L'ENISA et le JRC testent des modèles chinois open-weight, confirment trois responsables européens

Deux organismes de l'Union européenne ont commencé à évaluer des modèles d'IA chinois aux poids ouverts. L'agence de l'UE pour la cybersécurité ENISA et le Centre commun de recherche de la Commission européenne (JRC), son service scientifique interne, testent ces systèmes, selon Politico. Trois responsables de l'UE ont confirmé l'information. Jusqu'ici, aucune des deux structures n'avait parlé publiquement de ce travail.

L'annonce est brève, mais elle illustre l'évolution du regard de Bruxelles sur l'IA chinoise. Celle-ci était jusqu'à présent jugée surtout sous l'angle des interdictions et des mises en garde. Elle commence désormais à être étudiée comme un objet technique.

Ce que l'on sait des tests

D'après la partie accessible de l'article, le tableau est le suivant :

• deux structures mènent les tests : l'ENISA et le Joint Research Centre ;
• objet de l'évaluation : des modèles ouverts de développeurs chinois ;
• sources : une publication de Politico et trois responsables de l'UE qui ont confirmé ce travail ;
• statut : c'est la première reconnaissance publique de ce travail par les deux organismes ;
• non communiqués : la liste des modèles, la méthodologie, le calendrier et l'usage qui sera fait des résultats.

Le dernier point est important. On ignore pour l'instant s'il s'agit d'un audit de sécurité, d'une comparaison des capacités avec les modèles occidentaux ou de la préparation de recommandations pour les institutions de l'UE. Sans ces précisions, toute conclusion sur les conséquences politiques reste une hypothèse.

Pourquoi l'open-weight en particulier

Les modèles open-weight sont publiés dans leur intégralité : on peut télécharger les poids, les déployer sur son propre matériel et les analyser. Pour un régulateur ou un chercheur, c'est une différence fondamentale avec une API fermée. Le modèle peut tourner dans un environnement isolé et passer par des batteries de tests maison. On peut y chercher des comportements indésirables, mesurer sa résistance aux jailbreaks, vérifier sa réaction face à des sujets politiquement sensibles et évaluer les risques dans des scénarios agentiques.

Avec le service cloud d'un tiers, ce type de vérification est impossible. Les données sortent du périmètre et le fonctionnement interne du modèle reste invisible. Avec des poids ouverts, la question de la confiance demeure, à la fois envers les poids eux-mêmes et envers l'écosystème qui les entoure, mais on peut l'étudier de façon empirique.

Les laboratoires chinois publient activement de tels modèles. Les développeurs du monde entier, y compris en Europe, les utilisent largement, car on peut les affiner et les héberger soi-même. Pour l'ENISA, chargée de la cyber-résilience, et pour le JRC, qui conseille la Commission européenne sur les questions scientifiques, c'est un sujet d'intérêt naturel.

Le contexte pour le marché européen

Les régulateurs européens se sont déjà confrontés à l'IA chinoise. Début 2025, l'autorité italienne de protection des données a restreint DeepSeek, et les autorités allemandes ont demandé à Apple et à Google de retirer son application de leurs boutiques. Ces affaires concernaient avant tout les services et le traitement des données personnelles. Le test de poids ouverts relève d'une autre couche : ce qui compte ici n'est pas le sort d'une application, mais les propriétés du modèle lui-même.

Par ailleurs, l'UE dispose de l'AI Act, qui impose des obligations aux fournisseurs de modèles à usage général. On ne sait pas encore comment les données recueillies par l'ENISA et le JRC pourraient s'articuler avec son application.

Que faire pour les équipes qui utilisent déjà ces modèles ?

Si vous développez des produits sur des modèles open-weight chinois, n'attendez pas les conclusions de Bruxelles. Plusieurs mesures peuvent être prises dès maintenant :

• Vérifier la licence de chaque modèle, y compris les restrictions sur l'usage commercial et le territoire.
• Exécuter le modèle en local ou dans un cloud de confiance. Les données ne partent pas chez le développeur et vous contrôlez la version.
• Constituer votre propre batterie de tests de sécurité et de qualité. Elle vous servira lors de tout audit externe.
• Figer les versions des poids et les sources de téléchargement. Cela facilitera la vérification si l'ENISA ou le JRC publient des recommandations.
• Suivre les publications des deux organismes. Leurs conclusions, si elles deviennent publiques, deviendront vite une référence pour les acheteurs et les services de conformité.

Pour l'instant, le fait majeur est que l'UE est passée de la réaction face à l'IA chinoise à son étude. Les résultats de ce travail détermineront si les futures exigences sur l'usage de ces modèles en Europe seront strictes ou, au contraire, pragmatiques.