AI Act, article 50 : ce qui s'applique le 2 août 2026
Tun KelteschPublié le
Demain, le 2 août 2026, l'article 50 du règlement (UE) 2024/1689 commence à s'appliquer. Il impose de dire aux gens quand ils parlent à une machine et quand ce qu'ils voient a été fabriqué par une machine. Si votre site a un chatbot, vous êtes concerné.
Le Digital Omnibus a repoussé une grande partie de l'AI Act. Il n'a pas touché à l'article 50.
Ce qui s'applique le 2 août 2026
L'article 50 dans son intégralité, sans report.
L'article 113 fixe l'application générale du règlement au 2 août 2026, avec trois exceptions énumérées : les chapitres I et II depuis le 2 février 2025, une série de dispositions depuis le 2 août 2025, et l'article 6(1) reporté. Le chapitre IV, qui ne contient que l'article 50, ne figure dans aucune de ces exceptions. Il tombe donc dans la règle générale.
Ce que le Digital Omnibus a changé, et ce qu'il n'a pas changé
Il a reporté le haut risque. Pas la transparence.
Le règlement (UE) 2026/1744 du 8 juillet 2026 a été publié au Journal officiel le 24 juillet et est entré en vigueur le 27 juillet. Il repousse les obligations relatives aux systèmes à haut risque de l'annexe III au 2 décembre 2027, et celles de l'annexe I au 2 août 2028.
Sur l'article 50, une seule modification : la Commission perd la compétence d'adopter des actes d'exécution approuvant les codes de bonne pratique visés à l'article 50(7). Les obligations elles-mêmes sont inchangées, et leur date aussi.
C'est le point sur lequel une bonne partie du commentaire publié en juin s'est trompée, en lisant « report de l'AI Act » là où il fallait lire « report du haut risque ».
Fournisseur ou déployeur : la distinction qui décide de tout
Vous êtes presque certainement déployeur, pas fournisseur.
Le fournisseur développe le système d'IA et le met sur le marché. Le déployeur l'utilise sous sa propre autorité. Une PME qui branche un modèle existant sur son site est déployeur. C'est OpenAI, Anthropic ou Mistral qui est fournisseur.
Cette distinction n'est pas académique : les paragraphes de l'article 50 ne visent pas les mêmes personnes.
- L'article 50(1) et 50(2) pèsent sur le fournisseur.
- L'article 50(3) et 50(4) pèsent sur le déployeur.
Autrement dit, le marquage machine des contenus synthétiques prévu à l'article 50(2) n'est pas votre obligation si vous générez une image avec un outil tiers. C'est celle de l'éditeur de l'outil. La vôtre, s'il s'agit d'un deepfake, est celle de l'article 50(4) : le divulguer.
Les obligations, une par une
Article 50(1) — dire que c'est une IA. Le fournisseur conçoit les systèmes destinés à interagir directement avec des personnes physiques de manière que celles-ci soient informées qu'elles interagissent avec un système d'IA, « unless this is obvious ». Le chatbot de support qui se présente comme « Julie » sans autre mention est le cas d'école.
Article 50(2) — marquer les contenus synthétiques. Les sorties audio, image, vidéo ou texte générées par IA doivent être marquées dans un format lisible par machine et détectables comme artificiellement générées ou manipulées. Watermark, métadonnées C2PA, signature cryptographique : le règlement ne prescrit pas la technique.
Article 50(3) — reconnaissance des émotions et catégorisation biométrique. Le déployeur informe les personnes exposées du fonctionnement du système. Rare dans une PME, sauf si vous avez déployé de l'analyse d'attention en magasin ou du tri de CV par analyse vidéo.
Article 50(4) — deepfakes et texte d'intérêt public. Le déployeur qui produit ou manipule une image, un son ou une vidéo constituant un deepfake doit le divulguer. Même chose pour le texte généré par IA publié dans le but d'informer le public sur des questions d'intérêt public, sauf contrôle éditorial humain. Le règlement prévoit un régime allégé pour les œuvres manifestement artistiques ou satiriques.
Article 50(5) — quand. L'information est fournie de manière claire et distinguable, au plus tard lors de la première interaction ou exposition. Pas dans les CGU, pas en bas de page.
Pour une PME qui a un chatbot et publie des visuels générés, le travail réel tient en deux points : une mention visible dès le premier message du chatbot, et la divulgation des deepfakes si vous en produisez. Le reste ne vous vise pas.
Qui contrôle au Luxembourg
Personne, formellement, à la date d'aujourd'hui.
Le projet de loi 8476, déposé le 23 décembre 2024, désigne les autorités nationales pour l'application de l'AI Act. Il n'a pas été voté. Il est toujours en commission.
Ce qu'il prévoit :
- La CNPD comme autorité de surveillance du marché par défaut et point de contact unique (annonce de la CNPD).
- L'ALIA, l'autorité audiovisuelle, pour le contrôle des articles 50(2) et 50(4) : soit exactement le marquage des contenus synthétiques et la divulgation des deepfakes.
- La CSSF pour le secteur financier, le Commissariat aux Assurances pour l'assurance, l'ILNAS et l'ILR pour leurs périmètres.
Une obligation européenne directement applicable ne dépend pas d'une loi nationale pour exister. Elle dépend d'une désignation nationale pour être contrôlée. Au 1er août 2026, le Luxembourg a la première sans la seconde.
Ce que vous risquez
Jusqu'à 15 000 000 EUR ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 99(4)).
Pour les PME et les jeunes pousses, l'article 99(6) inverse la règle : c'est le montant le plus faible des deux qui s'applique. Sur un chiffre d'affaires de 500 000 EUR, le plafond théorique passe de 15 millions à 15 000 EUR.
Le plafond théorique n'est pas le risque réel, qui dépend d'une autorité de contrôle que le Luxembourg n'a pas encore désignée.
Calendrier
| Date | Ce qui s'applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement (UE) 2024/1689 |
| 2 février 2025 | Chapitres I et II : définitions, pratiques interdites, littératie en IA |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance, confidentialité, sanctions (sauf article 101) |
| 2 août 2026 | Article 50 : obligations de transparence |
| 2 décembre 2027 | Haut risque, annexe III — reporté par le règlement (UE) 2026/1744 |
| 2 août 2028 | Haut risque, annexe I — reporté par le règlement (UE) 2026/1744 |
Ce qui reste flou
La Commission a adopté ses lignes directrices sur les obligations de transparence le 20 juillet 2026, moins de deux semaines avant l'entrée en application. Elles ne sont pas contraignantes. Elles interprètent.
Le code de bonne pratique sur la transparence des contenus générés par IA est volontaire. Ne pas y adhérer n'est pas une infraction ; il faut alors démontrer la conformité par d'autres moyens d'efficacité équivalente. Ce que « équivalente » recouvre n'a pas encore été tranché.
Quatre zones grises subsistent, de mon point de vue d'ingénieur :
- « Unless this is obvious » à l'article 50(1) n'est pas défini. Un chatbot nommé « Assistant IA » est-il assez évident pour dispenser d'une mention ? Personne n'a de réponse ferme.
- La frontière de l'article 50(4) entre le texte « d'intérêt public » et le reste. Un article de blog sur la fiscalité est-il d'intérêt public ? Une fiche produit ne l'est pas ; entre les deux, la ligne n'est pas tracée.
- L'interopérabilité du marquage. L'article 50(2) exige un format lisible par machine sans imposer de standard. C2PA domine en pratique, mais rien n'oblige un fournisseur à l'utiliser, et rien ne garantit qu'un marquage survive à un redimensionnement ou à une capture d'écran.
- Le marquage du texte. Marquer une image de manière lisible par machine est un problème résolu. Marquer du texte ne l'est pas : aucune méthode de tatouage textuel ne survit de façon fiable à une réécriture. L'article 50(2) vise pourtant le texte au même titre que l'image.
Le statut du projet de loi 8476 vérifié le 1er août 2026 : toujours en commission, non voté.
Questions fréquentes
Mon chatbot doit-il afficher un avertissement ? Oui, si un utilisateur peut croire qu'il parle à une personne. L'obligation pèse formellement sur le fournisseur du système au titre de l'article 50(1), mais en pratique c'est vous qui contrôlez l'interface, donc vous qui placez la mention.
Dois-je marquer les images générées par IA sur mon site ? Le marquage lisible par machine de l'article 50(2) incombe à l'éditeur de l'outil qui a généré l'image. Votre obligation, à l'article 50(4), ne se déclenche que pour les deepfakes.
L'AI Act a-t-il été reporté ? Le haut risque, oui. La transparence, non. Le règlement (UE) 2026/1744 reporte l'annexe III à décembre 2027 et l'annexe I à août 2028, sans toucher à l'article 50.
Que se passe-t-il si je ne fais rien le 2 août ? Rien d'immédiat. L'obligation existe, mais le Luxembourg n'a pas encore d'autorité désignée pour la contrôler. Le risque est différé, pas absent.
Suis-je fournisseur ou déployeur ? Déployeur, si vous utilisez un modèle développé par quelqu'un d'autre. Fournisseur, si vous développez le système et le mettez sur le marché sous votre nom.
Lecture d'ingénieur sur la mise en œuvre, pas un conseil juridique. Aucun avocat n'a relu ce texte.
Toutes les dates, numéros d'article et montants ci-dessus proviennent du texte du règlement et du Journal officiel, liés en ligne. Si vous voulez vérifier un point précis avant de décider quoi que ce soit, écrivez-moi.