L''AI Act prévoit bien une exemption pour l''IA open source, mais elle protège les fournisseurs de modèles, pas les entreprises qui les utilisent. Si votre PME déploie un modèle libre en interne, cette exemption ne change presque rien à vos obligations.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
L''AI Act prévoit bien une exemption pour l''IA open source, mais elle protège les fournisseurs de modèles, pas les entreprises qui les utilisent. Si votre PME déploie un modèle libre en interne ou l''appelle via une API, cette exemption ne change presque rien à vos obligations. Voici où passe réellement la frontière.
Le règlement UE 2024/1689 écarte de son champ d''application les systèmes d''IA diffusés sous licence libre et open source, sauf trois exceptions majeures. L''article 2, paragraphe 12, réserve l''exemption aux systèmes qui ne sont ni mis sur le marché comme systèmes à haut risque, ni concernés par les pratiques interdites de l''article 5, ni soumis aux obligations de transparence de l''article 50.
Autrement dit, l''exemption s''évapore dès que le système fait quelque chose de sensible. Un modèle open source utilisé pour trier des candidatures reste un système à haut risque au sens de l''annexe III : la licence ne change rien à la qualification. Un agent conversationnel open source exposé à vos clients doit toujours signaler qu''il est une IA.
C''est la première erreur d''interprétation rencontrée en audit : des dirigeants persuadés qu''en choisissant un modèle libre, ils sortent du règlement. Le critère retenu par le législateur n''est pas la licence, c''est l''usage. Pour revoir la logique d''ensemble, l''article AI Act : qui est concerné ? détaille le périmètre, et le guide de conformité AI Act pour PME reprend la chaîne complète des obligations.
L''exemption open source s''adresse aux fournisseurs de modèles, c''est-à-dire aux organisations qui développent et publient un modèle. Une PME qui installe ou appelle ce modèle est un déployeur, et le régime du déployeur ne comporte aucune exemption open source.
La distinction est structurante :
Concrètement, si vous faites tourner un modèle libre sur un serveur loué chez un hébergeur européen pour résumer vos comptes rendus de réunion, vous n''êtes pas fournisseur. Vous ne bénéficiez d''aucune exemption liée à la licence, et vous restez soumis à l''obligation de culture de l''IA prévue par l''article 4, au RGPD, et aux règles de transparence si le système interagit avec des personnes.
Beaucoup de modèles présentés comme open source ne publient que leurs poids, sous une licence qui restreint l''usage. Dans ses lignes directrices sur les modèles d''IA à usage général publiées le 18 juillet 2025, la Commission européenne précise que la licence doit garantir l''accès, l''usage, la modification et la distribution du modèle, et que le fournisseur d''origine ne doit pas utiliser ses droits de propriété intellectuelle pour restreindre l''usage ou le facturer.
| Situation | Poids publiés | Restrictions d''usage | Lecture au regard de l''exemption |
|---|---|---|---|
| Modèle sous licence permissive type Apache 2.0 | Oui | Aucune restriction commerciale | Remplit a priori le critère de licence |
| Modèle sous licence communautaire propre à l''éditeur | Oui | Seuils d''utilisateurs, politique d''usage acceptable | À qualifier au cas par cas, la mention open source ne suffit pas |
| Modèle propriétaire accessible via API | Non | Contrat commercial | Hors exemption |
Ce point n''est pas théorique. Si vous construisez un produit sur un modèle dont la licence impose des restrictions commerciales, vous héritez de ces restrictions, et vous ne pouvez pas invoquer un statut open source que le modèle n''a pas au sens du règlement. La règle pratique tient en une ligne : lisez la licence, pas la page marketing. Voir aussi les définitions de l''open source et d''un LLM.
Pour les modèles d''IA à usage général, l''exemption de l''article 53 est partielle et conditionnelle. Elle dispense le fournisseur de deux obligations seulement : établir la documentation technique du modèle, et fournir certaines informations aux fournisseurs de systèmes en aval. Quatre conditions doivent être réunies :
Deux obligations subsistent dans tous les cas : mettre en place une politique de conformité au droit d''auteur de l''Union, et publier un résumé suffisamment détaillé des contenus utilisés pour l''entraînement.
Sur la monétisation, la Commission retient une lecture large. Faire payer l''accès à une fonctionnalité essentielle, ou à des correctifs de sécurité, suffit à faire tomber l''exemption. Le montage gratuit en façade avec support payant obligatoire ne passe pas.
Si vous affinez un modèle open source et que vous mettez le résultat sur le marché sous votre nom ou votre marque, vous pouvez devenir fournisseur au sens du règlement, avec les obligations correspondantes.
Le cas typique : une PME de services procède à un fine-tuning sur ses propres données métier, puis commercialise l''assistant obtenu auprès de ses clients. Ce n''est plus un usage interne. Selon la destination donnée au système, l''entreprise peut basculer dans le régime fournisseur, et si l''usage relève de l''annexe III, dans le régime haut risque décrit dans l''article 6.
Le réflexe à prendre avant tout projet de ce type : écrire noir sur blanc qui met le système sur le marché, sous quelle marque, et pour quelle finalité déclarée. Cinq lignes de qualification évitent des mois d''arbitrage interne. La méthode est détaillée dans cartographier ses systèmes IA, et les conséquences financières d''une erreur de qualification sont chiffrées dans sanctions AI Act.
Le paquet Digital Omnibus reporte l''application des obligations haut risque au 2 décembre 2027 pour les systèmes autonomes de l''annexe III, et au 2 août 2028 pour l''IA intégrée dans des produits déjà réglementés. L''article 4 sur la culture de l''IA et l''article 50 sur la transparence ne sont pas décalés.
Pour un projet open source, cela signifie du temps supplémentaire sur la partie documentaire lourde, mais aucun répit sur les deux obligations qui touchent le plus les PME au quotidien : former les personnes qui utilisent l''IA, et indiquer à leurs interlocuteurs qu''ils s''adressent à une machine. Le calendrier AI Act complet reprend toutes les dates applicables.
Faire tourner un modèle libre sur une infrastructure européenne règle une bonne partie du sujet transferts de données, pas le sujet conformité AI Act. Les deux textes ne poursuivent pas le même objectif, comme l''explique la comparaison AI Act vs RGPD.
L''auto-hébergement vous apporte la maîtrise du lieu de traitement, l''absence d''envoi de données à un tiers hors Union, et une traçabilité fine des accès. Il ne vous apporte ni dispense de formation, ni dispense de transparence, ni dispense de qualification du risque. Méfiez-vous aussi du raccourci hébergé en France donc souverain : un fournisseur de cloud soumis au droit d''un pays tiers peut le rester même lorsque les serveurs sont situés en Europe, un point à faire trancher par votre conseil juridique avant de choisir. Voir également la fiche RGPD et l''article évaluation de conformité AI Act.
Chez GrowthPerf, organisme de formation certifié Qualiopi, nous traitons la question open source comme une question d''usage, pas de licence. Cela prend la forme de trois livrables : une cartographie des systèmes d''IA réellement utilisés dans l''entreprise, y compris les outils installés par les équipes sans validation, une qualification fournisseur ou déployeur pour chaque système, et une formation des équipes qui répond à l''obligation de l''article 4.
Nos programmes d''acculturation IA et d''IA opérationnelle sont finançables par les OPCO. Si vous préférez avancer par vous-même, la newsletter GrowthPerf couvre chaque semaine les évolutions réglementaires et les cas d''usage concrets côté PME. Le guide AI Act pour PME reste le point d''entrée pour poser les bases.
Un modèle open source est-il exempté de l''AI Act ? Non, pas en tant que tel. L''exemption de l''article 2, paragraphe 12, tombe dès que le système est mis sur le marché comme système à haut risque, relève des pratiques interdites de l''article 5, ou entre dans le champ des obligations de transparence de l''article 50. C''est l''usage qui décide, pas la licence.
Ma PME utilise un modèle open source en interne. Suis-je concerné ? Oui, en qualité de déployeur. Vous devez notamment assurer un niveau suffisant de culture de l''IA auprès des personnes qui utilisent le système, respecter le RGPD sur les données traitées, et informer les personnes lorsque le système interagit avec elles.
Quelle différence entre open source et open weights ? Un modèle open weights publie ses paramètres, mais sa licence peut restreindre l''usage, la modification ou la redistribution. Un modèle open source au sens du règlement doit permettre l''accès, l''usage, la modification et la distribution sans que le fournisseur n''utilise ses droits de propriété intellectuelle pour restreindre ou facturer l''usage.
Un modèle open source à risque systémique bénéficie-t-il de l''exemption ? Non. Dès qu''un modèle à usage général est qualifié de modèle présentant un risque systémique, l''exemption ne s''applique plus, quelle que soit sa licence.
Puis-je faire payer un service construit sur un modèle open source ? Oui. La condition de non-monétisation porte sur le modèle publié par son fournisseur, pas sur les services que vous construisez avec. En revanche, vérifiez la licence du modèle, qui peut prévoir ses propres restrictions commerciales.
Le report des obligations haut risque me laisse-t-il tranquille jusqu''en 2027 ? Non. Le report concerne les obligations propres aux systèmes à haut risque. L''obligation de culture de l''IA de l''article 4 et les obligations de transparence de l''article 50 continuent de s''appliquer sans décalage.
Que faire en premier si je pars de zéro ? Listez les systèmes d''IA utilisés dans l''entreprise, y compris les outils gratuits installés par les équipes, puis qualifiez chacun d''eux : fournisseur ou déployeur, usage sensible ou non. Cette cartographie conditionne tout le reste du plan de conformité.