) 2024/1689, applicable depuis le 2 août 2026, porte des obligations de transparence directement sanctionnables pour un utilisateur ordinaire de l'IA. Il impose trois choses concrètes.

Les trois obligations de transparence déjà en vigueur

1. Informer qu'on parle à une machine. Un système qui interagit directement avec des personnes doit leur signaler qu'elles s'adressent à une IA, sauf si cela ressort clairement du contexte. Cela vise vos agents conversationnels clients autant que vos assistants internes ouverts aux candidats ou aux fournisseurs.
2. Signaler les contenus générés. Les sorties audio, image, vidéo ou texte produites par une IA doivent être marquées dans un format lisible par machine. Les contenus manipulés de type deepfake et les textes publiés pour informer sur des questions d'intérêt public doivent être signalés comme tels, sauf relecture humaine assortie d'une responsabilité éditoriale assumée.
3. Prévenir en cas de reconnaissance d'émotions. Un déployeur qui utilise un système de reconnaissance d'émotions fondé sur des données biométriques doit informer les personnes exposées, en plus des obligations de protection des données.

Un délai de quatre mois court jusqu'au 2 décembre 2026 pour la mise en conformité technique du marquage des systèmes déjà mis sur le marché avant le 2 août 2026. C'est une transition, pas une suspension.

Ce que coûte un manquement

L'article 99, paragraphe 4, du règlement liste les manquements passibles d'une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total. L'article 50 figure dans cette liste. L'article 4 sur la maîtrise de l'IA n'y figure pas, ce qui ne le rend pas facultatif mais explique pourquoi il ne déclenche pas le même régime. Les pratiques interdites de l'article 5 relèvent d'un plafond supérieur, 35 millions d'euros ou 7 %.

Pourquoi l'incertitude réglementaire est un problème de management

Parce qu'elle produit de l'attentisme, qui se paie en usages non cadrés. Les chiffres du rapport AI Index 2026 de Stanford HAI décrivent précisément cet écart. L'adoption atteint 88 % des organisations sur au moins une fonction métier, selon l'enquête mondiale McKinsey publiée en novembre 2025 que reprend le rapport. Les incidents documentés dans l'AI Incident Database passent de 233 en 2024 à 362 en 2025. Le score moyen des développeurs de modèles de fondation sur l'indice de transparence redescend à 40 en 2025, après une progression de 37 à 58 les deux années précédentes. Et parmi les obstacles déclarés à un usage responsable, l'incertitude réglementaire pèse 41 %, derrière les lacunes de connaissance à 59 % et les contraintes budgétaires à 48 %.

Le même rapport signale une amélioration réelle. La part d'entreprises sans aucune politique d'IA responsable chute de 24 % à 11 %. Le geste est là. La question est de savoir ce que contiennent ces politiques. C'est exactement là que les chartes d'usage de l'IA se ressemblent toutes en oubliant les mêmes points. Une charte qui énonce des principes sans nommer de responsable, sans critère d'arrêt et sans procédure de signalement ne survit pas au premier incident.

Le vrai coût de l'attente

Attendre la stabilisation d'un texte revient à laisser chaque équipe arbitrer seule. Personne ne décide de ne pas cadrer, la décision se dissout simplement dans l'ordre du jour. Pendant ce temps les usages s'installent, rendant politiquement coûteux le fait de reprendre ce qui fonctionne. C'est le même mécanisme que celui qui laisse un cadre sur deux utiliser l'IA sans aucune règle écrite.

L'incertitude d'un texte ne suspend pas la responsabilité d'une direction. Elle la déplace vers ceux qui n'ont pas mandat pour l'exercer.

Quelles décisions ne peuvent plus attendre ?

Trois décisions tiennent indépendamment de l'état des textes, parce qu'elles portent sur votre organisation plutôt que sur le droit. Aucune ne demande un budget, toutes demandent un arbitrage.

Première décision, l'inventaire des usages réels

Recenser ce qui est effectivement utilisé, par qui, sur quelles données et pour quelle décision. Pas les outils achetés, les usages pratiqués. Tant que cet inventaire n'existe pas, aucune obligation ne peut être rattachée à un usage, aucun périmètre de risque ne peut être tracé, l'article 50 reste une abstraction. La difficulté n'est pas technique, elle est politique, parce qu'un inventaire honnête révèle des usages que personne n'a autorisés.

Deuxième décision, un responsable par usage

Nommer un responsable de l'IA au niveau de l'organisation rassure et ne protège personne. Ce qui tient, c'est une responsabilité rattachée à chaque usage, portée par la personne qui en tire le bénéfice métier. Elle répond du périmètre, des contrôles et du signalement. Cette logique rejoint ce que j'ai décrit en traitant les agents IA comme des équipiers dont le travail se discute plutôt que comme des outils qu'on installe.

Troisième décision, les critères d'arrêt écrits avant la généralisation

Définir à l'avance ce qui suspend un usage, qui prononce l'arrêt et dans quel délai. Un pilote sans critère d'arrêt ne s'arrête jamais, il devient permanent par absence de décision contraire. C'est aussi le point le plus simple à écrire. Quand un incident survient, l'organisation qui a rédigé ses critères d'arrêt gagne des semaines sur celle qui doit d'abord décider qui décide.

Ma conviction

Le débat sur l'IA de frontière est important, il n'est pas le vôtre. Il porte sur des capacités que vous n'entraînez pas, des seuils que vous ne franchissez pas et des risques systémiques dont vous n'êtes pas la source. Le suivre est légitime, en faire le thermomètre de votre propre exposition est une erreur de lecture. Votre risque tient à des choses beaucoup plus banales, un recrutement filtré par un modèle, un devis rédigé sans relecture, une donnée client collée dans une interface grand public.

La question posée aux dirigeants n'a d'ailleurs pas changé avec la réglementation. Elle porte sur la capacité à décider dans un environnement où l'information est incomplète et où l'attention et le jugement sont devenus les ressources rares. Ce que la fenêtre réglementaire change, c'est le coût de l'indécision. Il monte.