Loi sur l’intelligence artificielle à partir du 2 août : Transparence face aux risques élevés

Le 2 août 2026 marquera l’entrée en vigueur des obligations de transparence prévues à l’article 50 du règlement sur l’IA. La Commission européenne lancera, via l’AI Office, une collaboration avec les autorités nationales pour faire appliquer ces obligations de transparence et les règles relatives aux modèles d’IA à usage général (GPAI). Pour les DSI, les chief digital officers (CDO) et les responsables de la transformation numérique au sein des grandes organisations de la région DACH, cette échéance concerne principalement les obligations des « deployers » (déployeurs) pour les chatbots, les agents conversationnels et les contenus d’IA à forte visibilité publique.

Articles associésRèglement sur l’IA : jusqu’à 3 % du chiffre d’affaires du groupe  /  Model-Harness au lieu de mariage de modèles : qui contrôle la chaîne de l’IA ?

La transparence s’appliquera avant la vague des systèmes à haut risque

Selon le communiqué de presse IP/26/1714 de la Commission européenne, l’AI Office et les autorités nationales lanceront l’application du règlement sur l’IA le 2 août 2026. Ce même jour, les obligations de transparence issues de l’article 50 entreront en vigueur. Pour les responsables de la transformation numérique, la pression opérationnelle s’exerce donc plus tôt : de nombreuses organisations exploitent déjà des chatbots clients, des agents internes, des systèmes de reconnaissance des émotions ou des contenus textuels générés par l’IA à forte visibilité, et sont concernées en tant que « deployers » par ces nouvelles règles, bien avant l’entrée en vigueur de la conformité centrale relative aux systèmes à haut risque.

Que recouvrent les obligations de transparence selon l’article 50 ? L’article 50 du règlement sur l’IA impose que les utilisateurs puissent identifier lorsqu’ils interagissent avec une IA ou consultent des contenus générés par celle-ci. Cela inclut les mentions obligatoires pour les chatbots, le marquage lisible par machine des médias synthétiques et la divulgation des deepfakes. Ces obligations s’appliquent aux fournisseurs et aux exploitants de ces systèmes.

Le règlement AI Omnibus a reporté l’application des règles relatives aux systèmes à haut risque – notamment celles de l’annexe III – au 2 décembre 2027. Pour les systèmes d’IA à haut risque intégrés dans des produits réglementés, la date butoir est fixée au 2 août 2028. En revanche, les obligations de transparence et l’application des règles GPAI restent programmées pour août 2026. Interpréter ce report comme une marge de manœuvre pour l’ensemble du portefeuille d’activités comporte un risque : des lacunes pourraient apparaître précisément là où les autorités de surveillance et de contrôle du marché interviendront en premier.

À partir du 2 décembre 2026, de nouvelles interdictions concernant les systèmes d’IA générant des contenus sexuellement explicites non consentis ou du matériel à caractère abusif entreront également en vigueur. Le calendrier jusqu’en 2028 est donc échelonné : d’abord la transparence et les GPAI, puis d’autres interdictions, et enfin les systèmes à haut risque. Dans ce contexte, la gestion du portefeuille d’activités implique d’associer les échéances aux cas d’usage concrets, plutôt que d’attendre une date unique de conformité.

Le rôle de Deployer concerne directement le DSI et le Chief Digital Officer

Selon les FAQ de la Commission sur l’article 50, les Deployers désignent des personnes physiques ou morales, des autorités, des agences ou d’autres entités qui utilisent un système d’IA sous leur autorité. L’usage purement privé et non professionnel est exclu. La personne morale conserve le statut de Deployer, même si des freelances ou des prestataires externes exploitent les systèmes. Pour les grandes organisations du DACH, cela signifie que l’externalisation vers des agences, des centres de services partagés ou des prestataires IT ne les exonère pas de leurs responsabilités en tant que Deployer, tant que les systèmes fonctionnent sous leur propre autorité.

L’obligation de divulguer l’interaction avec l’IA ne s’applique qu’à quatre critères cumulatifs : il s’agit d’un système d’IA, il y a une véritable interaction bidirectionnelle, l’IA communique directement et la contrepartie est composée de personnes physiques. Les processus purement en arrière-plan ou les communications machine-à-machine ne sont pas concernés par cette obligation de divulgation. Cette distinction est cruciale pour l’inventaire et la clarification des rôles, car elle détermine quels chatbots, voicebots et interfaces d’agents entrent dans le champ d’application de l’article 50, paragraphe 1.

Les rôles de fournisseur (Provider) et de Deployer peuvent coexister dans une chaîne d’approvisionnement. Celui qui achète des modèles, les intègre dans ses propres canaux et les exploite sous sa propre marque est souvent un Deployer – et doit gérer l’étiquetage, les processus éditoriaux et les preuves, même si le fournisseur du modèle remplit ses propres obligations en matière d’IA générale à fort impact (GPAI). La clarification des rôles avec les services Achats, Juridique, Marketing et les canaux clients doit donc figurer à l’ordre du jour des responsables digitaux avant que les questions de supervision n’arrivent.

L’étiquetage exige bien plus qu’une mention de responsabilité

Selon la Commission, les chatbots et autres systèmes d’IA interactifs relevant de l’article 50 doivent indiquer clairement aux utilisateurs qu’ils interagissent avec une IA. Les deepfakes doivent être étiquetés ; les contenus générés ou modifiés par IA nécessitent des marquages lisibles par machine. Les utilisateurs doivent être informés dès le premier contact de manière claire, distincte et accessible. L’exception selon laquelle la nature IA serait « évidente » doit être interprétée de manière restrictive – une similitude visuelle avec des interfaces humaines ne remplace pas cette obligation de divulgation.

Pour les deepfakes, c’est au Deployer qu’incombe l’obligation de divulgation dès la première exposition. L’information doit être claire et identifiable sans outil technique ; un simple marquage lisible par machine fourni par le fournisseur ne suffit pas. Parallèlement, les obligations d’étiquetage incluent, selon la Commission, les images, audios et vidéos des deepfakes, la reconnaissance des émotions et la catégorisation biométrique, ainsi que les textes relevant de sujets d’intérêt public sans responsabilité éditoriale humaine. Pour les canaux de communication, RH et clients, cela implique la mise en place de processus éditoriaux et de validation continus.

Selon une analyse du cabinet d’avocats, l’article 50 s’appliquera à partir du 2 août 2026 pour tous les systèmes concernés, indépendamment de leur date de mise sur le marché. Les contenus publiés avant cette date ne nécessitent pas d’étiquetage rétroactif. Pour le marquage et la détection des systèmes déjà commercialisés, l’accent opérationnel reste mis sur la production en cours et les interfaces utilisées à partir de cette date. Les inventaires et processus de validation doivent donc distinguer les systèmes en production des archives.

Mise en œuvre des IAG et Code de conduite

Dès la date butoir, le Bureau de l’IA pourra faire respecter les règles applicables aux fournisseurs de modèles d’IA à usage général (IAG), y compris les risques systémiques tels que les cyberattaques, la perte de contrôle ou la manipulation. Tous les fournisseurs d’IAG devront documenter certaines informations et les transmettre aux autorités ainsi qu’aux fournisseurs en aval. Ils devront également mettre en place une politique de droits d’auteur et publier un résumé suffisamment détaillé du contenu utilisé pour l’entraînement. Pour les entreprises intégrant des modèles IAG dans leurs produits et processus, la documentation fournie par les fournisseurs en amont devient un outil de pilotage : sans informations fiables en provenance de l’amont, les risques liés au déploiement augmentent dans leur propre portefeuille.

La Commission a publié une première liste de plus de 180 organisations ayant signé le Code of Practice on transparency of AI-generated content (Code de conduite sur la transparence des contenus générés par IA). Les signataires bénéficient, selon les évaluations disponibles, d’une présomption de conformité et d’une approche plus favorable en matière de contrôle ; les non-signataires font l’objet d’un examen plus strict. Pour les services achats et la gestion des fournisseurs, il est judicieux de vérifier si les prestataires stratégiques adhèrent à ce code – comme un signal de maturité et de volonté de coopération envers les autorités, et non comme un substitut aux contrôles internes des déploiements.

La mise en œuvre des règles de transparence et l’interdiction des pratiques prohibées sont réparties entre le Bureau de l’IA, les autorités nationales et le Contrôleur européen de la protection des données (CEPD) pour les institutions de l’UE. Les grandes organisations disposant de canaux paneuropéens et de modèles opérationnels mixtes doivent donc s’attendre à des interlocuteurs parallèles et à des formats de preuve différents. Une documentation interne uniforme permet d’éviter les frictions lorsque plusieurs autorités examinent une même situation sous des angles différents.

Sanctions et traçabilité au niveau de la direction

Selon la Commission, les entreprises risquent, en cas de manquement aux obligations de transparence, des amendes pouvant aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les institutions de l’UE, le plafond est fixé à 750 000 euros ; pour les PME et les petites midcaps, le principe de proportionnalité s’applique. Les sources disponibles ne mentionnent pas de sanctions ou d’inspections concrètes à partir du 2 août 2026. Le message stratégique pour la direction est néanmoins clair : la transparence est désormais assortie de sanctions et peut être imposée, tandis que les obligations liées aux risques élevés seront échelonnées dans le temps.

La traçabilité implique des systèmes inventoriés, des rôles documentés (fournisseur versus utilisateur final, y compris les prestataires), des modules de marquage approuvés et des processus éditoriaux traçables pour les deepfakes et les textes publics générés par IA. Toute organisation exploitant des interfaces clients, des outils RH à connotation émotionnelle ou des systèmes génératifs riches en contenu doit définir clairement les responsabilités entre les services digitaux, juridique, conformité, marketing et les métiers. Les autorités s’intéressent à l’autorité sur le système – et celle-ci revient à l’organisation qui l’utilise professionnellement sous son contrôle.

Pour les DSI et les CDO des grandes organisations de la région DACH, la date butoir d’août 2026 n’est donc pas qu’une question purement juridique. Elle impose une transparence du portefeuille, une gestion des fournisseurs et une discipline communicationnelle avant l’arrivée des vagues de risques élevés prévues en 2027 et 2028. En structurant dès maintenant l’inventaire, les rôles et les processus de labellisation, les organisations posent les bases sur lesquelles pourront s’appuyer les futures preuves liées aux risques élevés – avec moins de travail en double et moins de conflits entre la rapidité de mise sur le marché et la capacité à répondre aux exigences des autorités.

Foire aux questions

Plus du réseau MBF Media

Source de l’image : Générée par IA (août 2026)