Les règles de transparence de l'AI Act de l'UE s'appliquent désormais, avec un délai de grâce limité pour certains fournisseurs

Depuis le 2 août 2026, les organisations opérant dans l'Espace économique européen doivent informer les personnes lorsqu'elles interagissent avec un système d'intelligence artificielle, lorsque leurs émotions ou traits biométriques sont catégorisés par un tel système, et lorsque du contenu a été généré ou manipulé par l'IA. Il s'agit des obligations de transparence énoncées à l'article 50 du règlement européen sur l'IA, et elles ont désormais force de loi.

L'Omnibus numérique de l'UE, qui a amendé l'AI Act avant l'entrée en vigueur de ces dispositions, n'a reporté qu'un sous-ensemble étroit des devoirs de l'article 50. La grande majorité des exigences de transparence sont déjà exécutoires. Cette distinction entre ce qui est reporté et ce qui ne l'est pas est le détail qui importe le plus pour toute entreprise qui calibre encore ses plans de conformité.

Ce que l'article 50 exige réellement

L'article 50 impose trois grandes catégories de devoirs de transparence. Premièrement, les organisations doivent divulguer aux individus lorsqu'ils interagissent directement avec un système d'IA plutôt qu'avec un être humain. Deuxièmement, lorsqu'un système de reconnaissance des émotions ou de catégorisation biométrique est appliqué à une personne, celle-ci doit en être informée. Troisièmement, lorsqu'un contenu constitue un deepfake ou un texte généré ou manipulé par l'IA qui est pertinent pour l'intérêt public, le fait qu'il a été produit ou altéré par l'IA doit être divulgué.

Ce ne sont pas des principes abstraits. Ce sont des obligations juridiques spécifiques, exécutoires depuis le 2 août, et elles s'appliquent tant aux fournisseurs qui développent et mettent des systèmes d'IA sur le marché de l'EEE qu'aux déployeurs qui les utilisent réellement. Les responsabilités sont toutefois réparties différemment selon le côté de cette frontière où se trouve une organisation.

Fournisseurs et déployeurs font face à des devoirs différents

Aux termes du règlement sur l'IA, un fournisseur est l'organisation qui a développé un système d'IA et le place sur le marché de l'EEE ou le met en service sous son propre nom ou marque. Un déployeur est l'organisation qui utilise un tel système dans ses opérations. La distinction n'est pas toujours simple, notamment lorsque les entreprises construisent et exploitent leurs propres outils d'IA, mais la classification importe car chaque rôle entraîne des exigences de transparence différentes.

Les fournisseurs supportent l'obligation technique de veiller à ce que des marquages lisibles par machine et des mesures de détection soient intégrés dans leurs systèmes, afin que les contenus audio, images, vidéo ou texte synthétiques générés par l'IA puissent être identifiés comme tels. Les déployeurs, quant à eux, doivent veiller à ce que les personnes exposées à des systèmes de reconnaissance des émotions ou de catégorisation biométrique reçoivent un avis approprié. Les déployeurs sont également responsables de la divulgation lorsqu'ils publient des deepfakes ou des textes d'intérêt public générés par l'IA.

Le devoir de marquage du fournisseur et le devoir de notification du déployeur s'exécutent en parallèle. Ce sont des obligations distinctes, et satisfaire l'une ne dispense pas de l'autre.

La période de transition étroite

Le seul délai de grâce de l'article 50 s'applique à l'obligation de marquage et de détection lisibles par machine côté fournisseur, et seulement pour les systèmes d'IA qui étaient déjà sur le marché de l'EEE avant le 2 août 2026. Les fournisseurs s'appuyant sur cette transition ont jusqu'au 2 décembre 2026 pour mettre leurs systèmes en conformité. Les systèmes mis sur le marché à compter du 2 août doivent se conformer dès le premier jour.

Crucialement, le délai de transition de quatre mois ne reporte aucun devoir des déployeurs. Les exigences couvrant la reconnaissance des émotions, la catégorisation biométrique, les deepfakes et les textes d'intérêt public générés par l'IA s'appliquent depuis le 2 août, indépendamment de la date à laquelle le système d'IA sous-jacent a été mis sur le marché pour la première fois. Toute organisation qui a supposé qu'une période de transition générale s'appliquerait à toutes les obligations de l'article 50 a mal lu le règlement.

Ce que disent les lignes directrices de la Commission

La Commission européenne a publié deux documents pour aider les organisations à interpréter l'article 50 : les Lignes directrices sur la transparence pour les fournisseurs et déployeurs de systèmes d'IA et le Code de pratique sur la transparence du contenu généré par l'IA. Les deux fournissent un cadre, mais aucun ne remplace une évaluation au cas par cas. Les lignes directrices décrivent à quoi la transparence devrait ressembler en principe ; le Code de pratique offre des orientations plus pratiques sur l'étiquetage du contenu généré par l'IA. Aucun n'a force de loi en soi, bien qu'ils éclaireront la manière dont les régulateurs nationaux interprètent la conformité.

L'écart entre ce que décrivent les lignes directrices et ce qu'un système individuel exige est là où retombe réellement le fardeau de la conformité. Une entreprise de médias sociaux déployant des outils de reconnaissance des émotions sur des vidéos générées par les utilisateurs fait face à des questions pratiques différentes d'une banque utilisant la catégorisation biométrique dans la vérification d'identité. Chaque système et cas d'usage exige sa propre évaluation.

Les mesures pratiques que les organisations doivent prendre maintenant

La priorité immédiate, selon l'analyse juridique de Morgan Lewis, est de confirmer que les devoirs de l'article 50 applicables depuis le 2 août ont été traités. Pour les fournisseurs, cela signifie veiller à ce que des avis appropriés soient donnés lorsque les individus interagissent directement avec des systèmes d'IA et que les mesures de marquage et de détection requises sont en place. Lorsqu'un système d'un fournisseur était sur le marché de l'EEE avant le 2 août et s'appuie sur la période de transition, le fournisseur devrait documenter clairement la base de cette confiance.

Pour les déployeurs, le travail est plus varié. Ils doivent veiller à ce que les personnes exposées à des systèmes de reconnaissance des émotions ou de catégorisation biométrique reçoivent un avis approprié. Ils doivent également examiner comment ils publient des deepfakes et des textes d'intérêt public générés ou manipulés par l'IA : quand la divulgation est requise, qui est responsable de la faire, et comment elle sera présentée à l'audience.

Les déployeurs utilisant des systèmes d'IA tiers ont une tâche supplémentaire. Ils devraient obtenir du fournisseur des informations sur les arrangements de marquage du fournisseur et sur le fait que ce dernier s'appuie sur la période de transition au 2 décembre. Sans cette information, un déployeur ne peut pas être certain que le système qu'il utilise respecte les obligations côté fournisseur qui s'exécutent en parallèle des siennes.

Où la responsabilité peut passer entre les mailles du filet

La séparation entre les obligations des fournisseurs et des déployeurs crée un problème de coordination que le règlement ne résout pas pleinement. Un fournisseur peut intégrer des filigranes lisibles par machine dans ses images générées par l'IA, satisfaisant ainsi son propre devoir, mais si le déployeur omet de divulguer à l'utilisateur final que le contenu est généré par l'IA, l'objectif de transparence de l'article 50 est sapé. Inversement, un déployeur pourrait supposer que le fournisseur a géré le marquage technique, pour découvrir que ce dernier a invoqué la période de transition et ne s'est pas encore conformé.

Ce n'est pas une préoccupation théorique. De nombreuses organisations seront à la fois fournisseurs et déployeurs de différents systèmes d'IA, et les fonctions de conformité internes n'auront peut-être pas cartographié quels systèmes relèvent de quel ensemble de devoirs. La position la plus solide, comme le note l'analyse de Morgan Lewis, est celle où l'organisation peut expliquer quelles informations sont fournies, par qui, quand et pourquoi. Ce niveau de clarté exige plus qu'une liste de contrôle de conformité. Il exige de la gouvernance.

Le tableau d'ensemble de l'application

L'article 50 n'est pas la seule partie de l'AI Act entrant en vigueur cette année. Les pratiques d'IA interdites, y compris la notation sociale et certains types d'identification biométrique, sont interdites depuis février 2026. Les règles sur les systèmes d'IA à haut risque, qui portent le fardeau de conformité le plus lourd sous l'Acte, s'appliqueront à partir d'août 2027. Les obligations pour les modèles d'IA à usage général, y compris les exigences de transparence et de droit d'auteur, prennent effet en août 2025.

Le calendrier échelonné signifie que l'activité d'application dans les mois à venir se concentrera sur la transparence et les pratiques interdites. Les autorités nationales de surveillance du marché dans chaque État membre sont responsables de l'application, et la Commission européenne a indiqué qu'elle surveillera la cohérence avec laquelle ces autorités appliquent les règles. Les premiers schémas d'application façonneront la manière dont les entreprises aborderont le beaucoup plus vaste exercice de conformité que les règles sur l'IA à haut risque exigeront l'an prochain.

Il y a aussi une question de ressources. Plusieurs États membres n'ont pas encore désigné leurs autorités nationales ni alloué de budgets pour l'application de l'AI Act. Là où la capacité d'application est faible, la conformité peut devenir une question de politique d'entreprise plutôt que de pression réglementaire, du moins initialement. Mais ce calcul pourrait changer rapidement une fois les premières actions d'application engagées.