La Commission européenne tient à jour la liste des signataires du Code de bonnes pratiques pour l'IA à usage général. Pour une ETI qui achète des modèles de langage, cette liste n'est pas un détail administratif : elle conditionne la robustesse de sa propre conformité.
Le General-Purpose AI Code of Practice (code de bonnes pratiques pour l'IA à usage général, ou GPAI CoP) a été publié par le Bureau de l'IA de la Commission européenne le 10 juillet 2025, un mois avant que les obligations GPAI de l'AI Act ne deviennent juridiquement contraignantes. Il reste la principale voie pour les fournisseurs de modèles d'IA à usage général de démontrer leur conformité avec le règlement européen. Le texte s'organise en trois chapitres distincts. Transparence, Copyright, et Sécurité et Sûreté. Les deux premiers chapitres s'appliquent à tous les fournisseurs de GPAI, tandis que le chapitre Sécurité et Sûreté, le plus étoffé, s'applique uniquement aux modèles GPAI présentant un risque systémique, avec un processus de gestion des risques qui doit être appliqué avant toute décision de déploiement majeur. Le mécanisme juridique qui rend ce code attractif pour les fournisseurs tient à l'article 53(4) de l'AI Act. Il n'est pas obligatoire, mais pour les fournisseurs qui le signent, il constitue la principale voie pratique pour démontrer leur conformité aux obligations GPAI du règlement. Autrement dit, signer le code crée une présomption de conformité : le fournisseur n'a pas à prouver point par point, auprès du Bureau de l'IA, qu'il respecte chaque obligation légale. À l'inverse, ne pas signer n'exempte pas le fournisseur de l'AI Act. Un non-signataire doit démontrer sa conformité aux obligations GPAI du règlement par d'autres moyens adéquats, sous l'appréciation de la Commission, plutôt que de s'appuyer sur la présomption de conformité du code. C'est précisément ce différentiel de charge de la preuve qui doit intéresser les équipes data et juridiques des ETI dans leur sélection de fournisseurs.
La liste officielle de la Commission a été mise à jour début octobre 2026. Le 7 octobre 2026, la Commission européenne a mis à jour la liste officielle des signataires, confirmant 19 signataires : Amazon, Anthropic, Black Forest Labs, Bria AI, Cohere, Domyn, Dweve, Fastweb, Google, IBM, LINAGORA, Microsoft, Mistral AI, Open Hippo, OpenAI, Pleias, Reflection AI, ServiceNow et WRITER figurent également sur la page officielle de la Commission, qui précise que certains signataires peuvent ne pas apparaître immédiatement, la liste étant mise à jour en continu. Le cas le plus commenté reste celui de Meta. Depuis janvier 2026, Meta est l'entreprise la plus notable à avoir refusé de signer le code. Le groupe a justifié publiquement ce choix : « Nous avons examiné attentivement le code de bonnes pratiques de la Commission européenne pour les modèles d'IA à usage général (GPAI) et Meta ne le signera pas ». La Commission n'a pas caché que ce choix aurait des conséquences : elle a indiqué qu'elle pourrait prendre des mesures plus sévères contre les entreprises qui n'ont pas signé le code. L'adhésion n'est pas non plus binaire. xAI illustre une position intermédiaire : xAI, par exemple, n'a signé que le chapitre Sécurité et Sûreté, ce qui signifie que l'entreprise devra démontrer sa conformité aux obligations de transparence et de droit d'auteur de l'AI Act par d'autres moyens adéquats. Pour une ETI qui compare des fournisseurs, ce niveau de granularité — signature totale, partielle, ou absence de signature — doit figurer dans la grille d'évaluation, au même titre que les clauses contractuelles classiques (voir notre offre d'accompagnement réglementaire).
Le calendrier réglementaire a basculé dans sa phase pleinement contraignante. Le code est volontaire, mais il repose sur des obligations qui ne le sont pas : depuis le 2 août 2026, la Commission peut faire respecter directement les obligations des fournisseurs GPAI et infliger des amendes en cas de non-conformité. Cette échéance avait été anticipée dès la publication du code en 2025, qui prévoyait une période de grâce pour l'application des obligations GPAI par le Bureau de l'IA courant jusqu'au 2 août 2026. Les montants en jeu ne sont pas symboliques. La Commission européenne peut infliger une amende allant jusqu'à 3 % du chiffre d'affaires annuel mondial de l'exercice précédent, ou 15 millions d'euros, le montant le plus élevé des deux étant retenu. Pour un fournisseur dont le chiffre d'affaires mondial dépasse plusieurs milliards d'euros, le plafond réel se chiffre donc en centaines de millions. Début octobre 2026, l'AI Office a d'ailleurs ouvert sa première enquête formelle visant des fournisseurs majeurs de modèles généralistes, signe que le dispositif de contrôle n'est plus seulement déclaratif. La gouvernance du code s'est elle aussi structurée. Le 30 janvier 2026, les signataires ont tenu la première réunion d'un groupe de travail permanent, la Signatory Taskforce, chargé d'arbitrer l'interprétation et la mise à jour des engagements du code. Cette instance, présidée par le Bureau de l'IA, est désormais le lieu où se négocient les ajustements pratiques du texte — un signal que le code n'est pas figé mais évolue au fil des retours d'expérience des fournisseurs et des régulateurs.
Les ETI doivent distinguer le GPAI Code of Practice d'un autre instrument, publié plus récemment et souvent confondu avec lui : le Code of Practice on Transparency of AI-generated Content, que près de 190 organisations ont signé avant l'entrée en application des obligations légales correspondantes, ce code détaillant les mesures destinées à aider fournisseurs et déployeurs de systèmes d'IA générative à respecter les obligations de marquage et d'étiquetage des contenus générés par IA. Ce code se divise en deux volets distincts, qui ne concernent pas les mêmes acteurs. Il compte environ 190 signataires, dont 82 au titre de la section 1, celle des fournisseurs de systèmes génératifs, et 152 au titre de la section 2, celle des organisations qui les déploient. Cette distinction est cruciale pour une ETI : une entreprise qui se contente d'utiliser un chatbot ou un générateur d'images relève de la section déployeurs, quand bien même elle n'édite aucun modèle. Côté déployeurs, la liste reste pour l'instant peu fournie en grandes entreprises non technologiques. La liste est nettement plus hétérogène : Fastweb, Iberdrola, Lenovo, Deutsche Lufthansa, le grand magasin allemand E. Breuninger, la Banque nationale de Roumanie, la Cour des comptes européenne, et Bulgari, que la Commission cite en exemple dans son communiqué. Peu d'ETI françaises y figurent à ce stade, ce qui laisse un espace de différenciation pour celles qui choisiraient d'anticiper.
Trois conséquences pratiques découlent de cette cartographie des signataires.
Pour une direction data ou un DSI d'ETI, l'enjeu n'est pas de suivre la liste des signataires comme un indicateur boursier, mais d'intégrer ce critère dans la gouvernance des achats IA : grille de sélection des fournisseurs, clauses contractuelles de conformité, cartographie des usages par modèle. Le rythme des mises à jour réglementaires — nouvelle liste de signataires en octobre, premières enquêtes de l'AI Office, Signatory Taskforce installée en janvier — montre que ce dossier continuera de bouger au moins jusqu'à la fin de la période transitoire. Les équipes qui structurent dès maintenant leur veille et leur documentation interne limiteront le risque d'être prises de court lors d'un contrôle ou d'un audit client. C'est le sens de l'accompagnement que propose notre cabinet aux directions data confrontées à ces arbitrages.
Nous utilisons des cookies de mesure d'audience et de suivi publicitaire pour comprendre la fréquentation du site et l'efficacité de nos annonces. Rien n'est déposé sans votre accord. En savoir plus