AI Act Article 50 : vos chatbots devront dire qu'ils sont une IA au 2 août 2026

Le 10 juin 2026, Bruxelles publie le code que la moitié des DSI n'a pas lu

Beaucoup de directions générales françaises ont rangé l'EU AI Act dans le tiroir « dossier 2027 ». Le Digital Omnibus (accord politique de mai 2026, sous réserve d'adoption formelle) doit repousser les obligations annexe III — scoring, RH, biométrie — au 2 décembre 2027.¹ Nous avions détaillé ce report et ses limites le 9 mai.

Le 10 juin, à Bruxelles, l'AI Office publie le Code de Pratique sur la transparence des contenus générés par IA.² Le texte n'a pas fait la une. Il aurait dû.

Mais attention au contresens le plus fréquent : ce Code ne porte pas sur l'obligation « mon chatbot doit dire qu'il est une IA ». Celle-là, c'est l'Article 50(1), une obligation de design produit qui s'impose au 2 août 2026, signature ou pas. Le Code, lui, outille un autre volet — le marquage des contenus générés par IA.

Le Code couvre deux sections distinctes. La première vise les fournisseurs de systèmes d'IA générative et fixe les règles de marquage technique (métadonnées signées numériquement, watermarking imperceptible) pour rendre un contenu IA détectable — Article 50(2).³ La seconde vise les déployeurs et fixe les règles d'étiquetage des deepfakes et des textes IA d'intérêt public — Article 50(4).³

Deux volets techniques, donc — et aucun des deux ne remplace l'obligation chatbot de l'Article 50(1).

Le Code de Pratique : un volet optionnel, dont la première liste ferme le 22 juillet

Pour figurer dans la première liste publique de signataires, un fournisseur ou un déployeur concerné par 50(2) ou 50(4) doit déposer son formulaire avant le 22 juillet 2026 à 18 h 00 CEST.⁴ Mais la signature est volontaire et reste possible à tout moment ensuite : ne pas signer, ou signer après le 22 juillet, n'est pas une non-conformité.⁴

Sous réserve d'une évaluation positive de la Commission et du AI Board, cette signature aide à démontrer la conformité aux obligations Article 50(2) — marquage des contenus IA — et Article 50(4) — étiquetage des deepfakes et des textes IA d'intérêt public.²⁴ En pratique : l'autorité française qui contrôle vous demande votre Code, vous le présentez, l'instruction est plus directe. Si vous n'avez pas signé, vous devez démontrer cas par cas, document à l'appui, que votre dispositif satisfait aux obligations pertinentes des articles 50(2) et 50(4) — la non-signature n'est pas en soi une non-conformité, mais elle déplace la charge de la preuve sur vous.

La signature est volontaire. La conformité au 2 août 2026, elle, ne l'est pas.

Au-delà du 22 juillet, vous pouvez encore signer plus tard — vous perdez seulement le créneau de visibilité de la première liste publique.

Article 50(1) : votre chatbot doit dire qu'il est une IA — et le Digital Omnibus n'y change rien

C'est le point le plus mal compris dans le tissu ETI français — et, on vient de le voir, ce n'est pas le Code qui le règle.

L'Article 50(1) de l'AI Act impose à tout fournisseur d'un système d'IA conçu pour interagir directement avec une personne physique de concevoir le système de manière à ce que l'utilisateur soit informé qu'il dialogue avec une IA, au plus tard lors de la première interaction.⁵⁶ Cette obligation entre en application le 2 août 2026.² Le Digital Omnibus n'a pas touché à cette date.

Deux exceptions seulement : que ce soit déjà évident pour une personne raisonnablement informée et attentive, ou un usage autorisé par la loi à des fins répressives.⁵ En relation client, seule la première compte — et une formulation enfouie dans des CGU, une icône discrète en pied de page ou une mention vague à « un assistant » ne suffit pas.⁶ La divulgation doit être perceptible dans l'interaction elle-même.

La sanction est lourde. L'Article 99 prévoit pour un manquement aux obligations Article 50 une amende administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel consolidé de l'exercice précédent, le montant le plus élevé étant retenu.⁷

En France, la surveillance du marché passe par la DGCCRF en coordination avec les autorités sectorielles, et par la CNIL pour les traitements de données personnelles.⁸ Une assurance qui exploite un chatbot de selfcare, une banque qui automatise ses appels entrants avec un callbot, une mutuelle qui qualifie ses emails entrants avec un mailbot tombent toutes dans le périmètre Article 50(1).

Trois scénarios français concrets qui basculent au 2 août

Trois scénarios-types d'organisations concernées — illustratifs, pas des références clients.

Scénario 1 — Une mutuelle santé sous ACPR et HDS, avec un fort volume d'emails entrants. Un mailbot qualifierait les demandes d'adhérents et rédigerait des projets de réponse pour le gestionnaire. L'Article 50(1) impose une divulgation IA visible à l'adhérent dès le premier message reçu (par exemple, une mention claire et lisible en haut du corps d'email indiquant que la qualification est assistée par IA et qu'un gestionnaire valide). Et comme le mailbot génère du texte, l'Article 50(2) — marquage machine-lisible des contenus produits — peut aussi entrer en jeu : c'est là, et seulement là, que signer le Code aide à démontrer la conformité (sous réserve d'évaluation positive par la Commission et l'AI Board). Ne pas signer oblige simplement à démontrer cette conformité autrement, dossier à l'appui.

Scénario 2 — Une banque privée régionale sous DORA et ACPR. Un callbot qui absorberait les pics d'appels entrants du service client patrimonial. L'Article 50(1) impose une divulgation IA au décrochage. Pas une mention juridique de huit secondes. Une phrase courte, claire, immédiate : « Bonjour, vous parlez à un assistant vocal automatisé qui peut vous orienter ou vous mettre en relation avec un conseiller. » Si l'appelant veut un humain, la passerelle existe et fonctionne. Ici, l'enjeu réel est cette divulgation au décrochage — 50(1), du pur design produit. Le Code (50(2)/50(4)) ne concerne quasiment pas un callbot de relation client : il n'y a ni contenu de synthèse publié, ni deepfake à étiqueter.

Scénario 3 — Un distributeur e-commerce français à fort trafic chatbot. Un chatbot d'assistance répondrait aux questions de livraison, gérerait les retours, proposerait un produit similaire en cas de rupture. L'Article 50(1) impose une divulgation visible à l'ouverture de la conversation. L'Article 50(2) n'ajoute un marquage technique que si une partie des sorties est destinée à être publiée — par exemple un récapitulatif IA d'avis clients agrégés affiché sur une fiche produit. Pour le fil de conversation lui-même, c'est la transparence 50(1) qui prime.

Dans les trois scénarios, l'échéance qui tombe le 2 août, c'est la transparence (50(1)). Le 22 juillet ne concerne que ceux qui veulent figurer sur la première liste de signataires du Code — et seulement s'ils sont concernés par le marquage de contenus (50(2)/50(4)).

Ce que ça change pour une entreprise française

Le Digital Omnibus a soulagé les directions générales sur l'annexe III. Il n'a pas touché à l'obligation chatbot. La dissociation est claire dans le texte ; elle est encore floue dans la perception des CODIR.

Première vigilance : ne pas confondre les dates. Le 2 décembre 2027 s'applique aux systèmes haut risque annexe III (scoring crédit, sélection RH, biométrie, accès aux services publics).¹ Le 2 août 2026 s'applique à l'Article 50(1) chatbot, à tout système qui parle à un client, un assuré, un adhérent ou un usager. Le 2 décembre 2026 est une période transitoire — prévue par l'accord Omnibus, sous réserve d'adoption — pour les systèmes déjà mis sur le marché avant le 2 août 2026, le temps de mettre en place le marquage et la détection des contenus de l'Article 50(2).¹

Deuxième vigilance : signer le Code n'entraîne aucun frais, mais ce n'est pas un geste anodin — c'est un engagement juridique. Le formulaire engage l'entreprise à mettre en place les mesures techniques prévues par le Code pour le marquage et la détection des contenus IA — solutions machine-readable, robustes, interopérables, fiables — sans imposer une pile technique unique (les métadonnées C2PA, le watermarking imperceptible et la journalisation des divulgations sont des exemples d'implémentations, pas une liste obligatoire). Une DSI qui signe sans valider chez son éditeur la disponibilité de mesures effectives signe une promesse qu'elle ne tiendra pas. La règle interne devient : signature après validation contractuelle avec chaque éditeur d'IA conversationnelle utilisé.

Troisième vigilance : les sanctions s'additionnent. L'amende Article 50 de 15 M€ ou 3 % du chiffre d'affaires⁷ ne remplace pas l'amende RGPD (4 % du CA) si les données personnelles sont mal traitées en parallèle. Pour une banque privée régionale au chiffre d'affaires de 800 M€, 3 % représentent 24 millions d'euros par manquement. Pour une mutuelle de 600 M€ de cotisations, 18 millions. Ce n'est pas un coût de mise en conformité, c'est un risque de comité d'audit.

Quatrième vigilance : la divulgation chatbot ne se résume pas à une bannière de cookies. Les autorités françaises et européennes regarderont si l'utilisateur a réellement compris qu'il parle à une machine. Une phrase contractuelle invisible ne passe pas. Une mention orale au décrochage, un libellé visible dans le widget de chat, une mention claire en haut du corps d'email : trois patterns acceptables. Webotit.ai, acteur français de l'IA conversationnelle pour ETI régulées, conçoit ses chatbots, callbots et mailbots pour intégrer ces patterns de divulgation, afin que la mise en conformité Article 50(1) ne dépende pas d'un travail manuel client par client.

Trois décisions à prendre d'ici le 2 août

Pour une DSI ou une direction relation client française, voici la séquence opérationnelle réaliste.

D'ici le 8 juillet — cartographier. Lister tous les systèmes conversationnels exposés à un utilisateur externe (client, assuré, adhérent, usager, candidat) ou à un utilisateur interne couvert par le droit du travail. Inclure les chatbots de site, les widgets dans une app mobile, les callbots de centre de relation client, les mailbots qui rédigent des emails sortants, les agents IA déployés dans un CRM. Documenter, pour chaque système, le fournisseur du modèle, l'éditeur de la solution et l'endroit où la divulgation IA apparaît aujourd'hui.

D'ici le 18 juillet — valider techniquement. Pour les systèmes qui génèrent ou publient du contenu (et sont donc concernés par 50(2)/50(4)), demander à chaque éditeur la confirmation écrite qu'il met en place les mesures techniques attendues par le Code : marquage et détection machine-readable des contenus IA, solutions robustes et interopérables, journal d'audit. Les implémentations concrètes (métadonnées C2PA, watermarking imperceptible) sont des exemples d'options à valider, pas une obligation. Si l'éditeur ne sait pas répondre en 10 jours, c'est un signal contractuel.

D'ici le 2 août — être transparent ; et, en option, signer. Au 2 août, chaque système conversationnel doit afficher sa divulgation IA (50(1)) : c'est la seule échéance qui ne se négocie pas. Si vous êtes concerné par le marquage de contenus (50(2)/50(4)) et que la grille technique est tenue, vous pouvez déposer le formulaire de signature auprès de l'AI Office — avant le 22 juillet pour la première liste publique, ou plus tard. Sinon, documentez en interne votre plan de mise en conformité. Et estimez le retour sur investissement de la mise à niveau, parce qu'un dossier bien chiffré passe mieux en COMEX qu'un dossier porté seul par le juridique.

Limite à dire en CODIR : signer le Code ne rend pas l'entreprise conforme à l'AI Act. Sous réserve d'évaluation positive par la Commission et l'AI Board, il aide à démontrer la conformité aux obligations 50(2) et 50(4) sur le marquage et l'étiquetage des contenus générés. La conformité 50(1) — l'obligation de dire que c'est une IA — repose toujours sur le design produit, pas sur la signature. Et la non-signature n'est pas en soi une non-conformité.

Conclusion

Le Digital Omnibus n'a pas annulé l'AI Act, il a rangé l'annexe III à un horizon plus long. Pour tout dirigeant qui pilote un chatbot, un callbot ou un mailbot en France, le calendrier qui compte n'est pas décembre 2027. C'est le 2 août 2026 — la date où votre système doit dire qu'il est une IA. Le 22 juillet n'est qu'une option : la première liste de signataires d'un Code qui, lui, ne porte que sur le marquage des contenus générés.

Une DSI qui n'a pas signé le Code au 22 juillet n'est pas en faute : la signature reste ouverte, et elle est de toute façon optionnelle. Ce qui n'attend pas, c'est la transparence elle-même — au 2 août, le chatbot doit annoncer qu'il est une IA.

Vous voulez cadrer la conformité Article 50 de vos chatbots, callbots et mailbots avant le 2 août ? Discutez-en avec nos équipes spécialisées en IA conversationnelle ou estimez le retour sur investissement d'une mise en conformité ciblée.

Questions frequentes

L'Article 50 de l'AI Act s'applique-t-il à un chatbot interne RH ?+

Oui dès que le chatbot interagit directement avec un salarié, un candidat ou un prestataire qui peut être qualifié de personne physique au sens du règlement. La divulgation IA est obligatoire dès la première interaction, sauf si l'interlocuteur est manifestement informé qu'il parle à une machine. Un chatbot RH qui répond aux questions de paie ou aux candidatures entre clairement dans ce périmètre.

Faut-il signer le Code de Pratique pour être conforme à l'AI Act ?+

Non. La signature est volontaire et reste possible à tout moment, y compris après le 22 juillet 2026. Sous réserve d'une évaluation positive de la Commission et du AI Board, elle aide à démontrer la conformité aux obligations Article 50(2) — marquage des contenus IA — et Article 50(4) — étiquetage des deepfakes et textes d'intérêt public. La conformité à l'Article 50(1) — divulgation chatbot — relève du design produit, indépendamment de la signature. Ne pas signer n'est pas en soi une non-conformité.

Quelles sont les sanctions en cas de manquement à l'Article 50 ?+

L'Article 99 du règlement prévoit une amende administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel consolidé de l'exercice précédent, le montant le plus élevé étant retenu. Pour une banque privée régionale de 800 M€ de chiffre d'affaires, le plafond atteint 24 millions d'euros. Les sanctions s'additionnent aux amendes RGPD si des données personnelles sont mal traitées.

Quelle est la différence entre le Digital Omnibus du 7 mai 2026 et le Code de Pratique du 10 juin 2026 ?+

Le Digital Omnibus repousse les obligations applicables aux systèmes haut risque annexe III du 2 août 2026 au 2 décembre 2027. Il ne touche pas l'Article 50, qui reste applicable au 2 août 2026 pour la transparence chatbot (50(1)), le marquage (50(2)) et l'étiquetage (50(4)). Le Code de Pratique du 10 juin 2026 est l'outil que la Commission propose pour démontrer la conformité aux obligations 50(2) et 50(4), avec une fenêtre de signature pour la première liste qui ferme le 22 juillet 2026 (signature volontaire, possible ensuite à tout moment).

Qui contrôle l'application de l'Article 50 en France ?+

La surveillance du marché AI Act en France s'organise autour de la DGCCRF comme point de contact coordinateur avec les autorités sectorielles ; la CNIL reste compétente pour les traitements de données personnelles au titre du RGPD. Les régimes sectoriels comme l'ACPR (banque, assurance) et la certification HDS (hébergement de données de santé) s'appliquent indépendamment de l'AI Act et ne disparaissent pas avec lui.

Sources et references

1. [1]
2. [2]
3. [3]
4. [4]
5. [5]
6. [6]
7. [7]
8. [8]