Fin septembre 2026, la Maison-Blanche a présenté le « Joint Commitment on Frontier Responsibilities », un engagement commun signé par Anthropic, Google, Meta, Nvidia, OpenAI et xAI. Le président des États-Unis l’a qualifié d’engagement moralement contraignant, selon l’IAPP. Aucun mécanisme d’application n’a été annoncé. Pour une organisation européenne qui utilise des modèles d’IA américains dans ses outils, la question est simple : ce texte modifie-t-il ses propres obligations ?
Le contenu de l’engagement
Le plan présenté par la Maison-Blanche comporte quatre volets. Les signataires prévoient des contrôles pour surveiller les capacités et l’alignement de leurs modèles. Ils s’engagent à donner au personnel de supervision les moyens d’empêcher qu’un modèle pirate des systèmes ou y accède de façon non prévue. Des évaluations seront confiées à des tiers indépendants. Un comité indépendant, au niveau du conseil d’administration, examinera les rapports internes sur ces contrôles. L’IAPP décrit l’accord comme une solution d’attente, faute de loi fédérale sur le sujet.
Le 29 septembre 2026, le président a aussi signé le décret n° 14434, intitulé « Inaugurating the Era of Super Intelligence ». Son objet est terminologique. Les administrations fédérales doivent employer « Super Intelligence » (SI) à la place de « Artificial Intelligence » dans leurs communications, sans réécrire les textes existants. La définition reste celle de la loi fédérale en vigueur, et le conseiller scientifique du président dispose de 60 jours pour proposer une définition législative. Le texte du décret précise qu’il ne crée aucun droit opposable. Il ne contient ni règle de sécurité ni obligation pour les entreprises. Pour un lecteur européen, il change seulement le vocabulaire des documents officiels américains.
Le cadre européen applicable aux modèles d’IA américains
Dans l’Union, le règlement (UE) 2024/1689, dit AI Act, impose depuis le 2 août 2025 des obligations aux fournisseurs de modèles d’IA à usage général mis sur le marché européen, quel que soit leur pays d’établissement. Ils doivent tenir une documentation technique, informer les fournisseurs qui intègrent leurs modèles, appliquer une politique de respect du droit d’auteur et publier un résumé des données d’entraînement. Un fournisseur établi hors de l’Union désigne un mandataire dans l’Union.
Pour les modèles présentant un risque systémique, présumé au-delà de 10^25 opérations de calcul pour l’entraînement, s’ajoutent l’évaluation du modèle avec des tests adverses, l’atténuation des risques, le signalement des incidents graves au Bureau de l’IA et la protection de la cybersécurité. Le texte donne à la Commission un pouvoir de sanction à l’égard de ces fournisseurs à partir du 2 août 2026. Plusieurs signataires de l’engagement américain ont par ailleurs adhéré au code de bonnes pratiques européen pour l’IA à usage général, publié en juillet 2025.
Ce que le déployeur européen doit continuer de vérifier
Sur le plan des obligations, l’engagement américain ne change rien pour un organisme européen. Il ne s’applique pas en Europe et ne donne au client aucune garantie qu’il pourrait faire valoir. Les obligations d’un organisme qui utilise un modèle américain, directement ou à travers un logiciel métier, restent celles du RGPD et de l’AI Act côté déployeur.
- Qualifier le fournisseur au regard du RGPD (le plus souvent sous-traitant pour une offre professionnelle) et signer un contrat conforme à l’article 28.
- Encadrer les transferts vers les États-Unis : adhésion du fournisseur au Data Privacy Framework ou clauses contractuelles types, avec une analyse documentée.
- Inscrire chaque usage au registre des traitements et mener une AIPD lorsque le traitement le justifie.
- Assurer la maîtrise de l’IA par le personnel (article 4 de l’AI Act) et la transparence envers les personnes qui interagissent avec un système d’IA ou reçoivent un contenu généré (article 50).
- Vérifier si l’usage relève d’un domaine à haut risque, comme le recrutement, et préparer les obligations correspondantes.
- Demander à l’éditeur du logiciel la documentation transmise par le fournisseur du modèle, et la conserver avec le contrat.
Dans les faits, le modèle américain arrive rarement seul. Il est intégré dans un logiciel de gestion, une messagerie, un outil de prise de notes ou un module de relation usagers. Le contrat est alors signé avec l’éditeur de ce logiciel, qui doit pouvoir dire quel modèle il utilise, où les données sont traitées et si elles servent à l’entraînement. Ces réponses figurent rarement dans la documentation commerciale ; il faut les demander par écrit.
La différence de méthode a un effet concret pour le déployeur. Une mesure de sécurité annoncée volontairement peut être modifiée ou abandonnée sans procédure. Une garantie qui compte vraiment pour l’organisme doit donc figurer dans son contrat signé, ou découler d’une obligation européenne opposable au fournisseur. Lors d’un contrôle, ce sont ces documents qui seront examinés.
Le réseau DPO FRANCE réunit des DPO indépendants qui aident les organismes à encadrer l’usage de modèles d’IA fournis hors de l’Union. Le logiciel DPO SUITE recense les systèmes d’IA utilisés, les rattache au registre, aux contrats et aux analyses de transfert, et garde la documentation des fournisseurs disponible pour un contrôle.
