Depuis le 2 août 2026, une PME qui utilise l'IA dans sa relation client doit informer ses interlocuteurs dans trois situations précises : un échange direct avec un système conversationnel, un contenu de type deepfake publié, et un texte d'intérêt public diffusé sans relecture humaine. En dehors de ces cas, aucune mention "généré par IA" n'est légalement exigée.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Depuis le 2 août 2026, une PME qui utilise l'IA dans sa relation client doit informer ses interlocuteurs dans trois situations précises : un échange direct avec un système conversationnel, un contenu de type deepfake publié, et un texte d'intérêt public diffusé sans relecture humaine. En dehors de ces cas, aucune mention "généré par IA" n'est légalement exigée. La confusion entre ces trois situations et le reste de votre communication coûte plus cher que l'inverse, en sur-conformité comme en angles morts.
L'article 50 du règlement UE 2024/1689 est probablement la disposition de l'AI Act qui touche le plus d'entreprises françaises, parce qu'elle ne dépend pas du niveau de risque du système. Une TPE de dix personnes avec un chatbot sur son site est concernée, là où elle échappe totalement aux obligations sur les systèmes à haut risque. Si vous partez de zéro sur le sujet, le guide de conformité AI Act pour PME et associations pose le cadre général ; cet article se concentre sur un seul angle, celui des points de contact avec vos clients.
Quatre obligations distinctes, réparties entre deux rôles différents. L'AI Act sépare le fournisseur, qui conçoit le système et le met sur le marché sous son nom, et le déployeur, qui l'utilise dans le cadre de son activité professionnelle. Les obligations ne tombent pas sur le même acteur selon le cas.
| Situation | Qui est tenu | Ce qui est exigé |
|---|---|---|
| Système qui interagit directement avec une personne (chatbot, agent vocal, avatar) | Le fournisseur | Informer dès la première interaction qu'il s'agit d'une IA, sauf si c'est manifeste |
| Sortie d'un système d'IA générative (texte, image, audio, vidéo) | Le fournisseur | Marquage lisible par machine, permettant la détection du contenu synthétique |
| Reconnaissance des émotions ou catégorisation biométrique | Le déployeur | Informer les personnes exposées du fonctionnement du système |
| Deepfake publié, ou texte d'intérêt public publié sans relecture humaine | Le déployeur | Divulgation claire et perceptible, au plus tard lors de la première exposition |
Pour la grande majorité des PME, seules les lignes 1 et 4 comptent. La ligne 2 pèse sur les éditeurs de modèles et de systèmes, pas sur vous. La ligne 3 ne concerne que les usages biométriques, rares hors contrôle d'accès et retail avancé.
Un point de vocabulaire qui a des conséquences juridiques : vos salariés ne sont pas des déployeurs distincts. Quand votre community manager génère un visuel avec un outil d'IA, c'est la société qui est déployeur, pas lui. Et vous restez déployeur même si l'opération est confiée à un freelance ou à une agence agissant sous votre responsabilité. Le contrat de sous-traitance ne transfère pas l'obligation.
L'obligation d'informer l'utilisateur qu'il parle à une machine pèse sur le fournisseur du système, mais vous pouvez devenir ce fournisseur sans le savoir. L'article 3(3) du règlement définit le fournisseur comme celui qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque.
Prenez le cas très courant d'une PME qui déploie un chatbot IA sur son site, construit sur une brique du marché, rebaptisé "Léa, votre conseillère" avec la charte graphique maison. La société n'a rien développé, mais elle met le système en service sous son propre nom. La lecture prudente consiste à considérer qu'elle endosse l'obligation d'information de l'article 50(1) et à la traiter comme telle. Attendre une clarification jurisprudentielle pour afficher une phrase de dix mots n'a aucun sens économique.
La Commission a précisé quatre critères cumulatifs pour que l'obligation s'applique : le système doit être un système d'IA, être conçu pour un échange bidirectionnel réel et non pour une simple collecte de données ou des réponses automatisées, communiquer directement avec la personne sans intermédiaire humain, et s'adresser à des personnes physiques. Un formulaire de contact avec accusé de réception automatique n'est donc pas visé. Un agent IA qui qualifie un prospect en conversation libre l'est.
En pratique, trois exigences de forme :
L'exception du caractère "manifeste" existe, mais la Commission demande explicitement de l'interpréter de façon restrictive, puisqu'elle prive les personnes de transparence. Le test est celui d'une personne moyenne, raisonnablement informée et attentive. Un avatar réaliste qui répond en langage naturel ne passe pas ce test. Une fenêtre intitulée "Assistant automatique" probablement si, mais le coût d'une mention explicite est nul : autant l'écrire.
Un article de blog, une fiche produit ou une newsletter rédigés avec l'aide de l'IA n'ont pas à porter de mention "généré par IA". C'est l'inverse de ce que laisse croire une bonne partie des contenus publiés sur le sujet, et cela mérite d'être posé clairement.
L'obligation de divulgation des textes générés par IA, prévue à l'article 50(4), suppose trois conditions cumulatives : le texte doit être publié, avoir pour finalité d'informer le public, et porter sur une question d'intérêt public. La Commission cite comme matières d'intérêt public la politique et les processus démocratiques, l'administration publique, la justice, les droits fondamentaux, la sécurité publique, la santé publique, l'environnement, la sécurité des consommateurs, ainsi que les développements économiques, financiers, scientifiques ou culturels susceptibles d'alimenter le débat public.
Une fiche produit, une réponse commerciale, un compte rendu de réunion ou une page de service ne relèvent pas de cette catégorie. Et même pour un contenu qui en relèverait, l'obligation tombe si le texte a fait l'objet d'une relecture humaine ou d'un contrôle éditorial. La Commission précise ce que cela signifie : un examen délibéré du fond par une personne compétente sur le sujet, ou le contrôle exercé par une entité éditoriale ayant autorité pour approuver, modifier ou rejeter le contenu sur des motifs de fond. Une correction orthographique ou une relecture de forme ne suffisent pas.
La conséquence opérationnelle est simple. Si vous publiez sur des sujets d'intérêt public, ce qui est le cas d'un cabinet comptable qui commente une réforme fiscale ou d'une association qui publie sur la santé, votre protection n'est pas une mention en pied de page : c'est un processus de relecture documenté, avec une personne identifiée qui assume la responsabilité éditoriale finale. C'est aussi, accessoirement, la seule vraie parade aux erreurs factuelles des modèles, que le secteur appelle hallucinations.
Pourquoi la sur-conformité est un vrai coût : une mention "contenu généré par intelligence artificielle" apposée partout dilue le signal là où il compte, alimente la défiance sur des contenus que vous avez réellement travaillés, et vous expose à des questions de clients auxquelles vous n'avez pas de réponse construite. Étiqueter ce qui doit l'être, et seulement cela, est une position défendable. Étiqueter tout par précaution ne l'est pas.
Dès qu'un visuel ou une vidéo imite une personne, un lieu ou un événement réel de façon crédible, la divulgation devient obligatoire pour le déployeur. La définition de l'article 3(60) repose sur trois critères cumulatifs : une ressemblance forte avec le sujet simulé, un sujet qui existe ou pourrait plausiblement exister, et une apparence trompeuse d'authenticité.
Les cas concrets qui font basculer une PME dans cette obligation sont plus fréquents qu'on ne le croit :
Deux précisions importantes. D'abord, la divulgation doit être perceptible par un être humain, par une mention visible ou audible, sans outil technique. Vous ne pouvez pas vous contenter du marquage lisible par machine intégré par l'éditeur de l'outil : la Commission l'exclut explicitement. Ensuite, pour les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles, la divulgation reste due mais peut être adaptée pour ne pas gâcher l'œuvre, par exemple en générique plutôt qu'en surimpression permanente.
Le cas du témoignage client synthétique mérite un signalement particulier. Au-delà de l'AI Act, il touche au droit de la consommation français sur les pratiques commerciales trompeuses, contrôlé par la DGCCRF. Les deux régimes se cumulent, et le second est plus ancien et plus outillé. Avant toute campagne s'appuyant sur des personnages synthétiques, faites valider le dispositif par votre conseil juridique : le risque n'est pas seulement réglementaire, il est contractuel et concurrentiel.
L'article 50 s'applique depuis le 2 août 2026, sans période transitoire générale. C'est la date à retenir. Le 2 décembre 2026 circule beaucoup, mais il désigne autre chose : un délai de grâce limité à la seule obligation de marquage lisible par machine de l'article 50(2), et uniquement pour les systèmes mis sur le marché avant le 2 août 2026. Cette tolérance vise les éditeurs de systèmes, pas les entreprises utilisatrices.
Autre point utile : les contenus générés avant le 2 août 2026 n'ont pas à être étiquetés rétroactivement. La Commission encourage à le faire quand c'est possible, mais ne l'impose pas. Inutile de repasser sur trois ans d'archives.
Il faut aussi garder en tête que le paquet Digital Omnibus, adopté à l'été 2026, a reporté l'application des règles sur les systèmes à haut risque autonomes au 2 décembre 2027, et au 2 août 2028 pour ceux intégrés à des produits réglementés. Beaucoup d'articles encore en ligne datent ces échéances de 2026 : c'est périmé. Le détail des dates figure dans le calendrier complet de l'AI Act.
Le manquement à l'article 50 relève du plafond de 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour une PME, la logique est inversée : c'est le montant le plus faible qui s'applique, et la Commission précise que la proportionnalité est prise en compte pour les PME et les petites entreprises de taille intermédiaire.
Le contrôle relève principalement des autorités nationales de surveillance du marché. En France, plusieurs autorités interviennent selon l'angle retenu, la CNIL sur les données personnelles, la DGCCRF sur les pratiques commerciales, l'Arcom sur les contenus diffusés. La répartition fine des compétences continue de se préciser : vérifiez l'état du dispositif national avant de vous appuyer sur une répartition figée.
Mais le risque réglementaire n'est pas le premier que rencontrent nos clients. Le risque commercial arrive avant. Un prospect qui découvre après coup qu'il a échangé pendant vingt minutes avec un agent conversationnel en pensant parler à un commercial ne dépose pas plainte : il part. Un concurrent qui repère un témoignage synthétique non signalé dispose, lui, d'un levier immédiat sur le terrain de la concurrence déloyale. Le détail du régime de sanctions est traité dans l'article sur les sanctions AI Act.
La conformité article 50 d'une PME tient sur une page, à condition de raisonner par point de contact client et non par outil.
Le point 5 est celui qui tient dans la durée. Les quatre premiers sont des actions ponctuelles ; sans règle écrite, votre conformité se dégrade dès le premier recrutement. Pour la formalisation vis-à-vis des personnes exposées, la notice d'information IA donne la structure attendue.
Dois-je écrire "généré par IA" sur mes articles de blog ? Non, sauf si l'article informe le public sur une question d'intérêt public et n'a fait l'objet d'aucune relecture humaine de fond. Une relecture éditoriale documentée par une personne compétente lève l'obligation. Une simple correction orthographique ne suffit pas.
Mon chatbot doit-il annoncer qu'il est une IA même si c'est évident ? L'exception du caractère manifeste existe, mais la Commission demande de l'interpréter de façon restrictive. Comme le coût d'une phrase d'introduction est nul et que le test repose sur la perception d'une personne moyenne, il est plus sûr de l'afficher systématiquement.
Je n'ai pas développé mon chatbot, suis-je quand même responsable ? L'obligation d'information pèse sur le fournisseur. Mais si vous mettez le système en service sous votre propre nom ou votre marque, la définition du fournisseur peut vous être appliquée. La lecture prudente consiste à assumer l'obligation plutôt qu'à s'en remettre au contrat avec l'éditeur.
Une retouche d'image par IA rend-elle la photo soumise à divulgation ? Pas automatiquement. Les fonctions d'assistance à l'édition standard sont exclues du marquage. La bascule se fait quand le résultat imite de façon crédible une personne, un lieu ou un événement réel et pourrait être pris pour authentique.
Le délai du 2 décembre 2026 me laisse-t-il du temps supplémentaire ? Non. Ce délai ne vise que l'obligation de marquage lisible par machine pesant sur les fournisseurs de systèmes déjà commercialisés avant le 2 août 2026. Vos obligations de déployeur et d'information des clients s'appliquent depuis le 2 août 2026.
Mes salariés sont-ils personnellement responsables de ces mentions ? Non. Un salarié agissant sous les instructions et le contrôle de l'entreprise n'est pas un déployeur distinct. La responsabilité reste celle de la personne morale, y compris quand l'exécution est confiée à un prestataire externe.
Faut-il adhérer au code de bonnes pratiques de la Commission ? Ce code sur la transparence des contenus générés par IA est volontaire. Il apporte de la sécurité juridique aux fournisseurs et déployeurs qui y adhèrent, mais l'absence d'adhésion n'est pas une faute : elle oblige simplement à démontrer la conformité par d'autres moyens.
Nous traitons l'article 50 dans nos interventions comme un chantier d'une demi-journée, pas comme un projet de conformité. La partie utile est toujours la même : cartographier les points de contact client, trancher les cas, écrire la règle interne, et former les personnes qui produisent réellement les contenus. C'est cette dernière étape qui manque le plus souvent, parce qu'une note de service ne change pas les réflexes de production.
Notre formation IA Opérationnelle pour PME intègre ce volet transparence dans les usages concrets plutôt que de le traiter comme un module juridique séparé. Les équipes apprennent où placer la mention en même temps qu'elles apprennent à produire le contenu. Pour les structures qui veulent d'abord un état des lieux, le guide AI Act pour TPE et PME donne le cadre complet, et le guide de conformité AI Act sert de point d'entrée à l'ensemble du sujet.
Si vous voulez savoir en trente minutes où vous en êtes sur vos points de contact client, réservez un audit gratuit sur cal.com/growthperf/audit-gratuit.