Conformité à l’AI Act : quelles obligations de transparence pour les chatbots et agents IA de votre entreprise ?

Toute entreprise qui développe, met sur le marché ou utilise un système d’IA dans l’Union européenne est concernée, y compris les PME. L’application est échelonnée : les interdictions depuis le 2 février 2025, les obligations de transparence de l’article 50 depuis le 2 août 2026. Le règlement s’applique aussi aux entreprises hors UE dès lors que leur système d’IA est utilisé en Europe.

Elle est presque toujours déployeur, pas fournisseur. Le fournisseur est celui qui conçoit et met sur le marché le système d’IA sous son nom : ce rôle revient à OpenAI, Anthropic ou Google. En utilisant leur API ou leur service pour votre activité, vous êtes déployeur au sens de l’AI Act. Vos obligations portent alors sur la transparence côté utilisateur, pas sur la conception du modèle.

Oui, l’article 50 impose d’informer l’utilisateur qu’il interagit avec une IA, sauf si c’est évident au vu du contexte. La formulation n’est pas imposée : elle doit être claire, visible dès le début de l’échange et compréhensible. Une phrase comme « Vous échangez avec un assistant virtuel » au premier message, ou un badge « IA » près de la zone de saisie, suffit à remplir l’obligation.

L’obligation d’informer vise les personnes qui interagissent avec l’IA. Un chatbot utilisé uniquement par vos collaborateurs, informés qu’il s’agit d’une IA, présente un enjeu de transparence moindre qu’un chatbot exposé au public. La prudence reste de mise : dès que le système produit ou diffuse des contenus, les règles de marquage et le RGPD continuent de s’appliquer, quel que soit le périmètre d’usage.

L’obligation de signalement de l’article 50 vise surtout les contenus image, audio ou vidéo générés ou manipulés, ainsi que certains textes destinés à informer le public sur des sujets d’intérêt général. Un email commercial ou un post ordinaire n’entre pas mécaniquement dans le champ. La règle se durcit quand le contenu peut tromper le public sur son authenticité ou sur son origine humaine.

L’AI Act régit la transparence et le niveau de risque du système d’IA ; le RGPD régit les données personnelles qui y transitent. Sur un même chatbot, les deux se cumulent : l’AI Act impose la mention « vous parlez à une IA », le RGPD impose l’information sur le traitement, la base légale et la minimisation des données. Ce sont deux couches complémentaires, à articuler ensemble, jamais l’une contre l’autre.

Un manquement aux obligations de transparence de l’article 50 relève du plafond de 15 M€ ou 3 % du chiffre d’affaires mondial, le montant le plus bas s’appliquant aux entreprises de taille modeste. Ce plafond couvre les manquements aux obligations autres que les pratiques interdites. Au-delà de l’amende, le risque réel tient à la perte de confiance des utilisateurs et à l’attention d’un contrôle.

Non. Le plafond de 35 M€ ou 7 % du chiffre d’affaires mondial vise exclusivement les pratiques interdites de l’article 5 : notation sociale, manipulation, biométrie prohibée. Un défaut de transparence de votre chatbot relève d’un plafond inférieur, à 15 M€ ou 3 %. Confondre les deux est l’erreur la plus répandue sur le sujet, et elle fausse totalement l’appréciation du risque réel.

Un deepfake est un contenu image, audio ou vidéo généré ou manipulé par une IA, de nature à créer une confusion sur son authenticité. Dès lors que votre entreprise le diffuse, elle doit en signaler le caractère artificiel. Des exemptions existent, notamment pour les usages soumis à un contrôle éditorial humain, journalistique ou manifestement artistique, où tromper le public n’est pas l’objectif.

Les systèmes génératifs déjà présents sur le marché disposent d’un délai transitoire jusqu’au 2 décembre 2026 pour se conformer au marquage lisible par machine. Ce marquage technique, inséré par le fournisseur dans les contenus produits, permet aux plateformes de détecter automatiquement leur origine synthétique. En tant que déployeur, votre devoir est de ne jamais le retirer ni le neutraliser sur les contenus que vous diffusez.

En tant que déployeur, vous dépendez de votre fournisseur pour les obligations qu’il porte. Exigez de lui les garanties utiles : le marquage lisible par machine des contenus générés, la documentation nécessaire, et des informations sur la provenance et le fonctionnement du modèle. Ces éléments vous permettent de démontrer votre propre conformité et de ne pas vous retrouver exposé pour un manquement qui relève, en réalité, de la partie amont.

Un chatbot de support ou d’information généraliste n’est généralement pas classé à haut risque : il relève des obligations de transparence de l’article 50. Le classement à haut risque vise des usages précis et sensibles, comme le tri de candidatures, le scoring de crédit ou la biométrie. Si votre agent intervient dans l’une de ces zones, des obligations bien plus lourdes s’ajoutent, avec un calendrier propre.

Commencez par l’inventaire : recensez tous vos chatbots et agents, leur fournisseur, où ils tournent et quelles données ils traitent. Qualifiez ensuite votre rôle (déployeur) et le niveau de risque de chacun. Ces deux premières étapes révèlent l’essentiel de votre exposition et hiérarchisent les actions. On ne sécurise que ce que l’on a cartographié : sans inventaire, toute mise en conformité reste partielle.