AI Act et PME : obligations de transparence et dates en novembre 2026

Depuis le 2 août 2026, l’article 50 de l’AI Act s’applique : si vous utilisez un chatbot, publiez des images ou des vidéos réalistes générées par l’IA, ou diffusez des textes IA sur des sujets d’intérêt public, vous devez le signaler clairement. Le report de l’AI Act (le « Digital Omnibus ») est en vigueur, mais il n’a décalé que les règles sur les systèmes à haut risque et un seul point de l’article 50. Pour une PME qui a un chatbot sur son site, la règle de base n’a pas changé.

Je suis Toure Tia Kevin, développeur web à Bassano del Grappa, en Italie. Cet article résume des sources officielles et des commentaires juridiques, vérifiés en novembre 2026 ; quand j’ajoute mon opinion, je l’indique. Ce n’est pas un conseil juridique : pour votre cas concret, adressez-vous à un avocat ou à votre conseiller en protection des données.

Ce qui est réellement en vigueur en novembre 2026

• Le report est en vigueur. Le règlement (UE) 2026/1744 (« Digital Omnibus sur l’IA ») a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, d’après les synthèses de cabinets d’avocats que j’ai consultées (si vous avez besoin d’une date précise, vérifiez le texte officiel sur EUR-Lex).
• Ce qui a été reporté. Les règles sur les systèmes à haut risque de l’annexe III passent au 2 décembre 2027 ; celles des systèmes intégrés à des produits réglementés (annexe I) au 2 août 2028.
• Ce qui n’a pas été reporté. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Seule exception : le marquage lisible par machine des contenus synthétiques (article 50, paragraphe 2) pour les systèmes déjà sur le marché avant cette date, repoussé au 2 décembre 2026.

Ce que l’article 50 demande à une PME

L’article 50 répartit les obligations entre celui qui fournit le système d’IA (l’entreprise qui le développe) et celui qui l’utilise à titre professionnel (vous, quand vous le mettez sur votre site ou l’employez pour communiquer). Voici les cas les plus courants, d’après le texte du règlement :

1. Chatbots et assistants virtuels (par. 1). Le système doit être conçu pour que la personne sache qu’elle parle à une IA, sauf si c’est évident pour une personne normalement informée. L’obligation formelle pèse sur le fournisseur.
2. Images, audio et vidéos réalistes générés ou modifiés par IA, les « deepfakes » (par. 4). Celui qui les publie doit déclarer qu’ils sont artificiels. Pour les œuvres manifestement artistiques, créatives ou satiriques, l’obligation est allégée : il suffit de le signaler sans gêner la lecture de l’œuvre.
3. Textes générés par IA publiés pour informer le public sur des sujets d’intérêt public (par. 4). Ils doivent être déclarés, sauf si une personne les a relus et qu’une personne ou une organisation en assume la responsabilité éditoriale.
4. Marquage des contenus synthétiques (par. 2). Il incombe aux fournisseurs d’outils de génération de texte, d’images et de vidéos, pas à vous. Si vous utilisez ChatGPT, la tâche revient à son éditeur.
5. Reconnaissance des émotions et catégorisation biométrique (par. 3). Celui qui les utilise doit informer les personnes exposées.

L’information doit être donnée clairement au plus tard lors du premier contact avec la personne (par. 5).

Ce que cela change pour votre site

La lecture qui suit est la mienne, pas une norme :

• Chatbot sur le site. Affichez dès le départ un message du type « Vous discutez avec un assistant IA ». Si le chatbot vient d’un prestataire externe, demandez-lui comment il respecte l’article 50 et conservez sa réponse. Si vous avez besoin d’un assistant sur mesure, voyez le service de chatbot IA pour sites internet.
• Posts et textes marketing écrits avec ChatGPT. Un texte qui promeut votre activité n’est pas, en soi, un texte « publié pour informer le public sur des questions d’intérêt public ». Le déclarer n’est pas interdit, mais l’article 50 ne l’impose pas dans ce cas. Si vous publiez des communiqués ou des articles sur des sujets publics sans relecture humaine, la question change.
• Photos et vidéos. Pour le règlement, un deepfake est un contenu généré ou modifié par IA qui ressemble à des personnes, objets ou lieux réels et pourrait paraître authentique. Un visage, une voix ou une scène réaliste inventés par IA doivent être déclarés ; un deepfake d’une personne réelle doit toujours l’être.
• Voix au téléphone. Un assistant vocal IA doit être déclaré dès le début de l’appel (j’en parle dans la voice AI pour les PME).

Sanctions et contrôles

Pour les violations des obligations de transparence, le règlement prévoit des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel ; pour les PME, c’est le montant le plus bas des deux qui s’applique (article 99). Ce n’est pas le plafond de 35 millions cité dans beaucoup d’articles : il concerne les pratiques interdites.

En Italie, le décret législatif 179/2026, publié à la Gazzetta Ufficiale (le Journal officiel italien) le 8 octobre 2026 et en vigueur depuis le 23 octobre 2026, désigne l’ACN comme autorité de surveillance du marché et l’AgID comme autorité de notification. Le décret contient aussi une règle sur le travail : les décisions d’embauche et de licenciement ne peuvent pas reposer uniquement sur un traitement automatisé. Je n’ai pas pu vérifier quelle sanction italienne s’applique aux violations de l’article 50 : les synthèses que j’ai lues ne le précisent pas.

Deux autres points à connaître

• Tri de CV par IA. Il ne relève pas de l’article 50 : c’est un système à haut risque, dont les règles sont reportées au 2 décembre 2027. Le RGPD et la règle italienne sur les décisions en matière de travail s’appliquent toutefois déjà.
• Si vous avez un modèle 231. Selon un commentaire de doctrine (Filodiritto, 7 octobre 2026), le décret législatif 160/2026 a ajouté l’article 25-vicies au décret législatif 231/2001 (responsabilité des entreprises), avec des infractions commises au moyen de systèmes d’IA, dont la diffusion illicite de contenus falsifiés par IA (article 612-quater du code pénal). Le même commentaire observe qu’un protocole dédié n’est pas forcément nécessaire : le résultat doit être documenté dans l’évaluation des risques. Demandez à votre conseiller.

Pour d’autres outils, lisez le guide sur l’intelligence artificielle pour les PME et celui sur l’automatisation par l’IA en Vénétie.

Questions fréquentes

Le Digital Omnibus a-t-il reporté les obligations de transparence ?

Non, sauf sur un point. Il a reporté les systèmes à haut risque à 2027-2028. L’article 50 s’applique depuis le 2 août 2026 ; seul le marquage lisible par machine pour les systèmes déjà sur le marché a été repoussé au 2 décembre 2026.

J’ai un chatbot sur mon site : que dois-je faire ?

Informez la personne qui écrit qu’elle parle à une IA, dans le premier message et non dans les conditions générales. Si le chatbot vient d’un fournisseur, demandez-lui par écrit comment il respecte l’article 50.

Dois-je écrire « généré par IA » sur chaque post ?

D’après le texte de l’article 50, non : l’obligation concerne les deepfakes et les textes publiés pour informer le public sur des sujets d’intérêt public sans relecture humaine. En cas de doute, consultez un professionnel.

Si je ne me mets pas en conformité, risque-t-on 35 millions ?

Non : ce plafond vaut pour les pratiques interdites. Pour la transparence, le maximum est de 15 millions ou 3 % du chiffre d’affaires, et pour les PME le plus bas des deux.

Si vous voulez vérifier ce qui se trouve sur votre site (chatbot, formulaires, contenus IA), écrivez-moi.