Le 22 juillet dernier (18h00), la fenêtre s’est refermée pour figurer parmi les premiers signataires du Code de Bonnes Pratiques sur la Transparence des Contenus Générés par l’IA, publié par le Bureau de l’IA de la Commission européenne en accompagnement de l’article 50 de l’AI Act.
Ce texte est passé sous les radars de beaucoup d’entreprises. Il mérite pourtant votre attention, d’autant que le calendrier d’application vient lui aussi de changer.
Nous l’avons décortiqué pour vous. Voici ce qu’il faut en retenir.
1. De quoi s’agit-il exactement ?
Il ne s’agit pas d’une loi supplémentaire. C’est ce que les juristes appellent de la soft law, un document d’orientation qui aide les acteurs à démontrer leur conformité aux obligations de transparence de l’article 50 de l’AI Act.
Point critique à retenir : adhérer au Code ne vaut pas preuve concluante de conformité. C’est un outil d’aide, non un certificat.
La responsabilité de démontrer la conformité reste entièrement vôtre.
2. Deux publics, deux régimes distincts
Le Code s’adresse à deux catégories d’acteurs bien différentes :
- Les fournisseurs de systèmes d’IA générative (art. 50(2) et (5)) : ceux qui développent et mettent sur le marché des outils capables de générer du contenu (texte, image, vidéo, audio).
- Les déployeurs de systèmes d’IA (art. 50(4) et (5)) : les entreprises qui utilisent ces outils dans leurs processus et publient des contenus à destination de tiers. C’est probablement votre cas.
Cette distinction est fondamentale : les obligations ne sont pas les mêmes selon que vous fabriquez l’outil ou que vous l’utilisez.
3. Les mesures phares à retenir
Pour les fournisseurs, le marquage multicouche obligatoire :
- Aucune technique unique ne suffit aujourd’hui à satisfaire les 4 critères de l’article 50(2) : efficacité, interopérabilité, robustesse, fiabilité.
- Le Code impose donc une combinaison : métadonnées signées numériquement + tatouage numérique imperceptible (watermarking).
- Les solutions de détection associées doivent être mises à disposition, en principe gratuitement, avec un encadrement RGPD strict : minimisation des données, politique de zéro rétention.
Pour les déployeurs, l’étiquetage visible :
- Tout deepfake ou texte généré par IA publié doit porter l’icône UE « AI », avec les mentions « generated » ou « modified » selon le cas.
- L’icône doit être visible dès la première exposition, accessible aux personnes en situation de handicap, et intégrée avant diffusion, pas après.
- Des processus internes documentés sont exigés : politique IA, formation des équipes, rôle éditorial identifié.
3bis. Un calendrier désormais à deux vitesses
Le règlement Digital Omnibus, adopté depuis, a modifié l’entrée en application de ces obligations :
- 2 août 2026 : les obligations des déployeurs (art. 50(4)), c’est-à-dire les entreprises qui utilisent l’IA générative dans leur communication, entrent en application à cette date, sans changement.
- 2 décembre 2026 : les obligations des fournisseurs (art. 50(2)) sont, elles, reportées à cette date pour les systèmes déjà sur le marché avant août 2026 (période transitoire de 4 mois).
- 2 février 2027 : échéance pour la mise en place de l’interopérabilité des solutions de détection entre fournisseurs.
Concrètement : si vous êtes déployeur, l’échéance qui vous concerne directement reste le 2 août 2026. Ne pas la confondre avec le report accordé aux fournisseurs.
4. Pourquoi ce texte nous intéresse particulièrement
Ce Code illustre parfaitement l’imbrication entre trois corpus réglementaires que nous suivons de très près chez Netsystem :
- AI Act : obligations de transparence, marquage, détection, gouvernance des systèmes IA
- RGPD : minimisation des données, base légale, durées de conservation, droits des personnes
- Cybersécurité / NIS2 : protection des solutions de détection, sécurisation des clés de signature, gestion des incidents
Ces trois textes ne se lisent pas séparément. Ils se répondent. Et c’est précisément le terrain sur lequel nous accompagnons nos clients.
Ce que nous faisons chez Netsystem
Netsystem est qualifié PASSI par l’ANSSI. Nous accompagnons les organisations sur la mise en conformité AI Act, RGPD et NIS2 : audit des usages IA, cartographie des risques, définition des politiques internes, formation des équipes et architecture sécurisée.
Le calendrier vient de bouger. Si vous souhaitez comprendre ce qu’il implique pour votre organisation, nous sommes disponibles pour un premier échange.
