Depuis le 2 août, un chatbot doit vous dire qu’il est un chatbot. Une image générée par machine doit porter une marque invisible à l’œil mais lisible par les logiciels. Et si vous publiez un texte écrit par une IA pour informer le public, vous devez le signaler. Ce sont les obligations de transparence de l’article 50 du règlement européen sur l’intelligence artificielle, entrées en application il y a huit semaines.
Le calendrier de l’AI Act au 2 août 2026 a été largement commenté. Beaucoup moins ce que l’Europe a discrètement repoussé au même moment.
Ce qui s’applique déjà, et à qui
Le règlement UE 2024/1689 est entré en vigueur le 1er août 2024, avec une application par paliers. Le palier de cette année concerne la transparence, et son périmètre est plus large qu’on ne le croit.
- Les assistants conversationnels. Chatbot de SAV, agent bancaire virtuel, avatar d’accueil sur un site public : l’utilisateur doit être informé qu’il s’adresse à une machine, sauf si c’est évident au premier coup d’œil.
- Les contenus générés. Texte, image, son, vidéo produits ou modifiés par une IA doivent porter un marquage lisible par machine et détectable.
- Les deepfakes. Identification explicite obligatoire, sans exception possible sur les contenus trompeurs.
- Le personnel. L’obligation dite de « littératie IA » est pleinement opposable : les équipes qui utilisent ces outils doivent être formées à leurs capacités, leurs limites et leurs risques.
Une nuance utile pour les rédactions et les créateurs. Un texte relu et validé par un humain, avec une responsabilité éditoriale assumée, échappe à l’obligation de signalement. La règle vise la publication automatisée, pas l’assistance à l’écriture.
Un sursis jusqu’au 2 décembre
Les systèmes déjà commercialisés avant le 2 août bénéficient d’un délai de grâce pour se mettre en conformité sur le marquage technique. Il expire le 2 décembre 2026. Autrement dit : dix semaines.
Le report que personne n’a vu passer
Pendant que l’attention se portait sur les chatbots, le texte dit Digital Omnibus a décalé l’essentiel. Voté par le Parlement européen le 16 juin 2026, puis par le Conseil le 29 juin, il repousse les obligations applicables aux systèmes classés à haut risque.
Nouvelles échéances : le 2 décembre 2027 pour les systèmes autonomes de l’annexe III, et le 2 août 2028 pour l’IA intégrée à des produits déjà réglementés, comme les dispositifs médicaux, les jouets ou les ascenseurs.
L’annexe III n’est pas une catégorie abstraite. Elle couvre la biométrie, les infrastructures critiques, l’éducation, l’emploi, la migration, l’asile et le contrôle aux frontières. Concrètement : un logiciel qui trie des CV, un algorithme qui attribue une note de crédit, un outil qui évalue des copies d’examen. Rien ne change pour eux avant fin 2027.
Une erreur circule dans la presse à ce sujet : non, l’AI Act n’a pas été « reporté ». La transparence, elle, s’applique bel et bien depuis le 2 août.
Ce qui est interdit depuis février 2025
Certaines pratiques ne sont pas encadrées mais proscrites, et elles le sont déjà depuis le 2 février 2025 : la notation sociale des citoyens, l’identification biométrique à distance en temps réel dans l’espace public, et la reconnaissance des émotions sur le lieu de travail.
Ce dernier point mérite l’attention des salariés. Un employeur ne peut pas déployer un outil qui analyse votre visage ou votre voix pour évaluer votre engagement, votre stress ou votre attention pendant une réunion. La sanction va jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel de l’entreprise, le montant le plus élevé étant retenu.
Le barème des sanctions
Pour les manquements aux obligations de transparence et aux règles applicables aux modèles à usage général, le plafond descend à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Ces montants s’entendent au niveau du groupe, pas de la filiale française.
Les fournisseurs de grands modèles — ceux qui font tourner les assistants grand public — sont soumis à leurs propres obligations depuis le 2 août 2025. Depuis cet été, la Commission peut aller plus loin : exiger la documentation technique, les informations sur les données d’entraînement, voire le code source, et prononcer des sanctions.
Qui contrôle en France
Le contrôle est réparti entre trois autorités selon le domaine : la CNIL pour les données personnelles, la DGCCRF pour les pratiques commerciales et l’Arcom pour les contenus. Un découpage qui a le mérite de s’appuyer sur des régulateurs existants, mais qui rend le point d’entrée moins lisible pour une PME.
Quatre réflexes pour un indépendant ou une petite structure
Si vous avez installé un agent conversationnel sur votre site, vous êtes concerné. Le contrôle ne vise pas que les géants du secteur.
- Affichez la mention. Une phrase en haut de la fenêtre de discussion suffit : « Vous échangez avec un assistant automatique. »
- Vérifiez le marquage de vos outils. Les principaux générateurs d’images intègrent désormais des métadonnées de provenance. Si le vôtre ne le fait pas, il faudra en changer avant décembre.
- Formez vos équipes. Une session courte, tracée par écrit, couvre l’obligation de littératie.
- Documentez. En cas de contrôle, c’est la trace écrite qui protège, pas la bonne foi.
Pour le lecteur, le bénéfice est immédiat et concret : la mention « contenu généré par IA » devient un outil de défense face aux arnaques par deepfake vocal et aux campagnes de désinformation politique. Encore faut-il y prêter attention. Le premier réflexe utile, quand une vidéo d’un responsable public circule et paraît trop belle pour être vraie, reste de chercher cette mention avant de partager.
