Les obligations de transparence de l’AI Act entrent en vigueur. Voici ce qui change réellement.
Contexte
Le Règlement sur l'Intelligence Artificielle de l'UE (AI Act ou RIA) est entré en vigueur en août 2024, et ses obligations ont été déployées progressivement depuis : pratiques interdites et exigences en matière de maîtrise de l’IA à partir de février 2025, règles de gouvernance et obligations relatives aux modèles d’IA à usage général à partir d’août 2025. La prochaine échéance est fixée au 2 août 2026, date à laquelle l’article 50 devient applicable, qui établit des obligations de transparence pour certains systèmes d’IA.
L’article 50 n’est pas lié à la classification fondée sur le risque de l'AI Act. Il s’applique que le système soit classé à haut risque, interdit ou à risque minimal. Son objectif est plus étroit et plus précis : donner aux personnes les informations dont elles ont besoin pour reconnaître qu’elles interagissent avec une IA, et pour savoir quand un contenu a été généré ou manipulé artificiellement.
Ce que l’article 50 exige
Il convient de distinguer deux catégories d’obligations.
La première concerne les systèmes qui interagissent avec des personnes. Les fournisseurs de systèmes d’IA destinés à interagir directement avec des personnes physiques doivent concevoir ces systèmes de manière à ce que les utilisateurs soient informés qu’ils ont affaire à une IA. Cette information doit être claire et communiquée dès le départ, et non enfouie dans des conditions générales. Une exception s’applique lorsqu’il est évident, au vu des circonstances, qu’une IA est impliquée.
Par exemple : des chatbots de service client, des assistants virtuels ou des systèmes téléphoniques automatisés.
La seconde concerne les contenus générés ou manipulés.
Les fournisseurs de systèmes qui génèrent de l’audio, des images, des vidéos ou du texte synthétiques doivent veiller à ce que la sortie soit marquée dans un format lisible par machine permettant de l’identifier comme artificiellement générée ou manipulée.
Les déployeurs de systèmes d’IA produisant des deepfakes, c’est-à-dire des contenus image, audio ou vidéo ressemblant à de vraies personnes, lieux ou événements, doivent indiquer que le contenu a été artificiellement généré ou manipulé.
Par exemple : une entreprise utilisant une vidéo générée par IA de son PDG pour une annonce produit. Le fournisseur de l’outil doit intégrer un marquage lisible par machine dans le résultat ; l’entreprise qui la publie, en tant que déployeur, doit informer séparément les spectateurs que les images ont été générées par IA, puisqu’elles représentent une personne réelle d’une manière qui pourrait autrement passer pour authentique.
Les déployeurs qui publient du texte généré ou manipulé par IA portant sur des sujets d’intérêt public doivent également le signaler, sauf si le contenu a fait l’objet d’un contrôle humain et qu’une personne physique ou morale assume la responsabilité éditoriale de sa publication.
La Commission européenne a publié en juin 2026 un Code de bonnes pratiques sur la transparence des contenus générés par IA, couvrant les obligations techniques de marquage prévues à l’article 50(2) ainsi que les obligations d’étiquetage incombant aux déployeurs au titre de l’article 50(4).
Les organisations qui suivent ce Code peuvent s’en prévaloir comme d’un moyen de démontrer leur conformité, même s’il demeure volontaire.
Ce que l’Omnibus retarde réellement
Depuis l’adoption de l’AI Act, la Commission a proposé puis, à la suite de l’approbation finale du Conseil le 29 juin 2026, adopté un paquet numérique Omnibus destiné à simplifier certaines parties du cadre. Cela a créé une certaine confusion quant à ce qui est, ou n’est pas, reporté avant le 2 août.
Le changement le plus important concerne les systèmes d’IA à haut risque relevant de l’annexe III. Les obligations liées à cette classification, notamment les évaluations de conformité et la documentation associée, ont été reportées d’août 2026 au 2 décembre 2027. Ainsi que pour les systèmes d'IA à haut risque relevant de l'annexe I, dont les obligations ont été reportées jusqu'en août 2028.
Les obligations générales de transparence de l’article 50 constituent un ensemble de règles distinct et ne sont pas couvertes par ce report, à une exception près décrite ci-dessous. Les obligations de divulgation applicables aux systèmes d’IA interagissant avec des personnes, ainsi qu’aux déployeurs qui doivent étiqueter des deepfakes ou du texte d’intérêt public, s’appliquent comme prévu à partir du 2 août 2026.
La seule exception introduite par l’Omnibus sur l’IA est une période de grâce pour les mesures techniques de filigrane prévues à l’article 50(2), qui court jusqu’au 2 décembre 2026 et ne s’applique qu’aux systèmes d’IA générative déjà commercialisés avant août 2026. Cette période de grâce ne s’étend pas aux systèmes mis sur le marché à compter du 2 août 2026, et elle n’affecte pas les obligations à la charge des déployeurs prévues à l’article 50(4), telles que l’étiquetage des deepfakes ou la divulgation de texte d’intérêt public généré par IA.
Les organisations devraient considérer cela comme un aménagement transitoire limité, et non comme un report général de l’article 50.
Ce que les organisations devraient faire maintenant
Les équipes juridiques, conformité et produit n’ont que quelques semaines pour combler les lacunes.
Un bon point de départ consiste à établir un inventaire des systèmes d’IA qui interagissent avec les utilisateurs ou génèrent du contenu pour le compte de l’organisation : chatbots, assistants virtuels, systèmes vocaux, outils de génération d’images ou de vidéos, ainsi que toute IA générative utilisée pour du texte publié à l’extérieur.
Pour chaque système, la question pertinente est de savoir quelle obligation de l’article 50 s’applique et qui est responsable de son respect, le fournisseur ou le déployeur, car ces deux rôles comportent des obligations différentes.
- Pour les systèmes destinés aux utilisateurs, cela signifie généralement ajouter une information claire, visible dès le début, au point d’interaction.
- Pour les contenus générés, cela implique de vérifier si le marquage lisible par machine est techniquement en place et, sinon, si le système bénéficie de la période transitoire ou doit être conforme d’ici le 2 août.
- Pour tout texte généré par IA publié sur des sujets d’intérêt public, les organisations devraient mettre en place et documenter un processus de revue humaine et de responsabilité éditoriale si elles entendent se prévaloir de cette exemption, car il leur appartiendra de démontrer que la revue a bien eu lieu.
Un examen des fournisseurs et des contrats mérite également d’être priorisé. De nombreuses organisations déploient des systèmes d’IA développés par des fournisseurs tiers, et les obligations du déployeur prévues à l’article 50 incombent à l’organisation qui utilise le système, pas nécessairement à celle qui l’a conçu. Les contrats et la documentation technique devraient confirmer quelles capacités de marquage ou de divulgation le fournisseur a intégrées, et ce qui reste à la charge du déployeur.
Enfin, au vu des sanctions encourues, jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu, c’est le bon moment pour les fonctions gouvernance et conformité de confirmer en interne le respect de l’article 50 et d’informer la direction sur ce qui a changé, ce qui n’a pas changé, et ce qu’il reste à faire avant le 2 août.