Barberin
Depuis le 2 août 2026, votre chatbot doit dire qu'il est un chatbot.
C'est à peu près tout ce que le règlement européen sur l'IA demande à une entreprise de dix personnes. Très loin de ce que vous avez lu cet été, où l'on annonçait des audits de conformité, des analyses d'impact et des amendes à trente-cinq millions d'euros pour tout le monde.
Le règlement s'applique par étapes, et les étapes lourdes ne visent pas les entreprises comme la vôtre. Reste une obligation réelle, simple, et que presque personne n'applique — parce qu'elle a été noyée dans le bruit.
Ce qui est entré en application le 2 août 2026
L'article 50 du règlement (UE) 2024/1689 porte sur la transparence. Il tient en une idée : une personne doit savoir quand elle a affaire à une machine, ou à un contenu fabriqué par une machine.
Le texte distingue deux rôles, et c'est ce qui explique la plupart des malentendus. Le fournisseurCelui qui développe le système d'IA et le met sur le marché sous son nom — l'éditeur du chatbot, pas le commerçant qui l'installe porte les obligations techniques. Le déployeurCelui qui utilise un système d'IA dans le cadre de son activité professionnelle — c'est le rôle d'une TPE dans la quasi-totalité des cas porte les obligations d'affichage.
Vous êtes déployeur. Cette distinction vous retire l'essentiel de la charge.
Les trois cas qui peuvent vous concerner
Un chatbot sur votre site
Si un visiteur peut dialoguer avec un assistant automatique, il doit être informé qu'il s'adresse à une IA — au plus tard au moment de la première interaction, et de manière claire.
Le texte prévoit une exception quand la chose est évidente pour une personne raisonnablement avisée. Ne vous appuyez pas dessus : une bulle discrète en bas à droite ne dit rien à personne. Une phrase dans le premier message règle la question définitivement. C'est le point à vérifier en premier si vous avez posé un assistant conversationnel sur votre site.
Des visuels générés par IA
L'obligation de marquage technique — un signal lisible par une machine, incrusté dans le fichier — pèse sur le fournisseur de l'outil, pas sur vous. Midjourney, OpenAI ou Adobe doivent s'en occuper.
Votre obligation à vous ne se déclenche que pour les hypertrucagesContenus qui imitent des personnes, lieux ou événements réels au point de pouvoir être pris pour authentiques — la traduction officielle de « deepfake » : un contenu qui ressemble à une personne, un lieu ou un événement réel au point de tromper. Une illustration abstraite en tête d'article ne l'est pas. La photo d'un chantier que vous n'avez jamais réalisé, si.
Des textes rédigés par IA
Celui-là surprend, parce qu'il est plus étroit qu'on ne le croit. L'obligation de divulgation vise les textes publiés pour informer le public sur des questions d'intérêt public — un registre journalistique, pas commercial.
Et surtout : elle ne s'applique pas lorsque le contenu a fait l'objet d'une relecture humaine et qu'une personne en porte la responsabilité éditoriale. Un article de blog que vous relisez et signez sort du périmètre. Ce n'est pas une échappatoire, c'est la logique du texte — ce qu'il vise, c'est le contenu produit en masse sans personne derrière.
Ce qui ne vous concerne pas, malgré le bruit
Les obligations lourdes du règlement — documentation technique, système de gestion des risques, évaluation de conformité — visent les systèmes dits à haut risqueCatégorie du règlement visant les IA utilisées dans des domaines sensibles : recrutement, accès au crédit, éducation, infrastructures critiques, justice, listés à l'annexe III.
Recrutement, accès au crédit, notation d'élèves, infrastructures critiques, justice. Un site vitrine, un chatbot de prise de rendez-vous ou un outil de rédaction n'en font pas partie.
Ces obligations devaient entrer en application le 2 août 2026. Elles ont été repoussées au 2 décembre 2027 par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique » — publié au Journal officiel de l'Union le 24 juillet, en vigueur depuis le 27. Les systèmes de l'annexe I, ceux qui sont intégrés à des produits, basculent au 2 août 2028.
Beaucoup d'articles publiés fin juillet annonçaient le haut risque comme applicable depuis le 2 août. Ils avaient été écrits avant le report. Si votre prestataire vous propose une mise en conformité urgente sur ce fondement, les deux dates figurent noir sur blanc sur la page officielle de la Commission européenne — trente secondes de vérification, et la conversation change de ton.
Les sanctions, sans dramatisation
Le régime de l'article 99 prévoit trois paliers : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres manquements — dont ceux de l'article 50 — et 7,5 M€ ou 1 % pour la fourniture d'informations inexactes.
Ces chiffres circulent partout. Ils ne s'appliquent pas ainsi aux petites structures : pour une PME, c'est le montant le plus bas des deux qui est retenu, là où une multinationale se voit appliquer le plus élevé. Sur un chiffre d'affaires de 400 000 €, 3 % font 12 000 € — un ordre de grandeur très différent des quinze millions affichés en titre.
La proportionnalité ne veut pas dire l'impunité. Elle veut dire qu'un artisan du Vaucluse n'a pas à se gouverner comme une banque.
Ce qu'il y a à faire cette semaine
Trois vérifications, une demi-heure au total.
Votre chatbot annonce-t-il ce qu'il est ? Ouvrez votre site en navigation privée, déclenchez la conversation, lisez le premier message. Si le mot « assistant automatique », « robot » ou « IA » n'y figure pas, ajoutez-le.
Vos visuels imitent-ils du réel ? Passez en revue les images générées publiées sur votre site. Celles qui pourraient passer pour une photo d'une situation réelle doivent être signalées comme générées — une légende suffit.
Votre équipe sait-elle s'en servir ? L'article 4, applicable depuis février 2025, demande aux entreprises qui utilisent l'IA de s'assurer que les personnes concernées ont un niveau de connaissance suffisant. Aucun formalisme n'est imposé, aucune attestation n'est exigée — mais une équipe qui colle des données clients dans un outil grand public constitue un risque bien plus concret que l'AI Act lui-même. C'est d'ailleurs le sujet de notre article sur ce qu'il ne faut jamais confier à une IA, et l'objet d'une formation courte quand plusieurs personnes sont concernées.
Un dernier point de repère. Le règlement européen encadre l'usage de l'IA ; il ne remplace pas le RGPD, qui continue de s'appliquer intégralement dès que des données personnelles entrent dans un outil. Les deux textes se cumulent, et sur ce terrain c'est la CNIL qui contrôle.
Si vous ne savez pas quels outils d'IA circulent réellement dans votre entreprise — c'est le cas le plus fréquent — commencer par les recenser vaut mieux que commencer par se mettre en conformité. On ne met pas en conformité ce qu'on n'a pas inventorié : c'est le premier temps d'un audit IA.
Vous vous demandez si votre usage de l'IA vous expose ? On fait le tour de vos outils et on vous dit ce qui relève du règlement, ce qui relève du RGPD, et ce qui ne relève de rien. On vous dit ce qu'on a trouvé, pas ce qu'on sait faire.
