EU AI Act — Obligations de transparence (Art. 50) : chatbots, deepfakes et contenu synthétique

La majorité des systèmes IA ne sont pas à haut risque — ils relèvent des obligations de transparence de l'Art. 50. Si vous déployez un chatbot, générez des images synthétiques ou utilisez la reconnaissance d'émotions, voici exactement ce que vous devez divulguer et marquer.

L'Art. 50 concerne la majorité des déploiements IA — pas seulement les cas à haut risque

L'EU AI Act structure ses obligations selon quatre niveaux de risque. Le niveau risque limité — régi par l'Article 50 — couvre un périmètre bien plus large que les systèmes à haut risque souvent médiatisés. Concrètement, si vous déployez un chatbot de service client, un assistant virtuel, un générateur d'images ou de vidéos, un système d'analyse faciale ou un outil de création de contenu synthétique, vous êtes concerné par l'Art. 50 — et vos obligations sont déjà applicables depuis le 2 août 2026.

Ces obligations ne nécessitent pas d'audit de conformité lourd ni d'enregistrement dans une base de données européenne. Elles imposent en revanche une transparence active : informer les utilisateurs, marquer les contenus générés, et permettre aux personnes de comprendre qu'elles interagissent avec ou sont analysées par une IA.

Qui relève de l'Art. 50 (pas haut risque)

L'Article 50 s'applique à trois grandes catégories de systèmes qui ne sont pas classés à haut risque au titre des Annexes I ou III :

• Systèmes d'IA conversationnelle — chatbots, assistants virtuels, agents vocaux, interfaces de messagerie automatisée
• Systèmes de reconnaissance d'émotions et de catégorisation biométrique — analyse du visage, de la voix, des micro-expressions ou de la démarche pour inférer un état émotionnel ou assigner un individu à une catégorie
• Systèmes générant du contenu synthétique — images, audio, vidéo ou texte générés ou manipulés par IA, y compris les deepfakes

Les fournisseurs de modèles GPAI (ex. LLM généraux) ont des obligations complémentaires au Chapitre V, mais lorsque leurs modèles sont intégrés dans des applications conversationnelles ou des générateurs de contenu, les obligations de l'Art. 50 s'appliquent au déployeur de l'application finale.

Art. 50(1) — IA conversationnelle et chatbots

L'alinéa 1 est la règle la plus directe : tout système IA destiné à interagir directement avec des personnes physiques doit informer ces personnes qu'elles interagissent avec une IA, en temps voulu et de manière claire.

Cette obligation incombe au fournisseur du système lors de la conception, et au déployeur lors du déploiement. Elle s'applique :

• Avant ou au tout début de l'interaction — pas en page de mentions légales
• De façon intelligible pour l'utilisateur moyen — pas un simple disclaimer technique
• Même lorsque le système utilise une voix synthétique réaliste ou un avatar

Deux exceptions : la divulgation n'est pas requise lorsque (a) le système est autorisé par la loi à des fins d'enquête pénale ou (b) la nature IA est évidente au vu du contexte et de l'utilisation. Un générateur de code dans un IDE ou un correcteur orthographique ne nécessite pas de bannière "vous parlez à une IA". Un agent de support client qui se présente sous un prénom humain le nécessite.

Art. 50(2) — Divulgation de la reconnaissance d'émotions

L'alinéa 2 vise les systèmes qui détectent ou infèrent l'état émotionnel d'une personne physique à partir de données biométriques — expressions faciales, ton de la voix, posture, rythme cardiaque ou toute combinaison de signaux physiologiques.

Les fournisseurs et déployeurs doivent informer les personnes concernées de l'exposition à un tel système. Cette obligation s'applique indépendamment du niveau de risque du système : même un outil de reconnaissance d'émotions à "risque minimal" doit informer.

Exception : les systèmes détectant uniquement des états physiologiques à des fins de sécurité — par exemple la détection de somnolence pour les conducteurs ou la surveillance de la fatigue dans des environnements industriels dangereux — sont exemptés lorsque l'objectif est strictement protecteur et que l'inférence ne sert pas à classer, noter ou prendre des décisions affectant la personne.

Note importante : la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement est interdite par l'Art. 5. L'Art. 50(2) couvre les contextes où la reconnaissance d'émotions est légalement permise mais doit être accompagnée d'une divulgation.

Art. 50(3) — Divulgation de la catégorisation biométrique

L'alinéa 3 complète le précédent : les systèmes de catégorisation biométrique qui assignent des personnes à des catégories sur la base de données biométriques doivent également informer les personnes exposées.

La catégorisation biométrique recouvre l'attribution à des segments d'âge, de genre, d'appartenance ethnique apparente ou d'autres catégories démographiques à partir de données physiques ou comportementales. Elle est courante dans les systèmes d'analyse d'audience, les outils de personnalisation de contenu et certaines plateformes e-commerce.

Limite critique avec l'Art. 5 : si la catégorisation biométrique sert à inférer des caractéristiques sensibles (race, opinions politiques, religion, orientation sexuelle, état de santé), le système est interdit, non simplement soumis à une obligation de divulgation. Utilisez le classificateur de risque IA pour déterminer dans quelle catégorie tombe votre système.

Art. 50(4) — Contenu généré par IA et synthétique (ATMF)

L'alinéa 4 introduit l'obligation la plus technique : les fournisseurs de systèmes IA générant des contenus audio, image, vidéo ou texte synthétiques doivent veiller à ce que les sorties soient marquées de façon lisible par machine, dans un format interopérable.

Ce marquage — souvent désigné par l'acronyme ATMF (AI-generated content Technical Marking Framework) dans les travaux du Bureau de l'IA — doit :

• Être intégré dans les métadonnées ou les en-têtes du fichier
• Persister après les traitements courants (compression, re-encodage)
• Suivre les normes techniques développées par le Bureau européen de l'IA, en cohérence avec les initiatives C2PA (Coalition for Content Provenance and Authenticity)

Exclusion éditoriale : les systèmes générant des contenus destinés à être révisés et publiés sous responsabilité éditoriale humaine sont exemptés de l'obligation de marquage — à condition qu'une personne physique assume effectivement la responsabilité du contenu final. Les outils de génération assistée pour journalistes ou créateurs entrent dans cette exception ; les systèmes publiant automatiquement sans relecture n'y entrent pas.

Art. 50(5) — Obligation du déployeur pour les deepfakes

L'alinéa 5 pose une obligation spécifique au déployeur (et non seulement au fournisseur) : lorsqu'un système IA génère ou manipule des contenus représentant des personnes réelles — notamment des deepfakes vidéo ou audio — le déployeur doit indiquer clairement que le contenu a été artificiellement créé ou manipulé.

Cette divulgation doit apparaître de façon visible dans ou sur le contenu lui-même — pas uniquement dans des conditions d'utilisation. Elle est obligatoire y compris lorsque la personne représentée a consenti à l'utilisation de son image.

Exception culturelle et artistique : les contenus déployés dans un cadre clairement défini comme œuvre artistique, créative ou satirique sont exemptés à condition que la nature artificielle soit signalée de façon appropriée au regard du contexte.

Etapes pratiques de conformité par type de système

Relation avec le RGPD

L'Article 50 et le RGPD se superposent sur plusieurs points critiques :

Base légale du traitement : les systèmes de reconnaissance d'émotions et de catégorisation biométrique traitent quasi systématiquement des données biométriques au sens de l'Art. 9 RGPD — des données sensibles dont le traitement est en principe interdit sauf exception. Avant même d'appliquer les obligations de divulgation de l'Art. 50, le déployeur doit identifier sa base légale RGPD (le plus souvent le consentement explicite ou une nécessité substantielle d'intérêt public).

Droits des personnes : la divulgation imposée par l'Art. 50 s'articule avec l'information due au titre des Art. 13 et 14 RGPD. En pratique, l'information sur le traitement biométrique par IA devrait figurer dans la notice de confidentialité RGPD et être communiquée en temps réel selon l'Art. 50.

Responsable de traitement vs. déployeur IA : la notion de "déployeur" de l'AI Act et de "responsable de traitement" du RGPD ne se recoupent pas nécessairement. Une organisation peut être déployeur IA sans être responsable de traitement si elle traite des données pour le compte d'un tiers. Les analyses de conformité doivent traiter les deux qualifications séparément.

Analyse d'impact (DPIA) : la mise en place d'un système de reconnaissance d'émotions ou de catégorisation biométrique constitue quasi systématiquement un traitement à risque élevé au sens de l'Art. 35 RGPD, déclenchant l'obligation de réaliser une analyse d'impact avant déploiement.

Amendes pour non-conformité

Le non-respect des obligations de l'Art. 50 expose à des sanctions dans deux tranches :

• Violations des obligations de transparence (Art. 50) : jusqu'à 7,5 millions d'euros ou 1,5 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
• Fourniture d'informations incorrectes aux autorités : même plafond de 7,5 M€ / 1,5 %.

Ces montants sont significativement inférieurs aux amendes pour pratiques interdites (35 M€ / 7 %) ou pour violations des obligations des systèmes à haut risque (15 M€ / 3 %), mais restent substantiels pour les PME. Les autorités nationales de surveillance du marché ont la compétence d'infliger ces amendes. Le Bureau européen de l'IA intervient pour les modèles GPAI et les cas transfrontaliers.

Atténuants reconnus : la coopération active avec les autorités, la mise en oeuvre volontaire de mesures correctives, et la démonstration d'efforts de conformité de bonne foi sont des facteurs atténuants explicitement reconnus dans l'AI Act. Un programme de conformité documenté — même imparfait — vaut mieux qu'une absence totale de démarche.

Pour aller plus loin : consultez la liste complète des pratiques interdites par l'Art. 5 pour vérifier si votre système dépasse les seuils de transparence et entre dans la zone d'interdiction, ou utilisez le classificateur de risque IA pour obtenir une évaluation personnalisée de votre déploiement.