8 min read EU AI Act

AI Act article 50 : ce que votre fournisseur conforme ne couvre pas

AI Act article 50 : ce que votre fournisseur conforme ne couvre pas

Les obligations de transparence de l'article 50 du règlement européen sur l'intelligence artificielle s'appliquent depuis le 2 août 2026. La Commission a adopté la version finale de ses lignes directrices le 20 juillet, moins de deux semaines avant l'entrée en application, et a confirmé le caractère adéquat du code de bonnes pratiques sur la transparence des contenus générés par IA, également validé par le comité IA. Le régime de sanctions atteint 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, avec une prise en compte de la proportionnalité pour les PME et les petites entreprises de taille intermédiaire. Le contrôle relève principalement des autorités nationales de surveillance du marché.

Le réflexe le plus répandu dans les entreprises qui ne développent pas de modèles est de considérer que l'essentiel du sujet appartient au fournisseur : c'est lui qui doit marquer ses sorties, donc acheter à un fournisseur conforme règle le problème. La foire aux questions publiée par la Commission tranche ce point sans ambiguïté, et dans le sens inverse : les déployeurs ne peuvent pas se contenter du marquage lisible par machine intégré au contenu par le fournisseur au titre de l'article 50(2) pour satisfaire à leur propre obligation de divulgation. Le marquage du fournisseur s'adresse aux machines, votre divulgation doit être perceptible par une personne, sans outil technique particulier ni action dédiée. Ce sont deux obligations distinctes qui vivent à deux étages différents, et un fournisseur irréprochable en couvre exactement une.

L'article du 15 juillet sur la préparation aux audits IA décrivait la mécanique documentaire attendue par les contrôleurs. Ce qui suit en donne l'application concrète pour l'article 50 : qui porte quelle obligation, où se trouvent les exemptions et pourquoi la plus attendue d'entre elles est plus étroite qu'il n'y paraît, et quelle matrice tenir pour être en mesure de répondre.

Deux couches superposées de transparence, l'une portant une signature technique discrète et l'autre une mention visible.
Deux obligations superposées, l'une adressée aux machines, l'autre aux personnes, et un seul achat n'en couvre qu'une.

Fournisseur, déployeur, et la ligne qui sépare les deux

Le règlement distribue les obligations selon un partage que beaucoup d'organisations n'ont pas encore tranché pour elles-mêmes. Le fournisseur est celui qui développe un système, ou le fait développer, et le met sur le marché ou en service sous son nom ou sa marque, y compris s'il est établi hors de l'Union dès lors que la sortie du système est utilisée dans l'Union. Il porte les obligations des paragraphes 1, 2 et 5, à satisfaire avant la mise sur le marché : informer les personnes qu'elles interagissent avec un système d'IA, et marquer les sorties de ses systèmes génératifs dans un format lisible par machine, efficace, fiable, robuste et interopérable.

Le déployeur est celui qui utilise le système sous sa propre autorité, à l'exclusion d'un usage personnel non professionnel. Il porte les obligations des paragraphes 3 et 4 : informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, et étiqueter clairement les hypertrucages ainsi que les textes générés par IA publiés pour informer le public sur des questions d'intérêt public. Deux précisions de la Commission méritent d'être relevées, parce qu'elles ferment des échappatoires que l'on entend souvent. Les salariés qui agissent sur instruction et sous le contrôle d'une personne morale ne sont pas des déployeurs distincts, la personne morale l'est. Et elle le reste quand des tiers, prestataires ou indépendants, opèrent le système pour son compte, sous sa responsabilité et son contrôle.

Une organisation peut évidemment être les deux à la fois, et c'est le cas le plus fréquent dès qu'un système interne est mis à disposition sous la marque de l'entreprise. Le point de départ pratique n'est donc pas juridique mais documentaire : pour chaque système en production, il faut avoir écrit quelque part si l'entreprise y est fournisseur, déployeur, ou les deux. Le schéma qui revient sur le terrain est que cette qualification n'existe nulle part, et qu'elle se décide dans l'urgence au moment où une autorité pose la question.

Les exemptions, et la plus étroite d'entre elles

L'article 50 comporte plusieurs portes de sortie légitimes, et il vaut mieux les connaître précisément que les invoquer approximativement.

L'obligation d'informer d'une interaction avec une IA suppose quatre critères cumulatifs : le système en est un au sens du règlement, il est conçu pour un véritable échange bidirectionnel plutôt que pour collecter des données ou renvoyer des réponses automatisées, l'interaction est directe et non médiée par un humain, et elle a lieu avec des personnes physiques. Les systèmes qui opèrent en arrière-plan ou de machine à machine sortent du périmètre. L'exception du caractère évident existe, mais la Commission demande de l'interpréter de manière restrictive, en se plaçant du point de vue d'une personne moyenne raisonnablement informée, attentive et avisée.

Le marquage des sorties génératives connaît lui aussi des exclusions précises : une courte séquence de chiffres, de symboles ou de lettres, le code source, les sorties destinées exclusivement à une communication entre machines sans exposition humaine, et celles utilisées en boucle fermée dans des environnements industriels ou de développement produit, sauf s'il s'agit du résultat final. L'obligation ne s'applique pas non plus quand le système remplit une fonction d'assistance pour de l'édition standard, notion que les lignes directrices illustrent par des exemples. Une exemption étroite est par ailleurs prévue pour des contextes entre entreprises ou industriels, sous conditions.

Reste l'exemption que la plupart des directions vont vouloir utiliser pour leurs contenus publiés, celle de la relecture humaine ou du contrôle éditorial, et c'est là que le décalage avec les pratiques existantes est le plus net. La Commission définit la relecture humaine comme l'examen délibéré de la substance du contenu par une ou plusieurs personnes disposant de connaissances et d'un jugement professionnel pertinents sur le sujet traité. Le contrôle éditorial suppose une entité éditoriale responsable, disposant de l'autorité d'approuver, de modifier ou de rejeter la substance du texte sur des motifs de fond, vérification des informations et fiabilité des sources comprises. La responsabilité éditoriale suppose enfin une personne qui porte la responsabilité juridique ultime de la publication. Et le texte est explicite sur ce qui ne suffit pas : les vérifications superficielles, purement formelles ou procédurales, correction orthographique et grammaticale notamment, ne constituent pas une relecture humaine. Un circuit de validation où quelqu'un clique sur approuver n'est pas un contrôle éditorial, et c'est pourtant à cela que ressemble la majorité des chaînes de publication assistées par IA aujourd'hui.

Tableau à quatre colonnes reliant chaque système à sa qualification, son obligation et la preuve conservée.
La matrice à tenir : un système par ligne, la qualification, l'obligation applicable et la preuve conservée.

Le délai de grâce est plus étroit qu'on ne le dit

Une confusion circule sur l'existence d'une période de tolérance générale. Il n'y en a pas. La Commission décrit un délai de grâce limité, qui ne concerne que les systèmes mis sur le marché avant le 2 août 2026, et uniquement au titre de l'obligation de marquage et de détectabilité de l'article 50(2). Pour ces systèmes-là, et pour cette obligation-là seulement, la mise en conformité est due à partir du 2 décembre 2026. Tout le reste s'applique depuis le 2 août. Les contenus générés avant cette date n'ont pas à être étiquetés rétroactivement, la Commission encourageant simplement à le faire quand c'est possible.

L'adhésion au code de bonnes pratiques sur la transparence des contenus générés par IA constitue l'autre variable de décision. Le code est volontaire et couvre les obligations de marquage et d'étiquetage des paragraphes 2, 4 et 5. Ses signataires bénéficient de sécurité juridique et de prévisibilité, quel que soit leur lieu d'établissement ou l'autorité de surveillance compétente. Ceux qui n'y adhèrent pas doivent démontrer leur conformité par d'autres moyens adéquats, et la Commission indique qu'ils pourront faire l'objet de davantage de demandes d'information. Ce n'est pas une sanction, c'est un coût de traitement à anticiper, et l'arbitrage se pose maintenant plutôt qu'au premier courrier d'une autorité.

Pour les obligations restantes, notamment celles des paragraphes 1 et 3, chacun détermine lui-même ses mesures de conformité en tenant compte des lignes directrices. C'est la marge de manoeuvre la plus large du dispositif, et c'est aussi celle qui expose le plus, puisqu'elle repose entièrement sur la qualité de ce que vous serez capable de montrer.

À mettre en route cette semaine

Dressez la liste de vos systèmes exposés, chatbots, assistants internes, générateurs de contenu, outils d'analyse de sentiment, avatars, et pour chacun écrivez une seule ligne : fournisseur, déployeur, ou les deux. Sans cette colonne, aucune des obligations qui suivent ne peut être attribuée à quelqu'un.

Construisez la matrice système par obligation par preuve. Une ligne par système, une colonne par paragraphe applicable de l'article 50, et dans chaque case l'artefact que vous conservez : capture de l'écran d'information au premier contact, spécification technique du marquage, mention visible sur le contenu publié, procédure d'étiquetage. La preuve est ce qui manque presque toujours, pas la conformité.

Vérifiez précisément la couche de divulgation destinée aux humains, distincte du marquage fournisseur. Sur vos contenus publiés susceptibles de relever de l'article 50(4), la question n'est pas de savoir si le fichier porte une signature technique, mais si un lecteur voit une mention claire dès la première exposition.

Passez votre circuit éditorial au crible de la définition de la Commission. Nommez la personne qui porte la responsabilité juridique ultime, décrivez la nature de l'examen effectué, et si celui-ci se limite à une relecture de forme, soit vous le renforcez, soit vous étiquetez.

Tranchez enfin la question du code de bonnes pratiques, avec une décision écrite et datée. Adhérer ou non est un choix légitime dans les deux sens ; ne pas avoir tranché est la seule position qui ne se défend pas devant une autorité.

Conclusion

Le piège de l'article 50 n'est pas sa complexité, le texte est court et la Commission a produit une documentation d'une clarté inhabituelle. Il tient à une intuition fausse qui traverse presque toutes les organisations, celle selon laquelle la transparence s'achète avec le système. Elle se prouve, système par système, dans les termes de votre propre exploitation, et les deux obligations qui comptent le plus pour un déployeur ne sont couvertes par aucun contrat fournisseur : rendre la divulgation perceptible par une personne, et démontrer que votre relecture humaine en est une.

Sources : As of July 2026

Godwin AVODAGBE