AI Act : ce que les obligations de transparence du 2 août 2026 changent concrètement pour votre site

Depuis le 2 août 2026, l’AI Act est passé du stade du texte à celui de la contrainte réelle. Si vous avez intégré un chatbot, un assistant virtuel ou des contenus générés par IA sur votre site, vous êtes désormais soumis à des obligations de transparence que votre prestataire technique ne peut pas assumer à votre place.

Le Règlement (UE) 2024/1689, entré en vigueur le 1er août 2024 et applicable progressivement, a franchi une étape décisive. Son article 50 — celui qui concerne la transparence des systèmes d’IA interactifs et des contenus synthétiques — s’applique pleinement depuis cette date. Ce n’est pas une évolution réservée aux géants de la tech : la quasi-totalité des PME et TPE qui déploient de l’IA sur leur site web ou dans leur relation client entre dans le champ du règlement, sous le statut de « déployeur ».

Concrètement, qu’est-ce que cela change pour un commerçant lillois qui vient d’intégrer un chatbot à son site WordPress ? Pour un artisan qui utilise un outil de génération de contenu pour son blog ? Pour une entreprise qui publie des visuels produits par IA sur ses fiches produits ? Ce sont exactement ces questions que cet article démêle — sans jargon juridique inutile, avec les faits tels qu’ils ressortent du texte officiel et des sources vérifiables.

1. Fournisseur ou déployeur : comprendre dans quelle case vous tombez

La première chose à clarifier, c’est votre position dans la chaîne de valeur de l’IA. L’AI Act distingue quatre rôles : fournisseur, déployeur, importateur et distributeur. Pour une TPE ou PME française, le rôle pertinent est presque toujours celui de déployeur.

La définition est limpide : est déployeur « toute personne physique ou morale, autorité publique, agence ou autre organisme utilisant un système d’IA sous son autorité, sauf si le système est utilisé dans le cadre d’une activité personnelle non professionnelle ». En clair : si vous utilisez un CRM prédictif, un chatbot de service client, un outil de génération de texte ou d’image via API, vous êtes déployeur.

Les fournisseurs, eux, sont les entreprises qui développent et mettent sur le marché le système d’IA — OpenAI, Anthropic, Google, Mistral AI, et leurs homologues. Ce sont eux qui portent les obligations les plus lourdes, notamment le marquage machine invisible des contenus synthétiques (art. 50, §2). Mais voilà le point que beaucoup de dirigeants ratent : la conformité du fournisseur ne couvre pas vos propres obligations en tant que déployeur. OpenAI peut respecter scrupuleusement le règlement de son côté ; cela ne vous exonère pas de vos responsabilités envers vos utilisateurs finaux.

1.1 Quand le déployeur devient fournisseur — et pourquoi c’est important

Il existe un cas de figure qui mérite attention pour les entreprises en développement produit : si vous apportez une modification substantielle à un système d’IA à haut risque, ou si vous apposez votre nom ou votre marque sur un tel système, vous basculez vers le statut de fournisseur — avec un régime d’obligations bien plus exigeant. Pour la grande majorité des TPE/PME qui se contentent d’utiliser un outil via API ou un plugin tiers, ce glissement ne s’applique pas. Mais si vous construisez une solution personnalisée à partir d’un modèle de base en y intégrant votre propre couche logique et en la commercialisant, le sujet mérite d’être posé avec un juriste.

2. L’article 50 en pratique : les quatre situations qui vous concernent

L’article 50 de l’AI Act cible quatre situations concrètes. Passons-les en revue selon leur probabilité d’apparition dans le quotidien d’une TPE ou PME.

2.1 Chatbots et assistants virtuels : l’obligation la plus immédiate

C’est l’obligation qui touche le plus grand nombre d’entreprises ayant travaillé leur présence en ligne ces dernières années. Si vous avez intégré un chatbot — qu’il s’agisse d’un widget de service client basé sur un modèle de langage, d’un assistant de réservation ou d’un agent conversationnel sur votre page d’accueil — vous devez concevoir ou configurer ce système de façon à informer l’utilisateur qu’il interagit avec une IA, dès le premier échange, de manière claire et distincte.

Le texte prévoit une exception : lorsque le caractère artificiel est « évident au regard des circonstances et du contexte ». Mais cette exception s’interprète de manière restrictive, du point de vue d’une personne normalement informée et raisonnablement attentive. En pratique, un chatbot intégré à une page de contact ou à un site e-commerce ne remplit quasiment jamais ce critère. Ne misez pas sur cette clause pour éviter la mention.

Concrètement, cela peut prendre la forme d’un message d’accueil explicite (« Bonjour, je suis un assistant IA — posez-moi votre question »), d’un badge visuel ou d’un indicateur dans l’interface. Le règlement n’impose pas une formulation précise, mais l’information doit précéder ou accompagner la première interaction, pas apparaître en bas de page dans les CGU.

2.2 Contenus IA publiés pour informer le public

Si vous publiez des textes générés par IA dans le but d’informer le public sur des sujets d’intérêt général — actualités, conseils pratiques, analyses sectorielles — vous devez indiquer que ce contenu a été généré ou manipulé par une IA. C’est l’obligation qui concerne directement les blogs d’entreprise, les newsletters ou les publications sur des sujets à portée informationnelle large.

Il existe cependant une exception opérationnelle importante : si le contenu a fait l’objet d’un processus d’examen humain et qu’une personne physique assume la responsabilité éditoriale de la publication, l’obligation de signalement ne s’applique pas. C’est précisément le modèle que Simply SEO, le service de blog automatisé de DigitaLille, applique depuis sa conception : la génération automatique est suivie d’une vérification factuelle avant publication, avec un auteur identifié qui assume la responsabilité du contenu. Ce circuit humain intercalé entre la génération et la diffusion n’est pas qu’une garantie qualité — c’est désormais aussi un bouclier réglementaire. Pour aller plus loin sur ce point, l’article consacré à Simply SEO face aux AI Overviews en 2026 détaille comment cette approche s’articule avec les nouvelles exigences des moteurs de recherche.

2.3 Deepfakes et hypertrucages

L’AI Act emploie le terme officiel d’« hypertrucages » pour désigner ce que l’anglais appelle deepfakes. Si vous produisez ou diffusez des images, sons ou vidéos générés ou manipulés de manière à sembler authentiques — notamment en représentant des personnes réelles dans des situations fictives — vous avez l’obligation d’informer de manière claire que le contenu est artificiel.

Des exceptions existent pour les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles, à condition que la divulgation soit proportionnée et ne compromette pas l’exposition de l’œuvre. Pour une communication d’entreprise standard, mieux vaut partir du principe que la mention s’impose.

2.4 Reconnaissance des émotions et catégorisation biométrique

Cette quatrième situation concerne les systèmes d’IA capables d’inférer l’état émotionnel d’une personne ou de la catégoriser selon des critères biométriques. Si vous utilisez un outil d’analyse des réactions lors de sessions de tests utilisateurs, ou un système de personnalisation basé sur la détection d’humeur, l’utilisateur doit en être informé. C’est une situation moins répandue dans le tissu des TPE/PME, mais elle émerge dans certains secteurs (retail, bien-être) avec les nouvelles générations d’outils.

3. Ce que le Digital Omnibus a (et n’a pas) changé

Le calendrier initial de l’AI Act a été partiellement révisé par le Règlement (UE) 2026/1744, communément appelé « Digital Omnibus », entré en vigueur le 27 juillet 2026. Il est important de comprendre ce qu’il modifie et ce qu’il ne touche pas, pour éviter de fausses interprétations.

Ce que le Digital Omnibus a décalé : les obligations applicables aux systèmes d’IA à haut risque ont été repoussées au 2 décembre 2027. Ce sont les systèmes utilisés dans des contextes sensibles — recrutement, crédit, éducation, infrastructure critique. Si votre PME utilise un ATS avec scoring automatique de CV ou un outil de scoring crédit, ce report vous donne un délai supplémentaire pour vous conformer.

Ce que le Digital Omnibus n’a pas touché : les obligations de l’article 50. Les quatre situations décrites ci-dessus — chatbots, contenus d’intérêt général, deepfakes, émotions/biométrie — s’appliquent depuis le 2 août 2026 sans report. Seule exception technique : pour les systèmes génératifs déjà mis sur le marché avant le 2 août 2026, un sursis jusqu’au 2 décembre 2026 est accordé pour la seule obligation de marquage machine (filigrane invisible, métadonnées de provenance) — obligation qui concerne les fournisseurs, pas les déployeurs.

En résumé : si vous avez un chatbot sur votre site, vous ne bénéficiez d’aucun délai. L’obligation de transparence envers l’utilisateur est exigible maintenant.

4. Le lien avec vos autres obligations numériques : RGPD, cookies et conformité globale

L’AI Act ne s’applique pas en vase clos. Il s’ajoute à un corpus réglementaire que les entreprises numériques connaissent déjà, et les recoupements sont nombreux.

Le RGPD reste le socle de référence dès lors que votre système d’IA traite des données personnelles — ce qui est quasi systématique pour un chatbot qui mémorise une conversation, un prénom ou une adresse e-mail. Les bases légales de traitement, les durées de conservation, le droit à l’information des utilisateurs : autant d’obligations RGPD qui s’articulent avec les exigences de transparence de l’AI Act sans les remplacer. L’article sur le consentement des cookies et bannières RGPD donne un aperçu de la façon dont ces différentes couches réglementaires coexistent sur un même site.

Par ailleurs, si vous utilisez des agents IA pour automatiser certaines tâches marketing, la question de la transparence se pose aussi en interne : qui supervise, qui valide, qui assume la responsabilité éditoriale ? Ce n’est pas qu’une question de conformité — c’est la condition pour maintenir la confiance de vos clients dans un environnement où les contenus IA prolifèrent.

4.1 La maintenance de votre site, premier chantier de mise en conformité

Mettre à jour les mentions légales, ajouter un message d’information sur votre chatbot, revoir les conditions d’utilisation des outils génératifs intégrés à votre site : ce sont des chantiers concrets qui passent souvent par une intervention technique. Si votre site est sous contrat de maintenance web, c’est le bon moment pour aborder ces points avec votre prestataire. Si vous gérez votre site seul, vérifiez dès maintenant que chaque point d’entrée IA est correctement signalé.

5. Checklist pratique : êtes-vous en ordre depuis le 2 août 2026 ?

Voici les questions à vous poser sans attendre, dans l’ordre de leur urgence réglementaire :

• Avez-vous un chatbot ou un assistant virtuel sur votre site ? Si oui, affiche-t-il explicitement qu’il est une IA dès le premier message ? Si ce n’est pas le cas, c’est la priorité numéro un.
• Publiez-vous des contenus générés par IA sur des sujets d’intérêt général (blog, newsletter, articles de conseil) ? Une personne physique valide-t-elle et signe-t-elle ces contenus ? Si non, une mention « contenu généré par IA » est requise.
• Produisez-vous des visuels, audio ou vidéos synthétiques représentant des personnes réelles ou présentés comme authentiques ? La mention « généré par IA » doit être visible.
• Utilisez-vous un outil d’analyse comportementale ou émotionnelle dans votre relation client ? Vos utilisateurs en sont-ils informés ?
• Avez-vous vérifié que vos CGU et mentions légales reflètent l’usage d’IA dans vos services ? La transparence réglementaire et la transparence contractuelle doivent être cohérentes.

Concernant le marquage machine invisible (filigrane, métadonnées C2PA) : ce point relève techniquement des fournisseurs de modèles, pas de vous en tant que déployeur. Vous n’avez pas à implémenter vous-même cette couche technique — en revanche, vous restez responsable du signalement visible côté utilisateur.

Questions fréquentes

Qui est l'autorité nationale chargée de contrôler l'AI Act en France ?

La France a retenu un modèle de surveillance multi-autorités : la CNIL est compétente pour les usages impliquant des données personnelles et la biométrie, l’ARCOM pour les contenus audiovisuels et les hypertrucages, et la DGCCRF pour les obligations générales d’information et de traçabilité. Aucune autorité unique n’a été désignée comme guichet central de l’AI Act en France.. La CNIL a publié des guides et pris position sur les obligations de transparence, mais la désignation formelle de l’autorité compétente relève du gouvernement. Pour connaître l’état d’avancement de cette désignation, consultez directement le site de la CNIL (cnil.fr) ou le portail officiel entreprises.gouv.fr.

Un formulaire de contact classique (sans réponse automatique IA) est-il concerné par l'article 50 ?

Non. L’article 50 vise les systèmes conçus pour un échange bidirectionnel avec une personne : l’utilisateur fournit un input, l’IA répond de manière contextuellement pertinente. Un formulaire de contact statique, sans traitement automatisé du message ni réponse générée par IA, ne constitue pas un système d’IA interactif au sens du règlement. En revanche, une réponse automatique générée par un modèle de langage et renvoyée à l’utilisateur ferait basculer le dispositif dans le champ de l’article 50.

Les contenus IA publiés avant le 2 août 2026 doivent-ils être rétroactivement étiquetés ?

Non. Les contenus diffusés avant le 2 août 2026 n’ont pas à être rétro-étiquetés. En revanche, tout contenu diffusé après cette date — même généré antérieurement — tombe sous le régime des nouvelles obligations. Si vous avez des articles ou visuels produits avec de l’IA avant l’échéance et que vous les republiez ou les remettez en avant après le 2 août 2026, la prudence impose d’appliquer les règles d’étiquetage.

L'exception 'caractère évident de l'IA' permet-elle de se passer de toute mention sur un chatbot ?

Seulement dans des cas très restrictifs. L’AI Act précise que cette exception s’apprécie du point de vue d’une personne normalement informée, raisonnablement attentive, au regard du contexte. En pratique, un chatbot intégré à un site e-commerce ou une page de contact ne remplit quasiment jamais ce critère : l’utilisateur lambda peut légitimement croire parler à un humain. Il est donc fortement déconseillé de se reposer sur cette exception sans avoir analysé le contexte avec soin.

Une TPE qui utilise un outil de génération d'images IA pour ses réseaux sociaux est-elle concernée ?

Partiellement. L’obligation de marquage machine (filigrane ou métadonnées de provenance) relève des fournisseurs de modèles génératifs, pas des déployeurs. En revanche, si vous publiez des visuels générés par IA dans un contexte d’information du public sur des sujets d’intérêt général, ou si ces visuels constituent des ‘hypertrucages’ (deepfakes), vous êtes soumis à l’obligation de signalement visible. Pour des visuels purement promotionnels ou créatifs sans prétention informative, l’obligation est moins directe — mais la transparence volontaire reste recommandée pour la confiance client.

Conclusion

L’AI Act n’est plus un horizon lointain. Depuis le 2 août 2026, ses obligations de transparence sont exigibles, les autorités compétentes peuvent contrôler, et « je ne savais pas » ne constitue pas un argument juridique recevable. Pour une TPE ou PME qui utilise un chatbot, génère des contenus assistés par IA ou intègre de l’intelligence artificielle dans sa relation client, les ajustements nécessaires sont souvent mineurs techniquement — un message d’accueil, une mention éditoriale — mais leur absence expose à un risque réel.

Le plus difficile n’est pas de se conformer : c’est de faire l’inventaire honnête de tous les points d’entrée IA sur votre site et dans vos communications. C’est ce travail d’audit qui détermine si vous êtes en ordre ou non. Si vous souhaitez qu’un œil expert évalue votre situation et vous propose un plan d’action concret, demandez un devis — c’est le meilleur point de départ.