L'essentiel en 30 secondes
- L'Art. 50(1) de l'AI Act impose d'informer les personnes qu'elles interagissent avec une IA, sauf si c'est évident pour une personne normalement informée, attentive et avisée ; cette obligation s'applique depuis le 2 août 2026.
- Elle pèse sur le fournisseur du système, qui doit le concevoir en ce sens : une PME qui fait assembler son chatbot et le met en service sous son nom en est a priori le fournisseur ; si elle achète un chatbot clé en main, elle est déployeur et vérifie par contrat que la mention est prévue.
- L'information est claire et distinguable, au plus tard à la première interaction (Art. 50(5)) ; le marquage lisible par machine des contenus générés relève de l'Art. 50(2), applicable à partir du 2 décembre 2026 pour les systèmes déjà mis sur le marché avant le 2 août 2026.
- L'Art. 50 ne dispense pas du RGPD ; la qualification haut risque se vérifie à part : un chatbot qui évaluerait la solvabilité d'un client relèverait de l'Annexe III, point 5 b), avec des obligations applicables à partir du 2 décembre 2027.
- Un manquement à l'Art. 50 est passible de 15 M€ ou 3 % du chiffre d'affaires annuel mondial (Art. 99(4)), le plus bas des deux montants pour une PME (Art. 99(6)).
Un chatbot de service client doit informer l'utilisateur qu'il parle à une IA, sauf si c'est évident (Art. 50(1) de l'AI Act, applicable depuis le 2 août 2026). Cette obligation de conception pèse sur le fournisseur du système : une PME qui fait assembler son chatbot et le met en service sous son nom est a priori fournisseur, alors qu'une PME qui achète un chatbot clé en main est déployeur. La mention doit être claire et visible au plus tard dès le premier échange (Art. 50(5)).
Cet article suit le cas d'une enseigne fictive, Maison Lyra, PME française du retail qui déploie un chatbot pour traiter les demandes clients, y compris hors heures ouvrées. Le cas est construit pour l'exemple : les chiffres sont illustratifs. L'Article 50 du Règlement (UE) 2024/1689, l'EU AI Act, encadre désormais ce type de déploiement. Chaque étape de la mise en conformité est détaillée ci-dessous.
1. Le cas pratique : chatbot client pour une PME retail
Maison Lyra compte 85 salariés et exploite 6 boutiques de prêt-à-porter ainsi qu'un site e-commerce. La direction décide de déployer un chatbot conversationnel sur le site et sur WhatsApp Business pour absorber les 600 demandes hebdomadaires de suivi de commande, retours et conseils produit.
Le projet repose sur un modèle de langage commercial (LLM tiers), assemblé par un prestataire et connecté à l'ERP. Le chatbot est mis en service sous le nom de l'enseigne. Il accède à l'historique de commande client, au statut de livraison et au catalogue produit. Il interagit en français, propose des recommandations d'achat et transfère vers un agent humain pour les litiges.
Données traitées par le chatbot Maison Lyra
| Catégorie de donnée | Source | Finalité |
|---|---|---|
| Identité (nom, email) | Compte client e-commerce | Authentification |
| Historique de commande | ERP interne | Suivi de livraison |
| Préférences d'achat | Cookies + ERP | Recommandation produit |
| Contenu des messages | Conversation utilisateur | Traitement de la demande |
| Adresse de livraison | ERP interne | Modification de commande |
L'objectif affiché : disponibilité 24 h sur 24 et réduction du délai de réponse. La direction comprend qu'elle traite des données personnelles. Elle ignore initialement que le chatbot est aussi un système d'IA au sens du Règlement (UE) 2024/1689.
2. Contexte juridique : EU AI Act et Article 50
Le Règlement (UE) 2024/1689, publié au Journal officiel le 12 juillet 2024 et modifié par le règlement (UE) 2026/1744 (« Omnibus IA », ce que change l'Omnibus IA), structure les obligations selon une approche par les risques : pratiques interdites, systèmes à haut risque, systèmes soumis à des obligations de transparence (Art. 50) et autres systèmes.
L'Article 50 couvre les obligations de transparence applicables à certains systèmes d'IA : ceux qui interagissent directement avec des personnes, ceux qui génèrent du contenu synthétique, la reconnaissance des émotions, la catégorisation biométrique et les hypertrucages. Les chatbots relèvent du premier cas. Ces obligations s'ajoutent, le cas échéant, aux exigences applicables aux systèmes à haut risque (Art. 50(6)).
L'Art. 50(1) impose aux fournisseurs de concevoir les systèmes d'IA destinés à interagir directement avec des personnes physiques de façon que ces personnes soient informées qu'elles interagissent avec un système d'IA. L'information n'est pas nécessaire lorsque cela ressort des circonstances et du contexte d'utilisation pour une personne normalement informée, attentive et avisée.
Articles connexes à connaître pour un chatbot retail
| Article | Objet | Application au chatbot Maison Lyra |
|---|---|---|
| Art. 3 | Définitions (système d'IA, fournisseur, déployeur) | Confirme que le chatbot est un système d'IA et permet de qualifier les rôles |
| Art. 4 | Maîtrise de l'IA | Mesures pour favoriser la maîtrise de l'IA du personnel |
| Art. 6 et Annexe III | Classification haut risque | Vérifier qu'il n'entre pas dans une catégorie haut risque |
| Art. 50 | Transparence | Obligation d'information des utilisateurs |
| Art. 99 | Sanctions administratives | Cadre des amendes |
L'Article 50 ne dispense pas du RGPD. Le Règlement (UE) 2016/679 reste pleinement applicable au traitement des données personnelles par le chatbot, et l'Art. 50(6) réserve les autres obligations de transparence prévues par le droit de l'Union ou le droit national. La conformité doit être conduite en parallèle, et non en substitution.
3. Analyse : pourquoi le chatbot tombe sous l'Article 50
Le chatbot de Maison Lyra relève de l'Article 50 pour deux raisons, puis fait l'objet d'une vérification de classification.
Premièrement, il est destiné à interagir directement avec des personnes physiques, ce que vise l'Art. 50(1). La forme du dialogue, texte ou voix, n'a pas d'incidence sur l'applicabilité.
Deuxièmement, l'interaction n'est pas évidente pour une personne normalement informée, attentive et avisée. Le chatbot utilise un ton naturel, signe les messages d'un prénom (« Camille de Maison Lyra ») et adapte sa formulation au contexte. Sans mention explicite, le client peut croire qu'il discute avec un conseiller humain. L'exception prévue par l'Art. 50(1) pour les interactions évidentes ne s'applique donc pas.
Classification : l'Article 50 s'applique aussi aux systèmes à haut risque (Art. 50(6)), mais la qualification haut risque se contrôle à part. Le chatbot de Maison Lyra ne décide pas de l'accès au crédit, ne filtre pas de candidatures et ne fournit pas de service public essentiel : il n'entre pas, en l'état, dans une catégorie de l'Annexe III du Règlement (UE) 2024/1689 (Art. 6).
Lire l'analyse complète des niveaux de risque applicables aux PME françaises
La direction de Maison Lyra doit également vérifier qu'aucun cas d'usage adjacent ne déclenche le haut risque. Si demain le chatbot était utilisé pour évaluer la solvabilité d'un client, par exemple pour valider un paiement échelonné, il relèverait de l'Annexe III, point 5 b) (hors détection de la fraude financière). Les obligations des systèmes de l'Annexe III s'appliquent à partir du 2 décembre 2027. Les systèmes à haut risque font l'objet d'un guide dédié.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Obligations de l'Article 50 : qui doit faire quoi
L'Art. 50 du Règlement (UE) 2024/1689 articule plusieurs obligations distinctes selon la nature du système et selon le rôle de l'opérateur. Pour un chatbot retail, trois points sont à traiter en priorité : l'information de l'utilisateur, le marquage des contenus générés et les modalités de l'information.
Obligation 1 — Information de l'utilisateur (Art. 50(1)) Le chatbot est conçu de façon que l'utilisateur sache qu'il dialogue avec un système d'IA, sauf si cela est évident. La mention s'affiche avant ou au début de l'échange.
Obligation 2 — Marquage des contenus générés (Art. 50(2)) Le fournisseur d'un système qui génère du contenu synthétique (audio, image, vidéo ou texte) veille à ce que les sorties soient marquées dans un format lisible par machine et détectables comme générées ou manipulées par une IA. Cette obligation ne s'applique pas dans la mesure où le système remplit une fonction d'assistance à l'édition courante ou ne modifie pas substantiellement les données fournies par le déployeur. Pour les systèmes mis sur le marché avant le 2 août 2026, elle s'applique à partir du 2 décembre 2026. Pour Maison Lyra, la question concerne les fiches produit rédigées par le chatbot ; la solution technique de marquage dépend du fournisseur du modèle.
Obligation 3 — Modalités de l'information (Art. 50(5)) L'information est fournie de manière claire et distinguable, au plus tard au moment de la première interaction. Elle respecte les exigences d'accessibilité applicables.
Répartition des obligations entre fournisseur et déployeur
| Rôle | Définition (Art. 3) | Obligations Article 50 |
|---|---|---|
| Fournisseur | Entité qui développe ou fait développer le système d'IA et le met sur le marché ou en service sous son nom (Art. 3(3)) | Concevoir le système pour informer les personnes (Art. 50(1)) ; marquer les contenus générés (Art. 50(2)) |
| Déployeur | Entité qui utilise le système d'IA sous sa propre autorité (Art. 3(4)) | Obligations propres de l'Art. 50(3) et (4) : reconnaissance des émotions, catégorisation biométrique, hypertrucages, textes publiés pour informer le public |
Maison Lyra fait assembler le chatbot par un prestataire à partir d'un LLM tiers et le met en service sous son propre nom. Elle est donc a priori fournisseur du système d'IA (Art. 3(3) et 3(11)), et déployeur pour son propre usage. L'éditeur du LLM est fournisseur du modèle, pas du chatbot. Le rôle se qualifie au cas par cas.
Si la PME achète au contraire un chatbot clé en main, l'éditeur est le fournisseur et la PME est déployeur : l'obligation de conception de l'Art. 50(1) pèse alors sur l'éditeur. La PME a néanmoins intérêt à prévoir par contrat les capacités techniques nécessaires : mention d'information configurable et marquage des contenus générés.
Le DPO, lorsque l'entreprise en a désigné un, pilote l'articulation Article 50 / RGPD. La désignation d'un DPO relève de l'Article 37 du RGPD et n'est pas déclenchée par l'Article 50.
5. Étapes de mise en conformité : guide pratique pour les PME
La mise en conformité Article 50 d'un chatbot retail peut suivre six étapes opérationnelles.
- Cartographier le système. Identifier le fournisseur du modèle, le fournisseur du système, les flux de données, les points d'interaction utilisateur et les contenus générés.
- Qualifier juridiquement le système. Confirmer qu'il s'agit d'un système d'IA au sens de l'Art. 3, qualifier le rôle de la PME (fournisseur ou déployeur), vérifier l'absence de classification haut risque (Annexe III), et acter l'application de l'Article 50.
- Documenter le système. Décrire l'architecture, les données d'entrée, les sorties, les limites connues et les mesures de mitigation. L'Article 50 n'impose pas de documentation technique (celle de l'Art. 11 vise les systèmes à haut risque), mais ce dossier sert de preuve et nourrit l'analyse RGPD.
- Implémenter la mention de transparence. Concevoir, intégrer et tester la mention « Vous interagissez avec un système d'IA » avant la première saisie utilisateur.
- Sensibiliser les équipes. Support client, juridique et marketing comprennent l'articulation Article 50 + RGPD. L'Art. 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel : ces mesures, adaptées aux rôles, gagnent à être documentées (voir former ses équipes à l'IA selon l'Article 4).
- Mettre en place un suivi. Revue périodique de la mention et du paramétrage, mise à jour de la documentation à chaque évolution du modèle. Si les conversations sont conservées, la durée de conservation est définie et justifiée au regard du RGPD.
Livrables par étape
| Étape | Livrable |
|---|---|
| Cartographie | Schéma de flux et inventaire des données |
| Qualification juridique | Note de qualification (rôle, classification, Article 50) |
| Documentation | Dossier de description du chatbot |
| Mention de transparence | Maquette et texte de la mention |
| Implémentation et tests | Recette de la mention d'information |
| Sensibilisation | Support et liste des personnes sensibilisées |
| Mise en production | Revue finale avant ouverture |
6. Exemples concrets : bonnes pratiques et erreurs à éviter
L'application pratique de l'Article 50 varie selon la qualité de l'intégration. Voici une configuration cible et les erreurs à éviter.
Configuration cible — Maison Lyra
- Bandeau d'accueil du chatbot : « Vous échangez avec Camille, l'assistant virtuel de Maison Lyra (IA). À tout moment, demandez à parler à un conseiller humain. »
- Bouton permanent « Parler à un humain » dans l'interface.
- Mention reprise dans les e-mails de récapitulatif de conversation.
- Conversations conservées pour une durée définie et justifiée au regard du RGPD.
- Documentation versionnée disponible en interne.
Erreurs à éviter
- Chatbot signé d'un prénom humain sans mention IA.
- Mention de transparence enfouie dans les conditions générales.
- Mention en petits caractères ou masquée par défaut, donc ni claire ni distinguable (Art. 50(5)).
- Mention affichée après plusieurs échanges, alors qu'elle est due au plus tard à la première interaction.
- Aucun accès à un conseiller humain : l'Article 50 ne l'exige pas, mais c'est une bonne pratique de relation client.
Plafonds d'amende en cas de manquement à l'Article 50
| Opérateur | Plafond | Source |
|---|---|---|
| Autre entreprise (ni PME, ni petite entreprise de taille intermédiaire) | 15 M€ ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé | Art. 99(4) |
| PME et start-up | Le plus bas des deux montants | Art. 99(6) |
| Petite entreprise de taille intermédiaire | Le plus bas des deux montants | Art. 99(6a) |
| Exemple : PME à 5 M€ de chiffre d'affaires | 150 000 € (3 % de 5 M€) | Art. 99(4) et (6) |
L'Article 50 demande que le système soit conçu et développé pour informer l'utilisateur : la mention d'information se prévoit donc dès la conception du chatbot, comme la protection des données dès la conception du RGPD.
Calculer le plafond d'amende de votre entreprise (Article 99)
7. Conseils pour les PME : stratégie de conformité
La conformité Article 50 peut s'inscrire dans une démarche globale de gouvernance de l'IA. Quatre leviers s'offrent aux PME retail.
Levier 1 — Outils officiels Le service desk de la Commission européenne propose l'AI Act Explorer et un outil de conformité (EU AI Act Compliance Checker, en version bêta) qui aide à identifier les règles susceptibles de s'appliquer à un système d'IA. La CNIL publie des fiches pratiques sur l'IA et le RGPD. Ces ressources sont gratuites.
Levier 2 — Référentiels normatifs La norme ISO/IEC 42001:2023 (Artificial Intelligence Management System) est une norme volontaire de système de management de l'IA. Elle n'est pas une norme harmonisée de l'AI Act : elle ne donne pas de présomption de conformité. Utilisée comme grille de pilotage interne, elle apporte structure et traçabilité. ISO/IEC 27001:2022 reste pertinente pour la dimension sécurité.
Levier 3 — Contractualisation avec le fournisseur Le contrat avec l'éditeur du chatbot ou le fournisseur du LLM peut prévoir : capacités techniques pour la transparence, marquage des contenus générés, fourniture de la documentation sur le système, notification des évolutions du modèle. Ces clauses précisent le partage des rôles et des responsabilités (voir les clauses contractuelles avec un fournisseur d'IA).
Levier 4 — Gouvernance interne Un comité IA périodique réunissant direction, DPO, RSSI et IT peut arbitrer les évolutions du chatbot. Pour une PME, ce comité peut rester léger.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €8. FAQ : questions clés sur l'Article 50 et les chatbots
Quand un chatbot est-il soumis à l'Article 50 de l'EU AI Act ?
Un chatbot relève de l'Article 50(1) dès qu'il est destiné à interagir directement avec des personnes physiques, sauf si cela est évident pour une personne normalement informée, attentive et avisée, compte tenu des circonstances et du contexte d'utilisation. Le critère est l'interaction directe avec une personne, pas la sensibilité des données. Un chatbot de service client qui imite une conversation humaine est en pratique concerné.
Quelles sont les sanctions pour non-conformité avec l'Article 50 ?
L'Art. 99(4) du Règlement (UE) 2024/1689 prévoit, pour les manquements à l'Art. 50, des amendes jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu pour une grande entreprise. Pour une PME, l'Art. 99(6) retient le plus bas des deux montants. Les autorités nationales fixent le montant effectif selon les critères de l'Art. 99(7), dont les mesures techniques et organisationnelles mises en œuvre.
Faut-il documenter un chatbot soumis à l'Article 50 ?
L'Article 50 n'impose pas de documentation technique : celle de l'Art. 11 vise les systèmes à haut risque. Documenter reste utile pour prouver sa démarche et pour le RGPD, en trois temps : décrire l'architecture technique (modèle utilisé, fournisseur, flux de données), décrire les finalités et les limites connues du système, formaliser les mesures de transparence et la procédure d'escalade vers un humain. Ce dossier gagne à être versionné et accessible en cas de contrôle.
Dois-je nommer un DPO pour mon chatbot ?
La désignation d'un DPO découle de l'Article 37 du RGPD, pas de l'Article 50 du Règlement (UE) 2024/1689. Elle est obligatoire dans les cas listés à l'Art. 37(1) du RGPD, par exemple lorsque l'activité de base de l'organisme consiste en un suivi régulier et systématique à grande échelle des personnes. L'analyse est à conduire au cas par cas avec le conseil juridique.
Quelles ressources officielles pour évaluer ma conformité ?
Trois sources de référence : l'AI Act Service Desk de la Commission européenne (ai-act-service-desk.ec.europa.eu), les fiches pratiques IA de la CNIL (cnil.fr/fr/les-fiches-pratiques-ia) et le texte du Règlement sur EUR-Lex. Ces ressources sont gratuites et officielles.
9. Sources officielles
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Règlement (UE) 2024/1689 — texte officiel EUR-Lex
- Service desk EU AI Act — Commission européenne
- CNIL — fiches pratiques IA
- Texte annoté — artificialintelligenceact.eu
- ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system
- ISO/IEC 27001:2022 — Information security management systems
- Sources réglementaires regulia
Disclaimer. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.