Si votre site affiche un assistant conversationnel, si votre équipe marketing publie des visuels générés par IA, ou si vous utilisez un outil d'analyse d'émotions dans un parcours client, vous êtes concerné depuis le 2 août 2026. Et la plupart des entreprises françaises ne le savent pas encore.
Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. Son application est échelonnée : les pratiques interdites depuis le 2 février 2025, les modèles à usage général depuis le 2 août 2025, et désormais les obligations de transparence de l'article 50.
La confusion vient d'un texte adopté cinq jours avant l'échéance. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet, a reporté les exigences applicables aux systèmes d'IA à haut risque de l'annexe III au 2 décembre 2027. Beaucoup en ont conclu que « l'AI Act était reporté ». C'est faux, et cette lecture coûte cher : la date générale d'application du 2 août 2026 n'a pas bougé, et le régime de sanctions du chapitre XII est pleinement opérationnel depuis cette date.
L'enjeu est loin d'être théorique. Selon l'enquête TIC entreprises de l'Insee publiée le 21 juillet 2026, 18 % des entreprises françaises de 10 salariés ou plus déclaraient utiliser au moins une technologie d'intelligence artificielle en 2025, contre 10 % l'année précédente. En deux ans, l'usage de l'IA a triplé dans les entreprises de moins de 250 salariés. Autrement dit : la réglementation arrive au moment précis où l'adoption décolle.
Ce qui s'applique depuis le 2 août 2026
Il faut distinguer deux choses. Ce qui a été reporté, ce sont les exigences substantielles pesant sur les systèmes classés à haut risque : gestion des risques, gouvernance des données d'entraînement, documentation technique, contrôle humain. Ces obligations concernent des cas précis listés à l'annexe III, comme le recrutement, l'octroi de crédit, l'éducation ou la biométrie.
Ce qui s'applique aujourd'hui, en revanche, touche une population beaucoup plus large : toute organisation qui met un chatbot en ligne, qui génère des images ou du texte avec un modèle génératif, ou qui publie des contenus modifiés par IA. L'article 50 ne dépend pas du niveau de risque du système. Il dépend de l'usage.
Pratiques interdites et littératie IA
L'article 5 (notation sociale, manipulation, reconnaissance des émotions au travail) et l'article 4 deviennent applicables.
Modèles d'IA à usage général
Les articles 51 à 56 s'appliquent aux fournisseurs de modèles de fondation, ainsi que le régime des organismes notifiés.
Code de bonnes pratiques sur le marquage
La Commission publie la version finale du code sur la transparence des contenus générés par IA, jugé adéquat au regard de l'article 50(2), (4) et (5).
Entrée en vigueur du Digital Omnibus IA
Le règlement (UE) 2026/1744 reporte le haut risque, allège la littératie IA et introduit un article 4 bis sur les données sensibles.
Article 50, sanctions et surveillance du marché
Les obligations de transparence, le chapitre XII (sanctions) et le chapitre IX (surveillance) deviennent applicables.
Marquage des systèmes antérieurs
Les systèmes génératifs mis sur le marché avant le 2 août 2026 doivent se conformer au marquage lisible par machine (art. 111(4)). Deux nouvelles interdictions entrent également en vigueur.
Systèmes à haut risque de l'annexe III
Date fixe et inconditionnelle. Les systèmes intégrés dans des produits réglementés (annexe I) suivront le 2 août 2028.
Attention : plusieurs commentaires français ont annoncé un report de l'article 50 au 2 décembre 2026. C'est inexact. Seul l'article 50(2), le marquage lisible par machine, bénéficie d'un délai, et uniquement pour les systèmes déjà mis sur le marché avant le 2 août 2026.
Les quatre obligations de l'article 50, en clair
L'article 50 organise la transparence autour de quatre situations, qui peuvent se cumuler sur un même système et engager à la fois le fournisseur et le déployeur. Le fournisseur est celui qui développe le système et le met sur le marché sous son nom. Le déployeur est celui qui l'utilise dans un cadre professionnel. Une agence web qui intègre un modèle de langage dans le site de son client peut être les deux à la fois.
| Disposition | Qui est visé | Ce qu'il faut faire | Applicable depuis |
|---|---|---|---|
| Art. 50(1) | Fournisseur d'un système interagissant directement avec des personnes physiques | Concevoir le système pour que l'utilisateur sache qu'il échange avec une IA, sauf si c'est évident pour une personne raisonnablement avisée | 2 août 2026 |
| Art. 50(2) | Fournisseur d'un système générant du contenu synthétique (texte, image, audio, vidéo) | Marquer les sorties dans un format lisible par machine et détectable comme artificiellement généré ou manipulé | 2 août 2026 (2 déc. 2026 pour les systèmes antérieurs, art. 111(4)) |
| Art. 50(3) | Déployeur d'un système de reconnaissance des émotions ou de catégorisation biométrique | Informer les personnes exposées du fonctionnement du système et traiter leurs données conformément au RGPD | 2 août 2026 |
| Art. 50(4) | Déployeur produisant un deepfake, ou un texte publié pour informer le public sur une question d'intérêt public | Déclarer que le contenu a été généré ou manipulé artificiellement | 2 août 2026 |
| Art. 50(5) | Tous les opérateurs concernés | Délivrer l'information de manière claire et distinguable, au plus tard lors de la première interaction ou exposition, dans le respect des exigences d'accessibilité | 2 août 2026 |
Sources : règlement (UE) 2024/1689, article 50 et considérants 132 à 136 ; règlement (UE) 2026/1744, article 111(4). Tableau à jour au 6 août 2026.
Les exceptions à connaître
Elles sont plus étroites qu'on ne le croit. L'article 50(1) réserve une dérogation aux systèmes autorisés par la loi pour détecter, prévenir ou enquêter sur des infractions pénales : marginale pour la quasi-totalité des entreprises. L'article 50(4) prévoit deux tempéraments plus utiles.
- Œuvres artistiques, créatives, satiriques ou fictionnelles : la divulgation doit être adaptée de manière à ne pas entraver l'affichage ou la jouissance de l'œuvre. Elle n'est pas supprimée, elle est allégée.
- Textes relus par un humain : l'obligation de signaler un texte d'intérêt public tombe si le contenu a fait l'objet d'un contrôle éditorial humain et si une personne assume la responsabilité éditoriale de la publication. Encore faut-il pouvoir le prouver, ce qui suppose une chaîne de validation tracée.
Bon à savoir : les lignes directrices de la Commission précisent qu'une simple clause d'exclusion dans les conditions générales d'utilisation ne suffit pas à satisfaire l'article 50. C'est l'usage effectif et l'information réellement portée à la connaissance de l'utilisateur qui comptent.
Savoir en 3 minutes si l'AI Act vous concerne
AiActo, notre plateforme dédiée à la conformité AI Act, identifie votre rôle (fournisseur ou déployeur), classe le niveau de risque de vos systèmes et génère la documentation technique attendue. Hébergement en France.
AI Act et RGPD : deux obligations d'information qui se cumulent
C'est l'erreur la plus fréquente que nous voyons chez les PME et les agences : croire qu'un bandeau « cet assistant est propulsé par l'IA » règle la question. Il règle une question sur deux.
Les deux textes n'ont pas le même objet. L'article 50 de l'AI Act porte sur la nature artificielle de l'interaction ou du contenu. Les articles 12 à 14 du RGPD portent sur le traitement de données personnelles : finalité, base légale, durée de conservation, destinataires, transferts hors Union européenne, droits des personnes. Un chatbot peut être parfaitement conforme à l'article 50 et gravement non conforme au RGPD s'il enregistre les conversations sans information ni base légale valable.
Article 50 : dire que c'est de l'IA
- Objet : la nature artificielle du système ou du contenu
- Déclencheur : l'usage d'un système d'IA, avec ou sans données personnelles
- Moment : au plus tard lors de la première interaction
- Plafond : 15 millions d'euros ou 3 % du chiffre d'affaires mondial
- S'applique même à un système anonyme, sans aucune donnée personnelle
Articles 12 à 14 : dire ce que vous faites des données
- Objet : le traitement des données personnelles
- Déclencheur : toute collecte de données personnelles
- Moment : au moment de la collecte
- Plafond : 20 millions d'euros ou 4 % du chiffre d'affaires mondial
- S'applique même sans aucune IA
L'article 50(3) illustre parfaitement cette articulation : il impose au déployeur d'un système de reconnaissance des émotions d'informer les personnes exposées et de traiter leurs données conformément au règlement (UE) 2016/679. Le texte de l'AI Act renvoie lui-même au RGPD. Rappelons au passage que la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement est purement et simplement interdite par l'article 5(1)(f) depuis le 2 février 2025.
Le Digital Omnibus a par ailleurs créé une passerelle utile : le nouvel article 4 bis autorise le traitement de catégories particulières de données au sens de l'article 9 du RGPD aux seules fins de détection et de correction des biais, sous six conditions cumulatives dont la stricte nécessité et l'effacement dès la correction. Le considérant 9 le rattache expressément à l'article 9(2)(g) du RGPD : ce n'est pas une base légale autonome. Enfin, l'article 27(4) et (5) permet désormais à l'analyse d'impact sur les droits fondamentaux de renvoyer aux sections pertinentes d'une AIPD déjà réalisée au titre de l'article 35 du RGPD, ce qui évite de mener deux exercices parallèles.
En pratique, si vous exploitez un assistant conversationnel, votre politique de confidentialité doit décrire le traitement des historiques de conversation : finalité, durée de conservation, sous-traitants impliqués, transferts éventuels vers un fournisseur de modèle hors Union européenne. La CNIL a publié des recommandations détaillées sur l'application du RGPD aux systèmes d'IA, qui insistent notamment sur la lisibilité de l'information délivrée aux personnes concernées. La même logique de traçabilité s'applique aux traceurs et pixels intégrés dans vos communications, un sujet que nous avons traité dans notre article sur les pixels de suivi dans les e-mails.
Sanctions : ce que vous risquez réellement
Plafond applicable à un manquement aux obligations de transparence de l'article 50, en application de l'article 99(4)(g) de l'AI Act. Le montant le plus élevé des deux est retenu.
| Type de manquement | Plafond | Base juridique |
|---|---|---|
| Pratiques d'IA interdites | 35 M € ou 7 % du CA mondial | Art. 99(3) AI Act |
| Transparence (art. 50) et autres obligations des opérateurs | 15 M € ou 3 % du CA mondial | Art. 99(4)(g) AI Act |
| Informations inexactes fournies aux autorités | 7,5 M € ou 1 % du CA mondial | Art. 99(5) AI Act |
| PME et petites entreprises de taille intermédiaire | Le montant le plus faible des deux | Art. 99(6 bis), introduit par le règl. (UE) 2026/1744 |
| RGPD : information, base légale, droits des personnes | 20 M € ou 4 % du CA mondial | Art. 83(5) RGPD |
| RGPD : sécurité, contrats de sous-traitance, registre | 10 M € ou 2 % du CA mondial | Art. 83(4) RGPD |
Tableau à jour au 6 août 2026. Les plafonds AI Act n'ont pas été modifiés par le Digital Omnibus, à l'exception de la règle spécifique aux PME.
Cette inversion du plafond pour les PME est une nouveauté à connaître : pour une entreprise de moins de 250 salariés réalisant 4 millions d'euros de chiffre d'affaires, l'amende maximale au titre de l'article 50 n'est plus de 15 millions d'euros mais de 120 000 euros. Un allègement réel, mais qui reste dissuasif à l'échelle d'une TPE.
Reste la question du contrôle. En France, la désignation des autorités compétentes au titre de l'article 70 n'était pas achevée au 2 août 2026. Le schéma gouvernemental publié le 9 septembre 2025 répartit la compétence entre une quinzaine d'autorités sectorielles, dont la CNIL, la DGCCRF, l'Arcom, l'ACPR, l'AMF et l'ANSSI. Le Sénat a publié un rapport d'information critique sur le paquet omnibus. Ce flou n'est pas une exemption : le Bureau de l'IA de la Commission européenne dispose désormais, au titre des articles 75 bis à 75 quinquies, de pouvoirs d'enquête calqués sur le droit de la concurrence, incluant les inspections sur place et des astreintes plafonnées à 5 % du chiffre d'affaires mondial journalier.
Le plan d'action en sept étapes
La bonne nouvelle : pour la majorité des PME, agences et éditeurs de sites, la conformité à l'article 50 relève davantage de l'organisation que de l'ingénierie. Voici l'ordre de priorité que nous recommandons.
- Recensez vos systèmes d'IA : chatbot, générateur d'images, assistant de rédaction, outil de traduction, module de recommandation. Y compris ceux intégrés dans vos outils SaaS existants, souvent oubliés.
- Qualifiez votre rôle pour chacun : fournisseur si vous mettez le système sur le marché sous votre nom ou votre marque, déployeur si vous l'utilisez à titre professionnel. Les obligations diffèrent.
- Corrigez vos interfaces : chaque assistant conversationnel doit annoncer sa nature dès le premier message, de manière visible et non enfouie dans un lien. Testez également le parcours mobile et l'accessibilité.
- Interrogez vos fournisseurs de modèles : quelle solution de marquage lisible par machine proposent-ils ? Ont-ils signé le code de bonnes pratiques ? Faites-le figurer dans vos contrats.
- Documentez votre chaîne éditoriale : si vous invoquez l'exception de relecture humaine pour vos contenus, formalisez qui relit, quand, et qui assume la responsabilité éditoriale.
- Mettez à jour votre politique de confidentialité : ajoutez les traitements liés à l'IA, les durées de conservation des historiques et les sous-traitants concernés.
- Fixez l'échéance du 2 décembre 2026 : marquage machine des systèmes génératifs antérieurs et audit au regard des deux nouvelles interdictions ajoutées à l'article 5.
Si vous n'êtes pas certain du statut global de votre site au regard du RGPD, un audit de conformité en ligne permet d'identifier en quelques minutes les mentions manquantes, les traceurs non déclarés et les documents à produire. C'est le point de départ logique avant d'attaquer le volet IA.
Bon à savoir : la Commission européenne a ouvert un service d'assistance officiel dédié à l'AI Act, avec un explorateur du règlement et un vérificateur de conformité gratuits. Un bon complément documentaire, qui ne remplace pas un travail de qualification propre à votre organisation.
Questions fréquentes
L'article 50 de l'AI Act est-il reporté à décembre 2026 ?
Non. L'article 50 s'applique intégralement depuis le 2 août 2026. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, a reporté les exigences applicables aux systèmes à haut risque de l'annexe III au 2 décembre 2027, mais pas les obligations de transparence. Seul l'article 50(2), le marquage lisible par machine, bénéficie d'un délai jusqu'au 2 décembre 2026, et uniquement pour les systèmes déjà mis sur le marché avant le 2 août 2026, en application du nouvel article 111(4).
Dois-je afficher une mention si j'utilise l'IA pour rédiger mes articles de blog ?
Cela dépend du sujet. L'article 50(4) vise les textes publiés dans le but d'informer le public sur des questions d'intérêt public, par exemple la santé, la politique ou la sécurité. Une fiche produit ou un article commercial n'entre pas dans ce champ. Et même pour un contenu d'intérêt public, l'obligation tombe si le texte a fait l'objet d'une relecture humaine et si une personne physique ou morale assume la responsabilité éditoriale de sa publication.
Mon chatbot de service client est-il concerné par l'article 50 ?
Oui, dans la quasi-totalité des cas. L'article 50(1) impose au fournisseur d'un système d'IA destiné à interagir directement avec des personnes physiques de concevoir ce système de façon que l'utilisateur soit informé qu'il échange avec une IA. L'exception vaut uniquement lorsque c'est évident pour une personne raisonnablement avisée, attentive et avertie compte tenu du contexte. Une mention discrète dans les conditions générales ne suffit pas : l'information doit être claire, distinguable et fournie au plus tard lors de la première interaction.
Respecter l'article 50 suffit-il à être conforme au RGPD ?
Non. Les deux textes se cumulent et n'ont pas le même objet. L'article 50 de l'AI Act porte sur la nature artificielle de l'interaction ou du contenu. Les articles 12 à 14 du RGPD portent sur le traitement de données personnelles : finalité, base légale, durée de conservation, destinataires, droits des personnes. Un chatbot conforme à l'article 50 reste non conforme au RGPD s'il enregistre les conversations sans information ni base légale valable.
Quelle amende risque une PME en cas de manquement à l'article 50 ?
Le plafond général pour un manquement à l'article 50 est fixé par l'article 99(4)(g) de l'AI Act à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le règlement (UE) 2026/1744 a toutefois introduit un article 99(6 bis) qui inverse la règle pour les PME et les petites entreprises de taille intermédiaire : c'est alors le montant le plus faible des deux qui s'applique.
Qui contrôle l'application de l'AI Act en France ?
La désignation complète des autorités compétentes au titre de l'article 70 n'est pas achevée. Le schéma gouvernemental publié le 9 septembre 2025 répartit la compétence entre une quinzaine d'autorités sectorielles, dont la CNIL, la DGCCRF, l'Arcom, l'ACPR, l'AMF et l'ANSSI. Le Bureau de l'IA de la Commission européenne dispose par ailleurs, depuis la réécriture de l'article 75, d'une compétence exclusive sur les systèmes fondés sur un modèle à usage général du même fournisseur et sur ceux intégrés à une très grande plateforme au sens du DSA.
Faut-il signer le code de bonnes pratiques sur les contenus générés par IA ?
L'adhésion est volontaire et n'ajoute aucune obligation nouvelle. Publié dans sa version finale le 10 juin 2026, ce code fournit un cadre reconnu à l'échelle de l'Union pour démontrer le respect de l'article 50(2), (4) et (5). Fin juillet 2026, la Commission recensait environ 190 organisations signataires. Pour une PME, signer n'est pas indispensable, mais s'aligner sur les méthodes de marquage qu'il décrit reste le chemin le plus court vers la conformité.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.