La Commission européenne vient de publier son projet de lignes directrices sur l’article 50 de l’AI Act. Décryptage, pour avocats, DPO, communicants et services produit.
Pourquoi cet article vous concerne, même si vous ne « faites pas d’IA »
Le 2 août 2026, dans environ 80 jours, l’article 50 du Règlement (UE) 2024/1689 (l’« AI Act ») entre en application. Quatre obligations distinctes de transparence se déclencheront simultanément pour à peu près tout ce qui ressemble, de près ou de loin, à un système d’IA en contact avec un humain.
Le 8 mai 2026, la Commission européenne (AI Office, DG CONNECT) a mis en consultation un projet de lignes directrices de 40 pages qui répond à la question qui intéresse vraiment les juristes et les équipes produit : concrètement, qu’est-ce qui est suffisant et qu’est-ce qui ne l’est pas ?
Attention : il s’agit à ce stade d’un projet de lignes directrices, non contraignant, soumis à consultation publique. Le texte final peut évoluer. La présente analyse est donnée à droit constant et sera mise à jour à l’adoption de la version définitive.
Voici ce que dit le draft, traduit en français opérationnel, avec les 5 pièges qu’on voit déjà se dessiner.
1. Quatre obligations, pas une — et elles peuvent se cumuler
L’article 50 ne se résume pas aux deep fakes. Il pose quatre obligations distinctes, qui peuvent s’appliquer cumulativement à un même système.
| Article | Qui ? | Quoi ? | Quand ? |
|---|---|---|---|
| 50(1) | Fournisseur (provider) | Informer la personne qu’elle interagit avec une IA | Système interactif (chatbot, voice assistant, agent IA, robot conversationnel) |
| 50(2) | Fournisseur | Marquer le contenu en format machine-readable + fournir un outil de détection | Génération/manipulation d’image, son, vidéo ou texte |
| 50(3) | Déployeur (deployer) | Informer la personne exposée au système | Reconnaissance émotionnelle ou catégorisation biométrique |
| 50(4) | Déployeur | Étiqueter le contenu de manière claire et perceptible | Deep fakes + textes publiés sur des matières d’intérêt public |
Important : un même service peut cumuler plusieurs régimes. Le fournisseur du système supportera, selon le cas, les obligations 50(1) et 50(2). L’entreprise qui utilise ou publie les outputs pourra, elle, être déployeur au titre de 50(3) ou 50(4), voire fournisseur si elle met le système sur le marché ou en service sous son propre nom ou sa propre marque.
L’article 50(5) ajoute une couche horizontale : l’information doit être claire, distinguable, fournie au plus tard à la première interaction ou exposition, et conforme aux exigences d’accessibilité applicables (notamment Directive 2019/882).
2. Les 5 pièges à éviter dès maintenant
Piège n° 1 — Croire que la mention dans les CGU suffit
C’est le réflexe naturel des juristes : on rajoute trois lignes dans les conditions générales et on est tranquille.
Ce que dit la Commission (§35 du draft) : une mention contenue uniquement dans les CGU, dans une URL ou dans une documentation ne suffit pas pour remplir l’obligation de l’article 50(1). Elle peut compléter une notification visible, jamais la remplacer.
Le test à appliquer : si l’utilisateur ne perçoit pas la mention au moment de l’interaction, elle ne remplit pas l’objectif de l’AI Act.
Piège n° 2 — Écrire « ce système utilise un LLM »
C’est l’erreur des éditeurs de logiciels qui croient bien faire en étant transparents sur leur stack technique.
Ce que dit la Commission (§35 du draft) : les descriptions techniques ou centrées sur la capacité (« this system uses LLMs ») ne remplissent pas l’obligation. Elles n’expliquent ni la fonction du système, ni ses implications pour l’utilisateur, ni surtout son origine artificielle non humaine.
La règle : l’utilisateur doit comprendre qu’il interagit avec une IA, pas que vous utilisez telle ou telle technologie.
Piège n° 3 — Placer le label à la fin
Beaucoup de productions audiovisuelles assistées par IA ajoutent un disclaimer dans le générique de fin ou dans une « édition notice » en bas de page.
Ce que dit la Commission (§132 et exemples du draft) : la divulgation doit avoir lieu au plus tard à la première interaction ou exposition. Une mention en fin de générique ou à la fin de la conversation ne respecte pas l’article 50(5). Pour une diffusion continue (live, podcast), la divulgation initiale doit être complétée par des rappels périodiques pour les spectateurs qui rejoignent en cours de route.
Piège n° 4 — Penser que le marquage machine-readable suffit
Le watermark cryptographique signé C2PA, le metadata embedding propre, c’est techniquement élégant. Pour l’article 50(2), c’est requis. Mais pour l’article 50(1) ?
Ce que dit la Commission (§35 du draft) : un marquage machine-readable n’est pas perceptible par l’utilisateur au point d’interaction. Il ne peut donc pas remplir l’obligation d’information de l’article 50(1). Il faut une mention textuelle, audio ou visuelle directement perceptible.
Et pour le 50(2) lui-même, la Commission lâche une bombe (§78 du draft) :
« Sous l’état de l’art actuel, aucune technique unique de marquage et de détection ne satisfait simultanément les quatre exigences [effectivité, fiabilité, robustesse, interopérabilité] au niveau requis. »
Conséquence directe : vous devez combiner plusieurs techniques (watermark, signature cryptographique, métadonnées, fingerprinting). Le tatouage invisible seul ne tiendra pas la route en cas de contrôle.
Piège n° 5 — Sous-estimer la « banner blindness »
Le draft (§36) reconnaît explicitement le phénomène : des notifications trop intrusives ou répétées dégradent l’efficacité de la transparence et créent une accoutumance qui annule l’objectif réglementaire.
Le message implicite : la conformité n’est pas un copier-coller d’un bandeau cookies-style. C’est un travail de design d’expérience, à calibrer en fonction du contexte d’usage et du public visé. La Commission recommande explicitement (§34) une approche multimodale : combiner texte, audio et indicateur visuel pour les cas sensibles.
3. Les exceptions qui changent tout (et celles qui ne sauvent personne)
Pour les chatbots professionnels : l’exception « évidence »
Un assistant de code disponible uniquement pour des développeurs professionnels n’a pas besoin de se déclarer comme IA (§42). Idem pour un outil d’aide au diagnostic médical réservé aux soignants formés, ou pour un NPC dans un jeu vidéo.
À l’inverse, un robot compagnon (animal robotique ressemblant à un vrai animal), un avatar humain réaliste dans un environnement immersif, ou un chatbot helpdesk ne bénéficient pas de l’exception : il faut afficher.
Pour la presse : l’exception « contrôle éditorial »
C’est le point clé pour les médias. L’article 50(4), deuxième alinéa, exonère le texte généré ou manipulé par IA si deux conditions cumulatives sont réunies (§125-128) :
- Le texte a fait l’objet d’une revue humaine ou d’un contrôle éditorial par une personne disposant de la compétence et du jugement professionnel pertinents — pas un simple spell-check.
- Une personne physique ou morale assume la responsabilité éditoriale, dont l’identité et les coordonnées doivent être publiquement accessibles.
Une « approval éditoriale superficielle » ou la simple existence d’une charte éditoriale ne suffisent pas. Et la responsabilité éditoriale doit être interprétée en cohérence avec l’European Media Freedom Act (Règlement (UE) 2024/1083, art. 2(8)).
Pour les particuliers : l’exception « usage purement personnel »
L’exemple donné par la Commission est savoureux (§17) :
- Carte de Noël avec un deep fake des membres de votre famille → exclue de l’AI Act, pas besoin de label.
- Deep fake du bourgmestre pour critiquer une décision locale, posté sur les réseaux sociaux → non couvert par l’exception, l’impact sur le débat public retire le caractère « purement personnel ».
L’exclusion ne couvre que les obligations du déployeur. Le fournisseur du système, lui, reste tenu de marquer en machine-readable.
4. Les croisements à ne pas manquer
AI Act × RGPD
L’article 50 ne remplace pas les obligations d’information du RGPD (articles 13-14) ni l’article 22 sur la décision individuelle automatisée. La Commission annonce d’ailleurs (notes 24 et 29 du draft) la préparation de lignes directrices conjointes avec l’EDPB sur l’articulation AI Act / droit de la protection des données.
Cas concret : un système de reconnaissance émotionnelle déployé dans un magasin nécessite :
- L’information article 50(3) AI Act (vous êtes exposé à un système de reconnaissance émotionnelle) ;
- L’information articles 13-14 RGPD (responsable de traitement, finalité, base légale, durée de conservation, droits) ;
- Si traitement de données biométriques pour identifier une personne : article 9 RGPD ;
- En milieu de travail ou éducation : interdiction au titre de l’article 5(1)(f) AI Act.
Le draft permet de regrouper ces informations dans une seule privacy notice si pertinent (§104).
AI Act × DSA
Pour les très grandes plateformes (VLOPs/VLOSEs), l’article 35(1)(k) DSA prévoit un dispositif complémentaire d’étiquetage des contenus manipulés. Surtout, un contenu non marqué en violation de l’article 50 AI Act peut être qualifié de contenu illégal au sens de l’article 3(h) DSA, ouvrant la voie aux mécanismes de notification et de retrait (§91 du draft).
AI Act × droits voisins, marques, droit à l’image
Le régime atténué pour les œuvres artistiques, satiriques, créatives ou fictionnelles (§116) ne vaut pas dispense des autres législations : droit d’auteur, droit des marques, droit à l’image et à la voix. Un deep fake satirique « légal » au regard de l’AI Act peut être illicite au regard du droit national de la personnalité.
5. Que faire dans les jours qui viennent
Une feuille de route raisonnable pour un cabinet, un éditeur logiciel ou un service produit :
- Cartographie. Identifier tous les systèmes d’IA en contact direct ou indirect avec un humain, internes et externes. Distinguer rôle fournisseur / déployeur (l’article 50 attribue les obligations différemment selon le rôle).
- Qualification. Pour chacun : 50(1), 50(2), 50(3), 50(4) ? Plusieurs cumulés ?
- Test des exceptions. « Évidence » applicable ? Application pénale ? Usage purement personnel ? Édition standard ?
- Design de la notification. Texte clair, première interaction, accessible, multimodal si contexte sensible. Pas de mention dans les seuls CGU. Pas de description technique. Pas de label en fin de générique.
- Pour le 50(2), choisir une combinaison de techniques sur la base de standards et pratiques reconnus ou émergents, notamment C2PA / Content Credentials, métadonnées signées, watermarking, fingerprinting, et standards qui seront retenus ou reflétés par le Code of Practice sur le marking & labelling annoncé par la Commission, qui constituera la voie privilégiée de démonstration de conformité.
- Gap analysis et documentation. Les non-signataires du Code of Practice devront documenter eux-mêmes leurs choix techniques et les justifier auprès des autorités de surveillance du marché.
- Articulation RGPD. Aligner les notifications de l’article 50 avec les obligations d’information du RGPD. Anticiper les guidelines conjointes Commission/EDPB.
Le mot de la fin
L’article 50 AI Act n’est pas une obligation lointaine, abstraite ou technique. À 80 jours de son application, il concerne à peu près toute organisation qui déploie un assistant conversationnel, génère du contenu visuel ou audio assisté par IA, ou publie des analyses sur des matières d’intérêt public avec assistance algorithmique.
La consultation publique sur le draft est en cours. C’est le moment d’y participer, ou à défaut, de préparer sérieusement le 2 août.
Sources
- Commission européenne (AI Office), Draft Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689, mai 2026 (en consultation).
- Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act), CELEX 32024R1689 — articles 3, 5, 6, 50, 85, 96, 113 ; considérants 132 à 136. Texte intégral.
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 13, 14, 22, 35.
- Règlement (UE) 2022/2065 du 19 octobre 2022 (DSA), articles 3(h), 16, 34, 35.
- Règlement (UE) 2024/1083 du 11 avril 2024 (European Media Freedom Act), article 2(8).
- Directive (UE) 2005/29/CE (pratiques commerciales déloyales).
- Directive (UE) 2019/882 (accessibilité).
- Commission européenne, Guidelines on prohibited artificial intelligence practices, C(2025) 5052.
Me Jeoffrey Vigneron est avocat au Barreau de Bruxelles, fondateur de Lawgitech, premier cabinet belge spécialisé en droit de l’intelligence artificielle. Il accompagne les entreprises et institutions sur l’AI Act, le RGPD et la cybersécurité réglementaire.
Cet article reflète l’état du droit au 12 mai 2026 et est fondé sur un projet de lignes directrices non encore adopté. Il ne constitue pas un avis juridique.