AI Act : 13 jours pour rendre l’IA visible

Treize jours : c’est le délai laissé aux acteurs de l’intelligence artificielle avant que la transparence ne devienne une obligation concrète dans toute l’Union européenne. Le 20 juillet 2026, la Commission a publié ses lignes directrices sur l’article 50 de l’AI Act. À partir du 2 août, un chatbot devra annoncer sa nature dès le premier échange, un deepfake professionnel devra être clairement signalé et les systèmes génératifs devront rendre leurs productions détectables par machine. L’enjeu dépasse la petite étiquette au bas d’une image : il s’agit de savoir si un citoyen peut encore identifier celui — humain ou logiciel — qui lui parle.

Le texte vise les fournisseurs européens comme étrangers dès lors qu’un système est commercialisé dans l’Union ou que sa sortie y est utilisée. Il distingue surtout les responsabilités : le concepteur doit intégrer la transparence dans le produit, tandis que l’entreprise ou l’administration qui l’emploie doit informer les personnes exposées. Chatbots de service client, avatars, agents conversationnels, reconnaissance des émotions et contenus synthétiques entrent ainsi dans une même bataille contre la tromperie, avec des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel.

La règle la plus visible concerne les systèmes qui dialoguent directement avec une personne. L’information doit arriver au début de la première interaction, être claire, distincte et accessible. L’exception existe lorsque la nature artificielle est évidente, mais la Commission demande de l’interpréter strictement. Un filtre antispam, une maintenance prédictive ou un outil travaillant uniquement entre machines ne sont pas concernés par cette annonce : le critère décisif est le véritable échange à deux sens avec un humain.

Cette frontière oblige les entreprises à regarder au-delà du nom commercial. Un assistant présenté comme un simple bouton d’aide peut devenir un agent autonome capable de conseiller, négocier ou orienter une décision. Le fournisseur doit alors concevoir le signal ; le déployeur, par exemple une banque ou un service public, reste responsable de son usage. Même un développeur installé hors de l’Union est concerné si la sortie de son système est utilisée sur le marché européen.

Pour les utilisateurs, le changement paraît modeste mais touche la confiance. Une conversation fluide pousse facilement à attribuer une intention ou une expertise à la machine. Prévenir dès le départ permet de recalibrer cette confiance, sans prétendre que l’étiquette garantit l’exactitude de la réponse. La transparence dit qui parle ; elle ne certifie ni la vérité, ni l’impartialité, ni la sécurité du conseil fourni.

Le second front est technique. Les fournisseurs de systèmes générant de l’audio, des images, des vidéos ou du texte devront ajouter des marques lisibles par machine, efficaces, robustes et interopérables. Le déployeur ne pourra pourtant pas se contenter de ce signal caché : lorsqu’il diffuse un deepfake, il devra aussi l’indiquer clairement au public. Pour un texte sur une question d’intérêt public, l’étiquetage vise le contenu généré ou manipulé sans véritable contrôle humain ni responsabilité éditoriale.

La nuance est capitale pour les médias et les créateurs. Une correction orthographique, du code source, une sortie réservée à une chaîne industrielle fermée ou une assistance standard au montage peuvent échapper au marquage. À l’inverse, une relecture superficielle ne suffit pas à revendiquer un contrôle humain. Selon la FAQ officielle, la personne ou l’organisation doit exercer une revue réelle et assumer la responsabilité juridique finale de la publication.

Les deepfakes artistiques, satiriques ou fictifs bénéficient d’un traitement proportionné, afin que l’information ne détruise pas l’expérience de l’œuvre. Mais l’exception n’efface pas le principe. Image, son ou vidéo ressemblant à une personne, un lieu ou un événement réel et pouvant paraître authentique doit être signalé lorsqu’il est diffusé professionnellement. L’usage strictement personnel reste hors du champ, sauf s’il devient une activité économique régulière.

Le calendrier est la principale source de confusion. L’article 50 s’applique le 2 août 2026. Seuls les systèmes déjà mis sur le marché avant cette date obtiennent jusqu’au 2 décembre pour la seule obligation de marquage et de détection des contenus générés. Les autres devoirs, comme annoncer un chatbot ou signaler un deepfake au public, ne disparaissent pas derrière ce sursis. Le contenu produit avant le 2 août n’a pas non plus à être étiqueté rétroactivement.

Cette précision arrive après le report d’autres volets de l’AI Act. Les exigences visant les systèmes à haut risque ont été déplacées au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour ceux intégrés à des produits. Les entreprises pourraient donc croire que tout le règlement a reculé. C’est faux : la transparence suit sa propre horloge, beaucoup plus proche.

Le code de bonnes pratiques publié en parallèle reste volontaire. Ses signataires disposent d’une voie reconnue pour démontrer leur conformité ; les autres gardent leur liberté technique, mais devront convaincre les autorités par des moyens alternatifs. L’application reposera surtout sur les autorités nationales de surveillance du marché, avec un rôle plus limité de l’AI Office européen.

Les gagnants immédiats seront les acteurs qui ont déjà construit des chaînes de traçabilité : métadonnées persistantes, registres de production, contrôle éditorial documenté et interfaces capables d’afficher une information accessible. Pour eux, la règle peut devenir un avantage de confiance. Les petites structures, les outils ouverts et les chaînes de sous-traitance devront en revanche déterminer qui est fournisseur, qui est déployeur et qui conserve la marque lorsqu’un fichier est recompressé ou recadré.

Le point faible reste la résistance réelle des marqueurs. Une métadonnée peut disparaître lors d’une capture d’écran ou d’un passage par une plateforme. Une marque robuste peut, elle, dégrader le contenu ou être contournée par un acteur malveillant. Le règlement exige efficacité et interopérabilité tout en tenant compte de l’état de l’art et des coûts : cette souplesse rend l’approche praticable, mais ouvre aussi la porte à des interprétations divergentes entre autorités.

L’Europe ne promet donc pas la fin des deepfakes. Elle impose une chaîne de responsabilité là où régnait souvent l’ambiguïté. À court terme, le test sera visible dans les interfaces et les contrats. À moyen terme, il se jouera dans les enquêtes : les autorités sauront-elles distinguer une panne technique, une négligence et une volonté de tromper ? Le 2 août ne rendra pas chaque contenu synthétique identifiable ; il rendra en revanche l’absence de précaution juridiquement défendable — ou sanctionnable.