Les règles de transparence de l'AI Act de l'UE entrent en vigueur, mais les lacunes sont aussi révélatrices que les règles

Le 2 août 2026, trois volets distincts de l'AI Act de l'UE sont devenus simultanément applicables : les obligations de transparence pour le contenu généré par l'IA, les pleins pouvoirs de contrôle de l'AI Office de la Commission sur les fournisseurs d'IA à usage général, et la supervision active des exigences de littératie en IA qui sont techniquement en vigueur depuis février 2025. Pris ensemble, ils représentent le premier véritable test pour déterminer si la régulation européenne phare de l'IA peut faire ce que ses architectes ont promis, à savoir rendre l'environnement informationnel dont dépendent les démocraties un peu moins opaque.

Ce que l'article 50 exige réellement

Les dispositions de transparence de l'article 50 imposent des obligations à deux groupes. Les fournisseurs de systèmes d'IA impliquant une interaction directe avec des personnes doivent s'assurer que ces personnes sont informées qu'elles ont affaire à un système d'IA et non à un humain. Parallèlement, les fournisseurs de systèmes qui génèrent ou manipulent du contenu synthétique, des deepfakes et du texte généré par l'IA sur des sujets d'intérêt public doivent s'assurer que ces résultats portent des marques lisibles par machine. Les déployeurs, c'est-à-dire les organisations qui utilisent effectivement ces systèmes, ont leurs propres obligations de divulguer les deepfakes et le texte généré par l'IA sur les sujets d'intérêt public.

Le règlement prévoit des exceptions. Les forces de l'ordre en sont exemptées. Il en va de même pour l'assistance éditoriale mineure, les œuvres artistiques et la satire. Le contenu qui a fait l'objet d'un examen humain et qui porte une responsabilité éditoriale claire échappe également à l'obligation d'étiquetage. La logique est simple : si un éditeur humain a pris la responsabilité de ce que dit un texte, l'intérêt du lecteur à savoir si une machine en a rédigé la première version diminue. Que cette logique tienne dans la pratique, alors que les processus éditoriaux eux-mêmes deviennent de plus en plus automatisés, est moins certain.

L'expérience de filigranage d'Anthropic

Anthropic, l'entreprise derrière le grand modèle de langage Claude, est devenue le premier fournisseur majeur d'IA à usage général à mettre en œuvre le filigranage dans le cadre du Code de conduite sur la transparence de l'UE. Depuis le 2 août, les modèles Claude publiés après cette date intègrent un filigrane invisible dans le texte généré et joignent des métadonnées de provenance aux fichiers pris en charge. L'entreprise a choisi de déployer cette technologie à l'échelle mondiale plutôt que de la limiter aux utilisateurs européens, une décision qui évite la fragmentation qui résulterait d'une mise en œuvre limitée à l'Europe.

La concession qu'Anthropic elle-même a faite, cependant, est révélatrice. L'absence de filigrane ne prouve pas que le contenu a été rédigé par un humain. Une capture d'écran, une conversion de format, ou même une simple réenregistrement d'un fichier peuvent supprimer les données de provenance. Le filigrane cible un seul moment dans une chaîne beaucoup plus longue : le point où le texte quitte le modèle. Tout ce qui se passe ensuite, de la distribution à la modification jusqu'à la plateforme où un utilisateur le découvre finalement, échappe à la portée du filigrane.

L'architecture de contrôle

L'AI Office, l'unité de la Commission responsable de la supervision de l'IA à usage général, dispose désormais des pleins pouvoirs de contrôle. Il peut demander et évaluer la documentation des fournisseurs d'IA à usage général concernant le contenu d'entraînement, la conformité au droit d'auteur et la gestion des risques. Cela est important car la documentation est la condition préalable à toute action de contrôle. Sans elle, les régulateurs sont réduits à deviner sur quelles données un modèle a été entraîné, quels risques le fournisseur a identifiés et quelles mesures d'atténuation il a appliquées.

Les dispositions relatives à la littératie en IA de l'article 4, en vigueur depuis février 2025, sont désormais entrées dans la phase de supervision et de contrôle. L'exigence est que les fournisseurs et les déployeurs s'assurent que le personnel et les autres personnes opérant des systèmes d'IA en leur nom ont une compréhension suffisante de ces systèmes, compte tenu de leurs connaissances techniques, de leur expérience et du contexte d'utilisation. La disposition semble modeste, presque administrative. Elle ne l'est pas. Un juge qui ne comprend pas les limites d'un algorithme d'évaluation des risques, un policier qui traite une correspondance de reconnaissance faciale comme un fait, ou un fonctionnaire qui accepte un rapport généré par l'IA sans examen, chacun représente un échec de préparation institutionnelle que les règles de transparence seules ne peuvent pas corriger.

Les acteurs que l'AI Act ne peut pas atteindre

Une grande partie de la désinformation dirigée contre les démocraties européennes originate en Russie et en Chine. Ces États sont en dehors de la juridiction de l'AI Act et ne peuvent pas être dissuadés par la menace d'amendes. L'influence du règlement sur eux est indirecte : il contraint les plateformes commerciales, les outils génératifs et les canaux de distribution par lesquels le contenu soutenu par des États atteint les publics européens. Que cette pression indirecte réduise matériellement le volume ou l'efficacité des opérations d'influence étrangère reste une question ouverte.

Une lacune plus technique concerne les modèles à poids ouverts. L'AI Act réglemente les entreprises qui placent des systèmes d'IA sur le marché de l'UE. Il n'a pratiquement aucune portée pratique sur un acteur malveillant qui télécharge un modèle à poids ouvert modifié et l'exécute sur une infrastructure privée. Un tel acteur peut générer des deepfakes, de la propagande ou des documents falsifiés entièrement en dehors de toute supervision d'un fournisseur, et ne déclenchera jamais les exigences de transparence qui s'appliquent aux services commerciaux. L'architecture de l'IA open source, que beaucoup dans la communauté de recherche européenne soutiennent, crée un canal de distribution parallèle que le règlement ne couvre tout simplement pas.

Le problème du blanchiment

Même lorsqu'un fournisseur intègre des informations de provenance, la chaîne se brise rapidement. Un acteur malveillant peut télécharger un deepfake sur une plateforme non surveillée comme Telegram, où la copie, les captures d'écran et le repartage suppriment les données de suivi cachées avant que le contenu ne migre vers les réseaux sociaux grand public. Au moment où un contenu synthétique atteint une plateforme réglementée, le filigrane que l'article 50 exigeait a probablement disparu. Le règlement traite de la génération de contenu. Il ne traite pas du blanchiment de contenu.

Il existe un risque de second ordre qui est sans doute plus corrosif. L'étiquetage obligatoire est conçu pour exposer les faux. Il peut aussi être utilisé pour nier la réalité. Un acteur malveillant qui veut discréditer des images authentiques peut affirmer qu'elles ne portent pas de filigrane ou semblent altérées, transformant un outil de transparence en outil de déni. Si cette tactique devient courante, elle érodera la responsabilité même que le règlement est censé renforcer. Des électeurs qui ne parviennent pas à s'accorder sur l'authenticité d'une vidéo ne peuvent pas l'évaluer sur le fond, quel que soit le libellé de l'étiquette.

Pourquoi le DSA est nécessaire mais insuffisant

Le Digital Services Act cible les algorithmes qui amplifient le contenu plutôt que les systèmes qui le génèrent. Une fois que ChatGPT a dépassé 45 millions d'utilisateurs dans l'UE, la Commission l'a classé comme un très grand moteur de recherche en ligne, le soumettant aux obligations les plus strictes du DSA. En principe, le DSA peut contraindre les grandes plateformes à détecter et restreindre les médias synthétiques viraux, que ces médias portent ou non un filigrane.

Dans la pratique, le DSA a son propre problème de couverture. Telegram a signalé être resté juste en dessous du seuil de très grande plateforme en ligne pendant plus de deux ans, malgré le contrôle soutenu des régulateurs de l'UE. Ce positionnement lui permet d'éviter les obligations renforcées de détection et d'atténuation de la manipulation coordonnée qui s'appliquent aux plateformes plus grandes. La même plateforme qui sert de premier relais pour le blanchiment des deepfakes est également la plateforme qui a le plus soigneusement évité le niveau le plus strict de réglementation.

La transparence est un moyen, pas une fin

Les dispositions de transparence de l'AI Act traitent une partie du problème : rendre le contenu synthétique identifiable au point de génération. Elles ne traitent pas la raison pour laquelle les gens y croient, comment il se propage, ou ce qui arrive aux données de provenance lorsque le contenu traverse l'écosystème informationnel. Le déclin de la confiance institutionnelle et la polarisation politique ne sont pas des lacunes réglementaires que les exigences d'étiquetage peuvent combler. Les personnes qui se méfient des médias traditionnels ou qui sont déjà enclines à croire aux théories du complot ne réviseront pas leurs opinions parce qu'un texte porte une balise lisible par machine.

Les dispositions qui comptent le plus pourraient être les moins glamour. L'exigence de littératie en IA de l'article 4 pousse les organismes publics, les campagnes politiques et les rédactions vers un niveau de compétence de base dans la reconnaissance du contenu généré par l'IA. Un responsable qui ne connaît pas une obligation de divulgation ne l'appliquera pas. Un journaliste qui ne sait pas repérer les médias synthétiques ne le signalera pas. La préparation institutionnelle est la condition préalable qui rend la transparence et la responsabilité fonctionnelles plutôt que théoriques.

Les normes techniques devront également évoluer. Le filigranage d'Anthropic est une première itération. Des normes de provenance plus robustes et interopérables entre les plateformes et les formats de fichier rendraient plus difficile la disparition des données de suivi lorsque le contenu se déplace. Le règlement européen sur l'IA lui-même prévoit un développement technique supplémentaire, mais le règlement ne peut exiger que ce qui est techniquement réalisable, et l'état actuel de l'art laisse des lacunes importantes.

Organisations

European Commission · AI Office · Anthropic