Loi sur l’IA : les sites de vos clients sont-ils vraiment conformes ?

Depuis le 2 août 2026, les obligations de transparence prévues par l’AI Act concernent directement certains usages intégrés aux sites web. Les chatbots, les assistants virtuels, les contenus générés, les images artificielles ou les outils biométriques peuvent désormais nécessiter une vigilance particulière. Pourtant, utiliser l’intelligence artificielle ne rend pas automatiquement un site non conforme à la loi sur l’IA. Tout dépend de la fonction concernée et du rôle de l’entreprise. Le fournisseur développe ou commercialise le système, tandis que le déployeur l’utilise dans son activité professionnelle. Pour une agence web, l’enjeu consiste donc à identifier les usages concernés et à vérifier si les obligations applicables sont réellement respectées.

Les outils d’IA du site sont-ils vraiment identifiés ?

Un contrôle pertinent commence par une cartographie des usages. La loi sur l’IA ne traite pas tous les outils de la même manière. Leur fonction, leur intégration et le rôle de l’entreprise modifient les obligations applicables. Une fonctionnalité discrète peut donc mériter autant d’attention qu’un chatbot visible.

Repérer les fonctions qui reposent réellement sur l’IA

L’inventaire couvre les assistants conversationnels, les moteurs de recommandation, les générateurs de contenus ou les services connectés par API. L’évolution des sites agent-ready montre que les systèmes d’IA peuvent intervenir à plusieurs niveaux du parcours, parfois sans interface dédiée.

Pour chaque outil, l’agence peut relever sa fonction, son éditeur, les données traitées, le public exposé et le responsable de son usage. Cette cartographie évite de limiter l’audit aux seules fonctions visibles.

Le statut de fournisseur ou de déployeur change selon les responsabilités

Le fournisseur développe un système, le fait développer ou le met en service sous son nom. Le déployeur l’utilise sous son autorité dans un cadre professionnel. Installer une solution tierce ne transforme donc pas automatiquement le client en fournisseur.

Cette distinction relie chaque obligation à l’acteur concerné. L’audit devient plus précis puisqu’il est plus facile de savoir quel système est utilisé, qui le fournit, qui décide de son usage et dans quel contexte il intervient.

Les internautes savent-ils quand une IA intervient ?

La transparence envers les utilisateurs devient centrale lorsqu’un outil interagit directement avec une personne. La loi sur l’IA prévoit des règles spécifiques pour certains systèmes interactifs. L’audit examine alors ce que l’internaute comprend au moment de l’échange, sans supposer que chaque technologie invisible exige la même information.

L’utilisateur sait-il s’il parle à des chatbots et à des assistants ?

Lorsqu’un système échange directement avec une personne, le fournisseur doit le concevoir pour l’en informer. Une exception existe lorsque le caractère artificiel est évident dans le contexte. Cette évidence devient moins certaine avec une voix, un avatar ou un langage très humain.

Sur un site client, l’agence peut vérifier si la solution intégrée prévoit une information claire dès la première interaction. L’enjeu de la loi sur l’IA porte sur la compréhension de l’utilisateur, pas sur l’ajout automatique d’un bandeau standardisé.

Des usages plus sensibles en termes de biométrie et de reconnaissance des émotions

Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées. Cette règle peut notamment concerner l’analyse d’une voix, d’un visage ou d’autres caractéristiques biométriques lorsqu'elle sert à reconnaître des émotions ou à effectuer une catégorisation biométrique, y compris à partir d’un enregistrement.

Cette transparence ne rend pas l’usage licite à elle seule. Certaines pratiques restent interdites et le RGPD continue de s’appliquer. L’audit distingue donc information de l’utilisateur, protection des données et légalité de la fonctionnalité.

Les contenus générés ou manipulés sont-ils signalés au bon niveau ?

Les textes, les images, les sons et les vidéos ne relèvent pas d’une règle unique. La loi sur l’IA distingue le marquage technique, l’étiquetage des deepfakes et certains textes d’intérêt public. Cette nuance évite deux erreurs, à savoir ne rien signaler lorsqu’une obligation existe ou afficher « généré par IA » sans nécessité.

Le marquage technique et les deepfakes

Les fournisseurs de systèmes générant ou manipulant des contenus synthétiques doivent prévoir un marquage lisible par machine lorsque l’article 50 s’applique. Ce mécanisme technique n’équivaut pas forcément à une mention visible. Une modification mineure sans changement substantiel peut aussi sortir de cette obligation.

Pour les deepfakes, le déployeur doit en principe signaler clairement l’origine artificielle d’une image, d’une vidéo ou d’un son. Des modalités particulières existent pour les œuvres artistiques, créatives, satiriques ou fictionnelles.

Le contrôle éditorial des textes générés

Un texte produit avec ChatGPT n’exige pas automatiquement la mention « généré par IA ». L’article 50 vise notamment les textes publiés pour informer le public sur des questions d’intérêt public. Un contrôle humain de fond et une responsabilité éditoriale peuvent écarter cette divulgation.

Une simple correction orthographique ne suffit pas. Pour une agence, un processus éditorial clair devient utile. Lorsque des mentions ou mécanismes techniques doivent être intégrés, un développeur web dédié peut intervenir pour prendre en charge ces ajustements.

Le site peut-il démontrer les contrôles réalisés ?

Un audit efficace ne s’arrête pas à l’apparence des pages. La loi sur l’IA conduit surtout à examiner précisément les rôles et les usages concernés. Même lorsqu’aucune documentation particulière n’est exigée par l’article 50, conserver les décisions prises facilite les vérifications futures et limite les zones grises.

Documenter les usages pour garder une trace fiable

Une fiche interne peut regrouper le nom du système d’IA, son fournisseur, son objectif, le rôle du client et le public exposé. Elle peut aussi préciser la mention affichée, le type de contenu produit et les contrôles humains réalisés.

Cette traçabilité devient utile lors d’une refonte, d’un changement d’outil ou d’une évolution de fonctionnalité. L’agence retrouve alors pourquoi une mesure de transparence a été ajoutée, modifiée ou jugée inutile.

Faire de la conformité un contrôle récurrent

Une mise à jour majeure, un nouvel outil ou un changement de finalité peuvent modifier le diagnostic initial. La conformité IA gagne donc à rejoindre les contrôles habituels de recette, comme la sécurité, l’accessibilité ou la protection des données.

Quatre questions structurent ce suivi : quel système est utilisé, qui en est responsable, que comprend l’internaute et quel contenu est produit ? Cette grille facilite les échanges entre équipes techniques, éditoriales et juridiques.

La simple présence d’une intelligence artificielle ne permet pas de dire qu’un site est conforme ou non. Pour évaluer sa situation face à la loi sur l’IA, une agence web doit considérer les outils intégrés, la transparence envers les internautes, les contenus générés ou manipulés et les mesures documentées. L’audit de conformité IA devient ainsi un contrôle utile pour repérer les écarts, sécuriser les projets clients et mieux encadrer les nouveaux usages de l’intelligence artificielle.

FAQ

Depuis quand les obligations de transparence de la loi sur l’IA s’appliquent-elles ?

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. L’AI Act suit néanmoins un calendrier progressif : certaines règles sont actives, tandis que les exigences concernant les systèmes à haut risque entreront en application en 2027 ou 2028 selon leur catégorie.

Tous les sites utilisant de l’IA doivent-ils afficher une mention spécifique ?

Non. La présence d’une intelligence artificielle sur un site n’impose pas systématiquement une mention visible. Les exigences de transparence dépendent du système utilisé, de la fonctionnalité proposée, du contenu généré ou manipulé et du rôle de l’entreprise qui exploite la solution sur le site concerné.

Faut-il écrire « généré par IA » sur tous les textes créés avec ChatGPT ?

Non. L’article 50 n’impose pas une mention visible pour chaque texte produit avec ChatGPT. L’obligation dépend de la nature du contenu et de son usage. Pour certains textes d’intérêt public, un contrôle humain de fond et une responsabilité éditoriale peuvent écarter l’obligation de divulgation spécifique.

Quelles sanctions sont prévues en cas de non-respect ?

Le non-respect de l’article 50 peut entraîner des amendes allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial d’une entreprise. Le règlement prévoit toutefois des plafonds plus favorables pour les PME et tient compte d’éléments pour déterminer la sanction finale applicable.

Une entreprise québécoise peut-elle être concernée par la loi européenne sur l’IA ?

Oui. Une entreprise québécoise peut entrer dans le champ du règlement européen si elle fournit ou déploie un système d’IA dont les résultats sont utilisés dans l’Union européenne. Son absence d’établissement en Europe ne suffit pas, à elle seule, à exclure l’application de l’AI Act.