Votre site a un chatbot IA : ce que la loi vous impose depuis le 2 août 2026⚖️

Votre site a un chatbot IA : ce que la loi vous impose depuis le 2 août 2026

Depuis le 2 août 2026, vous avez probablement lu qu'une avalanche d'obligations s'abattait sur toute entreprise utilisant de l'intelligence artificielle, avec des amendes jusqu'à 35 millions d'euros. C'est faux sur les deux points. Les obligations les plus lourdes ont été reportées de plus d'un an, et le plafond de 35 millions ne concerne pas les usages dont il est question ici. Ce qui s'applique réellement est plus étroit, mais concerne beaucoup plus de monde : si votre site répond à vos visiteurs avec un agent conversationnel, vous êtes concerné. Voici ce que dit le texte.

1. Le calendrier réel

Le règlement est entré en vigueur le 1er août 2024, puis s'est appliqué par étapes. Les interdictions de certaines pratiques et les obligations de littératie en IA depuis le 2 février 2025. Les règles de gouvernance et les obligations pesant sur les modèles à usage général depuis le 2 août 2025. Le règlement est devenu applicable le 2 août 2026, avec des exceptions.

Ces exceptions sont le cœur du malentendu. À la suite de l'accord politique sur la proposition de simplification, appelée « omnibus sur l'IA » et entrée en vigueur le 27 juillet 2026, les règles applicables aux cas d'usage à haut risque de l'annexe III ont été prolongées jusqu'au 2 décembre 2027. Les systèmes intégrés à des produits bénéficient d'une période de transition étendue jusqu'au 2 août 2028.

Autrement dit, les obligations dont tout le monde parle, l'évaluation des risques, la documentation technique, la surveillance humaine, ne s'appliquent pas encore. Elles arriveront le 2 décembre 2027.

Le calendrier et le report sont exposés par la Commission européenne sur sa page consacrée au cadre réglementaire sur l'IA.

2. Ce qui s'applique vraiment : l'article 50

L'article 50 porte sur la transparence. Il distingue deux rôles, et cette distinction commande tout le reste. Le fournisseur est celui qui met le système d'IA sur le marché. Le déployeur est celui qui l'utilise sous sa propre autorité. Une entreprise qui ajoute un agent conversationnel à son site est en général déployeur, mais elle peut devenir fournisseur selon la manière dont le système est construit et présenté. La qualification dépend du montage, et elle a des conséquences concrètes, puisque les quatre obligations ne pèsent pas sur les mêmes épaules.

Premier paragraphe, à la charge du fournisseur. Les systèmes destinés à interagir directement avec des personnes physiques doivent être conçus de manière que les personnes soient informées qu'elles interagissent avec un système d'IA, sauf lorsque cela est évident.

Deuxième paragraphe, également à la charge du fournisseur. Les sorties des systèmes qui génèrent du contenu de synthèse doivent être marquées dans un format lisible par machine et détectables comme artificiellement générées ou manipulées. Le texte exige des solutions efficaces, interopérables, robustes et fiables. Il prévoit des exceptions pour les fonctions d'assistance à l'édition et pour les modifications non substantielles.

Troisième paragraphe, à la charge du déployeur. Qui utilise un système de reconnaissance des émotions ou de catégorisation biométrique doit informer les personnes qui y sont exposées, et respecter par ailleurs la réglementation sur les données personnelles.

Quatrième paragraphe, à la charge du déployeur. Il faut indiquer qu'un contenu a été artificiellement généré ou manipulé. Les œuvres artistiques, créatives ou satiriques bénéficient d'un régime allégé, limité à une mention appropriée de l'existence de tels contenus. Le même paragraphe vise les textes générés par IA publiés dans le but d'informer le public sur des questions d'intérêt public, avec une exception lorsque le contenu a fait l'objet d'un contrôle humain et qu'une personne assume la responsabilité éditoriale.

Le texte officiel est le règlement (UE) 2024/1689 publié sur EUR-Lex. Une version consultable article par article est disponible pour l'article 50.

3. Ce que cela change concrètement pour un site

La première obligation est celle qui touche le plus de monde, et c'est la plus simple à satisfaire. Un visiteur qui ouvre votre fenêtre de discussion doit comprendre qu'il ne parle pas à un humain. Une mention explicite au premier message suffit à lever l'ambiguïté. La réserve du texte, « sauf lorsque cela est évident », n'est pas un blanc-seing : un agent qui porte un prénom, une photo et un ton humain n'entre manifestement pas dans cette exception.

La deuxième mérite attention si vous publiez des contenus produits par IA. L'exigence porte sur un marquage lisible par machine, ce qui n'est pas la même chose qu'une phrase en bas de page. C'est une contrainte technique, pas rédactionnelle.

La quatrième concerne les visuels. Si vous illustrez vos pages avec des images générées, la mention doit être faite.

4. Les sanctions, avec la nuance que personne ne cite

L'article 99 organise plusieurs niveaux. Le manquement aux obligations de transparence de l'article 50 relève du paragraphe 4, point g, et expose à une amende pouvant aller jusqu'à 15 millions d'euros ou, pour une entreprise, jusqu'à 3 pour cent de son chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.

Le plafond de 35 millions d'euros ou 7 pour cent, celui que titrent la plupart des articles, correspond au paragraphe 3 et vise les pratiques interdites de l'article 5, pas la transparence. Un troisième niveau, à 7,5 millions ou 1 pour cent, sanctionne la communication d'informations inexactes aux autorités.

Et voici la nuance décisive pour une PME française, systématiquement omise. Le paragraphe 6 prévoit que pour les petites et moyennes entreprises, y compris les jeunes pousses, l'amende est plafonnée au plus faible des deux montants, et non au plus élevé. Pour une entreprise de taille modeste, la référence pertinente n'est donc pas le chiffre en millions, mais le pourcentage de son propre chiffre d'affaires.

Le détail des niveaux figure dans la version consultable de l'article 99.

5. Ce qu'il est raisonnable de faire aujourd'hui

Recenser les endroits où votre site fait appel à de l'IA face au public : agent conversationnel, génération de texte, génération d'images, personnalisation. Vérifier que l'agent se présente comme tel dès le premier échange. Identifier votre rôle, fournisseur ou déployeur, car il détermine les obligations qui vous incombent. Documenter ce que vous avez mis en place, parce qu'une obligation de transparence se prouve.

Et ne pas se précipiter sur les obligations reportées : elles arriveront le 2 décembre 2027, ce qui laisse le temps de faire les choses correctement.

Ce que cet article n'est pas

Un avis juridique. Le texte cité fait foi, pas ce résumé. Pour une situation particulière, en particulier sur la qualification de fournisseur ou de déployeur, consultez un avocat.