L'article 50 du règlement sur l'IA entre en application : ce qui change aujourd'hui pour les exportateurs et les concepteurs de technologie

L'article 50 du règlement (UE) 2024/1689, le règlement européen sur l'intelligence artificielle, est devenu exécutoire le 2 août 2026. Quatre obligations de transparence sont désormais en vigueur : les fournisseurs de chatbots et d'autres systèmes destinés à interagir directement avec une personne physique doivent indiquer à cette personne qu'elle interagit avec un système d'IA, sauf si cela ressort clairement du contexte ; les contenus audio, image, vidéo ou texte générés ou manipulés par une IA doivent porter un marquage lisible par machine qui les identifie comme générés ou manipulés artificiellement ; les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes qui y sont exposées ; et les hypertrucages (deepfakes), c'est-à-dire les images, contenus audio ou vidéos qui ressemblent à une personne, un objet, un lieu ou un événement réels, doivent être clairement signalés comme générés ou manipulés artificiellement.

Les autorités nationales de surveillance du marché ont reçu à la même date leur mandat pour faire respecter ces obligations, et le pouvoir d'infliger des amendes prévu par le règlement sur l'IA en cas de manquement à l'article 50 a pris effet en même temps. Rien de tout cela n'a été reporté. La seule dérogation concerne les systèmes déjà mis sur le marché ou mis en service avant le 2 août 2026 : pour la seule obligation de marquage lisible par machine, ces systèmes préexistants ont jusqu'au 2 décembre 2026 pour y satisfaire (règlement (UE) 2026/1744, article 1er, point 39) b), qui insère l'article 111, paragraphe 4 ; considérant 38).

L'article 50 répartit ses obligations selon le rôle. Les paragraphes 1 et 2 s'adressent aux fournisseurs, c'est-à-dire à l'organisation qui construit le système d'IA, et non à l'entreprise qui se contente de l'utiliser : les fournisseurs de systèmes destinés à interagir directement avec une personne doivent intégrer cette information dès la conception du système (paragraphe 1), et les fournisseurs de systèmes qui génèrent des contenus synthétiques audio, image, vidéo ou texte, y compris les fournisseurs de modèles d'IA à usage général, doivent marquer ces sorties de façon lisible par machine et détectable (paragraphe 2). Les paragraphes 3 et 4 s'adressent en revanche aux déployeurs, c'est-à-dire à quiconque fait usage du système : une organisation qui exploite un système de reconnaissance des émotions ou de catégorisation biométrique doit informer les personnes qui y sont exposées et traiter leurs données au titre du RGPD, du régime équivalent applicable aux institutions de l'UE et de la directive relative à la protection des données dans le domaine répressif (paragraphe 3), et une organisation qui déploie un système produisant des hypertrucages, ou un texte généré par une IA publié sur une question d'intérêt public, doit en indiquer l'origine (paragraphe 4).

Trois exceptions traversent l'article. L'information prévue au paragraphe 1 n'est pas requise lorsque l'intervention d'une IA est déjà évidente pour une personne raisonnablement bien informée, attentive et avisée, compte tenu du contexte. Les quatre paragraphes excluent les systèmes autorisés par la loi à des fins de détection, de prévention, d'enquête ou de poursuite d'infractions pénales, sous réserve de mesures de protection des droits des tiers, étant entendu que l'exclusion du paragraphe 1 ne s'étend pas aux systèmes mis à la disposition du public pour signaler une infraction pénale. Le paragraphe 4 se resserre encore dans deux cas : un contenu qui fait manifestement partie d'une œuvre artistique, créative, satirique ou fictive doit seulement signaler son origine artificielle d'une manière qui n'entrave pas la jouissance de l'œuvre, et un texte généré par une IA sur des questions d'intérêt public est exempté lorsqu'il a fait l'objet d'un contrôle humain et qu'une personne physique ou morale assume la responsabilité éditoriale de sa publication.

Une procédure législative distincte, connue sous le nom de Digital Omnibus, a depuis abouti. La Commission européenne et le Conseil sont parvenus à un accord politique sur ce paquet le 7 mai 2026, le Parlement européen a voté sa position le 16 juin 2026, et les colégislateurs ont adopté le texte final sous la forme du règlement (UE) 2026/1744 le 8 juillet 2026. Il a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Parmi ses modifications : le régime autonome des systèmes à haut risque de l'annexe III, qui couvre les systèmes d'IA utilisés à des fins telles que les décisions en matière d'emploi ou l'accès aux services essentiels, est reporté au 2 décembre 2027, et le régime à haut risque applicable à l'IA intégrée dans des produits réglementés relevant de l'annexe I est reporté au 2 août 2028.

Ces deux dates sont désormais juridiquement fixées, et non plus de simples propositions : le règlement (UE) 2026/1744 est en vigueur, et les obligations des annexes III et I s'appliqueront respectivement le 2 décembre 2027 et le 2 août 2028, sauf nouvelle modification d'ici là. L'article 50 n'est pas pour autant laissé intact, même si aucune de ses obligations de transparence n'a été reportée. Le règlement (UE) 2026/1744 le touche de deux manières. Il insère dans le règlement sur l'IA un nouvel article 111, paragraphe 4, qui accorde aux fournisseurs de systèmes d'IA générative mis sur le marché avant le 2 août 2026 une période transitoire de quatre mois, jusqu'au 2 décembre 2026, pour satisfaire à l'obligation de marquage du paragraphe 2 (article 1er, point 39) b) ; la justification figure au considérant 38). Et il remplace l'article 50, paragraphe 7, en retirant à la Commission son habilitation permanente à fixer par voie d'acte d'exécution les modalités de mise en œuvre des obligations de marquage et de détection, cet acte ne restant possible que si un code de bonne pratique est jugé inadéquat (article 1er, point 20).

L'annexe III du règlement sur l'IA énumère les catégories d'utilisation de l'IA que le règlement traite comme à haut risque dès que son régime autonome prend effet : l'emploi et la gestion des travailleurs (présélection des candidats, évaluation des performances, attribution des tâches), l'évaluation de la solvabilité, certaines activités de souscription d'assurance, l'éducation (accès, admission ou évaluation) et l'accès aux services publics et privés essentiels. Un système relevant de l'une de ces catégories est soumis à des obligations que les obligations de transparence de l'article 50 ne prévoient pas : gestion des risques, gouvernance des données, documentation technique, contrôle humain et enregistrement dans une base de données de l'UE, entre autres.

Le report prévu par le Digital Omnibus ne signifie pas que ces utilisations seraient moins risquées. La raison invoquée est l'état de préparation : les autorités chargées de superviser les systèmes à haut risque, et les normes techniques harmonisées au regard desquelles ces systèmes doivent être testés, n'étaient pas en place à temps pour l'échéance initiale du régime. Un report de ce type laisse à cette infrastructure le temps de se mettre à niveau, il n'annule pas l'obligation elle-même, et il relève désormais du droit contraignant au titre du règlement (UE) 2026/1744, et non plus d'une simple proposition.

Deux points comptent pour quiconque construit ou exporte de la technologie entre le Mercosur et l'UE. Premièrement, l'article 50 s'étend par ses propres termes au-delà des frontières de l'UE : ses obligations de transparence s'appliquent aux fournisseurs et aux déployeurs dont les sorties du système d'IA sont utilisées dans l'UE, quel que soit le lieu d'établissement du fournisseur ou du déployeur. Un éditeur de logiciels brésilien, argentin ou établi ailleurs dans le Mercosur qui dispose d'un chatbot ou d'une fonction de génération de contenu tournés vers l'UE entre dès aujourd'hui dans le champ d'application, tout comme une entreprise allemande qui déploie l'outil de cet éditeur pour interagir avec des clients dans l'UE. Le critère n'est pas l'endroit où se trouve le système, mais l'endroit où arrivent ses sorties.

Deuxièmement, l'article 50 est une illustration d'une tendance plus large. À travers le règlement sur l'IA, le règlement européen sur la déforestation et le cadre du passeport numérique de produit, l'UE fait passer la transparence et la traçabilité du statut de bonne pratique volontaire à celui d'obligation légale, et elle le fait en exigeant que les données sous-jacentes soient structurées, lisibles par machine et disponibles comme éléments de preuve, et pas seulement comme une information narrative. Le marquage des contenus générés par l'IA d'un chatbot, les données de géolocalisation « zéro déforestation » d'une cargaison de café et le passeport des matériaux d'une batterie sont des instruments réglementaires différents, mais ils vont dans la même direction : ce qui était une affirmation doit désormais être une preuve.