L'article 50 du règlement européen sur l'intelligence artificielle s'applique depuis le 2 août 2026. Toute entreprise qui fait dialoguer un chatbot avec ses clients, qui publie des visuels produits par une IA générative ou qui diffuse des textes rédigés par machine doit désormais le dire. Le calendrier de l'AI Act a pourtant été remanié quelques jours avant cette échéance, et beaucoup de dirigeants en ont retenu l'idée fausse que tout aurait été reporté. C'est faux, et c'est précisément l'erreur qui coûte cher. Ce guide fait le tri entre les obligations réellement exigibles, celles qui basculent en 2027 et 2028, et les clauses à intégrer sans attendre dans vos conditions générales, vos mentions légales et vos contrats.
Ce que l'AI Act rend réellement exigible au 2 août 2026
Le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, s'applique par étapes. Les pratiques interdites sont opposables depuis le 2 février 2025, les obligations des modèles d'IA à usage général depuis le 2 août 2025. Le 2 août 2026 était annoncé partout comme la grande bascule, celle du régime des systèmes à haut risque. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'intelligence artificielle, a rebattu ces cartes en entrant en vigueur le 27 juillet 2026, trois jours après sa publication au Journal officiel de l'Union européenne. Les obligations pesant sur les systèmes à haut risque de l'annexe III, tri de candidatures, scoring de crédit, tarification d'assurance, accès aux services essentiels, sont repoussées au 2 décembre 2027. Celles de l'annexe I, c'est-à-dire l'IA intégrée comme composant de sécurité dans une machine, un jouet ou un dispositif médical, glissent au 2 août 2028.
Ce qui n'a pas bougé d'un seul jour, c'est l'article 50. Il vise les systèmes dits à risque limité, ceux que presque toutes les entreprises utilisent sans y penser : un assistant conversationnel sur un site marchand, un générateur d'images pour des visuels promotionnels, un outil de rédaction branché sur un blog. En pratique, une TPE de huit personnes qui a installé un chatbot en trois clics est concernée, alors qu'elle ne verra jamais l'annexe III de sa vie.
Cadre juridique : l'article 50 après le Digital Omnibus
L'article 50 du règlement (UE) 2024/1689 impose trois obligations distinctes, réparties entre le fournisseur du système et le déployeur qui l'exploite sous sa propre autorité. Le premier paragraphe oblige à concevoir les systèmes destinés à interagir directement avec des personnes physiques de manière que celles-ci sachent qu'elles s'adressent à une machine, sauf lorsque cela saute aux yeux d'une personne normalement attentive. Le deuxième impose aux fournisseurs de systèmes générant du contenu de synthèse un marquage lisible par machine, permettant de détecter l'origine artificielle du fichier. Le quatrième vise les déployeurs : hypertrucages à révéler, textes publiés pour informer le public sur des questions d'intérêt général à signaler comme générés par IA.
Le Digital Omnibus a laissé cette architecture intacte. Il a seulement ajouté une transition : les systèmes d'IA générative déjà mis sur le marché de l'Union avant le 2 août 2026 disposent jusqu'au 2 décembre 2026 pour se conformer à l'exigence de marquage technique. Les systèmes lancés après cette date s'y plient dès le premier jour. Le même texte ajoute deux interdictions nouvelles à l'article 5, applicables au 2 décembre 2026, visant les contenus intimes non consentis et les contenus pédocriminels générés par IA.
Les sanctions arrivent en même temps que l'obligation. Un manquement aux devoirs des fournisseurs et déployeurs, article 50 compris, expose à une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, avec des plafonds réduits pour les PME et les jeunes entreprises. Côté français, la répartition entre régulateurs suit une logique sectorielle. La DGCCRF et l'Arcom se partagent le contrôle de l'interaction directe et des contenus de synthèse, la CNIL garde la reconnaissance des émotions et la catégorisation biométrique, l'Arcom seule surveille les textes informatifs d'intérêt public. Ce schéma reste conditionné à son adoption par le Parlement dans le cadre d'un projet de loi, comme le précise la répartition des autorités françaises compétentes publiée par la Direction générale des entreprises. Le règlement, lui, est d'application directe et n'attend personne.
Chatbots, assistants vocaux et agents : annoncer la machine
L'obligation est simple à énoncer et facile à rater. Dès qu'un système d'IA échange directement avec un être humain, celui-ci doit savoir à quoi il parle, et le savoir dès le début de l'échange. Un message d'ouverture du type « Bonjour, je suis l'assistant automatisé de la société X » suffit. Ce qui ne suffit pas, c'est une mention enterrée dans une page d'aide ou un astérisque en pied de widget.
La dispense pour évidence est plus étroite qu'on ne le croit. Elle joue quand aucune personne raisonnablement attentive ne pourrait se méprendre. Un bot au ton volontairement humain, doté d'un prénom et d'un avatar photographique, ne bénéficie d'aucune évidence : c'est même le cas type que le texte vise. Même logique pour les agents vocaux sortants qui qualifient des prospects par téléphone, où la voix de synthèse a précisément vocation à passer pour humaine.
En pratique, la plupart des entreprises sont déployeurs, pas fournisseurs. Elles achètent un outil et l'intègrent à leur site. Cette qualification ne les exonère de rien sur l'information de l'utilisateur, et elle bascule dès qu'un éditeur SaaS incorpore une brique d'IA dans son propre produit revendu sous sa marque. Dans ce cas, l'entreprise devient fournisseur au sens du règlement et hérite des obligations de marquage technique.
Contenus de synthèse, hypertrucages et marquage
La deuxième famille d'obligations touche le marketing et la communication bien plus que la direction technique. Un visuel de campagne représentant une personne réelle, une voix clonée dans un spot audio, une vidéo retouchée par IA au point de paraître authentique : tout cela relève de l'hypertrucage et doit être révélé de manière claire et visible dès la première diffusion. Les usages manifestement artistiques ou satiriques bénéficient d'un régime allégé, la révélation devant alors se faire sans nuire à l'œuvre.
Le point aveugle le plus fréquent concerne les personnes filmées ou photographiées. L'AI Act ne remplace pas le droit français : une image de synthèse reproduisant les traits d'un salarié, d'un client ou d'un dirigeant reste soumise à l'article 9 du Code civil et exige une autorisation écrite distincte de toute mention de transparence. Une autorisation de droit à l'image signée en amont évite un contentieux qui, lui, ne se règle pas par une ligne de code.
Le marquage technique lisible par machine, filigranes et métadonnées de provenance, pèse sur le fournisseur du système génératif, pas sur vous. Votre exposition réelle porte sur deux points : vérifier que vos outils l'implémentent, et surtout ne pas le détruire. Beaucoup de chaînes de production suppriment les métadonnées lors d'un recadrage ou d'une compression pour le web. Un contenu marqué à la source puis dépouillé de ses métadonnées avant publication vous replace en première ligne.
Ce que vos CGU et vos contrats doivent dire
Aucune disposition n'impose une clause type. Mais la preuve de conformité se construit par écrit, et c'est là que vos documents contractuels entrent en jeu. Des conditions générales de vente et d'utilisation pour site marchand à jour doivent identifier les fonctionnalités d'IA proposées, préciser que l'assistant est automatisé, indiquer si des contenus publiés sur le site sont générés ou modifiés par IA, et rappeler qu'une réponse de l'assistant n'a pas valeur d'engagement contractuel. Cette dernière clause est celle qui protège réellement en cas de litige sur une information erronée délivrée par le bot.
Côté fournisseurs, la chaîne contractuelle se réécrit. Un contrat SaaS couvrant les niveaux de service, le RGPD et la réversibilité gagne à répartir explicitement les rôles de fournisseur et de déployeur, à imposer au prestataire le maintien du marquage lisible par machine, et à prévoir une garantie de conformité au règlement IA assortie d'une obligation d'information en cas d'évolution. Le même raisonnement vaut pour un contrat de développement logiciel sur mesure intégrant une brique générative : sans clause dédiée, la question de savoir qui supporte l'amende se réglera devant un juge.
Mettre vos documents à jour sans repartir de zéro
Sur Captain.Legal, la mise à niveau se fait document par document, en répondant à un questionnaire plutôt qu'en pilotant un traitement de texte. Vous indiquez la nature de votre activité, la présence ou non d'un assistant conversationnel, l'existence de contenus générés publiés sur le site, et le générateur ajuste les clauses en conséquence. Les références au Code de la consommation, à la LCEN et au RGPD sont intégrées, les mentions de transparence relatives à l'IA viennent s'y greffer sans casser l'équilibre du reste du document.
L'ordre de traitement compte. Commencez par les mentions légales de votre site internet, qui identifient l'éditeur et l'hébergeur et servent de socle à toute réclamation. Enchaînez sur les conditions générales, puis sur la documentation contractuelle destinée à vos clients professionnels. Chaque document se télécharge en Word pour les ajustements maison et en PDF pour l'archivage, ce qui permet de conserver une version datée de chaque état successif. Gardez ces versions horodatées : en cas de contrôle, la capacité à montrer quand une mention a été mise en ligne vaut mieux qu'une déclaration de bonne foi.
Les erreurs que l'on voit le plus souvent
La première consiste à croire que le report des obligations haut risque vaut dispense générale. Il ne concerne ni l'article 50, ni les pratiques interdites, ni les modèles d'IA à usage général, et il ne modifie pas les plafonds d'amende. La deuxième tient au périmètre : les dirigeants recensent les outils achetés par la direction informatique et oublient les comptes ouverts par les équipes marketing ou commerciales, alors que ce sont eux qui produisent les contenus publiés. Un inventaire des usages, service par service, comptes personnels compris, reste le préalable à toute mise en conformité sérieuse.
Vient ensuite la confusion entre transparence et conformité aux données personnelles. Annoncer qu'un chatbot est une IA ne règle aucune question de base légale, de durée de conservation ou de transfert hors Union pour les conversations enregistrées. Ce sont deux réglementations distinctes, avec deux documents distincts. Quatrième erreur, plus banale : recopier des clauses trouvées sur un site anglophone, calibrées pour un droit qui n'est pas le vôtre. Enfin, beaucoup de dirigeants signent un document généré en ligne sans relire les champs libres, ce qui rejoint les erreurs les plus fréquentes dans la création d'un document juridique en ligne. Un modèle bien construit ne dispense jamais d'une relecture de dix minutes.
Questions fréquentes
Faut-il indiquer sur son site que le chatbot est une intelligence artificielle ?
Oui, dès lors que l'utilisateur pourrait croire s'adresser à un humain. L'article 50, paragraphe 1, du règlement (UE) 2024/1689 impose que l'information soit délivrée au début de l'interaction, pas dans une page annexe. Une phrase d'accueil identifiant l'assistant comme automatisé remplit l'obligation. La dispense pour évidence existe mais reste étroite : un bot doté d'un prénom, d'un avatar photographique et d'un ton conversationnel travaillé n'en bénéficie pas, puisque le doute est précisément l'effet recherché. L'obligation pèse sur le déployeur, donc sur l'entreprise qui exploite le chatbot, indépendamment de l'éditeur de la solution.
L'AI Act s'applique-t-il aux TPE et PME ?
Oui. L'article 50 ne comporte aucun seuil d'effectif ni de chiffre d'affaires. Une entreprise de trois personnes qui exploite un assistant conversationnel ou publie des visuels générés par IA est soumise aux mêmes obligations de transparence qu'un grand groupe. Le Digital Omnibus a introduit des allégements réels pour les PME et les petites entreprises de taille intermédiaire, mais ils portent sur la documentation technique des systèmes à haut risque, les exigences de système qualité et les plafonds d'amende, pas sur le devoir d'information de l'utilisateur, qui reste identique quelle que soit la taille de la structure.
Quelles sanctions en cas de manquement aux obligations de transparence ?
Un manquement aux obligations des fournisseurs et déployeurs, article 50 inclus, expose à une amende administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour les PME et les jeunes entreprises, c'est en principe le plus faible des deux plafonds qui s'applique. Les pratiques interdites de l'article 5 relèvent d'un étage supérieur, jusqu'à 35 millions d'euros ou 7 %. En France, le contrôle de l'article 50 revient à la DGCCRF et à l'Arcom, selon le type de contenu concerné.
Des CGU générées en ligne ont-elles une valeur juridique ?
Oui, sous réserve d'être exactes et acceptées. Un document généré à partir d'un questionnaire a exactement la même valeur que celui rédigé de la main d'un juriste : ce qui compte est son contenu et son opposabilité, pas son mode de production. Les conditions générales doivent être portées à la connaissance du client avant la conclusion du contrat et faire l'objet d'une acceptation traçable, une case à cocher non pré-remplie par exemple. Un document dont les champs auraient été remplis à la légère ou laissés incohérents perdra en revanche toute utilité devant un juge.
Dans quel format télécharger ses documents mis à jour ?
Les documents générés sur Captain.Legal se téléchargent au format Word et au format PDF. Le format Word sert aux ajustements internes, à l'insertion de clauses négociées avec un client ou à l'adaptation d'une charte graphique. Le PDF sert à la diffusion et à l'archivage, parce qu'il fige le contenu et facilite la preuve de la version applicable à une date donnée. Pour un document appelé à évoluer au rythme des échéances réglementaires, conserver les deux formats de chaque version successive constitue la méthode la plus simple de reconstituer un historique.
Quel délai pour se conformer au marquage des contenus générés ?
Le marquage technique lisible par machine relève de l'article 50, paragraphe 2, et pèse sur le fournisseur du système génératif. Les systèmes déjà mis sur le marché de l'Union avant le 2 août 2026 bénéficient d'une transition jusqu'au 2 décembre 2026. Ceux mis sur le marché à compter du 2 août 2026 s'y conforment sans délai. Cette transition ne couvre ni l'information de l'utilisateur face à un chatbot, ni la révélation des hypertrucages par le déployeur, qui sont exigibles depuis le 2 août 2026 sans période de grâce.
Faut-il modifier sa politique de confidentialité à cause du règlement IA ?
Le règlement IA et le RGPD sont deux textes distincts, mais ils se croisent dès qu'un système d'IA traite des données personnelles. Les conversations enregistrées avec un assistant, les images de personnes soumises à un outil génératif, les prompts contenant des informations clients relèvent tous du RGPD. Une politique de confidentialité conforme au RGPD doit donc mentionner ces traitements, leur finalité, leur base légale et leur durée de conservation. La mention de transparence exigée par l'article 50 vient en complément et ne s'y substitue jamais.