Le règlement a été présenté comme un bouleversement. Pour un assistant conversationnel ordinaire, il se résume à une exigence de transparence, à condition de savoir dans quelle catégorie on se trouve.
Le calendrier, en clair
Le règlement sur l'intelligence artificielle, référencé sous le numéro 2024/1689, est entré en vigueur le 1er août 2024 et est devenu applicable le 2 août 2026. Plusieurs échéances intermédiaires ont précédé cette date, et d'autres suivront.
Les pratiques interdites et les obligations relatives à la maîtrise de l'intelligence artificielle sont entrées en application le 2 février 2025. Les règles de gouvernance et les obligations applicables aux modèles à usage général le sont depuis le 2 août 2025.
Un règlement de simplification, adopté le 19 novembre 2025 et entré en vigueur le 27 juillet 2026, a reporté certaines échéances : les règles applicables aux systèmes à haut risque dans des domaines sensibles s'appliqueront à partir du 2 décembre 2027, et celles concernant les systèmes intégrés dans des produits réglementés à partir du 2 août 2028. Le détail de ce cadre réglementaire est publié par la Commission européenne.
Quatre niveaux de risque, et où se situent les chatbots
Le texte classe les systèmes selon quatre niveaux.
Le risque inacceptable correspond à des pratiques interdites, au nombre de neuf. Aucun assistant conversationnel d'entreprise ordinaire n'y figure.
Le haut risque concerne les usages susceptibles de porter gravement atteinte à la santé, à la sécurité ou aux droits fondamentaux. Un bot de service client n'en relève pas. Un outil qui trierait des candidatures ou déciderait de l'accès à un service essentiel, en revanche, peut y basculer.
Le risque limité est la catégorie de la très grande majorité des chatbots. Elle n'impose pas d'évaluation de conformité, mais des obligations de transparence.
Le risque minimal ne fait l'objet d'aucune obligation nouvelle.
L'obligation qui vous concerne
Pour un assistant conversationnel, elle tient en une phrase : les personnes doivent être informées qu'elles interagissent avec une machine, afin de pouvoir décider en connaissance de cause.
La Commission européenne a publié le 20 juillet 2026 des lignes directrices sur les obligations de transparence applicables aux fournisseurs et aux déployeurs de certains systèmes, qui précisent le champ d'application, les définitions et les exceptions.
En pratique, trois éléments suffisent dans la plupart des cas. Une mention visible dès l'ouverture de la conversation, et non enfouie dans une page de conditions. Une identité qui n'imite pas une personne, ce qui exclut le prénom et la photographie d'agent. Et la même information sur tous les canaux où le bot est présent.
Le cas des contenus générés
Une seconde obligation vise les contenus produits par des systèmes génératifs : ils doivent être identifiables comme tels. Certains contenus doivent en outre être étiquetés de manière claire et visible, notamment les hypertrucages et les textes publiés dans le but d'informer le public sur des questions d'intérêt général.
Pour un chatbot de service client, cette obligation se confond largement avec la précédente. Elle prend en revanche du relief si vous publiez des contenus rédigés automatiquement sur votre site.
Qui applique, et depuis quand
Depuis le 2 août 2026, le Bureau de l'intelligence artificielle et les autorités des États membres sont responsables de la mise en œuvre, de la supervision et de l'application du règlement. Le Bureau dispose de pouvoirs d'exécution sur les modèles à usage général : il peut demander une documentation technique, évaluer des modèles, exiger des mesures correctives et infliger des amendes.
Cette répartition explique pourquoi les entreprises qui déploient un bot sans développer de modèle ont peu de contacts avec le Bureau, et davantage avec l'autorité nationale compétente.
Ce que le règlement ne remplace pas
Une confusion fréquente mérite d'être levée : ce texte s'ajoute au règlement général sur la protection des données, il ne s'y substitue pas.
La base légale du traitement, la durée de conservation, l'information des personnes, leurs droits d'accès et d'effacement relèvent toujours du second. Un bot parfaitement transparent sur sa nature peut rester non conforme sur le traitement des données qu'il collecte.
La règle pratique consiste à traiter les deux dossiers ensemble, avec deux questions distinctes : suis-je clair sur ce que je suis, et suis-je en règle sur ce que je collecte ?
Une vérification en quatre points
Quatre questions permettent de situer un projet en quelques minutes.
Mon système entre-t-il dans un usage à haut risque, en particulier autour de l'emploi, de l'accès à des services essentiels ou de l'évaluation de personnes ? Si oui, le dossier change de nature et demande un accompagnement.
L'information sur la nature automatisée est-elle visible dès le premier écran, sur tous les canaux ?
Mon fournisseur m'a-t-il transmis la documentation nécessaire pour répondre à une demande d'une autorité ?
Les contenus produits automatiquement et publiés sont-ils identifiables comme tels ?
Quatre réponses affirmatives couvrent la situation de la plupart des assistants conversationnels d'entreprise.
Fournisseur ou déployeur : la distinction qui commande le reste
Le texte distingue celui qui met un système sur le marché et celui qui l'utilise sous sa propre autorité. La plupart des entreprises qui installent un chatbot sont dans le second cas.
Cette position allège considérablement les obligations. Vous ne produisez pas la documentation technique du système, vous devez pouvoir la demander à votre fournisseur. Vous n'évaluez pas la conformité du modèle, vous vous appuyez sur celle de l'éditeur.
Deux situations font toutefois basculer un déployeur vers le statut de fournisseur, et elles sont plus fréquentes qu'on ne l'imagine : apposer sa marque sur un système et le mettre à disposition sous son nom, ou modifier substantiellement la destination du système. Une entreprise qui commercialise un assistant construit sur une plateforme tierce doit examiner ce point de près.
Ce qu'il faut demander à son fournisseur
Quatre éléments, à obtenir par écrit avant la mise en production.
La catégorie de risque dans laquelle l'éditeur situe son système, avec sa justification.
La documentation d'usage, qui décrit les capacités, les limites connues et les conditions d'emploi appropriées.
Les mesures de transparence déjà intégrées au produit, pour savoir ce qu'il vous reste à mettre en place vous-même.
La liste des modèles employés et leur origine, utile si une question porte un jour sur la chaîne d'approvisionnement.
Ces quatre éléments constituent, en pratique, le dossier que vous présenterez si une autorité vous interroge.
Une erreur de lecture fréquente
Beaucoup d'entreprises ont conclu que le règlement leur interdisait d'employer un assistant conversationnel, ou leur imposait une procédure lourde. C'est inexact pour la catégorie où se situent la plupart d'entre elles.
L'erreur inverse existe aussi : considérer qu'un bot de service client n'est jamais concerné. Un système qui évalue des personnes, oriente vers un service essentiel ou intervient dans un processus de recrutement change de catégorie, même s'il prend la forme d'une fenêtre de conversation anodine.
C'est l'usage qui détermine la catégorie, pas l'interface.
Commentaires
No comments yet