Deepfakes : l’Europe impose enfin les étiquettes

La Commission résume l’article 50 en quatre cas. Premier cas : le fournisseur doit concevoir son système pour informer une personne qu’elle interagit avec une IA, sauf si le contexte rend cette nature évidente. Deuxième cas : les sorties synthétiques — texte, image, audio ou vidéo — doivent porter un marquage lisible par une machine et suffisamment robuste pour que leur origine puisse être vérifiée. Les outils qui assistent une retouche standard sans modifier substantiellement le sens bénéficient d’une exception.

Les deux autres devoirs visent les organisations qui utilisent ces outils. Elles doivent prévenir les personnes exposées à la reconnaissance des émotions ou à la catégorisation biométrique. Elles doivent aussi signaler clairement les deepfakes et les textes générés ou manipulés par IA lorsqu’ils informent le public sur une question d’intérêt public sans véritable revue humaine ni responsabilité éditoriale. Un article relu et assumé par une rédaction n’est donc pas automatiquement traité comme un texte clandestinement automatisé.

Cette distinction est essentielle. La règle n’ordonne pas de coller le même avertissement sur chaque filtre photo ou chaque correction assistée. Elle combine une trace technique en amont et une information perceptible en aval, proportionnées au risque de confusion. Pour aider les éditeurs, l’Union propose trois icônes facultatives indiquant qu’un contenu est généré, partiellement modifié ou constitue un deepfake. Le code de bonnes pratiques reste volontaire ; les obligations légales, elles, ne le sont pas.

Sur le papier, la chaîne est logique : le modèle inscrit une provenance, puis le diffuseur affiche un avertissement. Dans la vie réelle, une vidéo est recadrée, compressée, enregistrée, transformée en mème puis republiée sur plusieurs réseaux. Une métadonnée peut disparaître au premier export. Un label visible peut être coupé. Le défi n’est donc pas seulement de créer un signal, mais de le faire survivre à une circulation conçue pour dupliquer les fichiers sans leur contexte.

L’Associated Press rapporte que l’Union a installé une équipe à Bruxelles pour suivre les violations liées notamment aux fausses images, aux contenus sexuels illicites et aux cybermenaces. The Verge souligne de son côté que les responsabilités diffèrent entre fournisseurs et déployeurs, certaines grandes plateformes pouvant cumuler les deux rôles. Cette architecture évite de faire peser tout le contrôle sur l’utilisateur final, mais elle ouvre une question délicate : qui répond d’un marquage intact au départ et perdu après plusieurs intermédiaires ?

Le calendrier ajoute une nuance. Les règles s’appliquent depuis le 2 août 2026, mais les systèmes génératifs mis sur le marché avant cette date disposent jusqu’au 2 décembre pour se conformer à l’obligation de marquage et de détection. Ce délai de quatre mois ne suspend pas indistinctement tout l’article 50. Les entreprises qui auraient interprété les reports visant certains systèmes à haut risque comme un gel général de l’AI Act s’exposent donc à une lecture erronée.

Pour les citoyens, le bénéfice attendu est immédiat : savoir si une voix, une scène ou un interlocuteur numérique est artificiel avant de lui accorder sa confiance. L’enjeu devient critique pendant une élection, une crise sanitaire, une catastrophe ou une alerte de sécurité, lorsque quelques minutes de confusion suffisent à provoquer une réaction collective. L’étiquette ne décide pas si un contenu est vrai ; elle révèle une méthode de fabrication qui permet de mieux l’évaluer.

Pour les entreprises, le chantier est moins spectaculaire mais profond. Il faut inventorier les systèmes, déterminer si l’organisation est fournisseur ou déployeur, conserver les traces, concevoir des avertissements perceptibles et tester leur résistance. Une PME n’a pas les mêmes moyens qu’une plateforme mondiale, et l’AI Act demande que les sanctions restent proportionnées. Le plafond demeure néanmoins lourd : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial, le montant le plus élevé pouvant s’appliquer selon le texte.

La portée internationale est évidente. Une entreprise américaine ou asiatique qui met un système sur le marché européen ne peut ignorer les exigences locales. Comme le règlement général sur la protection des données avant lui, l’AI Act peut pousser des acteurs mondiaux à adopter un standard unique plutôt que plusieurs versions régionales. Mais les États-Unis et la Chine poursuivent leurs propres priorités, et l’AP décrit une Europe soucieuse à la fois de protéger son espace informationnel et de ne pas décrocher dans la course technologique.

Une règle peut obliger à afficher un signal ; elle ne peut forcer personne à le regarder. Le risque est de reproduire les bandeaux de cookies : omniprésents, juridiquement utiles, mais souvent validés sans lecture. Les plateformes devront donc trouver un équilibre entre un avertissement assez clair pour empêcher la tromperie et une interface assez sobre pour ne pas fatiguer les utilisateurs. Les trois icônes européennes offrent un vocabulaire commun, sans garantir qu’il sera compris.

À court terme, les premiers contrôles montreront si les autorités privilégient l’accompagnement ou les sanctions. À moyen terme, le succès se mesurera moins au nombre de labels qu’à leur persistance et à la capacité des internautes, journalistes et chercheurs à vérifier une origine. L’Europe vient d’imposer une plaque d’identité aux contenus synthétiques. Reste la question décisive : cette plaque survivra-t-elle au voyage viral qui commence dès qu’une image quitte sa plateforme d’origine ?