En janvier 2026, Grok a généré près de 3 millions d’images sexualisées en 11 jours, dont des milliers impliquant des mineurs. L’affaire a déclenché des enquêtes dans une douzaine de pays et influencé le vote du Parlement européen sur le Digital Omnibus. Ce cas illustre concrètement ce que l’AI Act interdit.
En bref
- Grok a généré 3 millions de deepfakes sexualisés en 11 jours début janvier 2026, dont des milliers de mineurs.
- Les systèmes "nudifier" sont directement interdits par l’Article 5 de l’AI Act depuis le 2 février 2025.
- Le Parlement européen a renforcé l’interdiction des "nudifier apps" lors du vote IMCO/LIBE du 18 mars 2026.
- La Commission européenne a ordonné à X de conserver tous les documents internes liés à Grok jusqu’à fin 2026 ; de nombreuses enquêtes ont été ouvertes.
- Toute entreprise utilisant un générateur d’images IA sans garde-fous s’expose aux mêmes risques, avec des obligations de transparence à partir d’août 2026.
- Le cas Grok prouve que l’AI Act vise à prévenir concrètement ces dérives, bien au-delà de la théorie.
Janvier 2026 marque un tournant dans la régulation de l’IA générative. En moins de quinze jours, Grok – l’IA d’image conçue par xAI, la société d’Elon Musk – a généré environ 3 millions d’images sexualisées sans consentement, incluant des personnalités publiques, des responsables politiques et des mineures. Ces contenus se sont répandus massivement sur X (anciennement Twitter), provoquant une onde de choc mondiale. Les autorités de pays tels que la France, l’Inde, le Royaume-Uni, l’Australie et le Brésil ont immédiatement ouvert des enquêtes. La Malaisie et l’Indonésie ont bloqué l’accès à la plateforme. Quant à la Commission européenne, elle a exigé la conservation de tous les documents internes de X jusqu’à la fin de 2026.
Pour compaia, cet événement n’est pas un simple fait divers technologique. Il illustre concrètement le type de dérives que l’**AI Act (Règlement UE 2024/1689)** vise à empêcher, et justifie l’existence de ces nouvelles obligations.
Deepfakes Grok : quels actes, quelles règles ?
La fonctionnalité incriminée était d’une simplicité redoutable : des utilisateurs soumettaient à Grok des photos de personnes réelles afin que l’IA les "déshabille" numériquement, les place dans des situations sexualisées, ou fabrique des contenus explicites à partir de leur image. Grok exécutait ces requêtes presque systématiquement. Une étude a révélé que l’IA n’a opposé aucun refus sur 60 demandes de création d’images électorales trompeuses, alors que ChatGPT, Claude ou Gemini refusaient ces requêtes dans 72 à 97 % des cas.
Cette technologie est connue sous le terme d’**application "nudifier"**. D’un point de vue réglementaire, sa qualification par l’AI Act ne laisse aucun doute.
Article 5 : pratiques interdites dès février 2025
L’**Article 5 du règlement AI Act** énumère les pratiques jugées à risque inacceptable, formellement prohibées dans l’Union européenne. Ces interdictions sont en vigueur depuis le **2 février 2025**, indépendamment du reste du calendrier de mise en œuvre du règlement.
Sont visés : les systèmes exploitant la vulnérabilité humaine pour provoquer des comportements préjudiciables, ainsi que ceux portant atteinte à la dignité de la personne. Un système générant des contenus sexualisés d’individus réels sans leur consentement s’inscrit pleinement dans cette catégorie.
Le Parlement européen a d’ailleurs renforcé cette interdiction lors du vote IMCO/LIBE du 18 mars 2026 sur le Digital Omnibus, en proposant d’**inscrire explicitement l’interdiction des "nudifier apps"** dans la liste des pratiques prohibées. Cette mesure ne crée pas une nouvelle obligation, mais clarifie une interdiction déjà en vigueur, rendue nécessaire par le précédent Grok.
Article 50 : transparence obligatoire sur les deepfakes à partir d’août 2026
Au-delà de l’interdiction pure, l’**Article 50§4** de l’AI Act impose à tous les systèmes d’IA génératifs une exigence de transparence : tout contenu audio ou visuel créé ou modifié par IA, destiné à ressembler à une personne réelle, doit être **clairement signalé comme synthétique**.
Cette obligation prend effet le **2 août 2026** et concerne :
- Les vidéos deepfakes représentant des personnes existantes
- Les images modifiées par IA de personnes identifiables
- Les audios imitant des voix réelles
- Toute création visuelle présentée comme authentique
L’affaire Grok démontre la nécessité de cette règle : sans signalement explicite, ces contenus circulent comme s’ils étaient authentiques, provoquant des atteintes à la réputation, à la santé psychologique et parfois physique des victimes.
Pourquoi Grok diffère-t-il de ses concurrents ?
L’affaire Grok ne se limite pas à une défaillance technique : elle découle d’un choix assumé de la plateforme. Là où OpenAI, Anthropic et Google ont instauré des filtres stricts – refus systématique des requêtes manipulatrices, blocage des images de personnes réelles, politiques d’utilisation détaillées – Grok a choisi une approche "anti-censure" revendiquée.
Sa politique d’utilisation, réduite à moins de 350 mots, transférait la responsabilité à l’utilisateur. Conséquence : là où ses concurrents rejettent 72 à 97 % des requêtes problématiques, Grok les acceptait quasiment toutes.
> Ce n’est pas un simple défaut technique, mais une décision de conception. Le règlement AI Act vise précisément à empêcher cela, en imposant des obligations de gestion des risques dès la conception (Article 9).
Cette différence est essentielle pour les entreprises : l’AI Act ne se limite pas à sanctionner les abus constatés après coup. Il exige que les fournisseurs **préviennent les dérives dès la conception** – c’est le principe de "safety by design" inscrit à l’Article 9 sur la gestion des risques.
Une riposte réglementaire immédiate et coordonnée
L’un des aspects marquants de l’affaire Grok est la rapidité et la coordination de la réaction des autorités :
- **Commission européenne (8 janvier)** : injonction de conservation de tous les documents internes de X relatifs à Grok jusqu’à fin 2026
- **Parquet de Paris (début janvier)** : enquête ouverte pour "contenus manifestement illégaux", confirmée après une perquisition dans les locaux parisiens de X en février (avec Europol)
- **Ofcom UK (12 janvier)** : enquête sur la conformité de X aux règles de protection des utilisateurs
- **Malaisie et Indonésie (10 janvier)** : blocage temporaire de Grok
- **Australie, Brésil, Inde** : enquêtes et mises en demeure dans les semaines suivantes
- **Parlement européen (18 mars)** : le vote IMCO/LIBE intègre l’interdiction explicite des "nudifier apps" dans le Digital Omnibus
Cette mobilisation rapide prouve que le cadre réglementaire existait déjà : AI Act, DSA (Digital Services Act), législations nationales. Ce qui faisait défaut, c’était une application systématique. Le renforcement du Bureau de l’IA (AI Office) et des autorités nationales vise justement à combler cette lacune.
Quelles conséquences pour les entreprises ?
Même si vous n’êtes pas xAI, l’affaire Grok vous concerne pour plusieurs raisons :
1. Des outils similaires peuvent être présents dans votre organisation
De nombreuses entreprises utilisent des applications de génération ou de retouche d’images IA – pour le marketing, la création de visuels produits, d’avatars, etc. Si ces outils peuvent être détournés pour produire des contenus sexualisés de personnes réelles sans consentement, votre entreprise – en tant que **déployeur** – porte une responsabilité réglementaire.
2. Vos obligations de transparence (Art. 50) arrivent dès août 2026
Même en cas d’usage légitime, l’Article 50§4 exige que tout contenu généré par IA manipulant l’image de personnes réelles soit clairement identifié. Cela s’applique à vos campagnes de communication utilisant des avatars, vidéos de synthèse ou tout contenu généré avec Midjourney, DALL-E, etc.
3. L’impact réputationnel précède la sanction financière
L’expérience Grok l’a démontré : avant même d’éventuelles amendes, c’est la réaction mondiale – blocages nationaux, enquêtes, pertes commerciales – qui a frappé xAI. Pour une PME ou un éditeur SaaS, un incident similaire, même de moindre ampleur, peut s’avérer fatal avant toute intervention de la DGCCRF ou de la CNIL.
Il devient impératif de s’assurer que vos outils d’IA générative respectent les garde-fous minimaux : refus des requêtes manipulatrices, impossibilité de générer des contenus explicites non consentis. Le diagnostic compaia vous permet d’identifier précisément vos obligations selon votre profil de déployeur.
Dates clés et sanctions : ce qu’il faut retenir
- **2 février 2025** : entrée en vigueur de l’Article 5 sur les pratiques interdites
- **décembre 2025 – janvier 2026** : explosion du scandale Grok
- **18 mars 2026** : vote IMCO/LIBE du Parlement européen sur le Digital Omnibus
- **2 août 2026** : obligation de transparence sur les contenus IA générés (Article 50) pour tous
Les sanctions pour infraction à l’Article 5 sont les plus lourdes de l’AI Act : jusqu’à **35 millions d’euros** ou **7 %** du chiffre d’affaires mondial annuel, le montant le plus élevé étant appliqué. Pour les entreprises du secteur, le risque financier et réputationnel est réel et immédiat.
En synthèse
L’affaire Grok n’est pas un cas isolé ou extrême, mais le révélateur de ce que l’AI Act entend prévenir. Les obligations de conception, de gestion des risques et de transparence ne sont plus des abstractions réglementaires : elles répondent à des risques réels, avérés, et font déjà l’objet d’une surveillance active. Anticipez vos obligations, vérifiez vos outils et consultez l’échéancier AI Act pour rester conforme à chaque étape de 2024 à 2026.