Chatbot et contenu généré : se mettre en conformité avec l’article 50 de l’AI Act

TL;DR

L’article 50 est la seule partie de l’AI Act qui vous concerne opérationnellement aujourd’hui, et elle est entrée en application le 2 août 2026. Deux obligations : dire à l’utilisateur qu’il parle à une machine, et marquer les contenus générés par IA. La difficulté n’est pas juridique, elle est cartographique — savoir quels outils produisent quoi dans votre organisation.

Ce que dit exactement l’article 50

Deux obligations distinctes, souvent confondues.

L’interaction. Un système conversationnel — chatbot, agent, avatar — doit signaler clairement à son utilisateur qu’il échange avec une intelligence artificielle. L’exception prévue est le cas où cela ne fait aucun doute, formulation qui laisse une marge d’appréciation mais qui ne couvre pas un assistant conçu pour paraître humain.

Le contenu. Une image, un texte, un son ou une vidéo créés ou fortement modifiés par IA doivent embarquer un marquage. Le dispositif visé par la Commission comporte deux couches : un tatouage numérique invisible, glissé dans les données du fichier et lisible par des logiciels spécialisés, et un badge visible. L’objectif est explicite — permettre d’identifier un contenu artificiel même après repartage, loin de sa source d’origine.

Une exception importante : l’obligation de marquage prévue à l’article 50(2) ne s’applique pas aux systèmes déjà présents sur le marché. Vérifiez ce point avant de conclure qu’un outil existant vous met en défaut.

Enfin, deux régimes voisins qui relèvent aussi de la transparence : les systèmes de reconnaissance des émotions et de catégorisation biométrique. Interdits au travail depuis 2025, ils imposent ailleurs d’informer les personnes avant toute analyse.

Qui est concerné, en pratique

Beaucoup plus d’organisations que celles qui se pensent visées.

Le règlement s’applique à toute entité qui développe, commercialise ou utilise des systèmes d’IA dans l’Union, ou dont les systèmes sont utilisés par des personnes situées dans l’Union — y compris si l’entreprise est établie hors d’Europe. Il n’y a pas de seuil d’effectif ni de chiffre d’affaires. Un principe de proportionnalité s’applique aux PME et aux petites entreprises à capitalisation moyenne, mais il porte sur le montant des sanctions, pas sur l’existence des obligations.

La question opérationnelle est donc simple à formuler et pénible à traiter : quels outils, dans votre organisation, produisent aujourd’hui du contenu susceptible d’être diffusé à l’extérieur ? Newsletters, fiches produits, réponses au support, visuels sur les réseaux sociaux, comptes rendus envoyés à des clients. Et parmi ces chaînes de production, lesquelles sont entièrement automatisées, lesquelles repassent par une relecture humaine ?

Cette cartographie révèle presque toujours un périmètre plus large que prévu, principalement à cause des abonnements individuels souscrits hors du contrôle de la DSI.

Les sanctions, et ce qui a changé le 2 août

Le texte est passé dans sa phase répressive. Le Bureau européen de l’IA et les autorités nationales peuvent désormais enquêter, exiger la communication de documents et prononcer des amendes. Un panel de soixante experts scientifiques indépendants a été installé pour éclairer les régulateurs sur les questions techniques.

L’échelle des sanctions comporte deux niveaux. Les manquements aux obligations de transparence et aux règles applicables aux modèles à usage général peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Les pratiques interdites au titre de l’article 5 montent à 35 millions d’euros ou 7 %.

Deux nuances de contexte, qui n’excusent pas l’inaction mais cadrent l’urgence. En France, le dispositif national de mise en œuvre restait en cours de structuration à la date du 2 août 2026. Et les normes harmonisées du CEN et du CENELEC n’ont pas été finalisées : les consultations publiques sont attendues fin 2026 ou début 2027, ce qui prive les fournisseurs du mécanisme de présomption de conformité.

Ce qui ne s’applique PAS encore

C’est le point que la couverture médiatique du 2 août a largement manqué.

Le Digital Omnibus sur l’IA — règlement (UE) 2026/1744, validé définitivement par le Conseil de l’Union européenne le 29 juin 2026 — a décalé les obligations les plus lourdes. Les systèmes à haut risque relevant de l’annexe III basculent au 2 décembre 2027 ; ceux intégrés dans des produits réglementés, relevant de l’annexe I, au 2 août 2028. L’Omnibus a explicitement lié ce calendrier à la disponibilité des normes harmonisées.

Autrement dit : si votre projet relève du recrutement, du crédit ou de la santé, vous avez plus de temps que ne le laissaient croire les titres — mais un temps conditionné à un calendrier de normalisation qui a déjà glissé une fois.

Les fournisseurs de modèles à usage général, eux, sont soumis à leurs propres obligations depuis le 2 août 2025. Ce sont celles de vos fournisseurs, pas les vôtres, et il est légitime de leur en demander la preuve.

L’angle mort : la littératie IA

C’est l’obligation la plus ancienne et la plus fréquemment ignorée.

Depuis février 2025, toute organisation utilisant des systèmes d’IA doit développer les compétences de ses collaborateurs afin qu’ils les emploient de manière responsable. Cette obligation est devenue pleinement contrôlable au 2 août 2026.

Sa particularité est d’être la plus facile à constater pour un régulateur : il n’y a rien à analyser techniquement, il suffit de demander la trace d’une formation. Une organisation dont les équipes utilisent des outils génératifs quotidiennement sans aucun dispositif formalisé est en défaut manifeste, quelle que soit la qualité de son marquage de contenu.

Le remède est proportionné : une session courte, un support écrit, une liste d’émargement. Ce qui compte est l’existence et la traçabilité, pas le volume horaire.

Une mise en conformité en quatre semaines

Semaine 1 — cartographier. Listez tous les systèmes d’IA en usage, y compris les abonnements individuels. Distinguez ceux qui interagissent avec des personnes et ceux qui produisent du contenu diffusé à l’extérieur. C’est l’étape la plus longue et celle qui détermine tout le reste.

Semaine 2 — l’interaction. Ajoutez les mentions d’interaction avec une IA sur toutes les interfaces conversationnelles exposées à des utilisateurs — site, application, support. La formulation doit être visible avant l’échange, pas enfouie dans les conditions générales.

Semaine 3 — le contenu. Fournisseur par fournisseur, vérifiez ce qui est réellement marqué et selon quel dispositif. C’est ici que vous découvrirez que certains outils ne marquent rien, ou marquent d’une manière qui disparaît au premier réencodage. Documentez les écarts plutôt que de les ignorer : une non-conformité identifiée et suivie se défend, une non-conformité inconnue non.

Semaine 4 — la littératie et la trace. Formalisez la formation, conservez les preuves, et consignez l’ensemble dans un document unique — inventaire, décisions, écarts, échéances. En cas de contrôle, ce document vaut davantage qu’une conformité parfaite non documentée.

FAQ

Faut-il marquer un texte simplement corrigé par une IA ?
Le texte vise les contenus générés ou substantiellement modifiés. Une correction orthographique ne relève pas du même registre qu’une réécriture ou une génération intégrale. La zone grise est réelle, et en son absence de clarification, documenter votre interprétation vaut mieux que de trancher silencieusement.

Un chatbot interne, réservé aux salariés, est-il concerné ?
L’obligation d’information sur l’interaction vise les personnes qui échangent avec le système, sans distinction entre public externe et interne. Une mention claire coûte peu — il n’y a pas de raison de s’en dispenser.

Mon fournisseur est-il responsable à ma place ?
Non. Les fournisseurs de modèles à usage général ont leurs propres obligations depuis août 2025, distinctes des vôtres en tant qu’utilisateur ou déployeur. Vous ne pouvez pas transférer votre responsabilité de transparence à l’éditeur de l’outil.

Utiliser une IA européenne me met-il en conformité ?
Non. L’AI Act s’applique quelle que soit l’origine du fournisseur, et les obligations de transparence pèsent sur votre usage, pas sur la nationalité du modèle. Le choix d’une solution européenne relève d’un arbitrage sur la juridiction des données, pas de la conformité AI Act.

Ce qu’il faut retenir

L’article 50 ne demande pas un chantier technique lourd. Il demande de savoir ce que vous utilisez, de le dire, et de le prouver. La difficulté est organisationnelle : elle tient à l’usage diffus d’outils génératifs qu’aucune DSI ne recense complètement.

Si vous ne faisiez qu’une chose cette semaine : produisez l’inventaire. Tout le reste — mentions, marquage, formation — se traite ensuite en quelques jours. Sans lui, vous ne savez même pas si vous êtes en défaut.

Pour le cadre général dans lequel s’inscrit cette échéance, voyez notre analyse de ce que l’AI Act du 2 août change vraiment pour les entreprises.

Ce calendrier a déjà bougé une fois, quatre semaines avant l’échéance. C’est ce que nous suivons chez Savvys : une veille tech quotidienne curée pour les DSI, CTO et dirigeants qui n’ont pas de service juridique dédié à l’IA.

Abonnez-vous à la veille du vendredi : 5 actus essentielles, 1 coup de cœur, 0 spam.

Sources principales : règlement (UE) 2024/1689 (article 50, article 5, article 113), règlement (UE) 2026/1744 (Digital Omnibus IA), Toute l’Europe, IT for Business, DSIH, Blog du Modérateur, Clubic. Cet article est un guide de vulgarisation et ne constitue pas un conseil juridique. Données arrêtées au 9 août 2026.