L'AI Act à partir du 2 août - site web, contenus, chatbot

Si vous rédigez le blog de votre entreprise avec l'aide de l'IA, devez-vous le signaler depuis le mois d'août ?

C'est la question qu'on me pose le plus souvent en ce moment. La réponse : très probablement non, mais trois situations appellent une action, et l'une d'elles concerne pratiquement toutes les entreprises qui ont un chatbot sur leur site.

Depuis le 2 août 2026, un nouveau volet de l'AI Act européen est applicable. Plutôt que de résumer le règlement, je l'ai lu avec une seule question en tête : que doit concrètement faire le dirigeant d'une PME qui a un site web, publie régulièrement des contenus et utilise l'IA en arrière-plan de son travail quotidien.

Une précision honnête d'abord : je ne suis pas juriste. Je suis développeur, j'intègre l'IA dans des systèmes de gestion et j'ai dû lire tout cela pour savoir quoi construire. Pour une situation atypique ou à fort enjeu, adressez-vous à un avocat.

D'abord, une question d'échelle : ce qui s'applique maintenant est léger

Beaucoup de craintes se sont formées autour de l'AI Act, alors commençons par les proportions. Les obligations applicables depuis le 2 août se résument à la transparence : dire aux gens quand ils parlent à une machine et quand ils regardent un contenu produit par une machine. Certification, audits et systèmes de gestion de la qualité relèvent d'un tout autre registre, celui des systèmes à haut risque.

Ces obligations plus lourdes, qui visent l'IA dans le recrutement, l'évaluation des salariés, l'évaluation de la solvabilité ou l'éducation, devaient arriver en même temps, mais elles ont été reportées. Le règlement (UE) 2026/1744, dit omnibus numérique, publié le 24 juillet et en vigueur depuis le 27 juillet 2026, les a décalées du 2 août 2026 au 2 décembre 2027. L'IA intégrée dans des produits réglementés (dispositifs médicaux, jouets, aviation) a jusqu'au 2 août 2028.

Si votre système comporte donc un module qui note des candidats ou évalue des salariés, vous avez jusqu'au 2 décembre 2027 pour l'adapter. Ce temps mérite d'être consacré à une préparation sereine.

L'article 50 lui-même est resté en place. Le seul assouplissement concerne le volet technique pour les fournisseurs d'outils : le marquage des contenus lisible par machine (article 50, paragraphe 2) ne s'applique aux systèmes déjà mis sur le marché avant le 2 août 2026 qu'à partir du 2 décembre 2026. Pour une entreprise qui utilise l'IA, les obligations s'appliquent depuis le 2 août.

Première question : dois-je signaler les textes de mon site

C'est le cœur du sujet, et c'est là que la mauvaise réponse revient le plus souvent.

La disposition (article 50, paragraphe 4, de l'AI Act) impose de signaler un texte généré par l'IA uniquement lorsqu'il est publié en vue d'informer le public sur des questions d'intérêt public. Cette formulation vise le journalisme et le commentaire, ou encore un portail qui inonde ses lecteurs de brèves générées automatiquement. Le compte rendu du déploiement d'un système de production, un guide pour les clients ou la description d'un service sortent de ce champ.

Même si quelqu'un tentait d'élargir l'interprétation, la disposition prévoit une seconde exemption, et c'est elle qui compte le plus pour les entreprises. L'obligation ne s'applique pas lorsque le contenu a fait l'objet d'un examen humain ou d'un contrôle éditorial et qu'une personne physique ou morale assume la responsabilité éditoriale de la publication.

Vous lisez le texte avant de le publier. Vous le corrigez. Vous décidez de ce qui va sur le site. Vous publiez sous votre propre marque et vous en portez la responsabilité. C'est cela, le contrôle éditorial : un acte juridiquement pertinent, qui a un vrai poids. L'exemption s'applique.

Une réserve : la Commission européenne interprète cette exemption de façon restrictive. Ce qui compte, c'est un examen de fond par une personne qui connaît le sujet, et une responsabilité éditoriale clairement attribuée. Une correction orthographique ou une validation rapide ne suffisent pas.

Conclusion : un blog d'entreprise, une lettre d'information, la description d'un service ou le compte rendu d'un projet dont l'IA a rédigé la première version, et que vous avez lu, corrigé et approuvé, n'exigent aucun signalement.

Deuxième question : qu'en est-il des images

Ici, les choses deviennent plus sérieuses, car l'exemption pour contrôle éditorial couvre uniquement les textes. Images, vidéo et audio en restent exclus. Le fait d'avoir regardé une image et de l'avoir approuvée ne change rien.

De plus, la définition du deepfake va plus loin que beaucoup ne le pensent. La lettre de la disposition (article 3, point 60) parle de contenus qui ressemblent à des personnes, objets, lieux ou événements existants et qui paraîtraient faussement authentiques. Les lignes directrices de la Commission étendent ce critère à tout ce qui existe ou pourrait vraisemblablement exister dans la réalité. La photo réaliste d'une personne qui n'a jamais existé entre donc dans la définition. Un visuel produit généré par l'IA dans une publicité, une voix off synthétique dans une vidéo, une photographie fortement retouchée : tout cela doit être signalé.

Restent en dehors les contenus ouvertement fantastiques, qui ne pourraient pas exister dans la réalité, ainsi que les petites corrections techniques comme la balance des couleurs ou la netteté.

Il est utile aussi de savoir ce que la disposition laisse de côté : un graphique tiré d'un tableur, un schéma, une diapositive, une infographie faite de typographie et de formes. C'est le résultat déterministe d'un outil, même si l'IA a aidé à la mise en page. La limite se situe là où un modèle génératif produit une image réaliste. Les deux visuels de cet article relèvent exactement de ce cas : construits avec de la typographie, des couleurs et des formes, ils échappent à l'obligation de signalement.

Troisième question : le chatbot de votre site

C'est la seule des trois obligations qui ne prévoit aucune exemption, et c'est pourquoi elle compte le plus.

Si un chatbot, un voicebot ou un assistant qui répond aux clients fonctionne sur votre site, il doit se présenter comme une IA depuis le 2 août. Clairement, visiblement, au plus tard au moment de la première interaction. Une mention dans les conditions générales ou la politique de confidentialité ne suffit pas. Le fait qu'une personne relise ensuite les conversations n'y change rien non plus.

Il existe une seule exception, étroite : lorsque l'interaction avec une IA est évidente pour une personne raisonnablement bien informée. La Commission l'interprète de façon restrictive, s'y fier est donc un pari risqué. Ajouter « assistant IA » dans l'en-tête de la fenêtre de discussion règle la question en cinq minutes.

Le tableau de décision

Une page à parcourir, et vous pouvez classer le dossier.

Ce que presque tout le monde oublie : la maîtrise de l'IA

Il existe une autre obligation, en vigueur depuis février 2025, dont la plupart des entreprises n'ont jamais entendu parler. L'article 4 de l'AI Act demande aux fournisseurs et aux déployeurs de veiller à la maîtrise de l'IA des personnes qui travaillent avec l'IA pour leur compte. L'omnibus numérique a assoupli la formulation : il s'agit aujourd'hui de prendre des mesures appropriées pour favoriser cette maîtrise, une obligation de moyens plutôt que de résultat.

Dans une petite entreprise, c'est un chantier modeste. En pratique, une seule page suffit : quels outils d'IA nous utilisons, à quoi ils peuvent servir, ce qu'il ne faut jamais y coller (données personnelles, données clients, secrets d'affaires), qui vérifie le résultat avant sa publication ou son envoi à un client. Une heure de travail, et lors d'un audit, d'un appel d'offres ou d'un échange avec un partenaire plus important, cela fait très bonne impression.

Qui contrôle, et où

L'AI Act s'applique directement dans toute l'UE, mais la surveillance relève des États membres. Chacun désigne sa propre autorité de surveillance du marché, et les noms diffèrent. En Allemagne, l'autorité générale est la Bundesnetzagentur, en vertu de la loi d'application en vigueur depuis le 29 juillet 2026. En Pologne, ce rôle revient à la nouvelle Commission pour le développement et la sécurité de l'intelligence artificielle (KRiBSI) : la loi a été signée le 24 juillet 2026 et l'organisme doit démarrer vers novembre 2026. Si vous êtes présent sur plusieurs marchés, il vaut la peine de vérifier l'autorité compétente pour chacun d'eux.

Un élément mérite d'être connu où que vous soyez : les bacs à sable réglementaires. Chaque État membre doit mettre en place au moins un bac à sable pour l'IA, un environnement supervisé où tester des solutions avant leur mise sur le marché, et les PME y ont un accès prioritaire et gratuit. Si vous construisez quelque chose d'atypique et que la classification reste floue, c'est une vraie piste.

Les sanctions en cas de manquement aux obligations de transparence atteignent 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME, c'est le plus bas des deux montants qui s'applique, si bien que la sanction reste proportionnée à la taille. Il est tout de même bon de noter que la surveillance a du mordant.

Ce que je ferais cette semaine

Trois choses, une journée de travail chacune. Premièrement : vérifiez si un bot ou un assistant fonctionne sur votre site, et si c'est le cas, ajoutez une mention visible indiquant qu'il s'agit d'une IA. Deuxièmement : passez en revue les visuels de votre site et de vos supports marketing pour voir si certains sont des images réalistes issues d'un modèle génératif, et signalez-les. Troisièmement : mettez par écrit, sur une page, les règles d'usage de l'IA dans votre entreprise et transmettez-les à l'équipe.

Et une chose que la loi laisse de côté, mais qui vaut la peine d'être envisagée : une mention en bas d'article indiquant que le texte a été produit avec l'aide d'outils d'IA et qu'une personne nommément désignée est responsable de son contenu. Juridiquement inutile. Pourtant, à une époque où les clients demandent de plus en plus si un humain a écrit ce qu'ils lisent, la transparence est payante.

Pour finir : les mêmes principes valent pour les systèmes que vous avez construits

Si vous intégrez l'IA dans votre propre système, dans un CRM, un ERP ou un circuit documentaire, les mêmes principes se traduisent en architecture. La voie la plus simple vers la conformité consiste à construire de sorte que l'IA propose tandis que la décision reste à une personne : analyse en lecture seule, seuil de confiance visible, validation humaine de l'enregistrement et piste d'audit indiquant qui a décidé quoi et quand. Un tel système respecte au passage l'esprit du règlement.

C'est exactement ainsi que j'ai récemment intégré la saisie automatique des commandes dans le système de production d'un client. L'IA lit les e-mails et les plans techniques et prépare des propositions, et l'enregistrement n'apparaît qu'après le clic d'une personne.

Vous faites tourner l'IA dans votre système et vous ne savez pas de quel côté de la limite vous vous trouvez ? Écrivez-moi et nous l'examinerons ensemble.

État du droit au 29 juillet 2026. Cet article a une vocation informative et ne constitue pas un conseil juridique.