AI Act : ce qui change vraiment depuis le 2 août 2026

Ce qui est entré en application le 2 août 2026

Résumons d'emblée l'essentiel. Depuis le 2 août 2026, l'article 50 du règlement (UE) 2024/1689, plus connu sous le nom d'AI Act, est directement applicable dans les 27 États membres. Il impose quatre obligations de transparence :

• Les chatbots doivent se déclarer : toute IA qui échange directement avec une personne doit l'informer qu'elle parle à une machine, sauf si c'est évident.
• Les contenus générés doivent être marqués : images, vidéos, sons et textes produits par IA doivent porter une marque lisible par machine, c'est-à-dire un signal technique invisible à l'œil nu mais détectable par un logiciel.
• Les deepfakes doivent être signalés : un hypertrucage diffusé dans un cadre professionnel doit être identifié comme artificiel, de façon visible ou audible.
• Certains textes IA doivent être étiquetés : les publications d'intérêt public rédigées par IA sans relecture humaine doivent le mentionner.

La sanction en cas de manquement peut atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le règlement s'applique aux entreprises établies hors de l'Union européenne dès lors que les résultats de leur système d'IA sont utilisés dans l'UE.

Point important : ces obligations concernent tous les niveaux de risque. L'article 50 est une règle horizontale. Vous n'avez pas besoin d'exploiter un système classé « à haut risque » pour être concerné. Un simple chatbot de support client sur votre site suffit.

« L'AI Act a été reporté » : le raccourci qui peut coûter cher

Depuis fin juillet, une petite musique circule dans les entreprises : l'AI Act aurait été repoussé. C'est à moitié vrai, et cette moitié fausse est la plus dangereuse.

Le règlement (UE) 2026/1744, dit « Digital Omnibus sur l'IA », a effectivement été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur trois jours plus tard, le 27 juillet. Proposé par la Commission européenne le 19 novembre 2025, adopté par le Parlement européen le 16 juin 2026 puis par le Conseil le 29 juin, ce texte de simplification décale plusieurs échéances :

• Systèmes à haut risque de l'annexe III (recrutement, crédit, éducation, biométrie, justice, services essentiels) : reportés du 2 août 2026 au 2 décembre 2027.
• Systèmes à haut risque de l'annexe I (IA intégrée dans des produits déjà réglementés : dispositifs médicaux, jouets, machines) : reportés au 2 août 2028.
• Bacs à sable réglementaires nationaux : chaque État membre a jusqu'au 2 août 2027 pour en créer au moins un, au lieu de 2026.

Ce que le Digital Omnibus n'a pas reporté : l'article 50. Ni les pouvoirs de sanction. Ni la surveillance du marché. Autrement dit, la partie du règlement qui touche le plus grand nombre d'entreprises est justement celle qui est restée à la date initiale.

Le texte va même dans l'autre sens sur un point. Il ajoute à l'article 5 deux nouvelles interdictions applicables au 2 décembre 2026 : les systèmes d'IA de « nudification » (génération de contenus intimes non consentis) et ceux produisant des contenus pédocriminels. Ces interdictions relèvent du palier de sanction maximal, soit 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Obligation n°1 : votre chatbot doit dire qu'il est une IA

C'est l'obligation la plus visible et la plus simple à comprendre. Selon l'article 50(1), le fournisseur d'un système d'IA conçu pour interagir directement avec des personnes physiques doit le concevoir de façon que l'utilisateur sache, dès la première interaction, qu'il échange avec une machine.

Les lignes directrices publiées par la Commission européenne le 20 juillet 2026 précisent quatre critères cumulatifs. L'obligation s'applique si le système est bien un système d'IA, s'il est conçu pour un véritable échange à double sens (et pas seulement pour collecter des données ou renvoyer des réponses automatiques), si l'interaction est directe, et si elle a lieu avec une personne physique, qu'elle soit consommatrice ou professionnelle.

Une IA qui tourne uniquement en arrière-plan, ou qui communique de machine à machine, sort du champ.

L'exception « c'est évident » est plus étroite qu'il n'y paraît

Le texte prévoit une dispense quand il est évident qu'on parle à une IA. Attention : la Commission demande une interprétation restrictive de cette exception, puisqu'elle prive les gens d'une information. Le test consiste à se demander si une personne moyenne, raisonnablement informée et attentive, comprendrait immédiatement la nature artificielle de son interlocuteur.

Un assistant vocal appelé « Sophie » avec une voix de synthèse réaliste ? L'exception ne joue probablement pas. Une bulle de chat intitulée « Assistant IA » avec un avatar robot ? La question se pose plus sérieusement. En pratique, la solution la moins risquée reste la mention explicite. Elle coûte une ligne de texte.

Obligation n°2 : marquer les contenus générés par IA

L'article 50(2) pèse sur les fournisseurs de systèmes d'IA générative, y compris les systèmes d'IA à usage général (les modèles polyvalents type GPT, Claude, Gemini ou Mistral). Ils doivent faire en sorte que les contenus de synthèse produits (audio, image, vidéo, texte) soient marqués dans un format lisible par machine et détectables comme artificiellement générés ou manipulés.

Concrètement, deux familles de technologies se sont imposées :

• Le C2PA (Content Credentials) : un standard porté par une coalition réunissant Adobe, Microsoft, la BBC, Sony, Nikon, OpenAI, Google et Meta. Il attache au fichier un manifeste signé cryptographiquement décrivant l'outil qui l'a produit et l'historique des modifications. Son point faible : ces métadonnées se perdent facilement lors d'une capture d'écran ou d'un ré-encodage.
• Le filigrane invisible (watermarking) : un motif imperceptible inséré directement dans les pixels, les échantillons audio ou les tokens de texte. SynthID, développé par Google DeepMind, en est l'exemple le plus déployé. Il résiste mieux aux recompressions et aux captures d'écran, sans être infaillible pour autant.

Le 19 mai 2026, OpenAI a annoncé combiner les deux approches sur les images produites via ChatGPT, son API et Codex, en partenariat avec Google sur SynthID. Nvidia, ElevenLabs et Kakao ont suivi le même jour. Le mouvement était donc largement engagé avant l'échéance réglementaire.

Un sursis jusqu'au 2 décembre 2026 pour les systèmes déjà en place

C'est la seule concession accordée par le Digital Omnibus sur l'article 50. Les systèmes d'IA générative déjà mis sur le marché avant le 2 août 2026 disposent d'un délai supplémentaire, jusqu'au 2 décembre 2026, pour se conformer à cette obligation de marquage. Les contenus publiés avant le 2 août n'ont pas à être étiquetés rétroactivement, même si la Commission encourage à le faire quand c'est possible.

Certaines sorties échappent également à l'obligation : les suites très courtes de chiffres ou de lettres, le code source, les contenus destinés exclusivement à un traitement automatique entre machines, et les usages en boucle fermée dans des environnements industriels ou de développement produit. L'assistance à l'édition standard, comme une correction mineure, n'est pas non plus visée.

Deepfakes et textes d'intérêt public : ce que doivent faire les déployeurs

Les deux obligations suivantes ne pèsent plus sur ceux qui construisent les outils, mais sur ceux qui les utilisent.

Les deepfakes doivent être signalés de façon perceptible

L'AI Act définit un deepfake (hypertrucage) à son article 3(60) comme un contenu image, audio ou vidéo généré ou manipulé par IA, ressemblant à des personnes, objets, lieux ou événements existants, et susceptible d'apparaître à tort comme authentique. Trois critères cumulatifs : la ressemblance, l'existence réelle ou plausible du sujet simulé, et la capacité à tromper sur l'authenticité.

Le déployeur doit divulguer le caractère artificiel du contenu, au plus tard lors de la première exposition, de manière claire et distinguable. Un détail qui compte : il ne peut pas se contenter du marquage machine inséré par le fournisseur. Il faut une mention perceptible sans outil technique particulier, c'est-à-dire visible ou audible.

Les usages personnels restent hors champ. Un particulier qui génère un montage pour ses amis n'est pas un déployeur. En revanche, dès qu'il y a activité professionnelle ou bénéfice économique régulier, l'obligation s'applique. Les œuvres manifestement artistiques, satiriques ou fictionnelles bénéficient d'un régime allégé : la mention peut figurer au générique, pour ne pas gâcher l'effet recherché.

Les textes d'intérêt public rédigés par IA

C'est l'obligation qui inquiète le plus les équipes marketing, souvent à tort. L'article 50(4) vise les textes qui remplissent trois conditions cumulatives : être publiés, viser à informer le public, et porter sur des sujets d'intérêt public.

La Commission liste ces sujets : politique et processus démocratiques, administration et services publics, justice et maintien de l'ordre, droits fondamentaux, sécurité publique, santé publique, protection de l'environnement, sécurité des consommateurs, et tout développement économique, financier, politique, scientifique ou culturel susceptible d'alimenter le débat public.

Un article de blog expliquant comment choisir un logiciel de facturation n'entre pas dans cette catégorie. Un article sur les effets d'un complément alimentaire ou sur une réforme fiscale, en revanche, s'en rapproche sérieusement.

Surtout, l'obligation tombe si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial, avec une personne assumant la responsabilité éditoriale finale. Attention à la définition retenue : une simple correction orthographique ou grammaticale ne suffit pas. Il faut un examen de fond, par une personne ayant les connaissances nécessaires sur le sujet, avec le pouvoir d'approuver, modifier ou rejeter le contenu.

C'est précisément le fonctionnement d'une chaîne éditoriale professionnelle. Chez Digital-m, chaque contenu produit pour un client passe par une validation humaine documentée, avec un responsable identifié. Ce n'est pas seulement une bonne pratique SEO : c'est aujourd'hui la condition d'exemption prévue par le texte européen.

Et la reconnaissance des émotions ?

Souvent oubliée, l'obligation de l'article 50(3) impose aux déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique d'informer les personnes exposées. Elle s'applique que le traitement soit en temps réel ou a posteriori. Si vous utilisez un outil d'analyse d'entretiens vidéo, de mesure d'attention en magasin ou de scoring d'appels par la voix, cette ligne vous concerne directement.

Fournisseur ou déployeur : la question qui détermine vos obligations

Toute la mise en conformité dépend de cette qualification. L'AI Act distingue deux rôles.

Le fournisseur (provider) développe un système d'IA, ou le fait développer, et le met sur le marché européen sous son propre nom ou sa propre marque. Il porte les obligations 50(1), 50(2) et 50(5). OpenAI, Google, Mistral AI ou Anthropic sont des fournisseurs. Mais une agence qui commercialise son propre agent conversationnel sous sa marque en devient un également.

Le déployeur (deployer) utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Il porte les obligations 50(3) et 50(4). Une PME qui installe un chatbot, un e-commerçant qui génère ses visuels produits, un média qui publie un article assisté par IA : tous sont des déployeurs.

Deux précisions utiles de la Commission. D'abord, les salariés agissant sous les instructions de leur employeur ne sont pas des déployeurs distincts : c'est la personne morale qui reste responsable. Ensuite, faire appel à un prestataire ou un freelance ne transfère pas la responsabilité. Si l'agence intervient pour votre compte et sous votre contrôle, vous restez déployeur.

Une même entreprise peut d'ailleurs cumuler les deux casquettes selon les outils. C'est le premier point à clarifier dans votre cartographie interne, avant même de toucher au code.

Amendes : combien risquez-vous vraiment ?

Le régime de sanctions de l'AI Act est gradué. Pour un manquement à l'article 50, le plafond est de 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé s'appliquant. À titre de comparaison, les pratiques interdites de l'article 5 exposent à 35 millions d'euros ou 7 %, et la fourniture d'informations inexactes aux autorités à 7,5 millions d'euros ou 1 %.

Deux tempéraments méritent d'être connus. Le règlement prévoit une prise en compte explicite de la proportionnalité pour les PME et les petites entreprises de taille intermédiaire. Et la mise en conformité pour un chatbot ou un contenu généré relève souvent de l'ajustement de quelques heures, pas d'un chantier à six chiffres.

Le vrai risque, pour une entreprise française de taille moyenne, n'est probablement pas l'amende record. C'est le signalement par un concurrent ou un client, la demande d'information de l'autorité, et le temps passé à reconstituer a posteriori qui a utilisé quel outil et pour produire quoi.

Qui contrôle l'AI Act en France ?

La réponse est moins nette qu'ailleurs en Europe. Le règlement laisse chaque État membre désigner ses autorités de surveillance du marché. La France a retenu un modèle sectoriel, réparti entre une quinzaine d'autorités, avec la DGCCRF comme point de contact unique et coordinateur au sens de l'article 70(2).

Sur le périmètre précis de l'article 50, le schéma de gouvernance publié par la Direction générale des Entreprises attribue :

• Interaction directe avec des personnes physiques (chatbots) : DGCCRF et Arcom.
• Génération de contenus audio, image, vidéo ou texte : DGCCRF et Arcom.
• Reconnaissance des émotions et catégorisation biométrique : CNIL.

Le Bureau européen de l'IA conserve une compétence directe limitée, notamment pour les systèmes construits sur des modèles à usage général lorsque le même acteur fournit le modèle et le système, ou lorsque le système est intégré à une très grande plateforme ou un très grand moteur de recherche désigné au titre du DSA.

À noter : au moment de la publication de cet article, les désignations françaises attendaient toujours leur adoption parlementaire définitive. Le règlement, lui, s'applique déjà. Une situation inconfortable pour les entreprises, qui savent ce qu'elles doivent faire sans savoir précisément à qui elles auront affaire en cas de contrôle.

Le code de bonnes pratiques : 190 signataires avant l'échéance

Pour aider les acteurs à démontrer leur conformité, le Bureau européen de l'IA a fait rédiger par des experts indépendants un code de bonnes pratiques sur la transparence des contenus générés par IA, jugé adéquat par la Commission et le Comité européen de l'intelligence artificielle.

Fin juillet 2026, la Commission annonçait environ 190 organisations signataires. La section destinée aux fournisseurs compte 83 signataires, parmi lesquels Anthropic, Google, Meta, Microsoft, Mistral AI, OpenAI, Cohere, Aleph Alpha, Black Forest Labs et Synthesia. La section déployeurs en rassemble 152, avec des noms qui débordent largement du secteur de l'IA : Getty Images, Lenovo, Lufthansa, Iberdrola ou encore Bulgari. Environ la moitié des signataires sont de jeunes et petites structures.

L'adhésion reste volontaire, mais elle n'est pas neutre. Les signataires bénéficient d'une meilleure sécurité juridique et d'une présomption de sérieux, quel que soit leur pays d'établissement. Ceux qui s'abstiennent devront démontrer leur conformité par d'autres moyens et s'exposent à davantage de demandes d'information. Le code prévoit également un jeu d'icônes standardisées pour signaler les contenus générés par IA, et deux groupes de travail doivent démarrer en septembre 2026 pour partager les retours d'expérience.

Ce que ça change pour votre contenu web et votre visibilité dans les IA

Première chose à dire clairement, parce que la confusion est fréquente : l'AI Act n'interdit pas de produire du contenu avec l'IA. Il n'impose pas non plus d'ajouter la mention « rédigé par IA » en haut de chaque article de blog. La grande majorité des contenus marketing ne relève pas de l'intérêt public au sens de l'article 50(4), et une chaîne éditoriale avec relecture humaine de fond exempte de toute façon de l'obligation.

Deuxième chose : Google n'a jamais pénalisé le contenu au motif qu'il aurait été généré par IA. Sa position, constante depuis 2023, porte sur l'utilité et la qualité, pas sur la méthode de production. Un marquage C2PA sur vos visuels ne dégradera pas votre référencement.

Là où les choses deviennent intéressantes pour le GEO, c'est sur le terrain de la confiance. Les moteurs génératifs sélectionnent leurs sources sur des signaux d'autorité et de fiabilité. À mesure que la provenance des contenus devient vérifiable et que les plateformes affichent ces informations (Google déploie la vérification C2PA et SynthID dans Search et Chrome), la capacité à prouver qu'un contenu a été validé par un humain identifiable devient un actif.

Trois réflexes deviennent structurants :

• Un auteur nommé et traçable : schema.org Person, page auteur, profil LinkedIn, biographie réelle. C'est un pilier du GEO depuis longtemps, cela devient aussi un élément de preuve de contrôle éditorial.
• Une politique éditoriale publiée : une page expliquant comment vous utilisez l'IA dans votre production de contenu, qui valide quoi, et selon quels critères. Utile pour vos lecteurs, utile pour les moteurs, utile en cas de contrôle.
• Une mention claire sur vos interfaces conversationnelles : chatbot, agent de prise de rendez-vous, assistant vocal. Une phrase suffit.

Chez Digital-m, nous intégrons désormais ces trois points dans nos audits GEO. Non pas par excès de zèle juridique, mais parce que la transparence sur la provenance des contenus est en train de devenir un signal de qualité, au même titre que la fraîcheur ou les données structurées.

Votre plan d'action en six points

Si vous n'avez rien fait à ce jour, voici l'ordre dans lequel avancer. Comptez une demi-journée pour les quatre premiers points dans une PME.

• 1. Recensez vos usages réels de l'IA : y compris ceux intégrés dans vos outils existants (CRM, service client, suite bureautique, plateforme e-commerce). C'est presque toujours plus large que ce qu'on imagine.
• 2. Qualifiez votre rôle pour chaque usage : fournisseur, déployeur, ou les deux. Cette qualification détermine vos obligations.
• 3. Affichez la mention IA sur toutes vos interfaces conversationnelles : chatbot de site, assistant interne, voicebot téléphonique. Dès la première interaction, pas au bout de trois messages.
• 4. Vérifiez le marquage de vos outils générateurs : vos images sont-elles produites par un outil qui insère un manifeste C2PA ou un filigrane SynthID ? La plupart des grandes plateformes le font désormais par défaut.
• 5. Documentez votre chaîne de relecture : qui valide quoi, avec quelle expertise, et qui porte la responsabilité éditoriale finale. C'est votre exemption sur l'article 50(4).
• 6. Mettez à jour vos contrats : les prestations signées avant le 2 août 2026 avec des agences, freelances ou éditeurs de logiciels doivent préciser qui porte quelle obligation.

Ce dernier point est le plus négligé et probablement le plus coûteux à rattraper. Si vous voulez faire le point sur votre situation, l'équipe Digital-m peut vous accompagner via un audit de conformité de vos contenus, et nos formations certifiées Qualiopi intègrent désormais un module sur le cadre réglementaire européen de l'IA.

Conclusion : la transparence devient un standard, pas une contrainte

Le 2 août 2026 restera comme la date où l'Europe a rendu opposable un principe simple : quand une machine parle ou produit un contenu, on doit pouvoir le savoir. Le Digital Omnibus a offert un répit bienvenu aux projets à haut risque, mais il a laissé intacte la partie du règlement qui touche le plus grand nombre d'organisations.

Pour une PME, un artisan ou une équipe marketing, la mise en conformité tient en quelques gestes : signaler ses chatbots, vérifier le marquage de ses outils, documenter sa relecture humaine. Rien d'insurmontable. Le vrai chantier est ailleurs : savoir précisément où l'IA intervient dans votre organisation. Beaucoup d'entreprises découvrent à cette occasion qu'elles utilisaient l'IA dans six ou sept processus sans en avoir jamais tenu la liste.

Reste une question ouverte, que la Commission elle-même admet ne pas avoir tranchée : le marquage machine résiste mal aux captures d'écran, aux recompressions et aux ré-uploads. La réglementation impose une obligation de moyens, calibrée sur l'état de l'art. Autant dire que le sujet reviendra sur la table.