AI Act et information clients : ce qui doit changer dans votre relation client

AI Act et information clients : ce qui doit changer dans votre relation client

Depuis le 2 août 2026, une PME qui utilise l'IA dans sa relation client doit informer ses interlocuteurs dans trois situations précises : un échange direct avec un système conversationnel, un contenu de type deepfake publié, et un texte d'intérêt public diffusé sans relecture humaine. En dehors de ces cas, aucune mention "généré par IA" n'est légalement exigée. La confusion entre ces trois situations et le reste de votre communication coûte plus cher que l'inverse, en sur-conformité comme en angles morts.

L'article 50 du règlement UE 2024/1689 est probablement la disposition de l'AI Act qui touche le plus d'entreprises françaises, parce qu'elle ne dépend pas du niveau de risque du système. Une TPE de dix personnes avec un chatbot sur son site est concernée, là où elle échappe totalement aux obligations sur les systèmes à haut risque. Si vous partez de zéro sur le sujet, le guide de conformité AI Act pour PME et associations pose le cadre général ; cet article se concentre sur un seul angle, celui des points de contact avec vos clients.

Ce que l'article 50 exige exactement, et pour qui

Quatre obligations distinctes, réparties entre deux rôles différents. L'AI Act sépare le fournisseur, qui conçoit le système et le met sur le marché sous son nom, et le déployeur, qui l'utilise dans le cadre de son activité professionnelle. Les obligations ne tombent pas sur le même acteur selon le cas.

Pour la grande majorité des PME, seules les lignes 1 et 4 comptent. La ligne 2 pèse sur les éditeurs de modèles et de systèmes, pas sur vous. La ligne 3 ne concerne que les usages biométriques, rares hors contrôle d'accès et retail avancé.

Un point de vocabulaire qui a des conséquences juridiques : vos salariés ne sont pas des déployeurs distincts. Quand votre community manager génère un visuel avec un outil d'IA, c'est la société qui est déployeur, pas lui. Et vous restez déployeur même si l'opération est confiée à un freelance ou à une agence agissant sous votre responsabilité. Le contrat de sous-traitance ne transfère pas l'obligation.

Le chatbot : l'obligation qui vous concerne vraiment, et le piège de la marque blanche

L'obligation d'informer l'utilisateur qu'il parle à une machine pèse sur le fournisseur du système, mais vous pouvez devenir ce fournisseur sans le savoir. L'article 3(3) du règlement définit le fournisseur comme celui qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque.

Prenez le cas très courant d'une PME qui déploie un chatbot IA sur son site, construit sur une brique du marché, rebaptisé "Léa, votre conseillère" avec la charte graphique maison. La société n'a rien développé, mais elle met le système en service sous son propre nom. La lecture prudente consiste à considérer qu'elle endosse l'obligation d'information de l'article 50(1) et à la traiter comme telle. Attendre une clarification jurisprudentielle pour afficher une phrase de dix mots n'a aucun sens économique.

La Commission a précisé quatre critères cumulatifs pour que l'obligation s'applique : le système doit être un système d'IA, être conçu pour un échange bidirectionnel réel et non pour une simple collecte de données ou des réponses automatisées, communiquer directement avec la personne sans intermédiaire humain, et s'adresser à des personnes physiques. Un formulaire de contact avec accusé de réception automatique n'est donc pas visé. Un agent IA qui qualifie un prospect en conversation libre l'est.

En pratique, trois exigences de forme :

• L'information doit arriver dès le début de la première interaction, pas dans les mentions légales ni dans une politique de confidentialité que personne n'ouvre.
• Elle doit être claire et distinguable du reste de l'interface.
• Elle doit respecter les exigences d'accessibilité, ce qui suppose un texte lisible par un lecteur d'écran et pas seulement une icône.

L'exception du caractère "manifeste" existe, mais la Commission demande explicitement de l'interpréter de façon restrictive, puisqu'elle prive les personnes de transparence. Le test est celui d'une personne moyenne, raisonnablement informée et attentive. Un avatar réaliste qui répond en langage naturel ne passe pas ce test. Une fenêtre intitulée "Assistant automatique" probablement si, mais le coût d'une mention explicite est nul : autant l'écrire.

Ce que vous n'avez pas à étiqueter, et pourquoi la sur-conformité vous dessert

Un article de blog, une fiche produit ou une newsletter rédigés avec l'aide de l'IA n'ont pas à porter de mention "généré par IA". C'est l'inverse de ce que laisse croire une bonne partie des contenus publiés sur le sujet, et cela mérite d'être posé clairement.

L'obligation de divulgation des textes générés par IA, prévue à l'article 50(4), suppose trois conditions cumulatives : le texte doit être publié, avoir pour finalité d'informer le public, et porter sur une question d'intérêt public. La Commission cite comme matières d'intérêt public la politique et les processus démocratiques, l'administration publique, la justice, les droits fondamentaux, la sécurité publique, la santé publique, l'environnement, la sécurité des consommateurs, ainsi que les développements économiques, financiers, scientifiques ou culturels susceptibles d'alimenter le débat public.

Une fiche produit, une réponse commerciale, un compte rendu de réunion ou une page de service ne relèvent pas de cette catégorie. Et même pour un contenu qui en relèverait, l'obligation tombe si le texte a fait l'objet d'une relecture humaine ou d'un contrôle éditorial. La Commission précise ce que cela signifie : un examen délibéré du fond par une personne compétente sur le sujet, ou le contrôle exercé par une entité éditoriale ayant autorité pour approuver, modifier ou rejeter le contenu sur des motifs de fond. Une correction orthographique ou une relecture de forme ne suffisent pas.

La conséquence opérationnelle est simple. Si vous publiez sur des sujets d'intérêt public, ce qui est le cas d'un cabinet comptable qui commente une réforme fiscale ou d'une association qui publie sur la santé, votre protection n'est pas une mention en pied de page : c'est un processus de relecture documenté, avec une personne identifiée qui assume la responsabilité éditoriale finale. C'est aussi, accessoirement, la seule vraie parade aux erreurs factuelles des modèles, que le secteur appelle hallucinations.

Pourquoi la sur-conformité est un vrai coût : une mention "contenu généré par intelligence artificielle" apposée partout dilue le signal là où il compte, alimente la défiance sur des contenus que vous avez réellement travaillés, et vous expose à des questions de clients auxquelles vous n'avez pas de réponse construite. Étiqueter ce qui doit l'être, et seulement cela, est une position défendable. Étiqueter tout par précaution ne l'est pas.

Les deepfakes : le cas où votre marketing bascule dans l'obligation

Dès qu'un visuel ou une vidéo imite une personne, un lieu ou un événement réel de façon crédible, la divulgation devient obligatoire pour le déployeur. La définition de l'article 3(60) repose sur trois critères cumulatifs : une ressemblance forte avec le sujet simulé, un sujet qui existe ou pourrait plausiblement exister, et une apparence trompeuse d'authenticité.

Les cas concrets qui font basculer une PME dans cette obligation sont plus fréquents qu'on ne le croit :

• Une vidéo où le dirigeant apparaît en train de prononcer un discours qu'il n'a jamais prononcé, même pour un usage interne diffusé ensuite.
• Une photo de votre local commercial reconstituée ou augmentée par IA générative et présentée comme une photo réelle.
• Un témoignage client illustré par un visage synthétique présenté comme celui d'un vrai client.
• Une mise en situation produit dans un contexte réel identifiable qui n'a jamais eu lieu.

Deux précisions importantes. D'abord, la divulgation doit être perceptible par un être humain, par une mention visible ou audible, sans outil technique. Vous ne pouvez pas vous contenter du marquage lisible par machine intégré par l'éditeur de l'outil : la Commission l'exclut explicitement. Ensuite, pour les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles, la divulgation reste due mais peut être adaptée pour ne pas gâcher l'œuvre, par exemple en générique plutôt qu'en surimpression permanente.

Le cas du témoignage client synthétique mérite un signalement particulier. Au-delà de l'AI Act, il touche au droit de la consommation français sur les pratiques commerciales trompeuses, contrôlé par la DGCCRF. Les deux régimes se cumulent, et le second est plus ancien et plus outillé. Avant toute campagne s'appuyant sur des personnages synthétiques, faites valider le dispositif par votre conseil juridique : le risque n'est pas seulement réglementaire, il est contractuel et concurrentiel.

Le calendrier réel, et les deux dates à ne pas confondre

L'article 50 s'applique depuis le 2 août 2026, sans période transitoire générale. C'est la date à retenir. Le 2 décembre 2026 circule beaucoup, mais il désigne autre chose : un délai de grâce limité à la seule obligation de marquage lisible par machine de l'article 50(2), et uniquement pour les systèmes mis sur le marché avant le 2 août 2026. Cette tolérance vise les éditeurs de systèmes, pas les entreprises utilisatrices.

Autre point utile : les contenus générés avant le 2 août 2026 n'ont pas à être étiquetés rétroactivement. La Commission encourage à le faire quand c'est possible, mais ne l'impose pas. Inutile de repasser sur trois ans d'archives.

Il faut aussi garder en tête que le paquet Digital Omnibus, adopté à l'été 2026, a reporté l'application des règles sur les systèmes à haut risque autonomes au 2 décembre 2027, et au 2 août 2028 pour ceux intégrés à des produits réglementés. Beaucoup d'articles encore en ligne datent ces échéances de 2026 : c'est périmé. Le détail des dates figure dans le calendrier complet de l'AI Act.

Ce que vous risquez concrètement, et à quelle échelle

Le manquement à l'article 50 relève du plafond de 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour une PME, la logique est inversée : c'est le montant le plus faible qui s'applique, et la Commission précise que la proportionnalité est prise en compte pour les PME et les petites entreprises de taille intermédiaire.

Le contrôle relève principalement des autorités nationales de surveillance du marché. En France, plusieurs autorités interviennent selon l'angle retenu, la CNIL sur les données personnelles, la DGCCRF sur les pratiques commerciales, l'Arcom sur les contenus diffusés. La répartition fine des compétences continue de se préciser : vérifiez l'état du dispositif national avant de vous appuyer sur une répartition figée.

Mais le risque réglementaire n'est pas le premier que rencontrent nos clients. Le risque commercial arrive avant. Un prospect qui découvre après coup qu'il a échangé pendant vingt minutes avec un agent conversationnel en pensant parler à un commercial ne dépose pas plainte : il part. Un concurrent qui repère un témoignage synthétique non signalé dispose, lui, d'un levier immédiat sur le terrain de la concurrence déloyale. Le détail du régime de sanctions est traité dans l'article sur les sanctions AI Act.

Un plan d'action en cinq points, réalisable en une demi-journée

La conformité article 50 d'une PME tient sur une page, à condition de raisonner par point de contact client et non par outil.

1. Listez les points de contact où une IA parle à un client ou produit un contenu qui lui est destiné : chatbot du site, agent vocal, réponses SAV pré-rédigées, visuels de campagne, textes publiés. La méthode de cartographie des systèmes IA s'applique directement, en la restreignant au périmètre client.
2. Pour chaque point de contact, tranchez une seule question : sommes-nous dans un des trois cas de l'article 50 qui nous concernent, oui ou non ?
3. Ajoutez la mention d'interaction IA sur les systèmes conversationnels, dès le premier message, dans le fil de conversation lui-même.
4. Documentez votre chaîne de relecture pour les contenus publiés sur des sujets d'intérêt public, avec un responsable éditorial nommé.
5. Écrivez la règle interne. Une page suffit, intégrée à votre politique IA d'entreprise, qui dit qui a le droit de générer quoi, et dans quel cas la mention est obligatoire.

Le point 5 est celui qui tient dans la durée. Les quatre premiers sont des actions ponctuelles ; sans règle écrite, votre conformité se dégrade dès le premier recrutement. Pour la formalisation vis-à-vis des personnes exposées, la notice d'information IA donne la structure attendue.

Questions fréquentes

Dois-je écrire "généré par IA" sur mes articles de blog ? Non, sauf si l'article informe le public sur une question d'intérêt public et n'a fait l'objet d'aucune relecture humaine de fond. Une relecture éditoriale documentée par une personne compétente lève l'obligation. Une simple correction orthographique ne suffit pas.

Mon chatbot doit-il annoncer qu'il est une IA même si c'est évident ? L'exception du caractère manifeste existe, mais la Commission demande de l'interpréter de façon restrictive. Comme le coût d'une phrase d'introduction est nul et que le test repose sur la perception d'une personne moyenne, il est plus sûr de l'afficher systématiquement.

Je n'ai pas développé mon chatbot, suis-je quand même responsable ? L'obligation d'information pèse sur le fournisseur. Mais si vous mettez le système en service sous votre propre nom ou votre marque, la définition du fournisseur peut vous être appliquée. La lecture prudente consiste à assumer l'obligation plutôt qu'à s'en remettre au contrat avec l'éditeur.

Une retouche d'image par IA rend-elle la photo soumise à divulgation ? Pas automatiquement. Les fonctions d'assistance à l'édition standard sont exclues du marquage. La bascule se fait quand le résultat imite de façon crédible une personne, un lieu ou un événement réel et pourrait être pris pour authentique.

Le délai du 2 décembre 2026 me laisse-t-il du temps supplémentaire ? Non. Ce délai ne vise que l'obligation de marquage lisible par machine pesant sur les fournisseurs de systèmes déjà commercialisés avant le 2 août 2026. Vos obligations de déployeur et d'information des clients s'appliquent depuis le 2 août 2026.

Mes salariés sont-ils personnellement responsables de ces mentions ? Non. Un salarié agissant sous les instructions et le contrôle de l'entreprise n'est pas un déployeur distinct. La responsabilité reste celle de la personne morale, y compris quand l'exécution est confiée à un prestataire externe.

Faut-il adhérer au code de bonnes pratiques de la Commission ? Ce code sur la transparence des contenus générés par IA est volontaire. Il apporte de la sécurité juridique aux fournisseurs et déployeurs qui y adhèrent, mais l'absence d'adhésion n'est pas une faute : elle oblige simplement à démontrer la conformité par d'autres moyens.

Comment GrowthPerf accompagne les PME sur ce sujet

Nous traitons l'article 50 dans nos interventions comme un chantier d'une demi-journée, pas comme un projet de conformité. La partie utile est toujours la même : cartographier les points de contact client, trancher les cas, écrire la règle interne, et former les personnes qui produisent réellement les contenus. C'est cette dernière étape qui manque le plus souvent, parce qu'une note de service ne change pas les réflexes de production.

Notre formation IA Opérationnelle pour PME intègre ce volet transparence dans les usages concrets plutôt que de le traiter comme un module juridique séparé. Les équipes apprennent où placer la mention en même temps qu'elles apprennent à produire le contenu. Pour les structures qui veulent d'abord un état des lieux, le guide AI Act pour TPE et PME donne le cadre complet, et le guide de conformité AI Act sert de point d'entrée à l'ensemble du sujet.

Si vous voulez savoir en trente minutes où vous en êtes sur vos points de contact client, réservez un audit gratuit sur cal.com/growthperf/audit-gratuit.