AI Act : prescription, enquêtes et accès au dossier — ce que prévoit le projet d’acte d’exécution

Un calendrier encore ouvert

Le 12 octobre 2026, la Commission européenne a publié pour consultation un projet de règlement d’exécution portant sur les procédures menées par le Bureau de l’IA au titre de l’AI Act (règlement (UE) 2024/1689). Le document, référencé Ares(2026)9589403, précise en particulier les délais de prescription des sanctions et les garanties procédurales (accès au dossier, secrets d’affaires). Le projet indique explicitement qu’il n’a pas été adopté ; les contributions sont recevables jusqu’au 9 novembre 2026. L’entrée en vigueur est prévue vingt jours après publication au Journal officiel, une fois le texte final adopté.

Qui relève du Bureau de l’IA ?

L’acte ne concerne pas toutes les entreprises qui utilisent l’IA. Il vise les opérateurs visés par l’article 75, paragraphe 1, tel que modifié par l’omnibus numérique : d’une part les systèmes fondés sur un modèle à usage général lorsque le modèle et le système sont développés par le même fournisseur (ou des entités du même groupe) ; d’autre part les systèmes qui constituent ou sont intégrés à une très grande plateforme en ligne ou à un très grand moteur de recherche désignés au titre du DSA. Les sanctions des autorités nationales pour les autres cas ne sont pas encadrées par ce projet.

Prescription : cinq ans, avec interruptions

L’article 75c, paragraphe 8, de l’AI Act fixe déjà une prescription de cinq ans pour que le Bureau puisse imposer une amende ou une astreinte, à compter du jour de l’infraction — ou du jour où une non-conformité continue ou répétée prend fin. Le projet d’article 4 détaille ce qui interrompt ce délai : demandes de documentation ou d’explications, accès pour évaluer un système, inspections, invitation à un dialogue structuré, ouverture ou réouverture d’une procédure. Chaque interruption relance un nouveau délai de cinq ans.

Une borne maximale est prévue : la prescription expire au plus tard lorsqu’un délai égal au double de la prescription initiale s’est écoulé sans qu’une amende ou astreinte ait été prononcée — soit dix ans en l’état du projet. Ce plafond peut être allongé du temps pendant lequel la prescription est suspendue (par exemple pendant un recours devant la Cour de justice de l’Union européenne contre une décision de la Commission, ou tant qu’une inspection sur site attend une autorisation judiciaire). Corriger une pratique ne suffit donc pas, à lui seul, à éteindre l’exposition si une enquête est ouverte ou relancée.

Exécution des sanctions et défense

Un second volet (article 5 du projet) encadre l’exécution des décisions : là encore, un délai de cinq ans à partir du jour où la décision devient définitive, avec interruptions en cas de recouvrement ou de variation du montant. Parallèlement, les articles 2 et 3 organisent l’accès au dossier après notification des constatations préliminaires : l’opérateur reçoit les pièces citées, expurgées des secrets d’affaires ; un accès sans expurgation peut être accordé à un nombre limité de conseils externes (juristes, économistes, experts techniques), sous engagement de confidentialité. Si l’un de ces conseils rejoint ensuite l’entreprise visée ou un concurrent actif sur les mêmes marchés dans les trois ans suivant la fin de l’enquête, la Commission doit en être informée.

• Cartographier si votre organisation entre dans le périmètre article 75(1) (modèle + système même groupe, ou intégration VLOP/VLOSE).
• Anticiper que toute sollicitation du Bureau (y compris un dialogue structuré) peut relancer le compteur de prescription.
• Préparer la défense avec des experts externes éligibles si l’accès au dossier complet est nécessaire pour contester une évaluation technique.
• Suivre la consultation jusqu’au 9 novembre et la version finale adoptée avant de figer vos hypothèses de risque réglementaire.