Une publication LinkedIn rédigée avec ChatGPT, une illustration créée par une IA générative, une voix de synthèse dans une publicité ou un chatbot chargé de répondre aux clients : ces usages sont désormais courants en entreprise. Reste une question centrale pour toute stratégie de conformité RGPD et IA Act : faut-il systématiquement signaler qu’un contenu a été généré par une intelligence artificielle ?
À partir du 2 août 2026, les obligations de transparence prévues par l’article 50 du règlement européen sur l’intelligence artificielle (IA Act) deviennent applicables. Faut-il pour autant écrire « contenu généré par IA » sous chaque texte, image ou vidéo produit avec l’aide d’une IA ? Non.
L’IA Act ne crée pas une obligation générale de déclarer chaque utilisation d’un outil d’intelligence artificielle. Il cible surtout les situations dans lesquelles le public pourrait ne pas comprendre qu’il interagit avec une IA ou être trompé sur l’origine d’un contenu.
Tous les contenus créés avec une IA doivent-ils être signalés ?
La bonne question n’est pas seulement « une IA a-t-elle été utilisée ? ». Il faut déterminer le rôle qu’elle a joué et la manière dont le contenu sera perçu par le public.
Une correction orthographique, une reformulation légère ou une aide à la mise en page ne conduisent pas automatiquement à l’ajout d’une mention. En revanche, une information peut devenir obligatoire lorsqu’un contenu a été généré ou substantiellement manipulé par une IA et qu’il risque d’être perçu comme authentique.
Pour les entreprises, trois situations méritent une attention particulière au regard des obligations de transparence de l’IA Act : les textes portant sur des questions d’intérêt public, les deepfakes et les systèmes qui interagissent directement avec les utilisateurs.
Un texte rédigé avec ChatGPT doit-il porter une mention ?
Non, pas systématiquement.
L’obligation vise les textes publiés dans le but d’informer le public sur une question d’intérêt public : un contenu relatif à la santé, à la sécurité, à la justice, à l’environnement ou à un sujet politique ou économique qui alimente le débat public.
Une fiche produit, une publication commerciale ou une newsletter promotionnelle ne sont donc pas automatiquement concernées. Un post LinkedIn préparé avec ChatGPT puis repris par une équipe communication n’a pas à porter de mention du seul fait que l’outil a participé à sa rédaction.
La situation est différente lorsqu’une organisation publie automatiquement un article sur une alerte sanitaire ou un événement d’actualité sans véritable vérification humaine. Dans ce cas, le public doit être clairement informé de l’intervention de l’IA.
Une relecture humaine suffit-elle à sortir de l’obligation ?
Oui, à condition qu’il s’agisse d’un véritable contrôle éditorial.
La personne chargée de la validation doit pouvoir vérifier les faits et les sources, modifier le fond du texte ou refuser sa publication. Une simple correction grammaticale ou une validation formelle ne suffit pas.
Pour les équipes qui utilisent régulièrement l’IA générative, la mise en place d’un circuit de validation clair devient donc aussi importante que le choix de la mention et s’inscrit dans une démarche de conformité des outils IA.
Une image ou une vidéo générée par IA doit-elle être étiquetée ?
Là encore, tout dépend du contenu.
Une illustration manifestement fictive, un personnage stylisé ou un paysage imaginaire ne constituent pas nécessairement un deepfake. L’obligation apparaît lorsque l’image, la vidéo ou l’audio ressemble à une personne, un lieu ou un événement réel ou plausible, et peut être pris à tort pour un contenu authentique.
Une vidéo dans laquelle le visage ou la voix d’un dirigeant sont modifiés pour lui faire tenir des propos qu’il n’a jamais prononcés est un exemple évident. Il peut en aller de même pour l’image réaliste d’un faux événement présentée comme une véritable photographie.
Dans ces situations, l’entreprise doit informer clairement le public dès sa première exposition au contenu. Une mention visible ou un avertissement sonore peut être utilisé selon le support. Pour une œuvre artistique, satirique ou fictive, l’information peut figurer dans un générique ou une notice.
Cette transparence ne rend pas automatiquement le contenu licite. L’utilisation de l’image ou de la voix d’une personne réelle doit aussi respecter le droit à l’image, les données personnelles, le droit d’auteur et les règles relatives aux pratiques commerciales trompeuses.
Et pour les chatbots ?
Une personne qui échange avec un chatbot, un avatar ou un agent conversationnel doit savoir qu’elle interagit avec une intelligence artificielle, sauf lorsque cela est évident.
L’information doit apparaître clairement dès le début de l’échange. Donner un prénom humain au chatbot ou renvoyer uniquement vers une politique de confidentialité n’est pas suffisant.
Cette obligation concerne d’abord le fournisseur, mais l’entreprise qui intègre le chatbot dans son site ou son service client doit vérifier que l’information apparaît réellement dans son parcours utilisateur. Elle doit aussi encadrer les données transmises au système, ce qui rejoint directement les exigences du RGPD.
Que faut-il vérifier auprès des fournisseurs d’IA ?
L’IA Act impose aux fournisseurs de systèmes génératifs de rendre leurs contenus détectables comme ayant été créés ou manipulés par une IA. Ce marquage lisible par machine peut notamment reposer sur des métadonnées ou des filigranes.
L’entreprise utilisatrice n’a généralement pas à créer elle-même ce dispositif. Elle doit toutefois vérifier que ses outils et prestataires documentent leurs mesures de conformité IA Act et éviter de supprimer les marqueurs lors d’une capture d’écran, d’une compression ou d’un export.
Ces exigences peuvent être intégrées aux contrats conclus avec les agences et prestataires utilisant l’IA. Le Code européen de bonnes pratiques constitue un outil volontaire pour démontrer la conformité, sans remplacer les obligations du règlement.
IA Act et RGPD : deux conformités à articuler
Informer le public qu’un contenu a été généré par IA ne suffit pas lorsque des données personnelles sont utilisées pour l’entraîner ou l’alimenter.
Avant de transmettre à un outil des informations sur des clients, des salariés ou des candidats, l’entreprise doit vérifier la finalité poursuivie, les données réellement nécessaires, leur base légale, leur sécurité et les conditions dans lesquelles le fournisseur peut les conserver ou les réutiliser.
La CNIL recommande aux organisations de définir les usages autorisés et interdits, de choisir des solutions adaptées et sécurisées et d’interroger les fournisseurs sur leur conformité au RGPD. L’articulation entre IA Act et RGPD doit donc faire partie d’une même gouvernance de l’IA.
Que faire avant le 2 août 2026 ?
Quatre actions permettent aux entreprises de préparer l’échéance de l’article 50.
- Cartographier les usages. Recenser les outils IA utilisés, les équipes concernées, les contenus produits et le niveau d’intervention humaine.
- Définir une règle de publication. Identifier les deepfakes, les textes d’intérêt public et les interactions avec des chatbots. Prévoyer des mentions adaptées à chaque support.
- Vérifier les fournisseurs. Demander comment les contenus sont marqués, contrôler les garanties contractuelles et préserver les métadonnées utiles.
- Former les équipes. Mettre à jour la charte interne et organiser la validation des contenus par les équipes marketing, communication et relation client.
L’article 50 de l’IA Act s’applique à compter du 2 août 2026. Une période limitée jusqu’au 2 décembre 2026 concerne uniquement le marquage technique de certains systèmes déjà commercialisés. Les contenus créés avant le 2 août n’ont pas à être étiquetés rétroactivement.
Ce qu’il faut retenir
L’IA Act n’impose pas d’apposer la mention « généré par IA » sur chaque contenu produit avec ChatGPT ou un autre outil.
Les obligations concernent principalement les deepfakes, certains textes d’intérêt public publiés sans véritable contrôle humain et les interactions avec une IA lorsque leur nature n’est pas évidente.
Pour les entreprises, la conformité ne se résume donc pas à ajouter une étiquette. Elle suppose de connaître les outils utilisés, d’encadrer les validations humaines, de vérifier les fournisseurs et d’articuler IA Act et RGPD.
