AI Act : chatbots et deepfakes doivent désormais être identifiés

Les obligations de transparence prévues par l’article 50 du règlement européen sur l’intelligence artificielle sont applicables depuis le 2 août 2026. Elles concernent les fournisseurs qui développent ou commercialisent certains systèmes d’IA, mais aussi les « déployeurs », c’est-à-dire les entreprises, administrations ou professionnels qui les utilisent sous leur responsabilité.

Les règles diffèrent selon le système et l’usage. Un chatbot doit informer son interlocuteur, tandis que les fournisseurs d’IA générative doivent prévoir un marquage technique pour certains contenus. Une mention directement visible ou audible est en parallèle exigée lors de la diffusion de deepfakes ou de certains textes générés par IA.

Les chatbots doivent annoncer la présence d’une IA

Les systèmes conçus pour dialoguer directement avec une personne doivent l’informer qu’elle interagit avec une intelligence artificielle. La règle vise notamment les chatbots, les agents conversationnels et les avatars capables de mener un véritable échange dans les deux sens.

L’information doit être claire, accessible et communiquée au plus tard au début de la première interaction. Elle n’est pas exigée lorsque la nature artificielle du système est évidente pour une personne normalement informée et raisonnablement attentive. La Commission européenne demande toutefois que cette exception soit interprétée de manière restrictive.

Un formulaire qui collecte uniquement des informations ou un service qui délivre une réponse automatisée sans véritable dialogue ne relève donc pas nécessairement de cette obligation. Les outils fonctionnant uniquement en arrière-plan ou assurant des échanges entre machines ne sont pas non plus concernés par cette règle particulière.

Les fournisseurs établis en dehors de l’Union européenne restent soumis à l’AI Act lorsque les résultats de leurs systèmes sont utilisés dans l’UE.

Un marquage technique pour certains contenus générés

Les fournisseurs de systèmes produisant des textes, des images, des vidéos ou des sons synthétiques doivent rendre les contenus concernés détectables comme ayant été générés ou manipulés par une IA. Le marquage doit être lisible par une machine et permettre une identification automatisée par des logiciels ou des plateformes.

La technique employée doit être aussi efficace, fiable, robuste et interopérable que le permettent le type de contenu et l’état de la technique. Ce marquage ne correspond pas nécessairement à une étiquette immédiatement visible par le public : il peut être intégré au fichier ou à ses données techniques.

L’obligation ne s’applique pas de la même manière à toutes les interventions d’une IA. Certaines fonctions limitées à une mise en forme ou à une retouche standard sont exclues lorsqu’elles ne modifient pas substantiellement les données fournies ni leur sens. Des exceptions étroites peuvent aussi concerner certains usages exclusivement industriels, professionnels ou entre machines.

Les systèmes commercialisés avant le 2 août 2026 bénéficient d’un délai jusqu’au 2 décembre 2026 pour respecter cette obligation de marquage. Les contenus produits avant l’entrée en application de l’article 50 ne doivent pas être étiquetés rétroactivement.

Deepfakes et textes d’intérêt public doivent être signalés

Lorsqu’un professionnel diffuse un deepfake, le marquage technique prévu par le fournisseur ne suffit pas. Le déployeur doit également indiquer de manière visible ou audible que l’image, la vidéo ou le son a été généré ou manipulé par une IA. Cette information doit être perceptible sans utiliser un outil particulier.

La règle concerne les contenus qui ressemblent à une personne, un objet, un lieu, une entité ou un événement existant ou plausible et qui pourraient paraître authentiques. Pour une œuvre manifestement artistique, créative, satirique ou fictionnelle, la mention peut être adaptée afin de ne pas gêner sa consultation.

Les textes générés ou modifiés par une IA doivent aussi être signalés lorsqu’ils sont publiés pour informer le public sur une question d’intérêt général. Cette obligation peut notamment concerner des contenus portant sur la politique, la santé publique, l’environnement, la justice, la sécurité, l’économie ou les sciences.

Une exception est prévue lorsque le texte a fait l’objet d’un véritable contrôle humain ou éditorial et qu’une personne ou une organisation en assume la responsabilité. Ce contrôle doit porter sur le fond, les faits et la fiabilité des sources. Une simple correction orthographique, grammaticale ou stylistique ne suffit pas.

Reconnaissance des émotions et catégorisation biométrique

Les organismes utilisant un système de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes qui y sont exposées. L’obligation vaut lorsque l’analyse intervient en temps réel, mais aussi lorsqu’elle est réalisée ultérieurement à partir d’un enregistrement.

Elle peut concerner un outil qui tente de déduire une émotion à partir de données biométriques ou qui répartit des personnes dans différentes catégories selon leurs caractéristiques physiques ou comportementales. Les règles européennes relatives à la protection des données continuent de s’appliquer en parallèle.

Cette obligation d’information ne rend pas licites les usages interdits par ailleurs par l’AI Act. La reconnaissance des émotions est notamment prohibée sur le lieu de travail et dans les établissements d’enseignement, sauf lorsqu’elle répond à une finalité médicale ou de sécurité. La catégorisation biométrique destinée à déduire certaines caractéristiques sensibles, comme les opinions politiques ou l’orientation sexuelle, est également interdite.

Les contrôles à engager dans les entreprises

Les organisations doivent recenser les systèmes qui dialoguent directement avec leurs clients, collaborateurs ou usagers, puis vérifier que l’information exigée apparaît dès le premier échange. Elles doivent également identifier les contenus synthétiques qu’elles publient et contrôler les moyens techniques proposés par leurs fournisseurs.

Les médias, agences et services de communication doivent formaliser leur processus de validation. Un texte préparé avec une IA ne nécessite pas automatiquement une mention publique s’il est réellement vérifié par une personne compétente et placé sous la responsabilité d’une organisation éditoriale identifiable.

Les usages strictement personnels et non professionnels sont exclus du champ applicable aux déployeurs. Une activité régulière exercée dans un cadre commercial, professionnel, indépendant ou procurant un avantage économique peut en revanche être concernée.

Le contrôle de l’article 50 relève principalement des autorités nationales de surveillance du marché. Le Bureau européen de l’IA intervient pour certains systèmes placés sous sa supervision, tandis que le Contrôleur européen de la protection des données est compétent pour les institutions de l’Union. Les manquements peuvent entraîner une amende atteignant 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel de l’exercice précédent. La proportionnalité de la sanction doit être prise en compte pour les PME et les petites entreprises de taille intermédiaire.

Sources principales

• Commission européenne — lignes directrices sur les obligations de transparence de l’article 50
• Commission européenne — questions-réponses sur les systèmes et contenus concernés
• Bureau européen de l’IA — pratiques interdites par l’article 5 de l’AI Act

Crédit image : Union européenne.