AI Act : auditer la transparence de vos usages d’IA en 30 minutes

Depuis le 2 août 2026, les obligations de transparence prévues par l’article 50 du règlement européen sur l’intelligence artificielle s’appliquent. Pour une petite organisation, la mauvaise réaction consiste à ajouter « généré par IA » partout. La bonne consiste à inventorier les usages, distinguer son rôle et conserver la preuve de son analyse.

Ce guide propose un premier audit réalisable en 30 minutes. Il ne remplace pas un avis juridique. Il permet de repérer les situations qui méritent une information, un étiquetage, un marquage technique ou une analyse spécialisée.

Schéma original BâtisseurIA. Commencez par l’usage, puis identifiez votre rôle, le public exposé et la preuve conservée.

Ce qui a changé le 2 août 2026

L’article 50 cherche notamment à permettre aux personnes de savoir quand elles interagissent directement avec une IA ou sont exposées à certains contenus générés ou manipulés artificiellement. Les lignes directrices publiées par la Commission européenne précisent le champ de ces obligations. Elles distinguent quatre grandes familles :

1. l’interaction directe avec un système d’IA ;
2. le marquage lisible par machine de certains contenus synthétiques ;
3. la reconnaissance des émotions ou la catégorisation biométrique ;
4. les hypertrucages et certains textes d’intérêt public.

Cette distinction est essentielle. Un chatbot de support, une retouche standard, un faux enregistrement audio et un article entièrement généré sans contrôle éditorial ne soulèvent pas la même question.

Le texte à consulter reste le règlement (UE) 2024/1689 sur EUR-Lex. Les pages pratiques de la Commission facilitent l’orientation, mais ne remplacent ni le règlement ni l’analyse de votre situation.

Avant les cas d’usage, distinguez fournisseur et déployeur

Le premier piège est de croire que toute entreprise utilisant une IA est le fournisseur de cette IA.

Le fournisseur développe un système d’IA ou le fait développer, puis le met sur le marché ou en service sous son nom ou sa marque. Le déployeur utilise un système d’IA sous son autorité dans le cadre de son activité. Une même organisation peut occuper des rôles différents selon le produit et le contexte.

Prenons une agence qui utilise un outil tiers pour créer des visuels destinés à ses clients. Elle est généralement déployeur de cet outil, pas fournisseur du modèle. Si elle transforme ensuite cette capacité en produit commercialisé sous sa propre marque, la qualification mérite une analyse plus précise.

Pour chaque usage, écrivez une phrase factuelle :

Nous utilisons [système] pour [tâche], au bénéfice ou au contact de [public], sous la responsabilité de [équipe].

Cette phrase évite de commencer par une conclusion juridique abstraite. Elle décrit le travail réel.

Cas 1 : une personne interagit-elle directement avec une IA ?

Pensez au chatbot d’un site, à un assistant vocal ou à un agent qui répond directement à un client. La question opérationnelle est simple : une personne raisonnable pourrait-elle croire qu’elle échange avec un humain ?

Les fournisseurs doivent concevoir les systèmes concernés de manière à informer les personnes qu’elles interagissent avec une IA, sauf lorsque cela ressort clairement du contexte. Pour le déployeur, il reste prudent de vérifier que l’information est effectivement visible au bon moment dans le parcours.

Contrôle rapide :

• ouvrez le parcours comme un nouveau visiteur ;
• cherchez l’information avant ou au début de l’échange ;
• vérifiez qu’elle reste compréhensible sur mobile et avec un lecteur d’écran ;
• conservez une capture datée et la version du texte affiché.

Un nom fantaisiste donné au bot ne suffit pas toujours. Une formulation directe comme « Vous échangez avec un assistant automatisé » est plus utile qu’une mention noyée dans les conditions générales.

Cas 2 : le système produit-il du texte, une image, un son ou une vidéo synthétique ?

Ici, l’obligation technique concerne d’abord les fournisseurs des systèmes génératifs. La synthèse officielle de la Commission indique qu’ils doivent rendre certains contenus générés ou manipulés détectables dans un format lisible par machine.

Il existe des exceptions, notamment lorsque le système réalise une fonction d’assistance pour une édition standard ou ne modifie pas substantiellement les données d’entrée ou leur sens. Cela confirme une règle importante : toute correction assistée, tout détourage ou toute reformulation ne devient pas automatiquement un contenu à étiqueter publiquement.

Pour une TPE qui utilise un outil tiers, les bonnes questions sont :

• l’outil applique-t-il un marquage technique ou fournit-il des métadonnées ?
• votre chaîne d’exportation conserve-t-elle ce marquage ?
• une compression, une capture d’écran ou un autre logiciel le supprime-t-il ?
• le contrat ou la documentation du fournisseur décrit-il cette fonction ?

Conservez la version de l’outil, sa documentation, les paramètres d’export et un fichier témoin. Une simple mention dans une procédure interne n’établit pas que le contenu final est techniquement détectable.

Cas 3 : utilisez-vous la reconnaissance des émotions ou la catégorisation biométrique ?

Ce cas peut apparaître dans des outils de recrutement, de contrôle d’accès, d’analyse vidéo ou de mesure comportementale. Le déployeur doit informer les personnes exposées au fonctionnement du système concerné. D’autres règles peuvent également s’appliquer, notamment sur les données personnelles ou sur certains usages interdits et à haut risque.

Ne vous contentez pas du nom commercial du produit. Demandez au fournisseur quelles données sont analysées, quelles inférences sont produites et dans quel but. Un tableau de bord présenté comme une simple « analyse d’engagement » peut cacher une fonction plus sensible.

Preuves à réunir : finalité, population concernée, notice d’information, base de décision interne, documentation fournisseur, durée de conservation et personne responsable de l’arrêt du système.

Si vous ne savez pas expliquer précisément ce que le système déduit d’une personne, suspendez le déploiement et demandez une analyse spécialisée.

Cas 4 : publiez-vous un hypertrucage ou un texte d’intérêt public ?

Le déployeur doit signaler les contenus image, audio ou vidéo générés ou manipulés par IA qui ressemblent à des personnes, objets, lieux, entités ou événements existants et pourraient paraître authentiques. L’information doit être claire et perceptible.

Pour les textes publiés afin d’informer le public sur des questions d’intérêt public, l’obligation vise ceux générés ou manipulés par IA qui n’ont pas fait l’objet d’un contrôle humain ou d’une responsabilité éditoriale. La présence d’une vraie relecture ne doit donc pas être traitée comme une case cochée mécaniquement. Il faut pouvoir montrer qui a vérifié le texte, selon quels critères et qui en assume la publication.

Chez BâtisseurIA, cela conduit à une procédure simple : auteur identifié, sources archivées, faits datés, relecture explicite et décision de publication attribuée. L’IA peut assister la recherche ou la formulation, mais elle ne porte pas la responsabilité éditoriale.

La matrice à remplir en 30 minutes

Ouvrez une feuille et créez cinq colonnes : usage, rôle, personne exposée, obligation possible, preuve conservée.

Minutes 0 à 5 : inventorier

Listez les systèmes réellement utilisés, y compris les fonctions d’IA ajoutées dans des logiciels existants. Écartez pour l’instant les projets imaginés mais non déployés.

Minutes 5 à 10 : attribuer le rôle

Indiquez fournisseur, déployeur ou « à confirmer ». Ne forcez pas une réponse lorsque le produit est revendu, intégré ou renommé.

Minutes 10 à 20 : tester les quatre familles

Pour chaque ligne, examinez interaction directe, contenu synthétique, émotion ou biométrie, hypertrucage ou texte d’intérêt public. Notez aussi les exceptions possibles, sans les considérer comme acquises.

Minutes 20 à 25 : choisir la preuve

Associez une preuve vérifiable : capture de l’information affichée, fichier marqué, documentation fournisseur, journal de relecture, validation juridique ou décision de suspension.

Minutes 25 à 30 : attribuer une action

Chaque ligne doit se terminer par un propriétaire et une date. Les statuts utiles sont : conforme et prouvé, correction simple, analyse nécessaire, ou usage suspendu.

Exemple : quatre usages d’une petite entreprise

Assistant client. L’entreprise déploie un chatbot fourni par un tiers. Elle vérifie que le visiteur est informé dès l’ouverture de la conversation et archive une capture mobile et desktop.

Visuel de campagne. L’équipe génère une image avec un service externe. Elle vérifie la documentation du fournisseur et teste si le fichier exporté conserve le marquage prévu. Si le visuel représente faussement un événement réel, elle examine aussi la règle relative aux hypertrucages.

Article de veille réglementaire. Un modèle prépare un brouillon. Une personne vérifie les sources, corrige le raisonnement et assume la publication. L’équipe conserve le journal de relecture plutôt que d’affirmer automatiquement que tout le texte doit porter une étiquette.

Analyse vidéo des salariés. Un outil prétend mesurer l’émotion ou l’attention. L’entreprise ne le classe pas comme simple analytics. Elle documente la fonction exacte, informe les personnes et demande une analyse juridique avant utilisation.

Les erreurs à éviter

La première erreur est le surétiquetage. Une mention partout peut rassurer en interne sans répondre à la bonne obligation.

La deuxième est de laisser le sujet au seul service communication. Le marquage technique dépend du fournisseur, la conservation des métadonnées dépend de la chaîne d’outils et l’information visible dépend du parcours utilisateur.

La troisième est de confondre transparence et conformité complète. L’article 50 n’épuise ni les règles sur les données personnelles, ni les interdictions, ni les obligations propres aux systèmes à haut risque.

La quatrième est de ne garder aucune preuve. Une règle non testée, sans capture, sans fichier témoin et sans propriétaire, reste une intention.

Et si votre entreprise est située hors de l’Union européenne ?

Le lieu d’établissement ne suffit pas toujours à écarter le règlement. Son champ territorial peut notamment viser certains acteurs établis dans un pays tiers lorsque la sortie produite par le système est utilisée dans l’Union. Une entreprise d’Afrique francophone qui sert des utilisateurs européens doit donc examiner le parcours concret de ses sorties et de ses clients.

Ne transformez pas cette phrase en conclusion automatique. Documentez où le système est fourni, qui le déploie, où se trouvent les personnes exposées et où les sorties sont utilisées.

Votre livrable à la fin de l’audit

Vous n’avez pas besoin d’un rapport de cinquante pages pour commencer. Il vous faut :

1. un inventaire daté des usages actifs ;
2. un rôle provisoire pour chaque usage ;
3. le cas de transparence examiné ;
4. une preuve ou un manque clairement identifié ;
5. un responsable et une échéance ;
6. une liste séparée des situations à faire valider.

Le code de bonnes pratiques européen est volontaire, alors que les obligations de l’article 50 sont juridiques. Les organisations qui choisissent d’autres moyens doivent pouvoir montrer que leurs mesures sont adéquates.

La transparence utile n’est pas un autocollant ajouté à la fin d’un projet. C’est une propriété du système : une information placée au bon moment, un marquage qui survit au flux de production, une revue humaine réelle et une décision que l’organisation sait expliquer.

Commencez aujourd’hui par quatre lignes : le système, votre rôle, la personne exposée et la preuve que vous pouvez montrer.

Sources officielles

• Règlement (UE) 2024/1689, texte officiel sur EUR-Lex
• Commission européenne, lignes directrices sur l’article 50, 20 juillet 2026
• Commission européenne, synthèse des règles de transparence
• Commission européenne, code de bonnes pratiques sur les contenus générés par IA

Dernière vérification des sources : 6 août 2026. Ce contenu fournit une méthode générale de premier tri et ne constitue pas un conseil juridique.