Ce qui s'applique depuis le 2 août, et ce qui a été reporté
Le règlement européen sur l'intelligence artificielle, qu'on appelle AI Act, s'applique par étapes depuis 2025. Le 2 août 2026 a marqué la plus importante pour les petites entreprises : l'entrée en application des obligations de transparence de l'article 50. En clair, toute personne qui interagit avec un système d'IA doit pouvoir le savoir, et certains contenus générés doivent être identifiés comme tels. Ces règles valent pour tout le monde, quelle que soit la taille de l'entreprise et quel que soit le niveau de risque du système.
Un point rassure ceux qui suivaient le calendrier initial : les obligations lourdes prévues pour les systèmes dits « à haut risque », ceux qui interviennent dans le recrutement, l'évaluation des salariés, l'octroi de crédit ou l'accès à des services essentiels, ont été repoussées. Elles ne s'appliqueront pleinement qu'à partir du 2 décembre 2027, au lieu du 2 août 2026, à la suite d'un texte de simplification adopté à Bruxelles. Une TPE qui utilise un chatbot sur son site ou un outil de rédaction n'est pas concernée par cette catégorie. Elle est concernée par la transparence.
Le chatbot : ce que le visiteur doit savoir, et quand
La règle tient en une phrase : un visiteur qui échange avec un assistant automatisé doit être informé qu'il parle à une machine, sauf si c'est évident au vu du contexte. Sur un site d'entreprise, ce n'est presque jamais évident. Un assistant qui s'appelle « Julie », avec un avatar souriant et un « Bonjour, comment puis-je vous aider ? », laisse penser qu'une personne répond. Il faut donc une mention claire, visible dès le premier message, du type « Vous échangez avec un assistant automatisé. Pour parler à un conseiller, écrivez "conseiller" ou appelez-nous ». Un texte grisé en bas de la fenêtre ne suffit pas s'il faut le chercher.
Deux compléments de bon sens. D'abord, prévoir un chemin vers un humain : la transparence ne sert à rien si le visiteur est coincé avec la machine. Ensuite, faire dire à l'assistant ce qu'il ne sait pas : un chatbot qui invente un prix ou un délai engage votre entreprise, et la mention « assistant automatisé » ne vous protège pas d'une information fausse donnée à un client. C'est pour cette raison que les assistants que nous livrons répondent uniquement à partir de la base de connaissances de l'entreprise, un principe expliqué dans notre article sur la formation d'un chatbot sur vos propres données.
Les contenus générés : images, voix, vidéos et textes
Le deuxième volet de l'article 50 porte sur les contenus produits par IA. Les fournisseurs d'outils doivent marquer techniquement ce qu'ils génèrent, ce qui ne dépend pas de vous. Ce qui dépend de vous, c'est ce que vous diffusez. Une image, une vidéo ou une voix générées qui représentent de façon réaliste des personnes, des lieux ou des événements réels doivent être signalées comme artificielles. Une illustration stylisée pour un article de blog n'entre pas dans ce cas ; une fausse photo de votre équipe ou de vos locaux, si. Pour les textes générés et publiés pour informer le public sur des sujets d'intérêt général, la mention est également attendue, sauf relecture et responsabilité éditoriale humaine, ce qui est le cas d'un blog d'entreprise relu avant publication.
La lecture pratique pour une PME : mettez une mention en légende quand une image réaliste est générée, gardez de vraies photos pour tout ce qui doit inspirer confiance, et relisez ce que vous publiez. Nous avons détaillé la méthode dans notre article sur les visuels générés par IA, leurs droits et leurs limites.
La formation des équipes, une obligation déjà en vigueur
On l'oublie souvent : depuis février 2025, l'AI Act demande aux entreprises qui utilisent des systèmes d'IA de veiller à ce que leurs salariés aient un niveau suffisant de compréhension de ces outils, adapté à leur rôle. Le texte parle de « maîtrise de l'IA ». Il n'impose ni diplôme ni programme, mais il attend qu'une personne qui utilise un assistant de rédaction, un outil de tri de mails ou un chatbot sache ce que l'outil fait, ce qu'il ne fait pas, et quelles erreurs il peut produire. Une demi-journée d'atelier interne, avec des cas réels tirés de votre activité, répond à cette attente et, surtout, évite les incidents : un devis envoyé avec un chiffre inventé, un mail parti sans relecture, une donnée client copiée dans un outil grand public.
L'inventaire : la première chose à faire, et la plus simple
Avant toute mise en conformité, il faut savoir ce qu'on utilise. Dans la plupart des PME, la liste est plus longue que prévu, parce que l'IA est arrivée par les outils existants : la messagerie qui résume les fils, le CRM qui rédige des relances, le logiciel de caisse qui prévoit les stocks, l'outil de visio qui transcrit, le site qui répond aux visiteurs, sans compter les comptes personnels ouverts par les salariés. L'inventaire tient dans un tableau : l'outil, l'usage, qui s'en sert, quelles données y passent, s'il est visible du public, et qui en est responsable. Ce tableau sert ensuite à tout : vérifier les mentions de transparence, cadrer la formation, et répondre si un client ou une autorité pose la question.
Sanctions et contrôles : de quoi parle-t-on vraiment
Le règlement prévoit, pour les manquements aux obligations de transparence, des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, avec une application proportionnée pour les PME et les petites entreprises de taille intermédiaire. Personne ne s'attend à voir une TPE toulousaine payer des millions pour un chatbot mal signalé. Le risque réel est ailleurs : un concurrent ou un client qui signale une interface trompeuse, une autorité qui demande votre inventaire et vos mentions, et une entreprise incapable de répondre. En France, la surveillance du marché est en cours d'organisation entre plusieurs autorités, la CNIL en tête pour tout ce qui touche aux données personnelles. Le plus simple reste d'être en règle avant que quelqu'un ne pose la question.
Ce que ça change sur un site, concrètement
Pour la plupart des sites de PME, la mise en conformité se résume à quatre gestes. Ajouter la mention de transparence sur le chatbot, avec un chemin vers un humain. Ajouter une phrase à la politique de confidentialité et aux mentions légales pour décrire les outils d'IA qui traitent des données de visiteurs. Vérifier les images réalistes publiées et légender celles qui sont générées. Et documenter qui est responsable de ces outils en interne. Aucun de ces gestes ne demande de développement lourd. Sur les chatbots que nous avons livrés, la mention est en place par défaut depuis l'été, et nous la proposons à nos clients qui utilisent un assistant tiers, dans le cadre de notre offre d'intégration d'IA.
Une check-list pour la fin du mois
- Lister les outils d'IA utilisés dans l'entreprise, y compris ceux inclus dans des logiciels existants.
- Vérifier que le chatbot du site annonce qu'il est automatisé dès le premier message, et propose un contact humain.
- Passer en revue les images réalistes publiées depuis un an, et légender celles qui sont générées.
- Ajouter la description des usages d'IA dans la politique de confidentialité.
- Organiser un atelier interne d'une demi-journée sur les outils réellement utilisés.
- Désigner une personne responsable du sujet, même à temps très partiel.
Si vous voulez qu'on regarde ensemble ce que votre site et vos outils déclarent aujourd'hui, ça prend une heure, et ça évite de découvrir le sujet par une réclamation. Pour les entreprises qui automatisent davantage, la question se pose plus largement, et nous l'abordons dans notre article sur les automatisations IA en PME.
