AI Act, article 50 : ce que la transparence obligatoire change pour votre communication de crise

Ce qui s’applique vraiment depuis le 2 août 2026

Un climat de confusion entoure ce calendrier, entretenu par l’adoption d’un texte d’assouplissement quelques jours avant l’échéance. Il faut distinguer nettement deux choses.

Ce qui a été reporté. Le règlement dit « omnibus numérique » — règlement (UE) 2026/1744 — a repoussé les obligations lourdes pesant sur les systèmes d’IA à haut risque de l’annexe III (recrutement, notation de crédit, éducation, biométrie) au 2 décembre 2027, et au 2 août 2028 pour ceux intégrés à des produits déjà réglementés.

Ce qui n’a pas été reporté. L’article 50. Les obligations de transparence sont entrées en application le 2 août 2026, comme prévu. C’est même le signal politique le plus net de cette séquence : dans un agenda européen orienté vers l’allègement réglementaire, Bruxelles a choisi de maintenir intégralement le volet transparence.

Une seule exception de calendrier existe, et elle est étroite : les systèmes génératifs déjà commercialisés avant le 2 août 2026 disposent d’un délai jusqu’au 2 décembre 2026 pour se mettre en conformité avec la seule obligation de marquage lisible par machine. Ce sursis vise les fournisseurs de systèmes, pas les obligations d’étiquetage qui pèsent sur vous en tant qu’utilisateur professionnel.

Deux textes d’accompagnement structurent désormais l’interprétation :

• Le code de bonnes pratiques sur le marquage et l’étiquetage des contenus générés par IA, publié dans sa version finale le 10 juin 2026, jugé adéquat par la Commission. Son adhésion est volontaire et rassemblait environ 190 signataires fin juillet 2026. Y adhérer ne crée pas d’obligation nouvelle, mais offre un moyen reconnu de démontrer sa conformité.
• Les lignes directrices de la Commission sur l’article 50, adoptées le 20 juillet 2026 — référence C(2026) 5054 final, cinquante et une pages. Elles ne lient personne juridiquement : seule la Cour de justice peut donner une interprétation faisant autorité. En pratique, les autorités nationales de surveillance s’y référeront, et elles constituent donc le standard de fait.

Le régime de sanction. Le manquement à l’article 50 relève du palier intermédiaire de l’article 99 : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME et les start-up, c’est le montant le plus faible qui s’applique — mais aucune exonération totale n’existe.

En France, la désignation des autorités compétentes n’était pas achevée à la date d’entrée en application. Le schéma gouvernemental répartit la compétence entre une quinzaine d’autorités sectorielles, parmi lesquelles la CNIL, la DGCCRF, l’Arcom, l’ACPR, l’AMF et l’ANSSI. Pour un communicant, cette fragmentation signifie une chose : selon le secteur, le régulateur qui vous interrogera sur vos contenus IA ne sera pas le même — et ce sera souvent celui qui vous supervise déjà.

Les quatre situations couvertes par l’article 50

L’article distingue les fournisseurs — ceux qui développent ou commercialisent le système — et les déployeurs — les organisations qui l’utilisent sous leur responsabilité. Une direction de la communication qui achète un outil du marché est déployeur. Cette qualification conditionne tout le reste.

Situation	Qui est tenu	Ce qui est exigé
50(1) — Interaction : chatbot, assistant vocal, agent conversationnel	Fournisseur	Informer la personne qu’elle s’adresse à une IA
50(2) — Marquage : contenus générés (texte, image, audio, vidéo)	Fournisseur	Marquage lisible par machine : filigrane, métadonnées, provenance
50(3) — Émotions / biométrie : reconnaissance émotionnelle, catégorisation	Déployeur	Informer les personnes exposées
50(4) — Divulgation : deepfakes et textes d’intérêt public	Déployeur	Signaler de façon visible que le contenu est généré ou manipulé par IA

Trois précisions issues des lignes directrices comptent particulièrement pour un dispositif de crise.

L’information doit intervenir au plus tard lors de la première interaction ou exposition, de manière claire et distinguable. Une mention reléguée dans les conditions générales d’utilisation, dans une URL ou dans une documentation ne suffit pas.

Un vocable ambigu ne suffit pas non plus. Nommer votre robot « assistant » ou « conseiller » sans indiquer sa nature artificielle est explicitement jugé insuffisant.

Un agent IA agissant pour le compte d’une personne doit révéler à la fois sa nature artificielle et l’identité de son commettant.

À l’inverse, le périmètre a une frontière : un système n’« interagit » au sens du texte que s’il y a échange direct. Un algorithme de recommandation, un filtre antispam ou une traduction automatique n’entrent pas dans le champ du 50(1) ; un chatbot, un agent conversationnel ou un assistant vocal y sont pleinement soumis.

Pourquoi votre communiqué de crise est directement concerné

C’est le point que la plupart des analyses juridiques traitent en une ligne et qui, pour un communicant, change tout.

L’article 50(4) impose de signaler les textes générés ou manipulés par IA lorsqu’ils sont publiés dans le but d’informer le public sur des questions d’intérêt général — la politique, la santé publique, la sécurité, notamment.

Regardez maintenant la nature de vos communiqués de crise :

• Un communiqué de rappel produit informe le public sur un risque sanitaire.
• Un communiqué d’accident industriel informe sur un risque pour les riverains.
• Un communiqué de cyberattaque informe sur la sécurité de données personnelles.
• Un communiqué de violation de données informe sur un risque de fraude visant des particuliers.

Ce sont, presque par définition, des textes d’intérêt public. Et ce sont aussi, statistiquement, les textes que les équipes rédigent le plus volontiers avec l’aide d’une IA générative — parce qu’ils sont produits sous forte contrainte de temps, souvent la nuit, souvent par une personne seule.

Le paradoxe opérationnel est brutal. Le moment où l’assistance de l’IA est la plus tentante est exactement celui où la mention « ce texte a été généré par IA » serait la plus dévastatrice. Un communiqué de condoléances, une reconnaissance de responsabilité ou des excuses publiques accompagnées d’une étiquette d’origine artificielle produiraient un deuxième scandale, plus grave que le premier.

L’exception de responsabilité éditoriale : la seule sortie

Le règlement prévoit une dérogation à cette obligation de divulgation, mais elle repose sur deux conditions cumulatives :

1. Un contrôle humain ou éditorial réel sur le contenu.
2. Une responsabilité éditoriale assumée par une personne physique ou morale identifiable.

Les lignes directrices de la Commission insistent sur la substance de ce contrôle : l’examen doit porter sur le fond, la vérification des faits constituant le minimum exigé, et l’identité du responsable éditorial doit être rendue publiquement accessible.

Traduction opérationnelle pour une cellule de crise. L’exception ne s’invoque pas, elle se prouve. Il faut donc, dès aujourd’hui et à froid :

• Un responsable éditorial nommément désigné pour les communications de crise, avec suppléants, et dont l’identité est publiquement accessible — page « contacts presse » ou mentions légales.
• Une chaîne de validation tracée : qui a relu, quand, quels faits ont été vérifiés et contre quelle source. Une main courante de crise horodatée fait très bien l’affaire, à condition qu’elle enregistre explicitement l’étape de vérification factuelle.
• Une preuve de contrôle sur le fond, et non sur la forme. Une relecture stylistique ne remplit pas la condition ; une vérification des chiffres, des dates et des périmètres, oui.

La bonne nouvelle : cette exception est parfaitement alignée avec les bonnes pratiques de communication de crise. Aucun communiqué de crise ne devrait jamais partir sans relecture humaine substantielle ni responsable identifié. L’article 50 ne vous impose pas une contrainte nouvelle : il rend juridiquement opposable une exigence que vous auriez dû satisfaire de toute façon. La différence, c’est qu’il faut désormais pouvoir le documenter.

Votre chatbot de crise doit se déclarer

Deuxième conséquence directe, souvent ignorée des plans de crise : le dispositif conversationnel de crise entre dans le champ du 50(1).

Concrètement, sont concernés :

• Le chatbot de la page d’information dédiée ouverte pendant une crise.
• L’assistant conversationnel du service client, saturé pendant un rappel produit.
• Le serveur vocal intelligent du numéro dédié.
• L’agent conversationnel déployé sur vos réseaux sociaux pour répondre au premier niveau.

Trois points de vigilance opérationnels.

Le nommage. Si votre robot s’appelle « Léa » ou « votre conseiller », vous êtes potentiellement en défaut. La nature artificielle doit être explicite dès la première interaction, pas déduite.

La bascule vers l’humain. En crise, le dispositif est souvent hybride : un robot en premier niveau, un humain ensuite. La transition doit être perceptible pour la personne. Un utilisateur qui croit parler à un humain alors qu’il parle à une IA — ou l’inverse — dans un contexte où il cherche à savoir si son enfant a consommé un produit rappelé, c’est à la fois un manquement réglementaire et une bombe réputationnelle.

Les canaux ouverts dans l’urgence. Le risque principal n’est pas le chatbot permanent, déjà audité. C’est le dispositif monté en quarante-huit heures pendant la crise, hors des circuits habituels, par une équipe qui n’a pas la conformité en tête. Inscrivez la vérification article 50 dans la checklist d’ouverture de tout canal de crise.

L’article 50 comme arme défensive contre les deepfakes

Troisième dimension, celle-là favorable : le texte crée un levier contre les attaques informationnelles qui vous visent.

Le règlement qualifie de deepfakes les contenus image, audio ou vidéo qui ressemblent à des personnes, objets ou événements réels alors qu’ils sont générés ou manipulés artificiellement. Lorsqu’un professionnel diffuse un tel contenu, le marquage technique du fournisseur ne suffit pas : le déployeur doit en plus indiquer de manière visible ou audible que le contenu a été généré ou manipulé par IA.

Ce que cela change pour une organisation attaquée par un faux contenu :

Vous disposez d’un fondement supplémentaire pour obtenir un retrait. Un compte professionnel, un média ou une agence qui republie un deepfake vous visant sans étiquetage engage sa propre responsabilité au titre de l’article 50(4). Votre demande de retrait ne repose plus seulement sur le droit à l’image ou la diffamation : elle s’appuie sur un manquement réglementaire caractérisé, immédiatement compréhensible par une plateforme.

La généralisation du marquage renforce vos capacités de preuve. À mesure que les fournisseurs implémentent le marquage lisible par machine — filigranes, métadonnées de provenance de type C2PA —, l’absence ou la présence d’empreinte devient un élément d’expertise. Un démenti étayé par une analyse de provenance est infiniment plus solide qu’un démenti déclaratif.

Deux limites à ne pas ignorer, cependant. D’abord, l’écart entre l’obligation et la réalité technique reste considérable : une part importante des générateurs d’images n’implémente pas encore de marquage robuste, et les marquages existants restent contournables. Ensuite, les attaquants les plus déterminés utilisent précisément des outils hors du champ européen. L’article 50 améliore votre position juridique ; il ne vous protège pas techniquement. Le dispositif d’authentification que vous devez construire — canal officiel de vérification connu à l’avance, procédure de rappel sur ligne connue, principe des quatre yeux pour toute décision financière urgente — reste indispensable.

Notons enfin qu’une dixième pratique interdite a été ajoutée au règlement : les applications de « nudification » générant des contenus sexuels non consentis, avec une entrée en application fixée à décembre 2026. Pour les organisations dont des salariés ou dirigeants sont visés par ce type d’attaque, c’est un fondement juridique nouveau et autrement plus lourd.

Le nouveau risque : la non-conformité devient elle-même une crise

C’est le scénario que peu d’organisations ont anticipé, et probablement le plus probable à court terme.

Le mécanisme. Un journaliste, un concurrent, une ONG ou un simple utilisateur constate que votre communiqué, votre visuel de campagne ou votre porte-parole vidéo est manifestement généré par IA sans étiquetage. Il le publie. L’histoire ne porte plus sur le contenu : elle porte sur le fait que vous ayez tenté de faire passer une production artificielle pour humaine.

Pourquoi c’est particulièrement toxique en crise. Toute communication de crise repose sur un capital d’authenticité. Découvrir qu’une expression de compassion a été produite par une machine, sans mention, détruit ce capital instantanément et rétroactivement — l’ensemble de vos prises de parole antérieures devient suspect.

Les points d’exposition les plus fréquents :

• Les avatars et voix de synthèse. Une vidéo de votre dirigeant produite avec un clone vocal ou un avatar, même avec son plein consentement, est un deepfake au sens du règlement. Elle doit être étiquetée.
• Les visuels de campagne. L’interprétation retenue par la Commission est large, et elle a été critiquée pour cela : selon les représentants de l’industrie, un simple décor généré dans une publicité tombe désormais dans la même catégorie qu’un discours politique manipulé. Le régime allégé réservé aux œuvres artistiques, satiriques ou fictionnelles est interprété strictement — et il ne constitue pas une exemption totale, seulement une divulgation minimale et non intrusive.
• Les traductions et déclinaisons. Un communiqué décliné en douze langues par IA reste un texte manipulé par IA. La chaîne de validation doit couvrir chaque version publiée, pas seulement la version source.
• Les contenus antérieurs. Point rassurant : les contenus produits avant l’entrée en application n’ont pas à être étiquetés rétroactivement.

Les six décisions à arbitrer maintenant

Voici ce qu’il faut inscrire dans votre plan de communication de crise, par ordre de priorité.

1. Désigner et publier le responsable éditorial de crise. Nom, fonction, suppléants. Accessible publiquement. C’est la condition première de l’exception du 50(4) et cela prend une réunion.

2. Tracer la chaîne de validation dans la main courante de crise. Ajouter deux colonnes : « faits vérifiés / source » et « validé par / horodatage ». Sans cette trace, l’exception est invocable mais indémontrable.

3. Recenser les systèmes d’IA en contact avec vos publics. Chatbots, agents, générateurs, outils de traduction, solutions d’avatars. Pour chacun : êtes-vous fournisseur ou déployeur, le marquage est-il en place, l’information est-elle délivrée dès la première interaction. Ce registre est la première étape recommandée par tous les praticiens, et la plus souvent repoussée.

4. Trancher la doctrine interne sur l’usage de l’IA en crise. Trois options défendables, à arbitrer explicitement plutôt qu’à subir : interdiction totale sur les communiqués de crise ; usage autorisé avec exception éditoriale documentée ; usage autorisé avec étiquetage systématique. La pire situation est l’absence de règle, où chacun décide seul à trois heures du matin.

5. Ajouter la vérification article 50 à la checklist d’ouverture des canaux de crise. Une ligne dans une procédure existante suffit à couvrir le risque principal.

6. Auditer les mentions de vos dispositifs conversationnels. Nommage, message d’accueil, moment de la divulgation, bascule vers l’humain. C’est le chantier le plus rapide et le plus visible en cas de contrôle.

FAQ — AI Act article 50 et communication de crise

Un communiqué de crise rédigé avec l’aide de l’IA doit-il être signalé ? Oui, s’il informe le public sur une question d’intérêt général — santé, sécurité, environnement — et si aucune exception ne s’applique. L’exception de responsabilité éditoriale suppose un contrôle humain portant sur le fond, une vérification factuelle et un responsable éditorial identifiable publiquement.

Un chatbot de service client doit-il indiquer qu’il est une IA ? Oui. L’information doit être claire, distinguable et délivrée au plus tard lors de la première interaction. Une mention dans les conditions générales ou un simple prénom d’apparence humaine ne suffisent pas.

Quelles sont les sanctions en cas de manquement à l’article 50 ? Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, au titre de l’article 99. Pour les PME, c’est le montant le plus faible qui est appliqué.

L’omnibus numérique a-t-il reporté l’article 50 ? Non. Le report concerne les systèmes à haut risque de l’annexe III, repoussés à décembre 2027. Seule l’obligation de marquage lisible par machine bénéficie d’un délai, jusqu’au 2 décembre 2026, pour les systèmes déjà commercialisés avant le 2 août 2026.

Une vidéo de notre PDG réalisée avec un avatar IA doit-elle être étiquetée ? Oui. Il s’agit d’un deepfake au sens du règlement, y compris avec le consentement de la personne représentée. Le marquage technique du fournisseur ne dispense pas de la mention visible ou audible incombant au déployeur.

Faut-il étiqueter rétroactivement nos contenus IA publiés avant août 2026 ? Non. Les contenus produits avant l’entrée en application ne sont pas soumis à un étiquetage rétroactif.

Adhérer au code de bonnes pratiques est-il obligatoire ? Non, l’adhésion est volontaire. Elle offre en revanche un moyen reconnu de démontrer sa conformité et allège la charge de preuve en cas de contrôle.

En résumé

L’article 50 ne crée pas une contrainte étrangère à la communication de crise : il rend juridiquement opposable ce qui en constituait déjà la règle d’or — un humain identifiable assume ce qui est publié.

Trois actions couvrent l’essentiel du risque : désigner publiquement un responsable éditorial de crise, tracer la vérification factuelle dans la main courante, et recenser les systèmes d’IA en contact avec vos publics. Ces trois chantiers se mènent en quelques jours, à froid.

La quatrième action est culturelle et ne se délègue pas : décider, collectivement et par avance, ce que votre organisation accepte de confier à une machine quand elle s’adresse à des gens qui ont peur. Cette décision-là, aucun règlement ne la prendra à votre place.

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act), articles 4, 50, 99, 111 — texte officiel EUR-Lex
• Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique) — EUR-Lex
• Commission européenne, lignes directrices sur les obligations de transparence de l’article 50, 20 juillet 2026, C(2026) 5054 final
• Bureau européen de l’IA, code de bonnes pratiques sur le marquage et l’étiquetage des contenus générés par IA, version finale du 10 juin 2026
• Analyses consultées : journaldunet.com (5 août 2026), rgpdkit.fr, france-charruyer.fr, fidealis.com, leto.legal, elmarq.fr, itsocial.fr

Article à jour au 12 août 2026. Le calendrier d’application, les lignes directrices et la désignation des autorités nationales évoluent : vérifiez l’état du droit avant tout arbitrage.