L’AI Act (règlement (UE) 2024/1689) s’applique par vagues. Pour la plupart des PME, les règles lourdes des systèmes « à haut risque » (recrutement, évaluation des salariés, crédit) ont été repoussées au 2 décembre 2027 par l’omnibus numérique de juillet 2026 (le calendrier complet). En revanche, deux obligations concernent déjà les entreprises qui utilisent l’IA : soutenir la maîtrise de l’IA des équipes (article 4, depuis février 2025) et, depuis le 2 août 2026, être transparent avec les personnes qui échangent avec une IA ou voient des contenus qu’elle a produits.
Ce qui s’applique depuis le 2 août 2026
L’article 50 contient quatre obligations de transparence. Deux visent le fournisseur (celui qui développe le système et le met sur le marché ou en service sous son nom), deux visent le déployeur (l’entreprise qui l’utilise dans un cadre professionnel).
| Obligation (article 50) | Qui la porte | Exemple dans une PME |
|---|---|---|
| Informer la personne qu’elle interagit avec une IA, sauf si c’est évident (paragraphe 1) | Fournisseur du système | Chatbot du site, assistant de support, agent vocal au standard, agent qui écrit aux clients |
| Marquer les contenus générés dans un format lisible par machine (paragraphe 2) | Fournisseur du système génératif | Concerne l’éditeur de votre outil d’images ou de texte, pas vous en tant qu’utilisateur |
| Informer les personnes exposées à une reconnaissance des émotions ou une catégorisation biométrique (paragraphe 3) | Déployeur | Rare en PME ; la reconnaissance des émotions sur le lieu de travail est par ailleurs interdite depuis février 2025, sauf raisons médicales ou de sécurité |
| Signaler les hypertrucages et les textes d’intérêt public générés sans relecture éditoriale (paragraphe 4) | Déployeur | Vidéo publicitaire où une personne réelle semble dire ce qu’elle n’a pas dit ; article d’information publié sans relecture humaine |
Selon les lignes directrices de la Commission européenne publiées le 20 juillet 2026, tout système concerné doit être conforme dès le 2 août 2026, quelle que soit sa date de mise en service. L’omnibus numérique n’a prévu qu’une exception : les fournisseurs de systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour le marquage des contenus. L’information du client face à un chatbot, elle, n’a bénéficié d’aucun report. Les contenus générés et publiés avant le 2 août 2026 n’ont pas à être étiquetés rétroactivement.
Fournisseur ou déployeur : qui doit informer le client ?
C’est ce qui détermine ce que vous avez concrètement à faire.
- Vous achetez un outil de chat ou de support prêt à l’emploi : c’est son éditeur, fournisseur, qui doit le concevoir pour que l’utilisateur soit informé. Votre rôle : vérifier que la mention existe et s’affiche, ne pas la désactiver, ne pas donner à l’assistant un prénom et une photo qui font croire à un humain.
- Vous avez construit votre propre assistant : les lignes directrices citent l’exemple d’une entreprise qui développe en interne un système interactif, comme un chatbot, et le met en service sous son nom pour son propre usage : elle est fournisseur. Un assistant que vous avez assemblé vous-même et que vous exposez à vos clients vous place très probablement dans ce cas ; l’information du client devient alors votre responsabilité directe. En cas de doute sur votre qualification, faites-la confirmer par un juriste.
- Un salarié rédige avec l’IA, puis relit et envoie : la Commission exclut l’interaction indirecte, par exemple quand des conseillers du service client utilisent un outil d’IA pour les aider à répondre. Le client échange avec une personne, pas avec le système. Attention, la simple possibilité qu’un humain intervienne ne suffit pas : il faut que la réponse soit réellement relue et envoyée par lui.
- Un agent IA écrit ou agit seul en votre nom (prise de rendez-vous, relance, réponse automatique) : il est couvert. Les lignes directrices demandent qu’un agent révèle à la fois sa nature artificielle et la personne pour le compte de qui il agit.
Deux précisions utiles. L’exception « c’est évident » s’apprécie du point de vue d’une personne raisonnablement informée : la Commission l’admet pour un assistant interne utilisé par des salariés formés, mais pas pour un chatbot intégré à un site ou à un outil d’assistance dont les réponses peuvent passer pour humaines. Et le droit de la consommation continue de s’appliquer à côté : présenter comme humain un service qui ne l’est pas peut aussi constituer une pratique commerciale trompeuse.
Comment informer : ce qui suffit, ce qui ne suffit pas
Le texte ne fixe pas de formule. Il exige une information claire et distincte, au plus tard au moment de la première interaction, dans le respect des exigences d’accessibilité applicables. Les lignes directrices donnent des exemples des deux côtés :
| Suffit en général | Ne suffit pas à lui seul |
|---|---|
| Un premier message du chatbot qui dit qu’il s’agit d’une IA, éventuellement avec un badge visible pendant toute la conversation | Une mention seulement dans les CGU, une page d’aide ou un lien |
| Une phrase prononcée en début d’appel par l’agent vocal (« Vous échangez avec un assistant fonctionnant par IA ») | Le mot « assistant » seul, ou un avatar humain qui entretient l’ambiguïté |
| Une mention « IA » en tête d’un email envoyé par un agent | Une phrase générale du type « les services de ce site utilisent l’IA » |
| Une réponse franche dès que la personne demande si elle parle à un humain | Une description technique (« ce service utilise des LLM ») qui n’explique pas que l’interlocuteur est une IA |
Une seule information bien visible avant la première interaction suffit le plus souvent. La Commission recommande des rappels dans les contextes plus risqués : conseil financier, assurance, aide juridique, santé, traitement des réclamations, ou public vulnérable (enfants, personnes âgées). Exemple pour l’assistant de support d’une entreprise de dix personnes :
assistant de support · message d’accueil et consignes
Message d’accueil « Bonjour, je suis l’assistant automatique de l’entreprise, un programme d’intelligence artificielle, pas une personne. Je réponds aux questions sur vos commandes et nos horaires. Pour parler à un membre de l’équipe, écrivez “conseiller”. »
Consignes de l’assistant Tu es une IA et tu ne le caches jamais. Si l’on te demande si tu es humain, réponds clairement que non et propose le contact d’un conseiller. Ne prends pas de prénom humain. Ne donne aucun prix, délai ou engagement qui ne figure pas dans la base de connaissances : dans ce cas, transmets à un conseiller.
Interface Badge « Assistant IA » affiché en permanence à côté de la zone de saisie.
Rédiger ces consignes pour qu’un assistant ou un agent les respecte à chaque échange, et placer les points de validation humaine au bon endroit, fait partie de ce que l’on construit dans notre formation agents IA.
Images, vidéos, textes : ce qu’il faut signaler
- Hypertrucages : une image, un son ou une vidéo générés ou manipulés qui ressemblent à des personnes, lieux ou événements réels et pourraient passer pour authentiques doivent être signalés comme artificiels. Pour une œuvre manifestement créative, satirique ou fictive, une mention discrète qui ne gâche pas l’œuvre suffit.
- Textes d’intérêt public : un texte généré par IA et publié pour informer le public sur une question d’intérêt public doit être signalé, sauf s’il a été relu par un humain et qu’une personne en assume la responsabilité éditoriale. Pour un blog d’entreprise, la relecture réelle et un responsable de publication identifié sont donc le bon réflexe.
- Publicités et fiches produit : les lignes directrices citent les textes publicitaires et les descriptions de produits modifiés par IA comme hors du champ de cette obligation, sauf s’ils contiennent des allégations de santé, de sécurité du consommateur ou de durabilité.
- Marquage technique : c’est l’éditeur de l’outil génératif qui l’intègre. De votre côté, évitez les manipulations qui suppriment les métadonnées d’origine des fichiers que vous diffusez.
Contrôles et sanctions
Le contrôle relève des autorités de surveillance du marché désignées par chaque État membre, et du Bureau de l’IA de la Commission pour certains fournisseurs de grands modèles. Toute personne peut déposer une plainte. Le non-respect de l’article 50 est passible d’une amende pouvant aller jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ; pour une PME ou une jeune entreprise, c’est le montant le plus bas des deux qui sert de plafond (article 99 du règlement). Les autorités tiennent compte de la gravité, de la durée, du caractère intentionnel ou non et de la coopération. Au 16 octobre 2026, la page de la CNIL consacrée à l’AI Act indique que le texte ne désigne pas lui-même l’autorité française compétente.
Le risque le plus concret pour une PME n’est d’ailleurs pas l’amende maximale : c’est un client qui découvre après coup qu’il a confié une réclamation ou des données personnelles à une IA sans le savoir. La transparence relève aussi de la relation client et du reste de l’AI Act pour une TPE/PME.
Le plan d’action pour une PME
- Recenser les points de contact où une IA parle directement à quelqu’un : chatbot du site, messagerie, standard téléphonique, emails ou SMS automatiques, agents connectés à l’agenda ou au CRM.
- Classer chaque point : outil acheté (vérifier la mention de l’éditeur) ou assistant construit en interne (vous en êtes responsable) ; réponse relue par un humain ou envoyée seule.
- Écrire les mentions : premier message, badge, phrase d’ouverture vocale, mention en tête d’email, réponse quand on demande « êtes-vous un humain ? ». Les tester sur mobile et avec un lecteur d’écran.
- Lister les contenus diffusés : visuels ou vidéos qui représentent des personnes ou des lieux réels, articles publiés sans relecture. Décider qui relit et qui signe.
- L’inscrire dans la charte IA de l’entreprise et en informer les équipes : qui peut mettre un assistant en ligne, avec quelle mention (rédiger la charte).
- Garder une trace : captures des mentions, date de mise en place, paramètres des outils. Elle servira si une autorité ou un client pose la question.
Si plusieurs services utilisent déjà l’IA face aux clients, le plus simple est de traiter le sujet ensemble, sur vos outils réels : c’est l’objet de nos formations IA pour les entreprises.