AI Act et open source : quelles obligations pour un modèle LLM publié en open source ?

L'idée reçue la plus dangereuse de l'AI Act

Beaucoup de développeurs pensent qu'en publiant leur modèle sous licence MIT ou Apache sur Hugging Face, ils s'exemptent automatiquement de l'AI Act. C'est faux — et partiellement vrai.

L'AI Act (règlement (UE) 2024/1689) prévoit effectivement un régime allégé pour les modèles open source, mais avec des conditions précises et des obligations qui subsistent.

Cadre juridique : qui est fournisseur GPAI ?

L'article 3, point 63 de l'AI Act définit un modèle GPAI comme un modèle entraîné sur de grandes quantités de données, présentant une généralité significative, capable d'effectuer un large éventail de tâches. Les LLM de type Llama, Mistral, Falcon, GPT entrent dans cette catégorie.

L'article 53 §1 impose aux fournisseurs de modèles GPAI :

Documentation technique (Annexe XI).
Informations aux intégrateurs en aval.
Politique de respect du droit d'auteur.
Publication d'un résumé des données d'entraînement.

L'exemption open source : conditions strictes

L'article 53 §2 prévoit une exemption partielle pour les modèles GPAI open source. Les conditions sont cumulatives :

1. Les poids du modèle doivent être publiés sous une licence ouverte permettant l'accès, l'usage, la modification et la distribution.

2. La publication doit être publique et accessible à tous (pas de liste blanche ou de restriction à des partenaires sélectionnés).

3. La documentation doit être suffisamment détaillée pour permettre l'utilisation.

Ce que l'exemption couvre

Si ces conditions sont réunies, les obligations d'information aux intégrateurs en aval (Art. 53 §1 b)) et la documentation technique détaillée (Art. 53 §1 c)) sont allégées.

Ce que l'exemption ne couvre PAS

Même pour un modèle 100% open source, subsistent :

1. La politique de respect du droit d'auteur (Art. 53 §1 d)) — obligatoire même en open source.

2. Le résumé des données d'entraînement (Art. 53 §1 d)) — divulgation publique requise.

3. Toutes les obligations des modèles à risque systémique (Art. 55) si le modèle dépasse 10²⁵ FLOPs — aucune exemption open source pour les modèles à risque systémique.

Seuil de risque systémique : 10²⁵ FLOPs

L'article 51 de l'AI Act fixe le seuil de risque systémique à 10²⁵ opérations en virgule flottante (FLOPs) pour l'entraînement.

À titre de référence :

GPT-3 (175B paramètres) : ~3,14 × 10²³ FLOPs → sous le seuil.
GPT-4 (estimation) : probablement au-dessus du seuil.
Llama 3 70B : ~1-2 × 10²⁴ FLOPs → sous le seuil.
Un modèle de 70 milliards de paramètres entraîné sur 5 × 10²⁴ FLOPs → sous le seuil (mais proche).

Dès que vous dépassez 10²⁵ FLOPs, même open source, vous entrez dans les obligations renforcées :

Évaluation adversariale (red teaming) par des experts indépendants.
Suivi et déclaration des incidents graves à l'AI Office.
Protection de la cybersécurité du modèle et de l'infrastructure.

Cas pratique : un LLM de 70B publié sur Hugging Face

Imaginons votre situation : vous développez un modèle de 70 milliards de paramètres, entraîné avec environ 5 × 10²⁴ FLOPs, et vous prévoyez de le publier en open source (poids + code).

Analyse

Question

Réponse

|---|---|

Est-ce un modèle GPAI ?	✅ Oui — généralité significative, multitâche
Dépasse-t-il 10²⁵ FLOPs ?	❌ Non (5 × 10²⁴ < 10²⁵)
Risque systémique ?	❌ Non
Exemption open source applicable ?	✅ Partiellement

Obligations qui subsistent

Même avec l'exemption open source et en dessous du seuil de risque systémique :

1. Politique de respect du droit d'auteur : documentez votre approche (robots.txt lors du crawl, opt-out honoré, etc.).

2. Résumé des données d'entraînement : publiez les catégories de données, sources, filtres appliqués — pas nécessairement un inventaire exhaustif, mais suffisamment détaillé.

3. Model card : bonne pratique documentaire fortement recommandée (capacités, limites, cas d'usage déconseillés).

Ce que vous n'avez pas à faire

Pas de documentation technique détaillée Annexe XI complète (exemption open source).

Pas de red teaming obligatoire (sous le seuil systémique).
Pas d'enregistrement obligatoire dans la base UE (pas haut risque).

Récapitulatif des obligations selon le cas

Scénario

Documentation Annexe XI

Résumé données

Droit d'auteur

Red teaming

|---|---|---|---|---|

GPAI open source < 10²⁵ FLOPs	Allégée	✅ Obligatoire	✅ Obligatoire	❌ Non
GPAI propriétaire < 10²⁵ FLOPs	✅ Complète	✅ Obligatoire	✅ Obligatoire	❌ Non
GPAI open source > 10²⁵ FLOPs	✅ Complète	✅ Obligatoire	✅ Obligatoire	✅ Obligatoire

Calendrier d'application

Les obligations GPAI (chapitre V, Art. 51-56) sont applicables depuis le 2 août 2025. Les modèles déjà sur le marché avant cette date bénéficient d'une période de grâce jusqu'au 2 août 2027 (Art. 111 §3).

Besoin d'une analyse précise de votre situation ? Posez votre question au consultant CompliAI — réponses sourcées sur l'AI Act en moins de 30 secondes.