Guides

AI Act : vos chatbots et contenus IA doivent être identifiables depuis le 2 août 2026

Pierre Beunardeau · 2026-08-25

Oui, très probablement : depuis le 2 août 2026, si votre entreprise expose un chatbot à ses clients, publie des contenus générés par IA ou diffuse des images, sons ou vidéos synthétiques, l'article 50 du règlement européen sur l'IA lui impose de le signaler clairement, et le Digital Omnibus n'a rien reporté de ces obligations de transparence. Votre premier contrôle : la mention d'interaction avec une IA s'affiche-t-elle dès le premier échange, et chaque deepfake publié porte-t-il son étiquette visible ?

Le brouillard vient du calendrier : le règlement 2026/1744, dit Digital Omnibus sur l'IA, a déplacé plusieurs échéances cet été, et beaucoup de dirigeants en ont conclu que tout était repoussé. C'est faux pour la transparence. Cet article détaille, sources primaires à l'appui, qui est concerné, ce qu'il faut marquer, le seul délai de transition accordé, puis livre une checklist en cinq étapes appliquée à un cas borné.

« Transparency obligations will help people recognise when they are interacting with AI or when content has been generated or altered by AI, reducing the risk of deception and manipulation. »

Commission européenne, lignes directrices sur les obligations de transparence, juillet 2026.

Gravure au trait d'un comptoir d'accueil où un automate conversationnel porte une étiquette visible, une main humaine accroche des mentions sur des documents, montagnes et lac en arrière-plan

Ce qui change pour vous en quatre points

Votre chatbot, agent conversationnel ou avatar doit informer l'utilisateur qu'il échange avec une IA, dès la première interaction, sauf si c'est évident pour une personne raisonnablement attentive.
Les fournisseurs de systèmes génératifs doivent marquer leurs sorties dans un format lisible par machine. Vous, en tant que déployeur, devez étiqueter visiblement les deepfakes et certains textes d'intérêt public : le filigrane technique du fournisseur ne suffit pas.
Le seul délai de transition concerne le marquage machine de l'article 50(2), pour les seuls systèmes mis sur le marché avant le 2 août 2026, jusqu'au 2 décembre 2026.
Le Digital Omnibus a reporté les obligations des systèmes à haut risque à 2027 et 2028, pas la transparence. Les sanctions de l'article 99 s'appliquent, avec une règle de proportionnalité pour les PME.

Fournisseur, déployeur ou simple utilisatrice : qui doit quoi

L'article 50 répartit les obligations entre deux rôles, et la première erreur consiste à se tromper de case. Selon la FAQ officielle de la Commission sur l'article 50, est fournisseur celui qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Est déployeur celui qui utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel.

Concrètement, pour une PME française :

Votre situation	Votre rôle probable	Ce que l'article 50 vous demande
Chatbot de support ou commercial sur votre site, fourni par un éditeur	Déployeur	Vérifier que la mention « vous échangez avec une IA » est bien affichée ; l'éditeur, lui, est tenu de concevoir le système pour cela
Contenus marketing, visuels ou vidéos produits avec des outils génératifs	Déployeur	Étiqueter les deepfakes éventuels et les textes d'intérêt public publiés sans revue humaine
Assistant interne sans contact direct avec des personnes extérieures	Déployeur	Rien au titre de l'article 50(1) si aucune interaction directe avec des personnes n'a lieu
Vous revendiquez sous votre marque un système d'IA, même construit sur un modèle tiers	Fournisseur	Toutes les obligations des paragraphes 1, 2 et 5, y compris le marquage lisible par machine
Système de reconnaissance des émotions ou de catégorisation biométrique	Déployeur	Informer les personnes exposées, en plus des obligations RGPD

Le cas piège est la quatrième ligne. Une PME qui achète un chatbot en marque blanche, le rebaptise et le propose à ses propres clients peut basculer du statut de déployeur à celui de fournisseur, avec des obligations techniques incomparablement plus lourdes. Cette question de rôle se règle avant toute question d'étiquette.

Les quatre obligations de l'article 50

Le texte complet figure dans le règlement (UE) 2024/1689 sur EUR-Lex. L'article 50 contient quatre obligations distinctes, qui ne visent ni les mêmes acteurs ni les mêmes contenus :

Paragraphe	Qui est tenu	Ce qu'il faut faire	Exception clé
50(1)	Fournisseurs de systèmes interagissant directement avec des personnes	Concevoir le système pour que l'utilisateur sache qu'il échange avec une IA	Inutile si c'est évident pour une personne raisonnablement informée et attentive
50(2)	Fournisseurs de systèmes générant du contenu synthétique audio, image, vidéo ou texte	Marquer les sorties dans un format lisible par machine, détectable comme artificiel	Fonction d'assistance à l'édition standard, ou absence d'altération substantielle des données fournies
50(3)	Déployeurs de reconnaissance des émotions ou de catégorisation biométrique	Informer les personnes exposées du fonctionnement du système	Cas d'application de la loi pénale
50(4)	Déployeurs de systèmes générant des deepfakes ou des textes d'intérêt public	Divulguer le caractère artificiel du contenu	Œuvres manifestement artistiques ou satiriques ; textes ayant subi une revue humaine avec responsabilité éditoriale

Le paragraphe 50(5) précise la forme : l'information doit être fournie de manière claire et distinguable, au plus tard lors de la première interaction ou exposition, et respecter les exigences d'accessibilité applicables.

Le calendrier réel après le Digital Omnibus

La chronologie officielle, relevée au 25 août 2026, tient en six dates. Elle croise le texte du Digital Omnibus sur EUR-Lex et la synthèse du Blog du Modérateur, source secondaire que nous utilisons ici uniquement pour la partie française du dispositif de contrôle.

Deux de ces dates structurent le calendrier d'une PME : août 2026 ouvre la transparence de l'article 50, décembre 2026 ferme la transition du marquage machine. Notre analyse de la vague de modèles de l'été 2026 et de son étage réglementaire replace ces dates dans le mouvement plus large du marché.

Ce que le Digital Omnibus a reporté, et ce qu'il n'a pas touché

Le règlement (UE) 2026/1744 a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur trois jours plus tard. Son geste principal est un report : les exigences applicables aux systèmes à haut risque de l'annexe III, comme le recrutement, la notation de crédit ou l'éducation, glissent au 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés de l'annexe I au 2 août 2028. Le texte introduit aussi deux interdictions nouvelles applicables au 2 décembre 2026, visant les contenus intimes non consentis et les contenus pédopornographiques générés par IA.

La nuance décisive concerne le délai de transition. Selon la FAQ de la Commission, ce délai ne porte que sur l'obligation de marquage et de détection lisible par machine du paragraphe 50(2), et ne profite qu'aux systèmes mis sur le marché avant le 2 août 2026 : leurs fournisseurs ont jusqu'au 2 décembre 2026 pour s'y conformer. Tout le reste, mention des chatbots, information sur la biométrie, étiquetage des deepfakes et des textes d'intérêt public, est applicable depuis le 2 août 2026. Et les contenus générés avant cette date n'ont pas à être étiquetés rétroactivement, même si la Commission encourage à le faire lorsque c'est possible.

Chatbots : une mention claire dès la première interaction

Les lignes directrices de la Commission, adoptées le 20 juillet 2026, posent quatre critères cumulatifs pour qu'un système tombe sous l'obligation du paragraphe 50(1) : c'est un système d'IA ; il est conçu pour un véritable échange bidirectionnel avec des personnes, pas pour collecter des données ou renvoyer des réponses figées ; l'interaction est directe, sans intermédiaire humain ; elle a lieu avec des personnes physiques, clientes ou usagères.

L'exception « évidente » doit être lue de façon restrictive, prévient la Commission : elle s'apprécie du point de vue d'une personne moyenne, raisonnablement informée, attentive et avisée. Un avatar photoréaliste qui accueille vos clients en visio n'entre probablement pas dans cette exception. Un robot de conversation clairement dessiné comme tel, avec un nom de bot et une interface qui ne mime pas un humain, a davantage de chances d'y entrer, mais la prudence commande d'afficher la mention plutôt que de parier sur l'évidence.

En pratique, la mention doit apparaître dès le premier échange, dans une formulation claire et distinguable, accessible aux personnes en situation de handicap. « Vous échangez avec un assistant automatisé fondé sur l'intelligence artificielle. Un conseiller peut reprendre la conversation sur demande » remplit le cahier des charges mieux qu'une icône ambiguë ou qu'une ligne de pied de page.

Contenus générés : le fournisseur marque, le déployeur étiquette

L'architecture de l'article 50 sépare deux couches de signalement, et les confondre est la deuxième erreur fréquente. Côté fournisseurs, le paragraphe 50(2) exige un marquage lisible par machine des sorties génératives : filigranes, métadonnées ou empreintes, efficaces, interopérables, robustes et fiables dans la mesure de l'état de l'art. Les lignes directrices sortent du périmètre les sorties sans exposition humaine, le code source, les courtes séquences de caractères, les boucles industrielles fermées, et prévoient une exemption étroite pour certains contextes interentreprises. Un code de bonne pratique sur la transparence des contenus générés, jugé adéquat par la Commission et le comité de l'IA, offre aux signataires une voie de conformité prévisible.

Côté déployeurs, c'est vous. La FAQ de la Commission est explicite : pour un deepfake, vous ne pouvez pas vous contenter du marquage machine embarqué par le fournisseur. La divulgation doit être perceptible directement par la personne exposée, par exemple une mention visible sur l'image ou audible dans la vidéo, sans outil technique ni démarche particulière.

Deepfakes et textes d'intérêt public : la part qui vous incombe

Un deepfake, au sens de l'article 3(60), est un contenu image, audio ou vidéo généré ou manipulé qui ressemble à des personnes, objets, lieux ou événements existants et paraîtrait faussement authentique. Les lignes directrices détaillent trois critères cumulatifs : ressemblance, existence plausible du sujet simulé, et fausse apparence d'authenticité. Les effets spéciaux d'un film ou les arrière-plans synthétiques d'une production standard ne créent pas cette fausse apparence. En revanche, la vidéo d'un dirigeant réel dont la voix ou le visage a été synthétisé, ou l'avatar photoréaliste présenté comme un conseiller, appellent une étiquette claire, au plus tard à la première exposition. Pour les œuvres manifestement artistiques, créatives ou satiriques, la divulgation reste due mais dans une forme qui ne gâche pas l'œuvre.

Pour les textes, l'obligation est plus étroite qu'on ne le craint. Trois conditions doivent être réunies : le texte est publié, il vise à informer le public, et il porte sur une question d'intérêt public, par exemple la politique, les services publics, la justice, la santé publique, la sécurité des consommateurs ou les débats économiques et scientifiques de société. Surtout, l'obligation disparaît si le texte a subi une revue humaine ou un contrôle éditorial réel, avec une personne qui assume la responsabilité éditoriale de la publication. Attention à la définition : une correction orthographique ou une relecture de forme ne suffit pas ; il faut un examen délibéré du fond par une personne compétente, habilitée à approuver, modifier ou rejeter le texte.

Votre fiche produit rédigée avec un assistant puis relue et validée par un collaborateur n'a donc, en principe, pas à porter de mention au titre du 50(4). Votre tribune d'opinion publiée sans relecture sur un sujet de débat public, si. C'est une bonne raison supplémentaire de consolider la règle que nous défendons partout : l'IA prépare, un humain valide. Notre article sur l'architecture de sécurité d'un agent connecté à la base clients montre comment cette validation se câble dans un système réel.

Sanctions et contrôle : ce que risque réellement une PME

Le non-respect des obligations de transparence de l'article 50 tombe sous le régime général des sanctions de l'article 99 du règlement : des amendes administratives pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Deux garde-fous comptent pour une PME : le paragraphe 6 du même article plafonne l'amende au plus faible des deux montants pour les petites et moyennes entreprises, et les sanctions doivent rester effectives, proportionnées et dissuasives, en tenant compte de la viabilité économique des PME.

Le contrôle relève principalement des autorités nationales de surveillance du marché, désignées par chaque État ; le bureau de l'IA de la Commission n'intervient que dans des cas limités. En France, le dispositif associe la DGCCRF, la CNIL et l'Arcom, selon le Blog du Modérateur. Aucun contentieux emblématique sur l'article 50 n'a encore été rendu public à la date de rédaction : la doctrine sanctionnatoire reste à écrire, ce qui plaide pour une conformité documentée plutôt que pour un calcul du risque d'amende.

La checklist de conformité en cinq étapes

Inventorier les systèmes d'IA exposés à des personnes : chatbots, avatars, contenus publiés, voix synthétiques, biométrie. Sortir du lot les usages purement internes et machine à machine.
Qualifier votre rôle pour chacun : déployeur dans la plupart des cas, fournisseur si vous mettez le système sur le marché sous votre nom, y compris en marque blanche.
Appliquer la grille des quatre obligations : mention pour les interactions, étiquette visible pour les deepfakes, divulgation pour les textes d'intérêt public sans revue humaine, information pour la biométrie. Vérifier chez vos fournisseurs l'état du marquage machine et la date de conformité 50(2).
Formaliser la revue humaine : qui relit, avec quelle compétence, quel pouvoir d'approbation ou de rejet, et où c'est consigné. Sans cette trace, l'exemption éditoriale du 50(4) est indéfendable.
Ouvrir le registre de conformité et dater la prochaine revue : 2 décembre 2026 au plus tard pour vérifier le marquage machine des systèmes anciens, puis à chaque changement de système, de fournisseur ou de réglementation.

Avant de refermer ce dossier, contrôlez chaque point :

☐ Chaque chatbot ou avatar affiche une mention claire dès la première interaction, accessible aux personnes en situation de handicap.
☐ Chaque deepfake publié porte une étiquette visible ou audible perceptible sans outil technique.
☐ La chaîne de revue éditoriale des textes est documentée, avec un responsable nommé.
☐ Vos fournisseurs génératifs ont communiqué leur plan de marquage machine et leur calendrier 50(2).
☐ Votre rôle, déployeur ou fournisseur, est tranché par écrit pour chaque système, y compris les cas de marque blanche.
☐ Le registre de conformité existe, est daté, et nomme un responsable par usage.

Cas appliqué : une PME de services se met en règle

Appliquons la grille et la checklist à une entreprise fictive de 40 personnes, gestionnaire de copropriétés, dont la situation ressemble à beaucoup de PME que nous rencontrons. Ce scénario est une construction pédagogique, pas un résultat client.

Son parc existant. Un chatbot de premier niveau sur son site, fourni par un éditeur SaaS et branché sur une base de réponses ; des articles de blog et des posts LinkedIn rédigés avec un assistant génératif puis relus par la responsable communication ; une vidéo de présentation où un avatar photoréaliste, ressemblant au directeur, délivre un message de bienvenue ; un outil interne de tri des emails, sans interaction avec les copropriétaires.

Lecture article par article. Le chatbot remplit les quatre critères du 50(1) : l'entreprise vérifie que la mention d'interaction avec une IA s'affiche dans la première bulle, en clair, et documente cette vérification par une capture datée. Les articles et posts ne relèvent pas du 50(4), car ils ne portent pas sur des questions d'intérêt public au sens des lignes directrices et subissent de toute façon une vraie revue humaine ; l'entreprise consigne néanmoins qui relit quoi, pour pouvoir le prouver. La vidéo de l'avatar est le vrai chantier : ressemblance avec une personne existante, fausse apparence d'authenticité, exposition publique. C'est un deepfake au sens du règlement, et l'entreprise ajoute une mention visible incrustée dès la première seconde, plus une ligne sous le lecteur vidéo. L'outil interne de tri ne déclenche rien au titre de l'article 50, faute d'interaction directe avec des personnes.

Son registre. Une page suffit : chaque usage, le rôle joué, l'obligation applicable, la preuve de conformité, le responsable et la date de revue. Ce registre, présenté en annexe d'un éventuel contrôle, pèse plus lourd qu'une bonne intention.

Le diagnostic comme première étape de conformité

Apport Origin : dans nos accompagnements, la conformité article 50 n'arrive jamais seule : elle révèle que l'entreprise ne sait pas exactement quels systèmes d'IA elle exploite, sous quel rôle, avec quelles données. Notre méthode commence donc par une cartographie d'une page, usages, rôles, mentions existantes, revues humaines réelles, avant toute question d'étiquette. C'est le même geste que pour la sécurité ou les coûts : on ne règle bien que ce qu'on a d'abord inventorié. Le déroulé d'un diagnostic Origin Labs pour une PME de services suit cette logique, et il produit le registre décrit plus haut, que votre conseil juridique pourra ensuite valider. Un diagnostic n'est pas un avis juridique ; il rend l'avis juridique plus rapide et moins cher, parce que les faits sont déjà sur la table.

Les limites de cet article

Cet article est une lecture opérationnelle au 25 août 2026, pas un conseil juridique. Disons d'abord ce que l'article 50 ne couvre pas : les obligations des systèmes à haut risque, reportées à 2027 et 2028, les devoirs documentaires des fournisseurs de modèles d'IA à usage général, et le RGPD, qui continue de s'appliquer en parallèle à tout traitement de données personnelles. Être en règle sur la transparence ne dit rien de ces trois chantiers. Trois zones d'interprétation restent ensuite ouvertes : les normes techniques de marquage et les actes d'exécution peuvent encore préciser les modalités du 50(2) ; la notion de texte « d'intérêt public » et l'exception de l'interaction « évidente » seront fixées par la pratique des autorités, sans jurisprudence à ce jour ; et votre qualification exacte, fournisseur ou déployeur, dépend de faits que seule une analyse de vos contrats tranchera. Pour les usages sensibles, faites relire votre dossier par un professionnel du droit.

Questions fréquentes

Mon chatbot indique déjà « assistant virtuel », est-ce suffisant ?

Probablement oui sur le fond, à condition que la mention soit claire, distinguable, visible dès la première interaction et accessible. Une formulation ambiguë, une icône seule ou une mention dans les conditions générales ne suffisent pas. Faites relire la formulation réelle à l'épreuve de la personne moyenne décrite par la Commission.

Dois-je étiqueter mes posts LinkedIn écrits avec l'aide d'une IA ?

En principe non, si vous les relisez et les validez : la revue humaine avec responsabilité éditoriale écarte l'obligation du 50(4), et le contenu commercial courant ne relève pas des matières d'intérêt public listées par la Commission. Conservez la trace de cette relecture. En revanche, une image de synthèse représentant une personne réelle peut relever du régime des deepfakes, revue ou pas.

Le Digital Omnibus a-t-il reporté l'article 50 ?

Non. Le règlement 2026/1744 a reporté les obligations des systèmes à haut risque à décembre 2027 et août 2028, et a ouvert une transition limitée au marquage machine du 50(2) jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché. Les obligations de transparence elles-mêmes s'appliquent depuis le 2 août 2026, comme le confirme la FAQ de la Commission.

Que risque une PME qui ne signale rien ?

Théoriquement, une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial selon l'article 99 du règlement, mais plafonnée au montant le plus faible pour les PME et soumise à un principe de proportionnalité. Pratiquement, le premier risque est une mise en demeure d'une autorité nationale et une mauvaise nouvelle publique. Documenter votre mise en conformité reste la meilleure protection.

Faut-il marquer les contenus publiés avant le 2 août 2026 ?

Non, l'obligation n'est pas rétroactive : les contenus générés avant le 2 août 2026 n'ont pas à être étiquetés. La Commission encourage néanmoins à le faire lorsque c'est possible. En revanche, tout contenu généré après cette date entre dans le régime nouveau, et les systèmes déjà sur le marché doivent avoir achevé leur marquage machine au 2 décembre 2026.

Sources

Union européenne, règlement (UE) 2024/1689, dit AI Act : article 50 (obligations de transparence), article 99 (sanctions) et article 113 (calendrier), consulté le 25 août 2026.
Commission européenne, publication des lignes directrices sur les obligations de transparence, lignes directrices adoptées le 20 juillet 2026 : périmètre, exceptions et code de bonne pratique.
Commission européenne, Questions et réponses sur les obligations de transparence de l'article 50, consultée le 25 août 2026 : rôles, quatre critères du 50(1), transition du 50(2) au 2 décembre 2026, absence de rétroactivité, montants des amendes.
Union européenne, règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, publié au Journal officiel le 24 juillet 2026 : reports des obligations haut risque et périmètre de la transition.
Le Blog du Modérateur, IA Act : ce qui change au 2 août 2026, 29 juillet 2026, source secondaire : dates de publication et d'entrée en vigueur du Digital Omnibus, nouvelles interdictions du 2 décembre 2026 et autorités françaises de contrôle.