Chatbots, deepfakes, textes générés : ce que l’Europe impose depuis le 2 août 2026

Depuis le 2 août 2026, la Commission européenne et les autorités nationales de surveillance du marché disposent de leurs pouvoirs d’exécution sur l’AI Act. Les obligations de transparence de l’article 50 s’appliquent, avec un barème d’amendes qui monte à 15 millions d’euros. En France, le texte qui doit désigner les régulateurs compétents attend toujours son passage à l’Assemblée nationale.

Une échéance sauvée trois jours avant l’heure

Le calendrier a tenu de justesse. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l’IA (paquet de simplification proposé par la Commission le 19 novembre 2025 pour amender l’AI Act), a été formellement endossé par le Parlement européen le 16 juin 2026, puis validé par le Conseil le 29 juin. Publication au Journal officiel de l’Union européenne le 24 juillet, entrée en vigueur le 27 juillet. Six jours avant l’échéance qu’il venait modifier.

Ce séquencement serré explique une partie de la confusion qui règne encore chez les annonceurs et les éditeurs. Jusqu’à la mi-juillet, les analyses juridiques publiées en France mentionnaient toutes la même prudence : tant que la publication au JOUE n’était pas intervenue, le calendrier initial faisait juridiquement foi. Les entreprises qui avaient bâti leur plan de conformité sur le 2 août 2026 se sont donc préparées à une échéance qui, pour partie seulement, a bougé.

Le Digital Omnibus s’inscrit dans un agenda plus large de simplification réglementaire porté par la Commission, qui cherche à alléger la charge de conformité sans renoncer à l’architecture par niveaux de risque du règlement. Il ne touche ni aux interdictions de l’article 5, en vigueur depuis février 2025, ni au régime applicable aux modèles d’IA à usage général (les modèles de fondation type GPT, Gemini ou Mistral, dits GPAI), actif depuis août 2025.

Ce qui bascule et ce qui attend décembre 2027

La distinction est essentielle et régulièrement confondue dans la presse professionnelle. Le report ne concerne qu’un seul volet du règlement.

Reporté :

• Les obligations pesant sur les systèmes à haut risque dits autonomes, ceux listés à l’annexe III du règlement (recrutement, éducation, scoring de crédit, biométrie, maintien de l’ordre) passent du 2 août 2026 au 2 décembre 2027.
• Les systèmes à haut risque intégrés à des produits déjà réglementés, listés à l’annexe I (dispositifs médicaux, jouets connectés, équipements radio), basculent au 2 août 2028.

Maintenu :

• Les obligations de transparence de l’article 50 s’appliquent bien depuis le 2 août 2026.
• Les pouvoirs d’exécution de la Commission et des autorités nationales de surveillance du marché sont actifs à la même date.
• Les systèmes d’IA mis sur le marché avant le 2 août 2026 devront se conformer aux obligations de marquage et de détection à partir du 2 décembre 2026.

Le motif invoqué par la Commission pour justifier le report tient aux difficultés pratiques rencontrées : absence de normes harmonisées pour les systèmes à haut risque, retards dans la désignation des autorités nationales compétentes et des organismes d’évaluation de la conformité, manque d’outils de conformité disponibles.

L’article 50 touche presque tout le web professionnel

Contrairement aux obligations haut risque, la transparence ne vise pas une catégorie restreinte de systèmes sensibles. Elle s’applique dans quatre situations : interaction directe avec des personnes, génération de contenus synthétiques, reconnaissance des émotions, hypertrucages. En pratique, cela concerne la majorité des entreprises qui ont recours à de l’IA générative.

Le règlement distingue deux rôles. Le fournisseur développe le système ou le met sur le marché sous son nom. Le déployeur l’utilise dans le cadre de son activité professionnelle. Les obligations diffèrent selon la position occupée.

Côté fournisseurs, deux exigences principales : concevoir les systèmes de façon à informer les personnes lorsqu’elles interagissent directement avec une IA, et ajouter des marques lisibles par machine (métadonnées, filigranes numériques ou identifiants techniques intégrés au fichier) permettant la détection des contenus générés ou manipulés.

Côté déployeurs, l’obligation d’informer porte sur trois cas : les hypertrucages (contenus audio, image ou vidéo représentant des personnes ou des événements de manière trompeuse), les contenus générés par IA sur des questions d’intérêt public publiés sans examen humain ni contrôle éditorial, et les systèmes de reconnaissance des émotions ou de catégorisation biométrique.

Ce troisième point mérite l’attention des éditeurs. Un site d’actualité qui publie des textes produits par IA sur des sujets d’intérêt public, sans relecture éditoriale, entre dans le champ. Les lignes directrices de la Commission précisent en revanche que les corrections standard, orthographe et grammaire notamment, ne déclenchent pas l’obligation. Elles indiquent aussi qu’une clause d’exclusion glissée dans les conditions générales d’utilisation ne suffit pas : c’est l’usage effectif qui détermine le régime applicable.

Le barème des amendes

Le régime de sanctions de l’AI Act est gradué selon la gravité du manquement :

• Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites de l’article 5.
• Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour un manquement aux obligations de transparence de l’article 50.
• Jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial en cas d’informations inexactes fournies aux autorités.

Pour les PME et les jeunes entreprises, c’est le montant le plus bas des deux qui s’applique, et non le plus élevé. Une inversion de logique qui protège les structures à faible chiffre d’affaires du plafond forfaitaire.

Les outils publiés avant l’échéance

Deux textes d’accompagnement, non contraignants mais structurants, sont parus au cours de l’été.

Le code de bonnes pratiques sur la transparence des contenus générés par l’IA a été finalisé le 10 juin 2026. Rédigé par des experts indépendants sous l’égide du Bureau de l’IA avec la contribution de centaines de parties prenantes, il propose un cadre opérationnel standardisé pour le marquage et l’étiquetage. La Commission et le comité de l’IA ont confirmé qu’il constitue un moyen volontaire adéquat de démontrer la conformité. Fin juillet 2026, environ 190 organisations l’avaient signé. L’Union a également diffusé une liste d’icônes destinées à l’étiquetage des contenus générés.

Les lignes directrices de la Commission sur l’article 50 ont suivi le 20 juillet 2026. Elles ne remplacent pas le code : elles précisent la portée juridique des obligations, définissent qui doit s’y conformer et traitent les aspects que le code ne couvre pas. Les acteurs qui choisissent de ne pas s’appuyer sur le code devront démontrer l’adéquation des mesures alternatives qu’ils ont retenues.

La France sans autorité désignée au moment où les sanctions s’activent

C’est le point le plus embarrassant du dispositif national. Le véhicule législatif prévu pour désigner les régulateurs français est l’article 24 du projet de loi DDADUE (diverses dispositions d’adaptation au droit de l’Union européenne), dont le volet numérique a été discuté au Sénat le 17 février 2026. Le gouvernement avait dû y déposer une douzaine d’amendements pour préciser un texte initialement jugé trop vague sur le volet IA.

Le schéma retenu par les sénateurs répartit la surveillance entre une quinzaine d’entités sectorielles, avec un rôle central confié à la CNIL, la DGCCRF positionnée comme point de contact unique au sens de l’article 70 du règlement, l’Arcom sur les contenus audiovisuels et les hypertrucages, l’ACPR et l’AMF sur la finance, la HAS et l’ANSM sur la santé. L’ANSSI et le PEReN interviennent en appui technique mutualisé, sans pouvoir d’application directe.

Ce texte doit encore être examiné par l’Assemblée nationale. Tant qu’il n’est pas définitivement adopté, la répartition des compétences reste à l’état de projet, et les entreprises françaises n’ont pas d’interlocuteur national clairement identifié pour la plupart des questions de conformité. L’absence de désignation ne suspend évidemment pas les obligations, qui découlent directement d’un règlement européen d’application directe. Elle complique en revanche l’exercice du contrôle et l’accès à un guichet de conseil.

Certaines sources professionnelles présentent la CNIL comme déjà désignée autorité de référence. La formulation est prématurée : le Sénat a voté, la navette parlementaire n’est pas close.

Ce qu’il faut regarder maintenant

Pour un éditeur, une agence ou un annonceur, trois vérifications s’imposent avant tout audit plus large.

• Tout agent conversationnel en contact avec des visiteurs doit signaler sa nature artificielle dès le début de l’échange, sauf lorsque cela ne fait aucun doute pour un utilisateur normalement avisé.
• Les contenus rédactionnels produits par IA sur des sujets d’intérêt public et publiés sans relecture humaine appellent une mention explicite.
• Les visuels et vidéos générés ou modifiés par IA relèvent du marquage lisible par machine côté fournisseur, et de l’information du public côté déployeur lorsqu’ils constituent des hypertrucages.

Le 2 décembre 2026 constitue la prochaine borne : les systèmes déjà en production avant le 2 août devront à cette date satisfaire aux obligations de marquage et de détection.

---

Bibliographie

• Règlement (UE) 2026/1744 dit Digital Omnibus sur l’IA, entré en vigueur le 27 juillet 2026
• Commission européenne, lignes directrices sur les obligations de transparence au titre de l’article 50, 20 juillet 2026
• Code de bonnes pratiques sur la transparence des contenus générés par l’IA
• Questions et réponses de la Commission sur les obligations de transparence de l’article 50
• Article 50 de l’AI Act, texte consolidé
• Communiqué de la Représentation en France de la Commission européenne, 20 juillet 2026
• Sénat, l’essentiel du projet de loi DDADUE volet numérique
• Parlement européen, fiche de suivi législatif du Digital Omnibus sur l’IA