AI Act : transparence des chatbots, hypertrucages et contenus générés (article 50)

L’article 50 du règlement (UE) 2024/1689 sur l’intelligence artificielle (IA), dit AI Act, ne classe aucun système en haut risque : il oblige à dire. Il faut dire à une personne qu’elle parle à une IA, marquer ce qu’un modèle génère pour qu’une machine le reconnaisse, et étiqueter un hypertrucage pour qu’un humain ne le prenne pas pour vrai. Ces obligations s’appliquent depuis le 2 août 2026 et se répartissent entre fournisseur et déployeur. Le marquage a en plus une surface d’attaque que les plaquettes oublient volontiers.

→ Lire l’explication complète de la marmotte

Article 50 de l’AI Act : qui doit quoi, paragraphe par paragraphe

L’article 50 (chapitre IV, publié au JO, Journal officiel de l’Union européenne, L du 12 juillet 2024) découpe la transparence en obligations distinctes. Chacune a un débiteur précis, et la confusion entre fournisseur et déployeur est l’erreur la plus fréquente à la lecture. La qualification des rôles est détaillée dans la page sur les rôles fournisseur et déployeur.

Paragraphe	Qui	Quoi	Exceptions
§1	Fournisseur	Concevoir tout système destiné à interagir directement avec des personnes physiques de sorte qu’elles sachent interagir avec une IA	Cas évident pour une personne normalement informée, raisonnablement attentive et avisée, compte tenu des circonstances ; systèmes autorisés par la loi pour la prévention, la détection, les enquêtes et poursuites pénales, sauf s’ils sont ouverts au public pour signaler une infraction
§2	Fournisseur, y compris de systèmes d’IA à usage général	Marquer les sorties de synthèse (audio, image, vidéo, texte) dans un format lisible par machine, identifiables comme générées ou manipulées par une IA	Fonction d’assistance à la mise en forme standard ; absence de modification substantielle des données d’entrée du déployeur ou de leur sémantique ; usage pénal autorisé par la loi
§3	Déployeur	Reconnaissance des émotions ou catégorisation biométrique : informer les personnes exposées du fonctionnement du système et traiter les données selon le RGPD (règlement (UE) 2016/679), le règlement (UE) 2018/1725 et la directive (UE) 2016/680	Usage autorisé par la loi pour la prévention ou la détection des infractions pénales ou les enquêtes, avec des garanties appropriées ; au travail et à l’école, la reconnaissance des émotions est de toute façon interdite par l’article 5
§4 al. 1	Déployeur	Hypertrucage : indiquer que le contenu a été généré ou manipulé	Œuvre manifestement artistique, créative, satirique, fictive ou analogue : divulgation limitée à l’existence du contenu, sans entraver la jouissance de l’œuvre
§4 al. 2	Déployeur	Texte publié pour informer le public sur des questions d’intérêt public : indiquer qu’il a été généré ou manipulé	Examen humain ou contrôle éditorial, une personne physique ou morale assumant la responsabilité éditoriale
§5	Fournisseur et déployeur	Forme de l’information : claire, reconnaissable, au plus tard lors de la première interaction ou exposition, conforme aux exigences d’accessibilité	Aucune
§6	Tous	Sans incidence sur le chapitre III (haut risque) ni sur les autres obligations de transparence du droit de l’Union ou national	Sans objet
§7	Bureau de l’IA, Commission	Codes de bonne pratique sur la détection et l’étiquetage, approbation par acte d’exécution ou règles communes (art. 98 §2)	Sans objet

L’hypertrucage est défini à l’article 3, point 60 : une image, un contenu audio ou vidéo généré ou manipulé par l’IA, qui ressemble à des personnes, objets, lieux, entités ou événements existants et qui pourrait être perçu à tort comme authentique ou véridique. Une illustration manifestement stylisée d’un lieu imaginaire n’en est pas un. Une photo réaliste d’un dirigeant existant dans une situation inventée en est un, sans discussion.

Le §6 mérite une ligne de plus : un système peut cumuler haut risque et article 50. Un système de reconnaissance des émotions relève du §3 et peut en même temps tomber dans l’annexe III, ce qui se vérifie avec la classification haut risque. Le manquement à l’article 50 est sanctionné par l’article 99 §4 g) : jusqu’à 15 000 000 EUR ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME (petites et moyennes entreprises) et les jeunes pousses, l’article 99 §6 retient le plus faible des deux. Pour savoir si une situation donnée est conforme, il faut consulter un avocat ; cette page cite le texte et s’arrête là.

Arbre de décision : quel paragraphe de l’article 50 s’applique

Les paragraphes ne s’excluent pas : un même produit déclenche souvent trois branches. L’arbre se lit donc comme une liste de contrôle à parcourir en entier, pas comme un aiguillage qui s’arrête à la première réponse positive.

Le dessin doit montrer cinq losanges de décision empilés verticalement. Chaque branche positive ouvre une case d’obligation à droite, puis revient sur l’axe principal, sauf la branche « article 5 » qui se termine en impasse rouge. Une barre horizontale en bas rappelle que le §5 s’applique à toute case active.

Une recommandation sur Q1 : ne jamais faire reposer un agent conversationnel de support sur l’exception « c’est évident ». Le caractère évident s’apprécie du point de vue d’une personne raisonnablement attentive, pas de celui de l’équipe qui a passé six mois à régler la personnalité du bot pour qu’il paraisse humain. Une mention en tête de conversation ne coûte presque rien, alors qu’un contentieux sur ce qui était « évident » coûte cher.

Calendrier de l’article 50, code de bonnes pratiques et lignes directrices

L’article 50 s’applique depuis le 2 août 2026 (article 113). Le règlement omnibus (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, accorde un délai jusqu’au 2 décembre 2026, mais ce délai ne vaut que pour le marquage du §2 des systèmes mis sur le marché avant le 2 août 2026. Un système mis sur le marché après cette date n’y a pas droit, et les §1, §3 et §4 ne bénéficient d’aucun délai. Le reste du calendrier se trouve dans la page calendrier.

Deux documents encadrent la mise en œuvre :

Le code de bonnes pratiques sur la transparence des contenus générés par IA, dont la version finale a été publiée par la Commission le 10 juin 2026. Il comporte une section fournisseurs (marquage et détection) et une section déployeurs (étiquetage des hypertrucages et des textes). L’adhésion est volontaire. La Commission et le Comité IA l’ont jugé outil volontaire adéquat pour démontrer la conformité, mais ce n’est pas un acte d’exécution. Il retient une approche en plusieurs couches (métadonnées et filigrane imperceptible notamment) et un étiquetage visible pour le public.
Les lignes directrices de la Commission sur l’article 50. Un projet a été publié le 8 mai 2026 pour consultation, et aucune date de version finale n’a été annoncée. Elles sont à suivre, mais aucune conception ne doit reposer sur leur seul projet.

Recommandation : aligner l’architecture de marquage sur le code de bonnes pratiques, même sans y adhérer. La Commission et le Comité IA l’ont jugé adéquat pour démontrer la conformité ; une approche différente devra démontrer par ses propres moyens qu’elle satisfait au §2, ce qui revient à refaire le travail sans cette reconnaissance.

Chaîne fournisseur, déployeur, public : où le marquage se perd

Le §2 pèse sur le fournisseur, le §4 sur le déployeur, et entre les deux le contenu traverse des systèmes qui n’ont jamais entendu parler de l’AI Act. Le schéma suivant montre qui pose quoi, et à quel endroit la chaîne casse.

Le dessin attendu montre trois colonnes (fournisseur, déployeur, public). Les obligations sont en vert, et chaque point de perte porte un éclair rouge sur la flèche concernée.

Deux règles se dégagent. D’abord, le marquage machine du §2 ne remplace pas l’étiquette humaine du §4 : l’un sert aux plateformes et aux détecteurs, l’autre aux personnes, et le texte exige les deux pour un hypertrucage. Ensuite, recommandation : la mention du §1 et l’étiquette du §4 doivent être posées par le composant de rendu, jamais confiées au modèle. Une consigne système du type « commence par préciser que tu es une IA » est exécutée de façon probabiliste, une injection de prompt peut la neutraliser, et elle disparaît dès que la sortie passe par un gabarit de courriel qui tronque la première ligne. Une bannière injectée par le code d’affichage, elle, ne dépend pas de l’humeur du modèle.

Prérequis de mise en œuvre du marquage et de l’étiquetage

Avant toute ligne de code, il faut disposer de quatre éléments.

Un inventaire des systèmes et des canaux. Il ne suffit pas de lister « le chatbot » : il faut aussi chaque canal de sortie (web, application mobile, courriel, PDF, API (Application Programming Interface) exposée aux partenaires, SVI (serveur vocal interactif)). Le §5 s’applique canal par canal, et c’est dans les canaux oubliés que la mention manque.
La qualification du rôle pour chaque brique. Un déployeur qui met un système sur le marché ou le met en service sous son propre nom devient fournisseur au sens du règlement, et hérite alors du §1 et du §2. Cette bascule est traitée dans la page rôles et, pour le cas d’un modèle consommé par API, dans la page déployeur et modèle API.
Côté fournisseur, une infrastructure de signature. Le standard C2PA (Coalition for Content Provenance and Authenticity) existe déjà pour des métadonnées de provenance signées. Il lie un manifeste à l’empreinte du contenu par une signature fondée sur un certificat X.509. Ni le règlement ni le code ne l’imposent, mais c’est le format le plus outillé aujourd’hui. Il suppose une PKI (Public Key Infrastructure), des clés de signature gardées dans un HSM (Hardware Security Module) ou un KMS (Key Management Service), et un horodatage.
Côté texte, l’accès à la génération. Un filigrane de texte statistique se pose au moment où le modèle choisit ses jetons. Un déployeur qui consomme le modèle d’un tiers par API ne peut pas l’ajouter après coup. C’est donc au fournisseur de la brique de le faire, et le contrat doit le dire.

La formation des équipes qui publient relève de la maîtrise de l’IA (article 4). Un rédacteur qui ignore la définition de l’hypertrucage étiquettera tout ou rien, et les deux posent problème.

Surface d’attaque du marquage des contenus de synthèse

Le code de bonnes pratiques retient plusieurs couches, et aucune ne tient seule. Le schéma suivant oppose chaque couche aux attaques qui la font tomber.

Le dessin doit montrer trois bandes horizontales superposées (métadonnées en haut, filigrane au milieu, étiquette en bas), avec les attaques à droite sous forme de flèches qui percent chaque bande, et les contre-mesures à gauche sous forme de boucliers.

Les attaques en détail :

Retrait des métadonnées. C’est l’attaque la moins coûteuse, et elle est souvent involontaire : beaucoup de chaînes d’optimisation d’images suppriment les métadonnées par défaut pour gagner quelques kilo-octets. Une capture d’écran fait le même travail en une seconde. Le manifeste prouve la provenance quand il est présent, mais son absence ne prouve rien.
Affaiblissement ou contrefaçon de filigrane. Un filigrane imperceptible résiste à une partie des transformations, jamais à toutes. Sur l’audio, les codecs téléphoniques à bande étroite sont une épreuve sévère pour des schémas conçus pour l’audio large bande, et la robustesse se mesure au lieu de se supposer. À l’inverse, un attaquant qui dispose de nombreux échantillons marqués peut estimer le motif et l’apposer ailleurs.
Faux marquage d’un contenu authentique. C’est l’attaque la plus vicieuse : marquer comme « généré par IA » une vraie vidéo pour la discréditer. Un manifeste signé n’atteste que l’identité de celui qui signe, pas la véracité de ce qu’il déclare. Sans liste de confiance des émetteurs, n’importe quel certificat valide « prouve » ce qu’on veut.
Paraphrase d’un texte marqué. Le filigrane statistique de texte disparaît dès qu’un autre modèle reformule, ou qu’un humain réécrit un tiers des phrases. Toute protection contournable par un copier-coller dans un autre outil finit contournée par un copier-coller dans un autre outil.
Perte de la mention dans un canal secondaire. L’agent répond dans le widget avec sa bannière, puis envoie un récapitulatif par courriel, ou bien un partenaire consomme les réponses par API et les affiche dans sa propre interface. La mention du §1 doit suivre la réponse jusqu’à son point d’affichage, et le contrat avec le partenaire doit l’imposer. Un SVI qui annonce « conseiller virtuel » une fois, puis transfère vers une seconde voix synthétique sans rien dire, a perdu la mention au transfert.

Ce que le marquage et l’étiquetage ne garantissent pas

Le marquage du §2 est un signal de provenance, pas un détecteur de vérité. Trois limites restent irréductibles, et elles fixent ce qu’il faut demander ailleurs.

Un contenu non marqué n’est pas authentique pour autant. Les modèles ouverts exécutés localement, ceux des fournisseurs hors UE qui ne visent pas le marché européen et les contenus dont le marquage a été retiré produisent tous des sorties sans marque. Un processus qui traite « pas de filigrane » comme « vrai » a construit un tampon de certification pour les fraudeurs. Les limites des détecteurs a posteriori sont détaillées dans la page sur la détection des contenus générés.

Le marquage n’authentifie pas la source. Une voix qui demande un virement urgent peut être clonée à partir d’un modèle sans filigrane. La parade passe par l’authentification de l’émetteur (rappel sur un numéro connu, validation hors bande, signature des communications officielles), traitée dans la page sur la fraude à la voix clonée.

L’étiquette n’éclaire pas sur l’exactitude. Un texte d’intérêt public étiqueté « généré par IA » peut être faux, et un texte relu par un responsable éditorial, donc exempté au titre du §4 al. 2, peut l’être aussi. L’article 50 règle la transparence sur l’origine, pas la qualité, qui relève de la politique éditoriale et de la politique d’usage de l’IA générative.

Le compromis central se formule ainsi : chaque couche de marquage ajoutée coûte en clés, en calcul, en tests et en contrats avec les chaînes aval, et elle ne fait que réduire la proportion de contenus dont l’origine se perd. Recommandation : côté fournisseur, combiner métadonnées signées et filigrane, comme le prévoit le code, parce que chaque couche couvre une attaque que l’autre ne couvre pas. Côté déployeur, il faut investir d’abord dans l’étiquette visible posée par chaque canal, parce que c’est elle que le public voit et c’est elle qu’un contrôle vérifiera en premier. Cette recommandation vaut tant qu’aucun acte d’exécution ne fixe d’autre technique : à surveiller au titre du §7.

Conditions d’exploitation : clés de signature, non-régression, supervision, preuve

Un marquage qui fonctionnait en recette et se dégrade sans bruit en production ressemble trait pour trait à un certificat expiré : personne ne s’en rend compte avant qu’on vienne le chercher.

Clés de signature des métadonnées. Les clés qui signent les manifestes se gardent dans un HSM ou un KMS, jamais dans l’image du conteneur de génération. Il faut un certificat dédié par service de génération, une durée de vie courte, une rotation planifiée et une procédure de révocation testée. La révocation ne rend pas invalides les contenus déjà signés et diffusés, d’où l’horodatage qui permet de prouver qu’une signature date d’avant la compromission. Une clé volée permet de signer des manifestes au nom du fournisseur, donc de faux marquer des contenus authentiques : c’est l’actif le plus sensible de la chaîne.
Tests de non-régression à chaque version du modèle ou du pipeline. Il faut un corpus de sorties de référence, passé dans les transformations courantes (compression, redimensionnement, conversion de format, codec téléphonique pour l’audio, paraphrase pour le texte), avec mesure du taux de détection et vérification de la présence du manifeste. Un changement de bibliothèque d’encodage suffit à supprimer silencieusement les métadonnées : le test bloque le déploiement, il ne se contente pas d’alerter.
Supervision de la mention sur chaque canal. Une sonde synthétique doit ouvrir régulièrement une conversation, appeler le SVI, déclencher l’envoi d’un courriel et générer un export PDF, puis vérifier la présence et la position de la mention. L’accessibilité exigée par le §5 se teste aussi : une bannière que le lecteur d’écran ignore ne compte pas.
Preuve conservée. Il faut conserver le texte de la mention et ses versions datées, les résultats des tests de non-régression, les traces de contrôle éditorial invoquées pour l’exemption du §4 al. 2 (qui a relu, quand, sous quelle responsabilité) et les journaux de première exposition. Sans trace, une exemption éditoriale n’est qu’une affirmation. Les obligations générales du déployeur sont regroupées dans la page obligations du déployeur.
Reprise. En cas d’indisponibilité du service de signature, il faut décider d’avance si la génération s’arrête ou continue sans manifeste. Recommandation : l’arrêt (fail closed) pour les images et vidéos réalistes, la poursuite journalisée pour les usages internes non publiés.

Exemple : une mutuelle fictive avec agent conversationnel, SVI vocal et générateur d’images

Une mutuelle fictive déploie trois briques : un agent conversationnel de support bâti sur le modèle d’un tiers consommé par API, un SVI vocal à synthèse de voix, et un générateur d’images pour ses campagnes. Le schéma ci-dessous répartit les obligations.

Le dessin doit montrer trois couloirs horizontaux (texte, voix, image), chacun avec le fournisseur à gauche, la mutuelle au centre et le public à droite. Les cases d’obligation sont colorées selon le débiteur.

En prose :

Agent conversationnel. La mutuelle n’a pas acheté un chatbot, elle a intégré un modèle dans un système qu’elle met en service sous son nom : elle devient fournisseur de ce système et le §1 lui revient. Le fournisseur du modèle reste tenu au marquage §2 de ses sorties texte, ce que la mutuelle ne peut pas ajouter elle-même. La mention doit suivre la réponse dans le courriel de suivi et l’export PDF de la conversation, pas seulement dans le widget.
SVI vocal. Acheté clé en main et utilisé tel quel, il laisse l’éditeur fournisseur, et la mutuelle déployeur. L’annonce doit arriver dès le décroché, avant la première question. Si la voix de synthèse reproduisait celle d’un employé réel, elle deviendrait un hypertrucage audio au sens de l’article 3, point 60 : recommandation, ne pas le faire, l’économie de casting ne vaut pas l’étiquette permanente. L’option de détection de la colère fait basculer la mutuelle dans le §3 pour les appelants et impose d’examiner la classification haut risque ; appliquée aux conseillers, elle tombe sous l’interdiction de l’article 5.
Générateur d’images. Le fournisseur marque, et la chaîne web de la mutuelle ne doit pas supprimer ce marquage : c’est un réglage à vérifier dans l’outil d’optimisation. Une photo réaliste de « l’agence de Lyon » qui n’a jamais été photographiée est un hypertrucage et porte une étiquette visible, incrustée dans l’image pour résister au recadrage le plus grossier. Une tortue en aquarelle qui tient un parapluie ne trompe personne.

🐝 Ce qui arrive si on s’en passe

Sans mention posée par le composant de rendu, la réponse de l’agent arrive dans le courriel ou le serveur vocal sans signaler sa nature, et la non-conformité au §1 se répète à chaque envoi sans qu’aucune alerte ne se déclenche. Sans test de non-régression, une mise à jour d’encodeur supprime les manifestes et le fournisseur continue de déclarer un marquage qui n’existe plus. Sans garde de la clé de signature, celui qui la récupère peut signer au nom du fournisseur des déclarations « généré par IA » sur des contenus authentiques. Sans preuve conservée, l’exemption éditoriale du §4 al. 2 ne se démontre plus, et le texte qu’on croyait exempté redevient un texte non étiqueté.

🦫 Explication de la marmotte 🍫

Depuis août 2026, une loi européenne oblige à prévenir les gens quand une intelligence artificielle intervient. Elle répartit ce travail entre deux acteurs : celui qui fabrique le programme (le fournisseur) et celui qui l’utilise auprès du public (le déployeur). Le fabricant d’un robot de discussion doit faire en sorte que la personne sache, dès le premier message, qu’elle ne parle pas à un humain. Le fabricant d’un programme qui crée des images, des sons ou des textes doit glisser dans chaque fichier une marque que les ordinateurs savent lire. Cette marque peut être une information signée attachée au fichier ou un motif invisible mêlé aux pixels ou aux mots. L’utilisateur qui publie une fausse image réaliste d’une personne ou d’un lieu réel doit ajouter une mention visible. Il doit faire de même pour un texte d’actualité écrit par la machine, sauf si un responsable humain l’a relu et en répond. Ces marques sont fragiles : une capture d’écran efface l’information attachée, une reformulation détruit le motif caché dans un texte, et un courriel automatique peut perdre l’avertissement. Un fichier sans marque n’est pas forcément vrai, car beaucoup de programmes n’en posent aucune. Il faut donc tester les marques à chaque mise à jour, protéger la clé qui sert à les signer, vérifier la mention sur chaque canal et garder des preuves. Une entreprise qui ignore ces règles risque une amende qui peut atteindre quinze millions d’euros, ou davantage pour les très grandes entreprises, puisque le plafond monte alors à 3 % de leur chiffre d’affaires mondial.

Pages voisines

La citent

AI Act : transparence des chatbots, hypertrucages et contenus générés (article 50)

Elle cite

: les deux pages se citent l’une l’autre.

AI Act : transparence des chatbots, hypertrucages et contenus générés (article 50)

AI Act : transparence des chatbots, hypertrucages et contenus générés (article 50)

Article 50 de l’AI Act : qui doit quoi, paragraphe par paragraphe

Arbre de décision : quel paragraphe de l’article 50 s’applique

Calendrier de l’article 50, code de bonnes pratiques et lignes directrices

Chaîne fournisseur, déployeur, public : où le marquage se perd

Prérequis de mise en œuvre du marquage et de l’étiquetage

Surface d’attaque du marquage des contenus de synthèse

Ce que le marquage et l’étiquetage ne garantissent pas

Conditions d’exploitation : clés de signature, non-régression, supervision, preuve

Exemple : une mutuelle fictive avec agent conversationnel, SVI vocal et générateur d’images

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines