Commerce de détail, e-commerce et centres d'appels — Conformité au règlement IA de l'UE

Obligations au titre du règlement IA de l'UE pour le commerce de détail et les centres d'appels : divulgation des chatbots, transparence de la reconnaissance émotionnelle, surveillance des employés et IA orientée client. Couvre l'Art. 50 et l'Annexe III.

Commerce de détail, e-commerce et centres d'appels au regard du règlement IA de l'UE

Le secteur du commerce de détail et de l'e-commerce est l'un des utilisateurs les plus intensifs de l'intelligence artificielle. Dès qu'un client accède à un site web, l'IA détermine quels produits sont affichés, quel prix est proposé, quelles promotions sont mises en avant, et comment les demandes du service client sont traitées. Dans les centres d'appels, l'IA accompagne les agents en temps réel, note les conversations et infère l'émotion des clients à partir de signaux vocaux. Le règlement IA de l'UE, en vigueur depuis le 1er août 2024, avec les principales obligations de transparence applicables à partir du 2 février 2025 et les obligations relatives aux systèmes à haut risque à partir du 2 août 2026, impose un cadre de conformité structuré à l'ensemble de ce secteur.

Il est fondamental de noter que le règlement IA ne traite pas toutes les IA du commerce de détail de manière identique. Le règlement établit une distinction précise entre les systèmes soumis uniquement à des obligations de transparence — qui représentent la majorité des IA orientées consommateur dans ce secteur — et les systèmes classifiés comme à haut risque, qui supportent l'ensemble des obligations : évaluation de la conformité, documentation technique, systèmes de gestion de la qualité et exigences de supervision humaine. Déterminer à quelle catégorie appartient chaque système déployé est la tâche de conformité fondamentale pour les acteurs du commerce de détail et les opérateurs de centres d'appels.

Le secteur est simultanément régi par le RGPD, la Directive sur les droits des consommateurs (2011/83/UE), la Directive sur les pratiques commerciales déloyales (2005/29/CE), le règlement P2B (UE 2019/1150) et, pour les centres d'appels, par les régimes de droit du travail nationaux relatifs à la surveillance des employés. Le règlement IA ajoute une couche supplémentaire mais ne remplace pas ces cadres existants.

Obligations de transparence de l'Art. 50 — La couche de conformité principale

Pour la majorité des déploiements d'IA dans le commerce de détail et l'e-commerce, l'Art. 50 du règlement IA de l'UE constitue la disposition opérationnelle applicable. Ses obligations s'appliquent à partir du 2 février 2025 et ne sont pas conditionnées à une classification à haut risque. Le non-respect peut faire l'objet de sanctions indépendamment du calendrier applicable aux systèmes à haut risque.

Divulgation des chatbots et des IA conversationnelles — Art. 50(1)

L'Art. 50(1) impose une obligation de divulgation obligatoire à tout déployeur d'un système d'IA conversationnel — un système conçu pour interagir avec des humains en langage naturel — l'obligeant à informer les utilisateurs qu'ils interagissent avec une IA, sauf si cela ressort clairement des circonstances.

Dans le contexte du commerce de détail, cette obligation s'applique :

• Aux chatbots de site web et aux robots de chat en direct — notamment les widgets de chat propulsés par des grands modèles de langage, les chatbots à règles avec compréhension améliorée par IA, et les systèmes hybrides.
• Aux voicebots et à l'IA de SVI — les systèmes téléphoniques automatisés qui traitent les demandes entrantes des clients via une IA vocale, y compris les systèmes de réponse vocale interactive améliorés par IA.
• Aux assistants virtuels intégrés aux applications — les fonctions d'aide propulsées par IA intégrées dans les applications de vente au détail, les applications de programmes de fidélité, ou les applications à vocation bancaire proposées par des enseignes.
• Aux bots de service client sur les réseaux sociaux — les agents IA qui répondent aux messages sur WhatsApp, Instagram ou Messenger au nom d'un commerçant.

L'exemption pour « évidence des circonstances » est d'interprétation stricte. Un chatbot prénommé « Emma » ou décrit comme un « assistant virtuel » ne satisfait pas ce seuil. Un en-tête indiquant « Vous êtes en communication avec un système IA automatisé — aucun agent humain n'est impliqué » serait suffisant. Les acteurs du commerce de détail ne peuvent pas se fonder sur l'inférence du consommateur — la divulgation doit être explicite, effectuée lors du premier contact ou avant celui-ci, et présentée de manière compréhensible pour le consommateur ordinaire.

L'obligation incombe au déployeur — l'enseigne ou l'opérateur du centre d'appels — et non exclusivement au fournisseur de technologie. Les dispositions contractuelles transférant la responsabilité de la divulgation au prestataire ne libèrent pas le déployeur de son obligation réglementaire.

Divulgation de la reconnaissance émotionnelle — Art. 50(2)

L'Art. 50(2) impose que toute personne exposée à un système de reconnaissance des émotions soit informée de son fonctionnement. Un système de reconnaissance des émotions est un système d'IA qui infère des états émotionnels à partir de signaux physiologiques ou comportementaux — expressions faciales, tonalité de la voix, rythme de la parole, choix des mots, ou micro-expressions.

Dans le secteur du commerce de détail et des centres d'appels, cette obligation s'applique :

• À l'analyse du sentiment client lors des appels — l'IA qui analyse les caractéristiques acoustiques ou linguistiques de la voix d'un client pour inférer sa frustration, sa satisfaction ou son état émotionnel lors d'une interaction avec un centre d'appels. Le client doit être informé que cette analyse est en cours.
• À l'analyse des comportements clients en magasin — les systèmes de caméras assistés par IA qui tentent d'inférer l'émotion ou l'attention des clients à partir de leurs expressions faciales. Lorsque le système répond à la définition d'un système de reconnaissance des émotions, une divulgation en magasin est requise.
• À l'analyse vocale des agents — l'analyse du sentiment ou des émotions appliquée à la propre voix de l'agent du centre d'appels (abordée plus en détail ci-dessous dans la section relative à la surveillance des employés).

La divulgation doit être effectuée avant que le système de reconnaissance des émotions commence à traiter les données. Pour les canaux téléphoniques, cela nécessite généralement une annonce SVI ou une notification verbale au début de l'appel. Le silence — y compris les messages audio qui ne mentionnent que l'enregistrement des appels sans évoquer l'analyse émotionnelle par IA — ne satisfait pas à l'obligation de l'Art. 50(2).

Médias synthétiques générés par IA — Art. 50(4)

L'Art. 50(4) impose que les médias générés ou manipulés par IA — images, vidéos et audio — soient signalés comme artificiellement générés ou manipulés lorsqu'il existe un risque que les utilisateurs les croient authentiques.

Les applications propres au commerce de détail entrant dans ce champ comprennent :

• Les images de produits générées par IA : images de produits, d'espaces ou de scènes de mode de vie produites par IA générative et présentées comme des photographies authentiques dans des fiches produit ou des publicités.
• Les vidéos promotionnelles générées par IA : vidéos de marque, contenus de type témoignage, ou supports marketing dont le contenu visuel ou audio est substantiellement généré par IA.
• La narration vocale générée ou clonée par IA utilisée dans des démonstrations de produits, des contenus de marque ou des communications clients.
• L'IA d'essayage virtuel qui génère des images synthétiques d'un client portant ou utilisant un produit — lorsque le résultat est présenté comme une représentation fidèle.

L'obligation de marquage ne requiert pas que l'origine IA soit dissimulée pour déclencher la conformité — le critère est de savoir si un consommateur pourrait raisonnablement confondre le contenu avec une photographie ou une vidéo authentique. L'absence de marquage crée également une exposition au titre de la Directive sur les pratiques commerciales déloyales (2005/29/CE), qui interdit l'utilisation de contenu éditorial pour promouvoir des produits sans indiquer clairement qu'il s'agit d'un contenu payant ou artificiellement produit.

IA de surveillance des employés dans les centres d'appels — Classification à haut risque

Les centres d'appels déploient couramment des systèmes d'IA pour surveiller, noter, évaluer et accompagner les agents en temps réel. Lorsque ces systèmes entrent dans le champ de l'Annexe III, catégorie 4, l'ensemble des obligations applicables aux systèmes à haut risque s'applique.

IA de coaching des agents et de guidage en temps réel

L'IA de coaching des agents en temps réel — les systèmes qui surveillent les appels en direct et fournissent aux agents des conseils, des scripts, des rappels de conformité ou des retours sur leur état émotionnel durant l'appel — se situe à l'intersection des cat. 4(b) et cat. 4(c). Lorsque le système surveille la conformité de l'agent à ses obligations contractuelles (normes de traitement des appels, scripts réglementaires), la cat. 4(b) s'applique. Lorsqu'il infère l'état émotionnel ou comportemental de l'agent et génère des alertes ou des signaux de performance à partir de cette inférence, la cat. 4(c) s'applique.

Les deux sous-catégories déclenchent l'ensemble des obligations applicables aux systèmes à haut risque :

• Système de gestion des risques conformément à l'Art. 9 : identification, évaluation et atténuation continues des risques pour les agents et pour les clients interagissant avec le système.
• Gouvernance des données conformément à l'Art. 10 : les ensembles de données d'entraînement doivent être pertinents, représentatifs et gérés de manière à minimiser les biais discriminatoires.
• Documentation technique conformément à l'Art. 11 et à l'Annexe IV : documentation complète de la conception du système, de la finalité visée, des limites, des mesures de performance et des résultats des tests.
• Transparence à l'égard des déployeurs conformément à l'Art. 13 : les fournisseurs doivent fournir des instructions d'utilisation comprenant des informations sur les limites du système, les conditions de fonctionnement et les risques prévisibles.
• Supervision humaine conformément à l'Art. 14 : les déployeurs doivent désigner des personnes ayant l'autorité, les compétences et le temps nécessaires pour intervenir sur les sorties du système ou les neutraliser.
• Précision et robustesse conformément à l'Art. 15 : les systèmes doivent fonctionner de manière fiable dans les paramètres déclarés.

IA de notation de la qualité et d'évaluation des performances

Les systèmes d'IA qui attribuent des notes de qualité aux appels, génèrent des classements de performance des agents, ou produisent des sorties utilisées dans les processus d'évaluation, de détermination des primes ou de licenciement entrent dans le champ de l'Annexe III cat. 4(b) en tant que systèmes utilisés pour des décisions relatives à la promotion, à l'attribution de tâches ou à la surveillance des obligations contractuelles. Les obligations applicables aux systèmes à haut risque s'appliquent intégralement.

Les opérateurs doivent également satisfaire à l'exigence de divulgation de l'Art. 50(2) pour les agents soumis à des composantes de reconnaissance émotionnelle au sein de ces systèmes — indépendamment du calendrier de conformité applicable aux systèmes à haut risque.

Obligations découlant du droit du travail national

L'IA de surveillance des employés dans les centres d'appels déclenche des droits de codétermination et de consultation au niveau national, indépendamment du règlement IA. En Allemagne, le Betriebsverfassungsgesetz §87(1) no. 6 confère aux comités d'entreprise des droits contraignants de codétermination sur les dispositifs de surveillance technique ; les systèmes de surveillance par IA requièrent un accord du comité d'entreprise avant leur déploiement. Des droits équivalents s'appliquent aux Pays-Bas (WOR Art. 27), en Autriche (ArbVG §96) et en France (Code du Travail L. 2312-38). Ces obligations ne peuvent pas être différées jusqu'à l'échéance 2026 du règlement IA applicable aux systèmes à haut risque.

IA orientée client ne relevant pas de la catégorie à haut risque

Une part significative de l'IA dans le commerce de détail n'est pas classifiée comme à haut risque au titre de l'Annexe III. Les catégories suivantes ne sont pas explicitement énumérées à l'Annexe III et ne requièrent pas d'évaluation de la conformité au titre du règlement IA :

• Les moteurs de recommandation de produits — IA qui personnalise les suggestions de produits en fonction de l'historique de navigation, des comportements d'achat ou du filtrage collaboratif.
• Les systèmes de tarification dynamique — IA qui ajuste les prix en temps réel en fonction de la demande, des stocks, des prix des concurrents ou des segments de consommateurs.
• La prévision de la demande en matière de stocks — IA qui prédit les besoins en approvisionnement au niveau des références ou des catégories.
• Les modèles de prédiction du churn client — IA qui évalue la probabilité d'attrition des clients pour cibler les campagnes de fidélisation.
• La personnalisation de la recherche — IA qui reclasse les résultats de recherche sur les sites de vente au détail en fonction de signaux individuels ou de cohortes.
• La détection des fraudes aux retours — IA qui évalue les demandes de retour pour détecter les fraudes potentielles, lorsque le résultat alimente un processus de décision examiné par un humain.

Ces systèmes n'en demeurent pas moins soumis au RGPD lorsqu'ils impliquent un profilage individuel des clients. L'analyse comportementale, l'agrégation de l'historique d'achat et le suivi intersites nécessitent une base juridique au titre de l'Art. 6 RGPD — généralement l'intérêt légitime (nécessitant un test de mise en balance documenté) ou le consentement. Lorsque le profilage produit des décisions ayant des effets significatifs sur les consommateurs individuels — par exemple, la suspension d'un compte client sur la base d'un score de fraude — l'Art. 22 RGPD peut s'appliquer, exigeant un examen humain des décisions automatisées.

Le règlement P2B (UE 2019/1150) impose des obligations de transparence sur les algorithmes de classement utilisés sur les places de marché en ligne et les outils de comparaison — les opérateurs doivent divulguer les principaux paramètres déterminant le classement ainsi que leur importance relative. Le classement piloté par IA n'est pas exempté.

Protection des consommateurs et Directive sur les pratiques commerciales déloyales

Les pratiques commerciales pilotées par IA dans le commerce de détail créent une exposition supplémentaire au titre de la Directive sur les pratiques commerciales déloyales (2005/29/CE), notamment à la suite des modifications apportées par la Directive Omnibus, applicables dans les États membres depuis 2022 :

• Faux avis générés par IA : la DPCD, telle que modifiée, interdit expressément la soumission de faux avis de consommateurs et le recours à des services de gestion des avis qui ne divulguent pas l'implication de l'IA. Les avis de produits générés par IA soumis comme des avis authentiques de consommateurs sont illicites.
• Tarification personnalisée sans divulgation : lorsqu'un commerçant utilise l'IA pour présenter des prix individuellement adaptés à des consommateurs spécifiques sur la base d'un profilage, la DPCD modifiée exige la divulgation du fait de la personnalisation lorsqu'un consommateur se voit présenter un prix personnalisé.
• Personnalisation manipulatrice : l'Art. 5 du règlement IA de l'UE interdit les systèmes d'IA qui utilisent des techniques subliminales ou exploitent des vulnérabilités pour altérer le comportement des consommateurs. Une personnalisation agressive qui cible les consommateurs dans des moments de vulnérabilité cognitive ou exploite des états émotionnels inférés à partir de données d'interactions antérieures peut constituer une pratique interdite.
• Descriptions trompeuses générées par IA : les descriptions de produits, spécifications ou allégations comparatives générées par IA qui sont inexactes ou fabriquées — notamment les spécifications hallucinées dans des contenus de produits générés par grand modèle de langage — peuvent constituer des pratiques commerciales trompeuses au titre de la DPCD.

Autorités de contrôle et sanctions

L'application du règlement IA dans le secteur du commerce de détail est répartie entre plusieurs autorités compétentes :

• Autorités nationales de surveillance de l'IA : désignées en vertu de la législation de mise en œuvre du règlement IA de chaque État membre. Ces autorités sont les principales responsables du contrôle des violations des obligations de transparence de l'Art. 50 et des manquements à la conformité en matière de systèmes à haut risque.
• Autorités de protection des consommateurs : les agences nationales de protection des consommateurs et le réseau BEUC seront particulièrement actifs dans la surveillance de la divulgation des chatbots, du marquage des contenus générés par IA et des pratiques IA proches de la DPCD. Le réseau de coopération en matière de protection des consommateurs (CPC) permet une application coordonnée entre États membres.
• Autorités de protection des données : conservent une compétence d'application concurrente au titre du RGPD pour le profilage des clients, la prise de décision automatisée et les incidents liés au traitement des données biométriques.
• Inspections du travail : dans les États membres dotés de régimes d'inspection du travail robustes — France (DREETS), Allemagne (Gewerbeaufsicht) et Espagne (Inspección de Trabajo) — la surveillance des employés par IA qui enfreint le droit du travail ou les obligations de codétermination fait l'objet d'enquêtes indépendamment des procédures du règlement IA.

Exposition aux sanctions au titre du règlement IA : les violations des obligations de transparence de l'Art. 50 sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les violations des pratiques interdites (Art. 5) sont passibles d'amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Les amendes au titre du RGPD s'appliquent de manière cumulative. Pour les grands opérateurs d'e-commerce réalisant des chiffres d'affaires mondiaux importants, le plafond de 7 % représente une exposition financière substantielle.

Feuille de route de conformité pour les commerçants et opérateurs de centres d'appels

Un programme de conformité au règlement IA structuré pour le secteur du commerce de détail doit aborder les points suivants dans l'ordre indiqué :

1. Inventaire des systèmes d'IA : recenser tous les outils d'IA utilisés dans les canaux orientés client (site web, application, téléphone, réseaux sociaux), les fonctions de marketing et de merchandising (tarification, recommandations, génération de contenu) et les opérations des centres d'appels (coaching, notation, surveillance). Pour chaque système, déterminer s'il s'agit d'un outil à usage général, d'un système soumis à obligation de transparence, ou potentiellement à haut risque.

2. Audit de divulgation des chatbots et voicebots : examiner tous les déploiements d'IA conversationnelle pour vérifier leur conformité à l'Art. 50(1). Vérifier que la divulgation est explicite, effectuée dès le premier contact, et qu'elle ne repose pas sur l'inférence du consommateur. Mettre à jour en conséquence le texte de l'interface de chat, les scripts SVI et le langage des centres d'aide.

3. Cartographie de la reconnaissance émotionnelle : identifier tous les systèmes — orientés client et orientés agent — qui inèrent des états émotionnels ou affectifs. Mettre en œuvre les notifications prévues par l'Art. 50(2) pour tous les systèmes concernés. Pour les systèmes orientés agent, évaluer la classification au titre de la cat. 4 de l'Annexe III et engager la planification de la conformité en matière de haut risque.

4. Audit des médias synthétiques : auditer tous les supports marketing, images de produits et contenus de marque pour identifier les composantes générées par IA. Mettre en place un processus de marquage conformément à l'Art. 50(4) — en veillant à ce que les contenus générés ou manipulés soient identifiés avant leur publication.

5. Diligence raisonnable relative à l'IA des centres d'appels : pour chaque prestataire d'IA fournissant des outils de coaching, de notation ou de surveillance, demander la confirmation de la classification au titre de l'Annexe III, du statut de marquage CE (à partir du 2 août 2026) et des instructions d'utilisation. Engager les procédures de consultation du comité d'entreprise ou de codétermination conformément au droit national applicable.

6. Revue du profilage au titre du RGPD : réaliser un audit de la base juridique au titre du RGPD pour les activités de profilage des clients. Lorsque l'intérêt légitime est invoqué, documenter et conserver les registres des tests de mise en balance. Mettre à jour les avis de confidentialité pour refléter les pratiques de profilage pilotées par IA.

7. Vérification de la conformité à la DPCD : examiner la divulgation de la tarification personnalisée, les pratiques de génération d'avis et les processus de création de contenus par IA au regard des exigences de la DPCD, y compris les modifications de la Directive Omnibus telles qu'elles ont été transposées dans les États membres concernés.

8. Réponse aux incidents et gouvernance : établir une gouvernance de l'IA — impliquant généralement les fonctions juridique, délégué à la protection des données, conformité et numérique/technologie — avec des procédures d'escalade documentées pour les incidents impliquant des violations de l'Art. 50 ou des réclamations d'employés relatives à l'IA de surveillance.

Les commerçants et opérateurs de centres d'appels qui ont intégré l'IA tôt dans leurs processus clients et opérationnels sont confrontés à la surface de conformité la plus étendue. Les obligations de transparence de l'Art. 50 sont déjà applicables ; les obligations relatives aux systèmes à haut risque applicables à l'IA de surveillance des employés requièrent une préparation au niveau du programme avant le 2 août 2026.