Règles de transparence de l’EU AI Act désormais applicables — Ce que les créateurs d’agents IA doivent savoir

TL;DR — Le 2 août 2026, les obligations de transparence et le régime de sanctions de l’EU AI Act (Règlement UE 2024/1689) sont devenus pleinement applicables dans l’Union européenne. Tout système d’IA qui interagit avec des humains, génère du contenu synthétique ou fonctionne comme un modèle à usage général doit désormais se conformer — sous peine d’amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial. Pour les créateurs et déployeurs d’agents IA, ce n’est plus une préoccupation future. C’est le présent. Les obligations liées au haut risque ont été repoussées à fin 2027 et 2028 par l’amendement Digital Omnibus, mais la transparence, les règles relatives à l’IA à usage général et les sanctions financières sont en vigueur dès maintenant, et elles s’appliquent aux organisations non européennes dont les résultats atteignent des utilisateurs dans l’Union. Cet article détaille ce qui a réellement changé, ce qui a été reporté, à quoi ressemblent les sanctions et ce que tout cela signifie pour les agents IA.

Introduction

Le règlement européen sur l’IA (AI Act) est la première réglementation horizontale complète au monde sur l’intelligence artificielle. Il est entré en vigueur le 1er août 2024, mais ses obligations ont été conçues pour s’appliquer par vagues : d’abord l’interdiction des pratiques prohibées, puis la transparence, ensuite les exigences liées au haut risque, et enfin l’alignement sur la législation de sécurité des produits. Le 2 août 2026 marque la deuxième vague. Et c’est celle qui compte le plus pour tous ceux qui construisent des agents autonomes.

Pourquoi ? Parce que l’article 50 – le chapitre sur la transparence – est désormais assorti de véritables moyens de coercition. Les chatbots doivent indiquer qu’ils sont des IA. Les médias synthétiques doivent porter des marqueurs lisibles par machine. Les hypertrucages (deepfakes) doivent être filigranés. Les fournisseurs d’IA à usage général sont exposés à un dispositif d’application complet. Et le cadre de sanctions qui accompagne tout cela – jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les infractions les plus graves – est désormais opérationnel.

Pourtant, ce qui a fait la une des journaux au début de l’année 2026, c’est le Digital Omnibus : le paquet législatif qui a reporté les lourdes obligations liées au haut risque (Source: Skadden — AI Act : État des lieux). Cela a fait naître la perception dangereuse que « l’AI Act a été retardé » ou « abandonné ». Ce n’est pas le cas. Les obligations de transparence n’ont jamais été repoussées. Le 2 août 2026, elles sont devenues applicables comme prévu – et beaucoup d’organisations ne sont pas prêtes.

Ce qui a réellement changé le 2 août 2026

Trois choses sont entrées en vigueur simultanément et de manière irrévocable :

1. Article 50 – Obligations de transparence

L’article 50 est la pièce maîtresse. Il impose :

Les systèmes d’IA destinés à interagir avec des personnes physiques (chatbots, assistants vocaux, agents conversationnels) doivent être conçus et développés de manière à ce que les personnes concernées soient informées qu’elles interagissent avec un système d’IA – sauf si cela ressort clairement des circonstances et du contexte d’utilisation.
Les systèmes d’IA qui génèrent du contenu audio, image, vidéo ou texte synthétique doivent être marqués dans un format lisible par machine et étiquetés comme générés ou manipulés artificiellement.
Les déployeurs d’un système de reconnaissance des émotions ou de catégorisation biométrique doivent en informer les personnes physiques exposées.
Les contenus hypertruqués – qui semblent montrer une personne disant ou faisant quelque chose qu’elle n’a pas dit ou fait – doivent être divulgués et étiquetés au moment de la première interaction ou publication, avec des exceptions limitées pour l’application de la loi et les droits fondamentaux.

Pour les agents IA de type chatbot, la règle de divulgation est claire : si un utilisateur parle à votre agent, il doit savoir qu’il s’agit d’une IA – avant le début de toute interaction significative. Une mention enfouie dans une page de conditions d’utilisation ne satisfait pas cette obligation. La divulgation doit être présentée au sein de l’interaction elle-même (Source: Pebblous — Étiquetage du contenu IA dans l’UE : l’article 50 sur la provenance expliqué).

2. Pouvoirs de mise en œuvre pour l’IA à usage général (GPAI)

Les articles 51 à 56, qui régissent les modèles d’IA à usage général – des modèles entraînés à grande échelle sur des données variées, capables d’exécuter un large éventail de tâches distinctes – sont désormais applicables. Cela inclut :

Des obligations de documentation technique pour les fournisseurs de GPAI.
L’obligation d’établir et de rendre public un résumé des contenus utilisés pour l’entraînement.
L’obligation de mettre en place une politique visant à respecter le droit d’auteur de l’Union.
Pour les modèles GPAI présentant un risque systémique, des obligations supplémentaires concernant l’évaluation des modèles, les tests contradictoires, la notification des incidents et la cybersécurité.

Les autorités nationales de surveillance du marché – désignées par chaque État membre avant la date butoir du 2 août – ont désormais le pouvoir d’enquêter, d’ordonner des mesures correctives et d’infliger des sanctions. Le Bureau européen de l’IA assure la coordination et peut ouvrir des enquêtes sur les modèles GPAI présentant un risque systémique.

3. Le régime de sanctions

L’article 99 et l’article 100, qui fixent les amendes, sont désormais en vigueur. Avant le 2 août 2026, les régulateurs pouvaient évoquer des obligations ; ils peuvent désormais présenter la facture.

L’article 50 en détail : ce que les concepteurs d’agents IA doivent faire

Soyons précis. Si vous construisez ou déployez un agent IA, voici ce que l’article 50 signifie concrètement.

Divulgation de l’interaction avec une IA

Chaque agent qui interagit avec les utilisateurs par texte, voix ou toute autre interface en langage naturel doit inclure une divulgation claire, visible et opportune indiquant que l’utilisateur interagit avec un système d’IA. « Claire et visible » signifie que l’utilisateur ne peut pas la manquer. Une bannière, un étiquetage bien en évidence, un message d’introduction – quel que soit le mécanisme, il doit être présent au moment de l’interaction.

Le règlement prévoit une exception lorsque cela « ressort clairement des circonstances et du contexte d’utilisation ». Mais ne comptez pas là-dessus. Un chatbot de service client sur un site d’e-commerce n’est pas manifestement une IA aux yeux de tous les utilisateurs. Un agent IA qui imite les schémas conversationnels humains peut être indiscernable d’un opérateur humain. En cas de doute sur l’applicabilité de l’exception, divulguez. La sécurité juridique est du côté de la divulgation, pas du silence.

Étiquetage des contenus synthétiques

Les agents IA qui génèrent des images, de l’audio, de la vidéo ou du texte en sortie – y compris les agents multimodaux – doivent étiqueter cette production comme étant générée par IA. Plus important encore, la sortie doit porter une marque lisible par machine. Il ne s’agit pas d’un filigrane visible (bien que ceux-ci puissent aider pour la conformité vis-à-vis de l’utilisateur) ; il s’agit de métadonnées incorporées dans le fichier – données de provenance C2PA, champs IPTC ou normes équivalentes – que les systèmes en aval peuvent vérifier.

La Commission européenne a publié le Code de bonnes pratiques sur la transparence des contenus générés par l’IA le 10 juin 2026 (Source: Commission européenne — Code de bonnes pratiques). La date limite du 22 juillet 2026 pour figurer sur la première liste publique des signataires initiaux est désormais dépassée. Parmi les signataires figurent de grands fournisseurs de modèles de fondation et des plateformes de contenu. Si vous êtes fournisseur d’un modèle GPAI ou déployeur d’un système d’IA qui génère du contenu synthétique, vous aligner sur ce code est la voie la plus défendable vers la conformité – même si vous n’êtes pas un signataire officiel.

La période de grâce

Il existe une période de grâce pour les systèmes déjà mis sur le marché avant le 2 août 2026 : le marquage lisible par machine des contenus synthétiques produits par ces systèmes n’est pas exigé avant le 2 décembre 2026. Cela ne s’applique qu’aux systèmes existants déjà déployés ; les nouveaux systèmes mis sur le marché après le 2 août doivent être conformes immédiatement. Si vous avez livré un agent produisant du contenu synthétique avant le 2 août, vous disposez de quatre mois pour intégrer l’étiquetage – mais pas plus.

Ce que le Digital Omnibus a reporté – et ce qu’il n’a pas reporté

Le Digital Omnibus, adopté définitivement par le Conseil le 29 juin 2026, a apporté des modifications importantes au calendrier de l’AI Act. Comprendre ce qui a bougé et ce qui est resté en place est essentiel, car la confusion entre les deux est largement répandue.

Ce qui a été reporté

Obligation	Date initiale	Nouvelle date
Systèmes d’IA à haut risque (Annexe III)	2 août 2026	2 décembre 2027
Alignement sur la sécurité des produits (Annexe I)	2 août 2026	2 août 2028

Cela signifie que les systèmes d’IA classés à haut risque – ceux utilisés dans les infrastructures critiques, l’éducation, l’emploi, les services essentiels, l’application de la loi, les migrations et les processus démocratiques – disposent désormais jusqu’à décembre 2027 pour se conformer à l’ensemble de leurs obligations (gestion des risques, gouvernance des données, documentation technique, enregistrement, transparence, supervision humaine, exactitude, robustesse).

La date de l’Annexe I – qui aligne l’AI Act sur la législation européenne existante en matière de sécurité des produits (machines, jouets, dispositifs médicaux, etc.) – a été repoussée à août 2028.

Ce qui N’A PAS été reporté

Les obligations de transparence de l’article 50 – en vigueur depuis le 2 août 2026.
Les obligations relatives au GPAI (articles 51 à 56) – en vigueur depuis le 2 août 2026.
Les sanctions (articles 99-100) – applicables depuis le 2 août 2026.
Les pratiques interdites (article 5) – déjà applicables depuis le 2 février 2025.
L’obligation de maîtrise de l’IA (article 4) – déjà applicable depuis le 2 février 2025.

Ce qui a été ajouté

L’Omnibus a introduit deux nouvelles pratiques interdites, effectives au 2 décembre 2026 :

Les applications d’IA « nudifier » – systèmes conçus pour générer des images intimes non consenties.
Les contenus à caractère pédopornographique générés par IA (CSAM) – systèmes conçus pour produire ou capables de produire de tels contenus.

Calendrier de l’Omnibus

Date	Événement
19 novembre 2025	Proposition de la Commission
7 mai 2026	Accord politique trouvé
16 juin 2026	Première lecture au Parlement européen
29 juin 2026	Approbation finale par le Conseil

L’Omnibus est désormais définitif. Ses reports ont force de loi, ce ne sont plus des propositions. Mais sa portée est limitée : il a repoussé les dates de conformité pour le haut risque et ajouté deux interdictions. Il n’a pas touché à l’article 50, aux règles GPAI ni aux sanctions.

Le détail des sanctions

La structure des sanctions de l’AI Act est graduée. Les paliers reflètent la gravité de l’infraction, pas la taille de l’organisation – bien que la formule « ou X % du chiffre d’affaires annuel mondial » signifie que les sanctions évoluent avec le revenu.

Catégorie d’infraction	Amende maximale	Référence
Pratiques interdites (article 5)	35 000 000 € ou 7 % du chiffre d’affaires annuel mondial	Article 99(3)
Violations GPAI / transparence	15 000 000 € ou 3 % du chiffre d’affaires annuel mondial	Article 99(2)
Autres obligations (y compris haut risque, une fois applicables)	15 000 000 € ou 3 % du chiffre d’affaires annuel mondial	Article 99(2)
Fourniture d’informations inexactes, incomplètes ou trompeuses aux autorités	7 500 000 € ou 1 % du chiffre d’affaires annuel mondial	Article 99(1)

Pour une entreprise d’agents IA réalisant, disons, 2 millions d’euros de chiffre d’affaires annuel, une violation de la transparence pourrait coûter 450 000 € (3 %) – une somme capable de tuer une startup. Pour une grande entreprise réalisant 1 milliard d’euros, la même infraction atteint 30 millions d’euros. La formule de sanction est explicitement conçue pour faire mal, quelle que soit la taille (Source: Cloud Captains — Guide de conformité à l’AI Act pour les entreprises mondiales).

Il est essentiel de noter que le règlement laisse une marge d’appréciation aux autorités nationales pour fixer le montant réel, en imposant un principe de proportionnalité et en prenant en compte la coopération du contrevenant, ses antécédents et l’ampleur de l’infraction. Mais le plafond est la loi, et il est élevé.

Ce que cela signifie pour les concepteurs et les utilisateurs d’agents IA

Pour les concepteurs d’agents (fournisseurs)

Si vous construisez un agent IA – qu’il s’agisse d’un robot de service client, d’un assistant de codage, d’un agent de recherche ou d’un agent créatif multimodal – et que vous le mettez sur le marché de l’UE, vous êtes un fournisseur au sens de l’AI Act. Vos obligations depuis le 2 août 2026 :

Divulguer l’interaction avec une IA. Chaque interface utilisateur doit identifier le système comme étant une IA.
Étiqueter les productions synthétiques. Si votre agent génère des images, de l’audio, de la vidéo ou du texte, incorporez des marqueurs de provenance lisibles par machine. Alignez-vous sur le Code de bonnes pratiques sur la transparence des contenus générés par l’IA chaque fois que possible.
Si votre agent utilise un modèle GPAI (ce qui est le cas de la plupart – GPT-4, Claude, Gemini, Llama, Mistral, etc.) – assurez-vous que le fournisseur du modèle a respecté les articles 51 à 56. Bien que vous ne soyez pas directement responsable des obligations GPAI du modèle, les régulateurs examineront la chaîne. L’utilisation d’un modèle GPAI non conforme dans un produit destiné à l’UE constitue un risque.
Documentez votre conformité. Conservez des preuves de vos mécanismes de divulgation, de la mise en œuvre de l’étiquetage et des chaînes de provenance des modèles. Si une autorité de surveillance du marché demande : « Comment votre agent informe-t-il de l’interaction avec une IA ? », vous devez pouvoir renvoyer à une fonctionnalité opérationnelle, pas à un projet.

Pour les déployeurs d’agents (opérateurs)

Si vous déployez un agent IA dans un contexte opérationnel – en l’intégrant dans un flux de travail client, en l’exploitant pour le compte d’une entreprise ou en l’incorporant dans un produit – vous êtes un déployeur au sens de l’AI Act. Vos obligations :

Vérifier que le fournisseur a respecté les règles de transparence. Vous n’êtes pas exonéré pour autant. L’article 26 impose aux déployeurs d’utiliser les systèmes d’IA conformément à leurs instructions et de mettre en œuvre des mesures de supervision humaine lorsque cela s’applique.
Supervision humaine. Pour les agents qui prennent ou recommandent des décisions ayant des conséquences importantes – approbation de prêts, recommandations d’embauche, triage médical, modération de contenus – vous devez garantir une supervision humaine effective. L’AI Act définit la « supervision humaine » non pas comme un simple tampon, mais comme la capacité de comprendre les capacités et les limites du système, de surveiller son fonctionnement, d’interpréter ses résultats et de les annuler ou de les corriger.
Informer les utilisateurs finaux. Si vous utilisez un agent IA pour interagir avec des consommateurs ou des employés, vous devez vous assurer qu’ils sont conscients de traiter avec un système d’IA. Cette responsabilité ne pèse pas uniquement sur le fournisseur.

Les agents qui prennent des décisions conséquentes

C’est la nouvelle frontière. Les agents IA fonctionnent de plus en plus de manière autonome – prise de rendez-vous, exécution d’ordres boursiers, dépôt de documents, recommandations affectant l’emploi, le crédit ou l’accès aux services. En vertu de l’AI Act, un agent qui prend ou influence de manière significative une décision produisant des effets juridiques ou des effets similaires importants sur une personne tombe dans un territoire réglementé.

Même si les obligations de classification à haut risque ont été repoussées à décembre 2027, les règles de transparence s’appliquent dès maintenant. Un agent qui recommande de rejeter un candidat sans indiquer qu’il s’agit d’un système d’IA est déjà en infraction avec l’article 50, paragraphe 1. Un agent qui génère des preuves ou des médias synthétiques pour étayer une décision sans les étiqueter contrevient à l’article 50, paragraphe 2.

Les régulateurs observent attentivement la manière dont les agents autonomes gèrent les évasions de bac à sable (sandbox escapes) – où un agent contourne ses propres contraintes pour effectuer des actions non prévues – et les agents capables d’effectuer des paiements qui peuvent dépenser de l’argent ou engager des ressources. Ces cas ne sont pas explicitement mentionnés dans l’AI Act, mais ils testent les frontières du cadre de transparence. Un agent qui effectue automatiquement un achat sans révéler sa nature d’IA à la contrepartie soulève des questions à la fois sous l’AI Act et le droit de la consommation existant.

Impact mondial : l’effet Bruxelles en action

L’AI Act s’applique de manière extraterritoriale. L’article 2, paragraphe 1, point c), dispose que le règlement s’applique aux fournisseurs et déployeurs établis en dehors de l’Union lorsque le résultat du système d’IA est utilisé dans l’Union. C’est l’effet Bruxelles – l’UE réglementant les marchés mondiaux par la puissance de l’accès au marché.

Si votre agent IA, déployé depuis San Francisco ou Bangalore, produit un résultat consommé par un utilisateur à Berlin, l’Act s’applique. Si le contenu généré par votre agent circule sur une plateforme accessible depuis Madrid, les obligations d’étiquetage s’appliquent. Si votre agent interagit avec un client situé dans l’UE, l’obligation de divulgation s’applique.

Il n’existe pas d’exception de minimis pour les startups, pas de régime de faveur pour les projets expérimentaux et pas de clause de droit acquis pour les systèmes déployés avant l’entrée en vigueur de l’Act (au-delà de la période de grâce limitée pour le marquage lisible par machine qui se termine le 2 décembre 2026). La Commission a indiqué que la mise en œuvre serait fondée sur les risques et proportionnée, en donnant la priorité aux systèmes à fort impact, mais le champ d’application juridique est volontairement large (Source: Resemble.ai — L’AI Act : ce que les entreprises d’IA générative doivent savoir).

L’obligation de maîtrise de l’IA (article 4)

Souvent négligée dans les discussions sur l’AI Act, mais cruciale pour les déploiements d’agents : l’article 4 impose aux fournisseurs et aux déployeurs de veiller à ce que leur personnel et toute personne intervenant dans le fonctionnement et l’utilisation des systèmes d’IA pour leur compte disposent d’un niveau suffisant de maîtrise de l’IA.

La maîtrise de l’IA désigne les compétences, les connaissances et la compréhension permettant aux parties prenantes de prendre des décisions éclairées au sujet des systèmes d’IA – y compris la conscience des opportunités, des risques et des préjudices potentiels. Pour les déployeurs d’agents, cela signifie former les employés qui supervisent, corrigent ou interagissent avec un agent IA à comprendre ce que l’agent peut ou ne peut pas faire, quand il hallucine, comment il prend ses décisions et à quoi ressemblent ses modes de défaillance.

Cette obligation est applicable depuis le 2 février 2025. Si un agent commet une erreur ayant des conséquences et que le superviseur humain n’a pas été formé pour la reconnaître, le déployeur s’expose non seulement à des risques opérationnels, mais aussi juridiques.

Calendrier en un coup d’œil

Date	Événement
1er août 2024	Entrée en vigueur de l’AI Act
2 février 2025	Pratiques interdites + maîtrise de l’IA applicables
10 juin 2026	Publication du Code de bonnes pratiques sur la transparence des contenus générés par l’IA
22 juillet 2026	Date limite pour les premiers signataires du Code de bonnes pratiques
2 août 2026	Article 50 (transparence) + règles GPAI + sanctions entrent en vigueur
2 décembre 2026	Fin de la période de grâce pour le marquage lisible par machine ; entrée en vigueur des nouvelles pratiques interdites (apps « nudifier », CSAM par IA)
2 décembre 2027	Obligations pour l’IA à haut risque (Annexe III) applicables (reportées par l’Omnibus)
2 août 2028	Alignement sécurité des produits (Annexe I) applicable (reporté par l’Omnibus)

FAQ

1. Dois-je vraiment signaler que mon chatbot de service client est une IA ? Puis-je simplement le mentionner dans la politique de confidentialité ?

Non. L’article 50, paragraphe 1, exige une divulgation au moment de l’interaction, de manière claire et visible pour la personne physique exposée au système d’IA. Une mention dans une politique de confidentialité ne satisfait pas ce seuil. L’utilisateur doit savoir qu’il interagit avec une IA au moment même de l’échange. Une bannière dans le chat, un message d’introduction ou un étiquetage persistant dans l’interface remplit l’exigence ; un document accessible via un lien en pied de page, non.

2. Mon agent IA génère du texte, pas des images. Dois-je quand même filigraner la sortie ?

L’article 50, paragraphe 2, couvre le contenu textuel synthétique, de même que l’audio, l’image et la vidéo. L’obligation de marquage lisible par machine s’applique à tout contenu synthétique. Pour le texte, les normes C2PA et IPTC évoluent pour prendre en charge des marqueurs de provenance dans des formats texte brut et enrichi. Si votre agent génère du texte qui constitue un contenu synthétique – par opposition, par exemple, à un bulletin météo assemblé à partir de données structurées – l’obligation d’étiquetage s’applique.

3. Et si mon agent est un outil interne, uniquement utilisé par des employés ?

Les obligations de transparence s’appliquent tout de même. L’article 50, paragraphe 3, traite spécifiquement des systèmes de reconnaissance des émotions et de catégorisation biométrique, mais les paragraphes 1 et 2 de l’article 50 s’appliquent à tout système d’IA destiné à interagir avec des personnes physiques ou à générer du contenu synthétique. « Personnes physiques » inclut les employés. Votre agent interne doit révéler sa nature d’IA à votre propre personnel, et tout contenu synthétique qu’il génère doit être étiqueté. L’obligation de maîtrise de l’IA au titre de l’article 4 renforce encore cette exigence – vous devez former votre personnel à comprendre les outils d’IA qu’il utilise.

4. Les modèles open source sont-ils exemptés des règles de transparence ?

Non. L’AI Act prévoit une exemption partielle pour les modèles open source vis-à-vis de certaines obligations GPAI (notamment l’exigence de transparence sur les données d’entraînement et l’exigence de politique en matière de droit d’auteur), mais les obligations de transparence de l’article 50 s’appliquent indépendamment du caractère open source du modèle. Si vous prenez un modèle à poids ouverts et construisez un agent IA qui interagit avec des utilisateurs ou génère du contenu synthétique, vous êtes le fournisseur de ce système et devez vous conformer à l’article 50. Le statut open source du modèle n’exempte pas l’application en aval (Source: AI Agent Store — Brief hebdomadaire).

5. Que se passe-t-il si j’ignore tout cela ? Quel sera le degré de sévérité de la mise en œuvre ?

Les sanctions sont désormais applicables. Les autorités nationales de surveillance du marché – chaque État membre devait en désigner au moins une avant le 2 août 2026 – ont le pouvoir d’enquêter, d’ordonner des mesures correctives, de restreindre ou de retirer des systèmes d’IA du marché et d’infliger des amendes. On s’attend à ce que les premières mesures d’application soient proportionnées et fondées sur les risques : les systèmes avec un grand nombre d’utilisateurs, ceux ciblant des populations vulnérables et ceux générant du contenu synthétique trompeur attireront d’abord l’attention. Mais le cadre juridique permet aux autorités d’agir sur toute infraction, et une plainte formelle d’un utilisateur ou d’un concurrent peut déclencher une enquête. La machinerie réglementaire est en place et financée. L’ignorer est un pari devenu coûteux.

Règles de transparence de l'EU AI Act désormais applicables — Ce que les créateurs d'agents IA doivent savoir