Le règlement IA de l'UE et l'IA générative : ce que les utilisateurs de ChatGPT et de chatbots doivent savoir

Presque toutes les PME européennes utilisent désormais l'IA générative : ChatGPT pour la rédaction, Copilot dans la suite bureautique, un chatbot sur le site web. La bonne nouvelle, c'est qu'utiliser l'outil d'IA d'un tiers ne fait pas de vous son fournisseur, et le règlement IA de l'UE considère l'essentiel de ces usages comme à faible risque. Voici ce que vous devez réellement faire, en termes simples.

Vous découvrez le règlement ? Commencez par notre guide complet sur l'AI Act.

Vous êtes (généralement) un déployeur, pas un fournisseur

Le règlement répartit les obligations selon le rôle. Un fournisseur développe un système d'IA et le met sur le marché sous son propre nom, comme OpenAI, Microsoft, Anthropic ou Google (article 3(3)). Un déployeur utilise simplement un système d'IA dans le cadre de son activité (article 3(4)). Si vous utilisez ChatGPT, Copilot ou un chatbot tiers, vous êtes un déployeur, et les lourdes obligations de conception et de marquage incombent en amont au fournisseur, pas à vous.

Les règles de transparence (article 50)

L'article 50 constitue une couche légère de transparence qui s'applique à certains systèmes d'IA quel que soit leur niveau de risque. Il fixe quatre obligations, et il précise soigneusement à qui incombe chacune d'elles :

• Information sur les chatbots (50(1)), une obligation du fournisseur. Les systèmes d'IA qui interagissent avec des personnes doivent leur indiquer qu'elles ont affaire à une IA, sauf si cela est évident. Le fournisseur l'intègre dès la conception, si bien qu'un déployeur utilisant un outil conforme en hérite.
• Marquage des contenus générés par l'IA (50(2)), une obligation du fournisseur. Les systèmes qui génèrent des contenus audio, image, vidéo ou texte synthétiques doivent marquer le résultat de manière à ce qu'il soit lisible par machine et détectable comme artificiel. Là encore, c'est le fournisseur qui l'intègre.
• Reconnaissance des émotions et catégorisation biométrique (50(3)), une obligation du déployeur. Si vous exploitez un système qui lit les émotions ou catégorise les personnes de manière biométrique, vous devez en informer les personnes concernées et respecter le RGPD.
• Hypertrucages (deepfakes) et textes d'intérêt public (50(4)), une obligation du déployeur. Si vous publiez une image, un contenu audio ou une vidéo relevant de l'hypertrucage (deepfake), ou un texte généré par l'IA portant sur une question d'intérêt public, vous devez indiquer qu'il a été créé par une IA, sous réserve d'exceptions pour les services répressifs, les œuvres manifestement artistiques ou satiriques, et les textes ayant fait l'objet d'un véritable contrôle éditorial humain.

Dans tous les cas, l'information doit être claire et fournie au plus tard lors de la première interaction ou exposition (article 50(5)).

Alors, qu'est-ce qu'une PME type doit réellement faire ?

Si vous utilisez l'IA générative en interne ou exploitez un chatbot client reposant sur un outil conforme, votre propre exposition à l'article 50 est faible : il s'agit surtout de veiller à ce que les informations relatives aux émotions, à la biométrie ou à l'hypertrucage (deepfake) soient en place si vous menez ces activités. La seule obligation qui vous lie déjà aujourd'hui est la maîtrise de l'IA : depuis le 2 février 2025, l'article 4 impose aux fournisseurs comme aux déployeurs de prendre des mesures qui soutiennent la compréhension de l'IA par leur personnel. Consultez notre guide sur la maîtrise de l'IA.

Deux façons dont un usage ordinaire se transforme en obligation plus lourde

La position « je ne fais que l'utiliser » n'est pas un refuge permanent :

1. Vous renommez ou modifiez substantiellement un système. En vertu de l'article 25, un déployeur qui appose son propre nom sur un système à haut risque, en change la finalité ou le modifie substantiellement devient un fournisseur et hérite des obligations du fournisseur.
2. Votre usage relève d'un cas d'utilisation à haut risque. L'article 50 ne rend pas à lui seul un système à haut risque. Mais si vous utilisez l'IA générative pour une activité figurant à l'annexe III, comme le recrutement, la gestion des travailleurs, l'évaluation du crédit ou de l'assurance, l'éducation ou les services essentiels, il est à haut risque au titre de l'article 6, avec des obligations bien plus lourdes. La classification dépend des faits : testez votre cas d'utilisation réel.

Vous développez à partir d'un modèle ? Vous êtes peut-être fournisseur d'un modèle d'IA à usage général (GPAI)

Si vous allez au-delà de la simple utilisation d'un modèle et commencez à l'affiner ou le modifier de manière substantielle, vous pouvez devenir fournisseur d'un modèle d'IA à usage général (GPAI), même si vos obligations se limitent alors à votre modification (considérant 109). Les lignes directrices de la Commission de juillet 2025 ne vous considèrent comme un fournisseur de GPAI distinct que lorsque la puissance de calcul consacrée à vos modifications dépasse environ un tiers de la puissance de calcul d'entraînement du modèle d'origine ; un affinage léger vous maintient donc dans le rôle de déployeur. Consultez notre guide des obligations GPAI pour savoir ce qui change si vous franchissez cette limite.

Échéances

La maîtrise de l'IA s'applique dès à présent (2 février 2025). Les obligations de transparence de l'article 50 s'appliquent à partir du 2 août 2026. Le marquage lisible par machine des contenus synthétiques pour les systèmes déjà présents sur le marché a été reporté au 2 décembre 2026 par le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Notre guide des échéances en présente le tableau complet.

La transition de décembre 2026, et ceux qu'elle n'aide pas

Le répit de quatre mois sur le marquage lisible par machine est plus étroit qu'il n'y paraît, et cette page vous répète depuis le début que vous êtes probablement un déployeur — alors lisez ce passage deux fois. La transition découle d'un nouvel article 111(4), inséré par le Digital Omnibus, et sa rédaction tranche trois points :

« Les fournisseurs de systèmes d'IA, y compris les systèmes d'IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, qui ont été mis sur le marché avant le 2 août 2026 prennent les mesures nécessaires pour se conformer à l'article 50, paragraphe 2, d'ici au 2 décembre 2026. »

• Il lie les fournisseurs, pas les déployeurs. Si vous utilisez le système génératif d'un tiers, l'article 111(4) n'est pas votre transition. Vos obligations au titre de l'article 50 sont celles qui s'appliquent déjà.
• Il ne couvre que l'article 50(2). L'information sur l'interaction prévue au 50(1), celle sur la reconnaissance des émotions et la catégorisation biométrique prévue au 50(3), et celle sur l'hypertrucage (deepfake) qui incombe au déployeur au titre du 50(4) s'appliquent toutes pleinement depuis le 2 août 2026, sans le moindre délai de grâce.
• Le déclencheur, c'est le système, pas le contenu. Rien ne dépend du moment où un résultat donné a été généré. Ce qui compte, c'est de savoir si le système était sur le marché avant le 2 août 2026. Une fonctionnalité que vous avez lancée en septembre 2026 ne bénéficie d'aucune transition — l'article 50(2) lui est applicable dès le premier jour.

Le considérant 38 du règlement modificatif dit la même chose en toutes lettres : « une période transitoire de quatre mois pour les fournisseurs qui ont déjà mis leurs systèmes sur le marché avant le 2 août 2026 ».

Vérifiez le texte par vous-même

Chaque affirmation de cette page figure dans l'un de ces deux textes. L'article 50 et l'article 111 méritent d'être lus intégralement si vous développez à partir de modèles génératifs — ils sont courts.

• Règlement (UE) 2024/1689 — texte consolidé tel que modifié, 27 juillet 2026
• Règlement (UE) 2026/1744 — le Digital Omnibus sur l'IA, l'acte modificatif

Faites le point sur votre situation

Vous ne savez pas si votre usage de l'IA générative est à faible risque ou relève d'un cas d'utilisation à haut risque ? Le EU AI Act Snapshot gratuit tranche la question en deux minutes, sans inscription, et notre checklist de conformité en 9 étapes transforme le résultat en plan d'action. Les offres démarrent à EUR 0.