Depuis le 2 août 2026, quatre obligations de transparence distinctes de l'article 50 du règlement européen sur l'intelligence artificielle (Règlement (UE) 2024/1689) sont opposables à toute organisation qui déploie un chatbot, génère du contenu synthétique ou utilise la reconnaissance d'émotions, et la répartition des responsabilités entre qui doit faire quoi n'est presque jamais celle que l'on imagine spontanément.
Votre équipe produit vient peut-être de lancer un agent conversationnel sur votre site, ou votre service marketing génère des visuels par IA pour vos campagnes. Dans les deux cas, l'article 50 s'applique déjà, indépendamment du fait que votre système soit classé à risque limité et non à haut risque. Contrairement au report accordé par le Digital Omnibus aux obligations de l'Annexe III sur les systèmes à haut risque, ce calendrier de transparence n'a pas bougé.
Points clés à retenir
➤ L'article 50 impose quatre obligations distinctes qui ne pèsent pas toutes sur le même acteur : deux relèvent du fournisseur (interaction avec un chatbot, marquage du contenu synthétique) et deux du déployeur (reconnaissance d'émotions, divulgation des deepfakes) (texte consolidé de l'AI Act, article 50).
➤ Le marquage technique du contenu synthétique (article 50(2)) bénéficie d'une tolérance jusqu'au 2 décembre 2026, mais uniquement pour les systèmes déjà commercialisés avant le 2 août 2026 : tout système lancé après cette date n'a droit à aucun délai (Commission européenne, FAQ transparence article 50).
➤ Environ 190 organisations avaient signé le Code de bonnes pratiques sur la transparence du contenu généré par IA à la fin juillet 2026, un mois après sa publication le 10 juin 2026 (Commission européenne, Code de bonnes pratiques).
➤ En France, aucune autorité unique n'a été formellement désignée pour contrôler l'article 50 à ce jour : la CNIL, la DGCCRF et l'Arcom se répartissent des compétences distinctes selon le type d'obligation, sur la base d'un schéma gouvernemental que le Parlement n'a pas encore définitivement adopté (MIAI, suivi de la désignation des autorités françaises).
Ce que l'article 50 couvre exactement, et ce qu'il ne couvre pas
Article 50 : la disposition de l'AI Act qui impose des obligations de transparence aux systèmes d'IA classés à risque limité (chatbots, générateurs de contenu synthétique, systèmes de reconnaissance d'émotions ou de catégorisation biométrique, et outils de création de deepfakes), sans leur imposer le régime de gestion des risques réservé aux systèmes à haut risque de l'Annexe III.
Ce point mérite d'être clarifié en premier, car c'est là que la plupart des directions conformité se trompent : l'article 50 ne dépend pas de la classification en risque limité au sens strict. Il s'applique à des catégories fonctionnelles précises de systèmes (chatbot, générateur de synthèse, détecteur d'émotions, générateur de deepfake), quel que soit par ailleurs le niveau de risque global retenu pour le système dans son ensemble. Un chatbot RH qui basculerait en haut risque parce qu'il influence une décision de recrutement reste soumis à l'article 50 en plus des obligations de l'Annexe III, pas à sa place.
Pour la vue d'ensemble complète de la mise en conformité avec l'AI Act (classification par niveau de risque, obligations pour les systèmes à haut risque, calendrier du Digital Omnibus, articulation avec le RGPD), voir le guide de conformité AI Act 2026 pour les entreprises en France. Cet article-ci se concentre uniquement sur les quatre obligations de l'article 50 et sur ce qu'elles impliquent concrètement.
Les quatre obligations de l'article 50, obligation par obligation
L'article 50 empile en réalité quatre régimes de transparence différents dans un seul article, chacun avec son propre déclencheur, son propre responsable et ses propres exceptions.
| Obligation | Paragraphe | Partie responsable | Échéance d'application |
|---|---|---|---|
| Informer l'utilisateur qu'il interagit avec une IA (chatbot, agent conversationnel) | Article 50(1) | Fournisseur | 2 août 2026 |
| Marquer le contenu synthétique en format lisible par machine | Article 50(2) | Fournisseur | 2 août 2026 (2 décembre 2026 pour les systèmes déjà commercialisés) |
| Informer les personnes exposées à la reconnaissance d'émotions ou à la catégorisation biométrique | Article 50(3) | Déployeur | 2 août 2026 |
| Divulguer les deepfakes et le contenu généré publié sur un sujet d'intérêt public | Article 50(4)-(5) | Déployeur | 2 août 2026 |
Obligation 1 : dire à l'utilisateur qu'il parle à une IA (article 50(1))
Chatbot ou agent conversationnel : tout système d'IA conçu pour interagir directement avec des personnes physiques. Le fournisseur doit garantir que la personne sache qu'elle interagit avec un système d'IA, sauf si cela est déjà évident pour une personne raisonnablement informée compte tenu des circonstances.
L'obligation pèse sur le fournisseur, pas sur le déployeur qui intègre ensuite ce chatbot sur son propre site, une nuance qui échappe à beaucoup d'entreprises qui pensent, à tort, être quittes une fois qu'elles ont simplement acheté une solution de chatbot sur étagère. En pratique, si vous déployez un chatbot fourni par un tiers sans vérifier que la mention d'interaction IA est bien intégrée par défaut, vous héritez du risque de non-conformité même si l'obligation légale formelle incombe au fournisseur : c'est votre marque qui apparaît à l'écran, et c'est votre organisation que l'autorité de contrôle contactera en premier lieu. L'information doit être donnée dès le début de la première interaction, de manière claire et distincte, pas enfouie dans des conditions générales.
Obligation 2 : marquer le contenu synthétique de façon lisible par machine (article 50(2))
Marquage lisible par machine : un mécanisme technique (filigrane numérique, métadonnées cryptographiques, signature de provenance) intégré à un contenu audio, image, vidéo ou texte généré par IA, permettant à un système automatisé (et non nécessairement à l'œil humain) de détecter que ce contenu a été généré ou manipulé artificiellement.
Cette obligation pèse sur le fournisseur du système générateur, avec une exigence d'efficacité, d'interopérabilité et de fiabilité « dans la mesure où cela est techniquement possible », une formule qui laisse volontairement de la marge tant qu'aucune norme harmonisée unique ne s'est imposée sur le marché. Le Code de bonnes pratiques publié par la Commission le 10 juin 2026 recommande une approche par couches combinant métadonnées signées numériquement et filigrane technique, avec des outils de détection attendus au plus tard le 2 février 2027 (Faegre Drinker, analyse du Code de bonnes pratiques). Sont exemptées les fonctions d'édition assistée qui ne modifient pas substantiellement le contenu d'entrée fourni par l'utilisateur, ainsi que les sorties strictement machine-à-machine sans exposition humaine.
Obligation 3 : informer sur la reconnaissance d'émotions et la catégorisation biométrique (article 50(3))
Système de reconnaissance d'émotions : un système d'IA destiné à identifier ou déduire les émotions ou intentions de personnes physiques à partir de leurs données biométriques. Catégorisation biométrique : un système qui assigne des personnes physiques à des catégories spécifiques sur la base de leurs données biométriques.
Cette fois, l'obligation bascule vers le déployeur : l'entreprise qui utilise concrètement l'outil, par exemple un centre d'appel qui analyse le ton de voix des clients pour prioriser les réclamations, ou un service RH qui évalue l'engagement d'un candidat lors d'un entretien vidéo. Le déployeur doit informer les personnes exposées, et cette information s'articule avec les obligations du RGPD, sans s'y substituer, du règlement applicable aux institutions de l'UE et de la directive relative aux traitements policiers et judiciaires. Une exception existe pour les usages autorisés par la loi à des fins répressives, sous réserve de garanties appropriées.
Recenser quels systèmes de votre organisation relèvent réellement de la reconnaissance d'émotions ou de la catégorisation biométrique, plutôt que de le découvrir au moment d'un contrôle, est précisément ce que le registre des systèmes d'IA du module AI Governance de Secure Privacy permet de faire. Chaque système enregistré peut être marqué selon les obligations de transparence spécifiques qui s'y appliquent, article 50 compris.
Obligation 4 : divulguer les deepfakes et le contenu généré publié d'intérêt public (article 50(4)-(5))
Deepfake : un contenu image, audio ou vidéo généré ou manipulé par IA qui ressemble à des personnes, objets, lieux ou événements existants et qui pourrait faussement paraître authentique ou véridique à une personne.
Le déployeur qui publie un deepfake doit le divulguer de façon claire et distinguable, au plus tard au moment de la première exposition. La même logique s'étend au texte généré par IA et publié pour informer le public sur un sujet d'intérêt public (actualité politique, santé, sécurité), sauf si ce texte a fait l'objet d'une révision humaine substantielle et qu'une personne physique ou morale en assume la responsabilité éditoriale. Deux exceptions notables : les usages autorisés par la loi à des fins répressives, et les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles, pour lesquelles la divulgation peut être adaptée de façon à ne pas gâcher l'expérience de l'œuvre. Un post d'humour ouvertement satirique n'a pas besoin du même bandeau qu'un article d'actualité générale.
Fournisseur ou déployeur : pourquoi la distinction change tout
La quasi-totalité des difficultés d'application de l'article 50 viennent du fait que deux des quatre obligations pèsent sur le fournisseur et deux sur le déployeur, sans que ces rôles soient toujours clairement identifiés dans un contrat commercial. Une entreprise française qui achète un chatbot conversationnel à un éditeur est déployeur de ce système, mais si elle configure elle-même des règles de génération de contenu marketing avec le même outil, elle peut redevenir fournisseur d'un système distinct au sens du règlement, selon la définition qu'elle donne à sa propre mise sur le marché.
Concrètement, cela signifie qu'une entreprise qui déploie un outil tiers ne peut pas se contenter de vérifier son propre respect de l'article 50(3) ou 50(4) — elle doit aussi vérifier contractuellement que son fournisseur respecte ses propres obligations au titre de l'article 50(1) et 50(2), car un manquement du fournisseur expose in fine l'expérience utilisateur que le déployeur contrôle. C'est un point que les guides généralistes sur l'AI Act glissent souvent en une phrase, mais c'est là que se loge la majorité du risque opérationnel réel pour une entreprise française qui n'a pas construit son propre modèle d'IA.
Le Code de bonnes pratiques sur la transparence : à quoi il sert concrètement
Le règlement ne fixe que le principe ; le Code de bonnes pratiques sur la transparence du contenu généré par IA, publié dans sa version finale par la Commission le 10 juin 2026, en détaille la mise en œuvre technique. Il se structure en deux sections : la première pour les fournisseurs, sur le marquage et la détection du contenu généré ; la seconde pour les déployeurs, sur l'étiquetage des deepfakes et des textes générés portant sur des sujets d'intérêt public (Commission européenne, Code de bonnes pratiques).
Le 20 juillet 2026, la Commission et le comité européen de l'intelligence artificielle ont confirmé que ce Code constitue un instrument adéquat pour démontrer la conformité à l'article 50, et publié en parallèle la version finale de leurs lignes directrices sur les obligations de transparence, remplaçant le projet de consultation de mai 2026 (Faegre Drinker, confirmation d'adéquation du Code). Signer n'est pas une obligation légale : le règlement n'impose la conformité qu'à l'article 50 lui-même, pas à un code volontaire. Mais un signataire bénéficie d'une présomption pratique de conformité plus simple à opposer à une autorité de contrôle qu'une démonstration ad hoc, ce qui explique qu'environ 190 organisations aient déjà signé fin juillet 2026, un mois seulement après la publication de la version finale.
Qui contrôle l'article 50 en France, concrètement
La désignation formelle des autorités compétentes françaises au titre de l'article 70 du règlement n'était toujours pas achevée à la date de publication de cet article. Le schéma proposé par le gouvernement le 9 septembre 2025 répartit néanmoins des compétences précises entre autorités selon le type d'obligation de transparence concernée, et la CNIL a commencé à s'y préparer sans attendre l'aboutissement complet du texte au Parlement.
| Autorité | Obligations article 50 concernées | Rôle spécifique |
|---|---|---|
| CNIL | Article 50(3) : reconnaissance d'émotions, catégorisation biométrique | Autorité de référence pour les traitements impliquant des données biométriques ou personnelles ; se prépare à être désignée autorité de surveillance de marché |
| Arcom | Article 50(2) et 50(4) : marquage du contenu synthétique, divulgation des deepfakes et contenus audiovisuels | Contrôle sectoriel des contenus numériques et audiovisuels manipulés |
| DGCCRF | Coordination générale, article 50(1) pour les usages grand public | Point de contact unique au sens de l'article 70 du règlement |
Ce découpage suit la logique du schéma général de gouvernance décrit dans le guide de conformité AI Act cité plus haut, mais appliqué spécifiquement aux quatre obligations de transparence : la CNIL hérite de la brique la plus proche de sa compétence historique en matière de données biométriques, tandis qu'Arcom, déjà chargée de la lutte contre la désinformation en ligne, se voit confier le contrôle du marquage et des deepfakes (Leto Legal, autorités compétentes AI Act en France). La composante numérique du projet de loi DDADUE, qui doit conférer formellement à la CNIL cette compétence, a été adoptée par le Sénat le 17 février 2026 et transmise à l'Assemblée nationale, mais son parcours législatif n'était pas achevé à l'été 2026 (MIAI, suivi de la désignation).
L'absence de désignation définitive ne suspend pas l'obligation elle-même : les entreprises restent tenues de respecter l'article 50 depuis le 2 août 2026, que l'autorité qui les contrôlera in fine s'appelle CNIL, DGCCRF ou Arcom. La CNIL a d'ailleurs inscrit l'intelligence artificielle parmi les axes structurants de son programme de contrôle 2026, aux côtés de la cybersécurité et du commerce en ligne, tout en affichant une approche qui vise à « concilier accompagnement de l'innovation et transformation des entreprises » plutôt qu'une logique de sanction immédiate (CNIL, programme de travail 2026).
Sanctions : le palier qui s'applique réellement à l'article 50
Le régime de sanctions de l'article 99 du règlement comporte trois paliers, et un manquement à l'article 50 relève spécifiquement du palier intermédiaire fixé par l'article 99(4)(g) : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé des deux s'appliquant. C'est le même palier que pour l'essentiel des manquements aux obligations relatives aux systèmes à haut risque : l'article 50 n'est pas traité comme une simple formalité administrative, malgré son étiquette de « risque limité ». Seules les violations des pratiques interdites de l'article 5 relèvent du palier le plus élevé, à 35 millions d'euros ou 7 % du chiffre d'affaires.
Une nuance pratique : pour les PME, le règlement prévoit que c'est le montant le plus bas des deux seuils qui s'applique, et non le plus élevé, contrairement à la règle générale applicable aux grandes entreprises, une distinction que beaucoup de guides généralistes omettent de préciser.
Checklist de mise en conformité pour l'été 2026
- Recenser tous les chatbots, générateurs de contenu, outils de reconnaissance d'émotions et systèmes de deepfake réellement en usage, y compris ceux introduits par une équipe métier sans validation centrale.
- Pour chaque système, déterminer si votre organisation agit comme fournisseur, déployeur, ou les deux selon l'usage.
- Vérifier que chaque chatbot exposé au public affiche une mention claire d'interaction avec une IA dès le premier échange.
- Demander à chaque fournisseur de contenu synthétique une confirmation écrite de son mécanisme de marquage lisible par machine, et la date à laquelle il sera pleinement opérationnel si le système a été mis sur le marché avant le 2 août 2026.
- Documenter l'information donnée aux personnes exposées à un système de reconnaissance d'émotions ou de catégorisation biométrique, en cohérence avec vos mentions RGPD existantes.
- Mettre en place un processus d'étiquetage systématique pour tout deepfake ou texte généré publié sur un sujet d'intérêt public, sauf révision éditoriale humaine documentée.
- Évaluer l'intérêt de signer le Code de bonnes pratiques sur la transparence si votre organisation est elle-même fournisseur d'un système générateur de contenu.
Piloter cette liste à la main, système par système, dans un tableau distinct de votre inventaire RGPD, tient rarement plus de quelques mois avant de se déliter. Le module AI Governance de Secure Privacy permet d'enregistrer chaque système d'IA avec son onglet dédié de suivi des obligations d'« Oversight & Transparency », en le rattachant directement à la classification de risque et aux régulations applicables, article 50 de l'AI Act compris.
FAQ
L'article 50 s'applique-t-il aux outils d'IA utilisés uniquement en interne ?
Cela dépend de l'exposition, pas de l'usage interne en soi. Un chatbot RH utilisé uniquement par les salariés reste soumis à l'article 50(1) dès qu'il interagit avec une personne physique, y compris en interne : l'obligation ne vise pas seulement les usages tournés vers le grand public. En revanche, un outil purement machine-à-machine, sans aucune exposition humaine directe à la sortie générée, échappe au marquage prévu par l'article 50(2).
Qu'est-ce qu'un format « lisible par machine » au sens de l'article 50(2) ?
C'est un marquage détectable par un système automatisé (filigrane numérique, métadonnées cryptographiques ou signature de provenance), et non nécessairement perceptible à l'œil ou à l'oreille humaine. Le Code de bonnes pratiques recommande une combinaison de métadonnées signées et de filigrane technique, avec des outils de détection attendus au plus tard le 2 février 2027.
La période transitoire du 2 décembre 2026 s'applique-t-elle à toutes les obligations de l'article 50 ?
Non, elle ne concerne que le marquage technique du contenu synthétique prévu par l'article 50(2), et uniquement pour les systèmes déjà commercialisés avant le 2 août 2026. Les obligations d'information sur les chatbots (50(1)), de reconnaissance d'émotions (50(3)) et de divulgation des deepfakes (50(4)) s'appliquent depuis le 2 août 2026 sans aucun délai, quel que soit l'âge du système.
Jusqu'où va l'exception pour les œuvres satiriques ou artistiques ?
Elle permet d'adapter la forme de la divulgation, pas de la supprimer entièrement : un contenu manifestement satirique ou fictionnel peut afficher une mention plus discrète qu'un article d'actualité générale, à condition que le contexte rende la nature artistique ou humoristique de l'œuvre suffisamment claire pour ne pas induire le public en erreur sur son caractère authentique.
En quoi l'article 50 diffère-t-il des obligations de transparence du RGPD ?
Le RGPD encadre l'information due aux personnes concernées par un traitement de données personnelles, avec un droit à l'explication pour les décisions automatisées au titre de l'article 22. L'article 50 de l'AI Act impose une transparence sur la nature du système lui-même, le fait qu'il s'agisse d'une IA, indépendamment de la présence de données personnelles dans son fonctionnement. Un chatbot qui ne traite aucune donnée personnelle reste soumis à l'article 50(1) tout en échappant largement au RGPD.
Que peut faire un déployeur si son fournisseur ne respecte pas ses propres obligations ?
Le déployeur reste exposé même si le manquement technique relève formellement du fournisseur, car c'est son expérience utilisateur qui manque de la mention requise. En pratique, cela passe par une clause contractuelle exigeant la conformité du fournisseur à l'article 50(1) et 50(2), une vérification documentée avant tout déploiement, et la possibilité de suspendre l'usage d'un système dont le fournisseur ne peut démontrer la conformité.
Signer le Code de bonnes pratiques est-il obligatoire ?
Non. Seul l'article 50 du règlement crée une obligation légale ; le Code de bonnes pratiques est un mécanisme volontaire qui simplifie la démonstration de conformité auprès d'une autorité de contrôle. Une organisation peut rester pleinement conforme à l'article 50 sans le signer, en démontrant sa conformité par d'autres moyens documentés.
Quelle autorité française sanctionnera un manquement à l'article 50 ?
Aucune désignation définitive n'existe encore à ce jour. Le schéma gouvernemental non encore adopté par le Parlement prévoit la CNIL pour les obligations liées à la reconnaissance d'émotions et à la biométrie, Arcom pour le marquage du contenu synthétique et les deepfakes, et la DGCCRF comme point de contact de coordination générale.
L'incertitude sur l'autorité exacte ne change rien à l'exposition financière : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, quel que soit le régulateur qui instruit le dossier. Le module AI Governance de Secure Privacy centralise le suivi des obligations de transparence par système d'IA, avec une documentation prête pour l'audit qui ne dépend pas de savoir laquelle des autorités françaises se saisira en premier. Réservez une démonstration pour voir comment rattacher votre inventaire de chatbots et d'outils génératifs aux quatre obligations de l'article 50, système par système.