AI Act : la transparence est obligatoire depuis le 2 août, mais qui contrôle en France ?

Depuis le 2 août 2026, une conversation avec un robot conversationnel doit commencer par un aveu : vous ne parlez pas à un humain. C'est la traduction concrète de l'article 50 du règlement européen sur l'intelligence artificielle, dont les obligations de transparence sont entrées en application ce jour-là, en même temps que le régime général de sanctions et les pouvoirs de contrôle renforcés sur les modèles à usage général. Trois semaines plus tard, l'événement juridique est acté ; l'événement pratique, lui, n'a pas eu lieu. Personne, en France, n'a encore vu passer la première décision d'un régulateur.

Ce qui a réellement basculé le 2 août

L'article 50 impose quatre transparences distinctes, souvent confondues. Un système qui interagit directement avec une personne — un chatbot, un assistant vocal — doit l'informer qu'elle a affaire à une machine, dès le début de l'échange, sauf si c'est manifeste. Les contenus de synthèse (texte, image, audio, vidéo) produits par une IA doivent être marqués dans un format lisible par machine. Les hypertrucages — les fameux deepfakes — doivent être signalés comme tels. Et les textes publiés pour informer le public sur des sujets d'intérêt général doivent, eux aussi, indiquer leur origine artificielle lorsqu'ils n'ont pas fait l'objet d'un contrôle éditorial humain.

Ces règles ne concernent pas que les géants américains. Le principe d'extraterritorialité du règlement est explicite : dès lors qu'un système touche des utilisateurs situés sur le territoire de l'Union, les obligations s'appliquent, quelle que soit la localisation du fournisseur. Une jeune pousse française qui exploite un modèle hébergé ailleurs reste pleinement soumise au texte.

Le trou dans la raquette : la gouvernance

Le règlement dit qui doit être transparent. Il ne dit pas qui vérifie, et c'est là que la France avance en ordre dispersé. Le schéma de gouvernance publié par le gouvernement le 9 septembre 2025 répartit la compétence entre une quinzaine d'autorités sectorielles. Résultat, la surveillance des obligations de transparence est éclatée : la CNIL sur les questions biométriques et de données personnelles, l'Arcom sur les contenus d'intérêt public, la DGCCRF sur les interactions directes avec les consommateurs, sans compter l'ACPR, l'AMF ou l'ANSSI sur leurs terrains respectifs.

Cette architecture a une logique — coller au tissu réglementaire existant plutôt que créer une autorité unique de l'IA — mais elle crée une zone grise. Un assistant conversationnel commercial qui traite des données personnelles peut relever à la fois de la CNIL et de la DGCCRF. En l'absence de désignation formelle et coordonnée des autorités compétentes au niveau national, aucune ne veut endosser la première sanction publique, de peur de se voir contester sa compétence. Le règlement laissait aux États jusqu'au 2 août pour notifier leurs autorités de surveillance ; la France n'a pas achevé ce travail à la date d'entrée en vigueur.

Des sanctions réelles, mais suspendues à l'organisation

Sur le papier, les montants sont dissuasifs. Un manquement aux obligations de transparence ou aux règles applicables aux modèles à usage général peut être sanctionné jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Les pratiques interdites, elles, exposent à 35 millions d'euros ou 7 %. Le Bureau européen de l'IA, en coopération avec les autorités nationales, peut désormais ouvrir des enquêtes, exiger la documentation technique, les données d'entraînement et, au besoin, le code source.

Mais une sanction suppose une chaîne : une autorité compétente, une procédure contradictoire, une capacité d'audit technique. Or ces briques sont encore en construction. Le contraste avec la fermeté affichée par ailleurs est frappant : quand l'État a voulu, la semaine dernière, écarter OpenAI de ses audits de cybersécurité au profit de Mistral, la décision a été immédiate et politique. Sur l'AI Act, l'appareil administratif avance beaucoup plus lentement que le calendrier européen.

Ce qu'il faut surveiller

Pour les entreprises, l'attentisme serait une erreur de lecture. L'obligation existe et s'applique dès aujourd'hui ; c'est seulement le contrôle qui tarde. Les premiers signaux à guetter sont concrets : la publication d'un décret ou d'un arrêté désignant clairement les autorités de surveillance, une première mise en demeure de la CNIL sur un chatbot non signalé, ou une prise de position de l'Arcom sur le marquage des contenus de synthèse pendant la campagne d'informations à venir. C'est à ce moment-là seulement que la transparence de l'article 50 cessera d'être une obligation théorique pour devenir un risque opérationnel chiffrable. En attendant, l'Europe a posé la règle avant de s'être dotée des moyens de la faire respecter — un décalage qui, dans la niche française de l'IA souveraine, ressemble à une occasion manquée de montrer l'exemple.