Depuis le 2 août 2026, les obligations de transparence de l'article 50 de l'AI Act s'appliquent : chatbots et agents vocaux doivent indiquer qu'ils sont une IA, et les contenus générés par IA doivent être marqués. L'Omnibus IA, le règlement (UE) 2026/1744, a reporté au 2 décembre 2027 le haut risque de l'annexe III.
Points clés
L'AI Act impose déjà la transparence à toute entreprise qui utilise l'IA avec ses clients, quelle que soit sa taille.
- Depuis le 2 août 2026, les obligations de transparence de l'article 50 s'appliquent aux fournisseurs et aux déployeurs de systèmes d'IA qui interagissent avec des personnes ou génèrent des contenus, sans exemption liée à la taille.
- Le règlement Omnibus (UE) 2026/1744 a reporté les obligations haut risque : annexe III au 2 décembre 2027 et annexe I au 2 août 2028. Il a repoussé des échéances, pas supprimé des exigences.
- Les systèmes d'IA générative déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour marquer leurs résultats comme générés par IA (article 50, paragraphe 2).
- Les sanctions atteignent 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites et 3 % pour les manquements à l'article 50. En Espagne, l'AESIA est le point de contact désigné, mais sa désignation formelle comme autorité reste en suspens : le projet de loi qui la désignait est devenu caduc le 6 octobre 2026.
- La conclusion opérationnelle : si vous avez un chatbot, un agent vocal, de la génération de contenu ou tout système qui parle à vos clients, vous avez du travail en attente dès maintenant, même sans système à haut risque.
Ce qui s'applique exactement depuis le 2 août 2026
L'article 50 de l'AI Act s'applique à toute entreprise dont l'IA parle à des personnes ou génère des contenus. C'est la partie du règlement qui touche le plus d'entreprises, précisément parce qu'elle ne dépend pas du niveau de risque du système. Il établit trois devoirs concrets :
1. Informer de l'interaction avec une IA. Lorsqu'une personne interagit avec un système d'IA (chatbot, assistant sur votre site, agent vocal au téléphone), elle doit le savoir, sauf si c'est évident. L'article 50, paragraphe 5, exige que l'information soit fournie « de manière claire et reconnaissable » au plus tard lors de la première interaction, pas dans un avis enfoui en petits caractères ni caché dans la politique de confidentialité.
2. Étiqueter les contenus synthétiques. Les fournisseurs de systèmes qui génèrent du son, des images, des vidéos ou du texte doivent marquer les résultats « dans un format lisible par machine » (article 50, paragraphe 2). Les déployeurs doivent signaler les hypertrucages (deepfakes) et les textes générés par IA publiés pour informer le public sur des questions d'intérêt public (article 50, paragraphe 4).
3. Informer dans des cas spécifiques, comme les systèmes de reconnaissance des émotions ou de catégorisation biométrique, lorsque leur usage est autorisé (article 50, paragraphe 3).
La Commission européenne a publié ses lignes directrices sur les obligations de transparence le 20 juillet 2026 et un code de bonnes pratiques volontaire sur le marquage et l'étiquetage des contenus générés par IA le 10 juin 2026.
Ce qui N'A PAS changé le 2 août : les obligations de documentation technique, de gestion des risques et d'évaluation de conformité des systèmes à haut risque ne sont pas entrées en vigueur. Elles ont été reportées. Confondre les deux mène à deux erreurs opposées, toutes deux coûteuses : croire qu'il n'y a rien à faire, ou croire qu'il faut tout faire immédiatement.
Le calendrier réel, dans l'ordre
L'AI Act s'applique par étapes de février 2025 à août 2028, après le report décidé par l'Omnibus.
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites (manipulation, notation sociale, reconnaissance des émotions au travail et dans l'éducation) et maîtrise de l'IA |
| 2 août 2025 | Obligations des modèles d'IA à usage général (GPAI) |
| 2 août 2026 | Transparence de l'article 50 pour toutes les organisations |
| 2 décembre 2026 | Marquage de l'article 50, paragraphe 2, pour les systèmes génératifs mis sur le marché avant le 2 août 2026, et les deux pratiques interdites ajoutées par l'Omnibus (hypertrucages sexuels réalisés sans consentement et matériel d'abus sexuel sur enfants) |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (biométrie, infrastructures critiques, éducation, emploi, services essentiels comme le crédit et l'assurance, répression, migration, justice) |
| 2 août 2028 | Systèmes à haut risque de l'annexe I (produits réglementés, comme les machines ou les dispositifs médicaux) |
Les reports de 2027 et 2028 proviennent du règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et en vigueur depuis le 27 juillet 2026, adopté en réponse à l'absence de normes harmonisées et à la pression sur la capacité d'adaptation des entreprises.
Notre avis sur l'usage de ce délai : ce n'est pas un sursis pour ne rien faire, c'est un sursis pour bien faire. Les systèmes construits aujourd'hui fonctionneront encore en décembre 2027. Concevoir dès maintenant la traçabilité et la supervision humaine coûte une fraction de ce que coûte les reconstruire sur un système en production : c'est exactement l'argument développé dans IA et recrutement, où le report a le plus d'impact.
Données clés du cadre réglementaire
L'article 50 s'applique à toutes les organisations depuis le 2 août 2026, sans exemption liée à la taille.
- Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 en vertu de l'article 113 du règlement (UE) 2024/1689, sans exemption liée à la taille de l'entreprise.
- Le règlement (UE) 2026/1744 a reporté les obligations haut risque de l'annexe III au 2 décembre 2027 et de l'annexe I au 2 août 2028.
- Selon l'article 99, les pratiques interdites peuvent être sanctionnées jusqu'à 7 % du chiffre d'affaires annuel mondial total, et les manquements aux autres obligations, dont celles de l'article 50, jusqu'à 3 %.
- L'AESIA, Agence espagnole de supervision de l'intelligence artificielle, a été créée par le décret royal 729/2023. La Commission européenne la recense comme point de contact unique de l'Espagne, avec une désignation nationale « en attente d'adoption définitive » (Commission européenne, septembre 2026) : le projet de loi organique qui la désignait autorité de surveillance du marché est devenu caduc le 6 octobre 2026, jour de la publication de la dissolution des Cortes.
- 49 % des entreprises espagnoles citent la réglementation et la gouvernance comme l'un des principaux freins à l'adoption de l'IA générative (Deloitte, 2026).
- Parmi les entreprises espagnoles de 10 salariés ou plus qui ont envisagé l'IA sans l'utiliser, 52,9 % invoquent un manque de clarté sur les conséquences juridiques (premier trimestre 2025, INE).
Ce qu'il faut vérifier cette semaine
Les entreprises qui utilisent l'IA face à des clients ou des salariés doivent vérifier sept points, à commencer par l'inventaire.
- Inventaire des systèmes d'IA. Ce que vous avez déployé, qui l'utilise, à quelle fin et quelles données sont traitées. Sans cet inventaire, rien d'autre n'est possible, et c'est la première chose qu'un contrôle demandera.
- Mention IA à tous les points de contact. Chatbot web, assistant dans l'application, agent vocal téléphonique, réponses automatiques par e-mail ou WhatsApp. Clairement affichée et au début de l'interaction.
- Étiquetage des contenus générés. Images, vidéos, audio et textes synthétiques publiés. Avec marquage lisible par machine lorsque c'est techniquement possible.
- Classification de risque par système. Déterminez lesquels relèvent de l'annexe III (RH, crédit, assurance, éducation, services essentiels). Même si leur échéance est décembre 2027, le savoir change vos décisions de conception aujourd'hui.
- Revue des pratiques interdites. La reconnaissance des émotions au travail et dans l'éducation est interdite depuis février 2025. Si un outil de votre stack le fait, c'est un problème actuel, pas futur.
- Clauses avec les fournisseurs. En tant qu'entreprise déployant le système, vous répondez de son usage. Exigez documentation technique, information sur les données et traçabilité exportable.
- Traçabilité et journalisation. Garder trace de ce qu'a fait le système et pourquoi. C'est l'exigence transversale du règlement, et la plus difficile à ajouter après coup.
Cas d'usage courants
Les projets AI Act les plus courants sont la mention IA des agents vocaux, l'étiquetage et l'inventaire des systèmes.
Cas 1 : Mention IA sur un agent vocal téléphonique.
- Problème : un agent vocal prend les appels sans indiquer qu'il s'agit d'un système automatique.
- Solution : message explicite en début de conversation, en langage naturel plutôt qu'en formule juridique, avec journalisation de la mention à chaque appel.
- Stack : ajustement du script d'ouverture + traçabilité de la mention.
- Résultat : conformité à l'article 50 sans dégrader l'expérience. En pratique, informer ne réduit pas le taux de résolution.
Cas 2 : Étiquetage des contenus générés en marketing.
- Problème : images et textes générés par IA publiés sans marquage.
- Solution : flux de publication intégrant des métadonnées de provenance et un étiquetage visible le cas échéant, intégré au CMS.
- Stack : métadonnées de provenance + politique éditoriale + validation dans le flux de publication.
- Résultat : l'étiquetage ne dépend plus de la mémoire de quelqu'un.
Cas 3 : Inventaire et classification de risque.
- Problème : l'entreprise ignore combien de systèmes d'IA elle a déployés, entre outils corporate et SaaS souscrits par chaque service.
- Solution : inventaire transversal, classification par niveau de risque et feuille de route des obligations applicables et de leurs dates.
- Stack : inventaire + matrice de classification + calendrier d'obligations.
- Résultat : le constat habituel est le même : il y a plus de systèmes d'IA en usage que personne n'en avait recensés.
Erreurs fréquentes (et comment les éviter)
L'erreur la plus fréquente avec l'AI Act est de croire que l'Omnibus a suspendu tout le règlement.
Erreur : croire que l'Omnibus suspend l'AI Act. → La réalité : il a reporté le calendrier haut risque, pas la transparence de l'article 50, qui s'applique depuis le 2 août 2026, ni les pratiques interdites, en vigueur depuis février 2025.
Erreur : penser que cela ne concerne que les grandes entreprises. → La réalité : l'article 50 ne distingue pas selon la taille. Si vous avez un chatbot sur votre site, cela vous concerne.
Erreur : placer la mention IA dans la politique de confidentialité. → La réalité : la règle exige une information claire au moment de l'interaction. Un lien en pied de page ne suffit pas.
Erreur : supposer que le fournisseur SaaS porte votre responsabilité. → La réalité : en tant qu'entreprise déployant le système, vous répondez de son usage. Les responsabilités coexistent, elles ne se substituent pas.
Erreur : attendre 2027 pour concevoir la traçabilité. → La réalité : les systèmes construits aujourd'hui fonctionneront encore à cette date. Ajouter traçabilité et supervision humaine à un système en production coûte bien plus cher et impose une interruption.
Erreur : traiter la conformité comme un document. → La réalité : la plupart des obligations sont des propriétés du système (traçabilité, supervision humaine effective, gouvernance des données), pas des paragraphes de rapport. Elles s'implémentent dans le logiciel ou elles n'existent pas.
Délais et effort réalistes
Les mentions de transparence, la partie urgente, prennent de 1 à 3 semaines ; l'inventaire des systèmes, de 2 à 4.
- Inventaire des systèmes d'IA et classification de risque : 2 à 4 semaines dans une entreprise de taille moyenne. Le délai dépend de la localisation des SaaS souscrits par chaque service.
- Déploiement des mentions de transparence sur tous les points de contact : 1 à 3 semaines. C'est la partie urgente et, techniquement, la plus simple.
- Étiquetage des contenus synthétiques intégré au flux de publication : 2 à 4 semaines.
- Traçabilité et supervision humaine sur les systèmes concernés : 6 à 12 semaines si le système est déjà en production ; quasiment sans surcoût de délai s'il est conçu ainsi dès le départ.
- Où se cache l'effort : dans l'inventaire. On découvre presque toujours des outils d'IA souscrits par le marketing, les RH ou le service client que personne n'avait recensés comme systèmes d'IA.
Indicateurs à suivre : couverture de l'inventaire (part de systèmes identifiés et classés), part de points de contact avec mention déployée, part de contenus générés étiquetés, couverture de traçabilité sur les systèmes à haut risque et état des clauses contractuelles avec les fournisseurs. Aucun de ces indicateurs n'est exotique, et tous peuvent être en place en un mois.
Questions fréquentes
Qu'est-ce qui est entré en vigueur le 2 août 2026 avec l'AI Act ?
Les obligations de transparence de l'article 50 pour toutes les organisations : informer clairement lorsqu'une personne interagit avec un système d'IA et étiqueter les contenus générés ou manipulés artificiellement, en format lisible par machine lorsque c'est techniquement possible. Les systèmes génératifs déjà sur le marché avant cette date ont jusqu'au 2 décembre 2026 pour marquer leurs résultats.
Le règlement Omnibus annule-t-il les obligations de l'AI Act ?
Non. Le règlement (UE) 2026/1744 a reporté les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. La transparence de l'article 50 et les pratiques interdites restent pleinement en vigueur.
Dois-je signaler que mon chatbot est une IA ?
Oui. Depuis le 2 août 2026, il faut informer clairement lorsqu'une personne interagit avec un système d'IA. La mention doit être visible au moment de l'interaction, pas un lien dans la politique de confidentialité ni une mention en pied de page.
Cela s'applique-t-il aux PME ou seulement aux grandes entreprises ?
L'article 50 ne distingue pas selon la taille. Si votre organisation déploie un système d'IA qui interagit avec des personnes (un chatbot, un assistant, un agent vocal), l'obligation de transparence s'applique de la même manière.
Quels systèmes sont considérés à haut risque ?
L'annexe III couvre huit domaines : biométrie, infrastructures critiques, éducation, emploi et RH, accès aux services privés et publics essentiels (dont l'évaluation de la solvabilité, l'assurance vie et santé et le triage des patients en urgence), répression, migration et contrôle aux frontières, administration de la justice et processus démocratiques. Leurs obligations s'appliquent à partir du 2 décembre 2027. Les dispositifs médicaux sont des produits réglementés de l'annexe I, à partir du 2 août 2028.
Quelles sanctions en cas de non-respect de l'AI Act ?
Les pratiques interdites peuvent être sanctionnées jusqu'à 7 % du chiffre d'affaires annuel mondial de l'entreprise. Les manquements aux autres obligations, dont les obligations de transparence de l'article 50, peuvent atteindre 3 %.
Qui supervise la conformité à l'AI Act en Espagne ?
L'AESIA, Agence espagnole de supervision de l'intelligence artificielle, est le point de contact unique de l'Espagne pour l'AI Act. Le projet de loi qui la désignait formellement autorité de surveillance du marché est devenu caduc avec la dissolution des Cortes du 6 octobre 2026 : sa désignation définitive reste donc en attente.
Faut-il étiqueter les textes générés par IA ?
Le contenu généré ou manipulé artificiellement doit être marqué, avec des nuances selon le type de contenu et sa finalité. Pour les images, l'audio et la vidéo l'obligation est plus nette ; pour le texte, elle s'applique dans certains cas, notamment lors d'une diffusion visant à informer le public sur des sujets d'intérêt général.
Savez-vous combien de systèmes d'IA votre entreprise a déployés ?
NAXIA commence ses projets AI Act par l'inventaire : on trouve presque toujours plus de systèmes d'IA que ceux recensés. Nous construisons des systèmes d'IA avec la conformité intégrée à la conception, pas ajoutée par-dessus : mentions de transparence à chaque point de contact, étiquetage des contenus générés, traçabilité de chaque décision et supervision humaine effective là où la règle l'exige.
Si vous voulez savoir quelles obligations s'appliquent aujourd'hui et lesquelles arrivent en 2027, parlons-en. Sans engagement et sans PowerPoint de 40 pages.
Ou explorez d'abord notre processus d'implémentation.
NAXIA est une agence espagnole d'intelligence artificielle et d'automatisation pour les entreprises de toutes tailles : elle conçoit, déploie et maintient des agents IA, des agents vocaux et des automatisations intégrés aux systèmes de chaque client. Fondée en 2024 et basée à Pampelune (Navarre), elle travaille avec des entreprises de toute l'Espagne et a livré plus de 20 projets.