AI Act 2026 : le guide complet pour les propriétaires de sites web

Au 12 août 2026, l'AI Act (règlement UE 2024/1689) est en application partielle. Les obligations de transparence de l'article 50 sont entrées en vigueur le 2 août 2026, dix jours seulement après le règlement Digital Omnibus (UE 2026/1744), qui a repoussé les obligations les plus lourdes sur les systèmes à haut risque mais n'a rien changé au calendrier de la transparence. Si vous exploitez un site qui utilise ChatGPT, Midjourney, un générateur vidéo ou un chatbot, vous êtes concerné depuis cette date, que vous le sachiez ou non.

Le calendrier réel, sans raccourci trompeur

Beaucoup d'entreprises ont retenu que l'AI Act avait été reporté. C'est faux pour la partie qui vous concerne directement.

Le Digital Omnibus n'a reporté que les obligations haut risque de l'annexe III, du 2 août 2026 au 2 décembre 2027. L'article 50 n'a jamais été touché par ce report. C'est cette confusion qui piège la majorité des sites français.

Fournisseur ou déployeur : la distinction qui détermine tout

Vous êtes déployeur si vous utilisez un outil existant (ChatGPT, Claude, Midjourney, Runway, un chatbot no-code) pour produire ou publier du contenu. C'est le cas de la quasi-totalité des sites SEO, e-commerce et éditoriaux français.

Vous êtes fournisseur si vous développez ou faites développer un système que vous commercialisez sous votre marque.

Le marquage technique invisible des contenus (watermark, métadonnées de provenance) est une obligation du fournisseur, pas du déployeur. Mais l'obligation d'informer visiblement le public reste sur vos épaules, quel que soit l'outil utilisé. Confier la rédaction à un freelance ou une agence ne transfère pas cette responsabilité, c'est l'entité qui publie et qui en tire un bénéfice commercial qui reste exposée.

Rédaction full IA VS rédaction assistée, ce qui change vraiment

Un article rédigé entièrement par une IA et publié tel quel, sur un sujet d'intérêt public, doit en théorie porter une mention. À l'inverse, un article où l'IA produit un simple brouillon, ensuite vérifié, sourcé et corrigé sur le fond par une personne réelle et identifiée, entre directement dans le champ de l'exemption de l'article 50 paragraphe 4.

Concrètement, pour bénéficier de cette exemption sans multiplier les affichages publics, vous devez être en mesure de prouver, en cas de contrôle :

• L'identité réelle de la personne ayant relu et validé le contenu.
• Le fait que la relecture a porté sur la véracité des faits et la qualité des sources, et non sur la simple correction orthographique.
• L'existence d'une trace datée de cette validation, même conservée en interne.

C'est exactement le principe de rigueur déjà appliqué dans la charte éditoriale d'un média sérieux : auteur identifié, sources vérifiables, et aucune donnée inventée. Un site qui applique déjà une exigence E-E-A-T stricte a une longueur d'avance sur cette obligation : la conformité légale et le SEO convergent ici naturellement.

Pour un contenu qui n'est ni d'actualité ni lié à un sujet d'intérêt public — comme un guide pratique, un comparatif produit ou un tutoriel technique — l'obligation spécifique de signalement ne s'applique généralement pas. La marge de manœuvre est bien plus large sur ce type de production que sur un article d'actualité politique ou sanitaire.

Je veux déléguer la rédaction de mon site à un professionnel

Supprimer le watermarking invisible dans les textes IA

Les outils comme Claude, ChatGPT ou Gemini produisent des textes avec un marquage invisible, détectable par machine. Le Digital Omnibus a repoussé l'obligation de marquage technique pour les systèmes déjà commercialisés au 2 décembre 2026.

Si vous rédigez de manière assistée par l'IA et que vous ne relevez pas des obligations d'information, alors vous pouvez être amenés à vouloir supprimer ces marques.

Pour ce faire, il y a deux étapes :

1. Supprimer les métadonnées

Voici un exemple de code NodeJS qui permet de supprimer les caractères invisibles ou directionnels suspects dans un fichier texte. Il sauvegarde l'original et écrit la version nettoyée à la place du fichier d'origine :

#!/usr/bin/env node

/**
 * clean-invisible-unicode.js
 *
 * Usage: node clean-invisible-unicode.js <chemin/vers/fichier>
 *
 * 1. Détecte et supprime les caractères Unicode invisibles ou directionnels suspects
 * 2. Affiche un rapport (nombre total + détail par caractère)
 * 3. Sauvegarde l'original dans "_old.<nom du fichier>" et écrit la version
 *    nettoyée à la place du fichier d'origine
 */
 
const fs = require('fs');
const path = require('path');
 
// Plages de caractères suspects (invisibles, directionnels, joiners, tags...)
const SUSPICIOUS_RANGES = [
  [0x200B, 0x200F], // ZERO WIDTH SPACE, ZWNJ, ZWJ, LRM, RLM
  [0x202A, 0x202E], // LRE, RLE, PDF, LRO, RLO
  [0x2060, 0x2064], // WORD JOINER, invisible times/separator/plus
  [0x2066, 0x2069], // LRI, RLI, FSI, PDI
  [0xFEFF, 0xFEFF], // BOM / ZERO WIDTH NO-BREAK SPACE
  [0x00AD, 0x00AD], // SOFT HYPHEN
  [0x034F, 0x034F], // COMBINING GRAPHEME JOINER
  [0x061C, 0x061C], // ARABIC LETTER MARK
  [0x180E, 0x180E], // MONGOLIAN VOWEL SEPARATOR
  [0xFE00, 0xFE0F], // VARIATION SELECTOR 1-16
  [0xE0000, 0xE007F], // TAG characters
  [0xE0100, 0xE01EF], // VARIATION SELECTOR SUPPLEMENT
];
 
function buildRegex() {
  const parts = SUSPICIOUS_RANGES.map(([start, end]) => {
    const a = start.toString(16).padStart(4, '0');
    const b = end.toString(16).padStart(4, '0');
    return start === end ? `\\u{${a}}` : `\\u{${a}}-\\u{${b}}`;
  });
  return new RegExp(`[${parts.join('')}]`, 'gu');
}
 
function main() {
  const filePath = process.argv[2];
 
  if (!filePath) {
    console.error('Usage: node clean-invisible-unicode.js <chemin/vers/fichier>');
    process.exit(1);
  }
 
  const absPath = path.resolve(filePath);
 
  if (!fs.existsSync(absPath)) {
    console.error(`Fichier introuvable : ${absPath}`);
    process.exit(1);
  }
 
  const original = fs.readFileSync(absPath, 'utf8');
  const regex = buildRegex();
 
  const counts = new Map();
  let total = 0;
 
  const cleaned = original.replace(regex, (match) => {
    const cp = match.codePointAt(0).toString(16).toUpperCase().padStart(4, '0');
    counts.set(cp, (counts.get(cp) || 0) + 1);
    total += 1;
    return '';
  });
 
  if (total === 0) {
    console.log('Aucun caractère invisible ou directionnel suspect détecté. Fichier inchangé.');
    return;
  }
 
  // Sauvegarde de l'original
  const dir = path.dirname(absPath);
  const base = path.basename(absPath);
  const backupPath = path.join(dir, `_old.${base}`);
  fs.writeFileSync(backupPath, original, 'utf8');
 
  // Écriture du fichier nettoyé à la place de l'original
  fs.writeFileSync(absPath, cleaned, 'utf8');
 
  // Rapport
  console.log(`Rapport de nettoyage : ${filePath}`);
  console.log(`Total de caractères supprimés : ${total}`);
  console.log('Détail :');
  [...counts.entries()]
    .sort((a, b) => b[1] - a[1])
    .forEach(([cp, count]) => {
      console.log(`  U+${cp}  x${count}`);
    });
  console.log(`Original sauvegardé : ${backupPath}`);
  console.log(`Fichier nettoyé écrit : ${absPath}`);
}
 
main();


2. Remanier la structure grammaticale

Le second watermark des générateurs de texte se situe dans la structure grammaticale et la distribution des mots. Il n'existe pas de solution simple pour le supprimer, mais vous pouvez réduire sa présence en remaniant le texte, en changeant l'ordre des phrases, en reformulant certaines parties et en ajoutant vos propres phrases. L'objectif est de créer un texte qui conserve le sens original mais qui ne suit plus la structure typique générée par l'IA.

Si vous jouez le jeu et que vous apportez des modifications substantielles, normalement, vous avez déjà opéré ces modifications.

Dans le cas inverse, il est nécessaire de casser manuellement la structure du texte pour réduire la probabilité qu'un outil de détection identifie le texte comme généré par IA.

Cela peut inclure :

• Ajouter votre opinion, votre expertise, votre angle personnel, vos chiffres.
• Retirer les formules robotiques : "dans cet article", "en résumé", "par conséquent",...
• Supprimer les strucures "<sujet> n'est pas, <sujet> est"
• Ajouter des transitions fluides entre les paragraphes.
• Remplacer des adjectifs abscons en leur version naturelle ("Une eau cristalline" "Une eau propre").
• Ajouter des exemples, anecdotes ou détails spécifiques qui ne sont pas typiques d'un texte généré par IA.
• Changer l'ordre des paragraphes ou des sections pour créer une structure unique.
• ...

Images et vidéos générées : où se situe le vrai risque

Une illustration entièrement fictive, sans personne reconnaissable, expose à un risque très limité au titre de l'article 50. Le point de vigilance principal reste le droit d'auteur sur les références utilisées par le modèle ainsi que les conditions commerciales de l'outil employé.

Le risque grimpe cependant en flèche dès qu'une personne réelle est reconnaissable. En France, la publication d'une image reconnaissable exige en principe l'accord écrit de la personne pour un usage commercial. Sans cet accord, vous cumulez un risque direct lié à l'AI Act et un risque lié au droit à l'image classique, largement antérieur à toute réglementation IA.

Pour une vidéo simulant une déclaration ou un événement qui n'a pas eu lieu, avec une personne identifiable, deux régimes se superposent. L'article 50 impose une mention visible de type contenu généré par IA. Parallèlement, le code pénal, modifié par la loi SREN, sanctionne sévèrement la diffusion d'un hypertrucage non consenti dont le caractère artificiel n'est ni évident ni mentionné : les peines peuvent atteindre deux ans d'emprisonnement et 45 000 € d'amende pour une diffusion en ligne.

Pour un deepfake à caractère sexuel, la sanction monte à trois ans d'emprisonnement et 75 000 € d'amende. À partir du 2 décembre 2026, les systèmes qui génèrent ce type de contenu intime non consenti seront purement interdits, avec une responsabilité juridique du fournisseur, même en cas d'usage détourné raisonnablement prévisible.

J'ai besoin d'un prestataire pour générer mes images IA

La mega FAQ IA Act, toutes les questions et leurs réponses !

Je publie des articles de blog écrits par IA et relus rapidement, je risque quoi ?

Si le sujet n'est pas d'intérêt public, l'obligation spécifique de signalement ne s'applique généralement pas. Si le sujet touche à la santé, la politique, la sécurité ou l'économie, une relecture superficielle ne suffit pas pour bénéficier de l'exemption. Le risque principal en cas de contrôle est l'amende liée aux obligations de transparence, pouvant théoriquement atteindre 15 millions d'euros ou 3 % du chiffre d'affaires.

Dois-je mettre une mention IA sur chaque image générée pour illustrer mes articles ?

Non, pas si l'image est clairement fictive et décorative, sans personne, lieu ou événement réel identifiable. La mention devient nécessaire lorsque l'image pourrait raisonnablement être prise pour une photographie authentique d'une personne ou d'un événement réel.

Mon chatbot doit-il se présenter comme une IA à chaque message ?

Non. Une information au début de l'interaction suffit généralement, sauf si le contexte rend déjà évident qu'il s'agit d'un système d'IA. L'objectif est que l'utilisateur sache qu'il interagit avec une IA, et non d'afficher une mention à chaque message.

Je fais de l'affiliation avec des comparatifs produits générés par IA, suis-je concerné par l'obligation de signalement ?

Un comparatif produit n'est généralement pas considéré comme un contenu d'intérêt public au sens de l'article 50. Le risque principal se situe plutôt dans la fiabilité des informations publiées, la transparence commerciale et la qualité réelle du contenu. L'utilisation de l'IA ne dispense pas l'éditeur de vérifier les données présentées.

Puis-je utiliser une voix de synthèse pour des vidéos sans le préciser ?

Une voix de synthèse générique ne pose pas nécessairement de problème particulier. En revanche, cloner la voix d'une personne réelle sans son accord peut créer un risque au titre de l'AI Act et du droit à la personnalité. Ces deux problématiques juridiques sont distinctes.

Un correcteur orthographique IA compte-t-il comme génération de texte à signaler ?

Non. Les fonctions d'assistance qui se limitent à corriger ou améliorer un texte sans en modifier substantiellement le contenu ne sont pas assimilées à une génération de contenu nécessitant une obligation spécifique de signalement.

Que risque une TPE qui ne fait rien du tout ?

En pratique, l'enforcement devrait d'abord concerner les manquements les plus visibles et les plus graves, notamment les deepfakes non consentis ou les usages massivement trompeurs. Une TPE isolée n'est pas nécessairement une cible prioritaire, mais l'absence totale de procédure peut devenir problématique en cas de plainte ou de signalement, notamment lorsqu'un usage de l'IA constitue une pratique commerciale trompeuse.

Le contenu publié avant le 2 août 2026 doit-il être mis à jour rétroactivement ?

Non. Les obligations applicables à partir du 2 août 2026 ne créent pas, en principe, une obligation générale de modifier rétroactivement tous les contenus publiés avant cette date.

Je sous-traite la génération de contenu à un freelance qui utilise l'IA sans me le dire, qui est responsable ?

L'entreprise qui publie et exploite commercialement le contenu reste généralement responsable de son utilisation. Le contrat conclu avec un freelance peut organiser les responsabilités entre les parties, mais il ne permet pas automatiquement à l'entreprise de se dégager de ses propres obligations réglementaires.

Le RGPD s'applique-t-il en plus de l'AI Act si je traite des données de visiteurs via un chatbot IA ?

Oui. L'AI Act ne remplace pas le RGPD. Dès lors qu'un chatbot traite des données à caractère personnel, les obligations relatives à la protection des données restent applicables, y compris lorsque le traitement repose sur un prestataire ou un modèle d'IA externe.

Puis-je générer une photo réaliste d'une personne fictive pour un témoignage client ?

Le risque spécifique lié à l'AI Act peut être limité si personne ne pourrait raisonnablement croire qu'il s'agit d'un témoignage réel. En revanche, présenter une personne fictive comme un véritable client peut constituer une pratique trompeuse au regard du droit de la consommation, indépendamment des obligations propres à l'AI Act.

Les autorités françaises peuvent-elles déjà me sanctionner directement ?

JE NE SAIS PAS. Le cadre européen prévoit une application directe de certaines obligations de l'AI Act à partir du 2 août 2026, mais les modalités précises de contrôle et de répartition des compétences entre les autorités françaises doivent être vérifiées selon les textes nationaux alors en vigueur. Les mécanismes européens de supervision et de coopération peuvent également intervenir selon la nature du système et du manquement.

Un article généré par IA et jamais relu par un humain, publié en 2026, est-il automatiquement illégal ?

Non. La génération par IA ne rend pas automatiquement un article illégal. En revanche, lorsqu'une obligation de transparence s'applique, l'absence de mesure permettant de bénéficier d'une éventuelle exemption peut entraîner une obligation de signalement. Le manquement porte alors sur l'obligation de transparence, et non sur le simple fait d'avoir utilisé une IA pour produire le contenu.

Qui contrôle, en pratique, en France

Le point souvent mal compris : en France, la désignation officielle des autorités compétentes pour l'AI Act n'est toujours pas adoptée par le Parlement. Le schéma gouvernemental publié en septembre 2025 propose la DGCCRF comme coordinatrice et point de contact unique, la CNIL en position dominante sur les traitements de données personnelles et biométriques, l'Arcom sur les deepfakes et les contenus audiovisuels, l'ACPR sur la finance, l'ANSSI sur la cybersécurité. Ce schéma reste en discussion.

Cela ne change rien à l'applicabilité du règlement européen lui-même, qui s'applique directement, mais crée une zone d'incertitude sur l'interlocuteur exact en cas de contrôle national. Les pouvoirs de sanction de la Commission et de l'AI Office européen, eux, sont pleinement opérationnels depuis le 2 août 2026.

Sanctions, montants réels

Ces plafonds sont des maxima, appliqués selon la taille de l'entreprise. Pour une PME ou TPE, le montant le plus bas entre le chiffre fixe et le pourcentage s'applique généralement.

Comment respecter le cadre légal de l'AI Act sans alourdir son site ?

S'il n'existe pas de solution miracle ou de contournement illégal pour échapper à la régulation européenne, le texte officiel de l'AI Act laisse entrevoir de reelles marges d'interprétation pour adapter sa conformité sans nuire à l'expérience utilisateur de vos visiteurs.

L'une des pistes les plus solides pour un site éditorial réside dans l'utilisation de l'exemption de contrôle éditorial et d'une stricte supervision humaine. Plutôt qu'un affichage public systématique de bandeaux IA sur toutes vos pages, il s'agit de documenter en interne le processus de relecture, les critères d'évaluation et la date de validation, garantissant ainsi qu'un œil humain a réellement façonné le contenu final.

Il est également stratégique de nuancer la nature de vos publications en distinguant les contenus d'intérêt public des contenus purement pratiques. Un guide technique, un tutoriel ou un comparatif d'outils n'entraîne pas les mêmes exigences de signalement qu'un article d'actualité politique, sanitaire ou judiciaire, domaine dans lequel l'obligation de transparence et le marquage s'appliquent de manière beaucoup plus stricte.

Sur le plan visuel, l'utilisation d'illustrations sans personne reconnaissable permet d'éliminer les risques liés au droit à l'image tout en réduisant l'exposition aux règles encadrant les deepfakes et les contenus synthétiques imitant la réalité, qui sont particulièrement ciblés par les autorités.