Un deepfake publicitaire doit être signalé comme tel : le déployeur qui diffuse une image, une vidéo ou un son généré ou manipulé qui ressemble à une personne réelle doit indiquer qu'il est artificiel (Art. 50(4) de l'AI Act, en vigueur depuis le 2 août 2026). Cette mention ne rend pas l'opération licite : sans le consentement de la personne représentée, la PME s'expose au droit à l'image, au droit pénal et au droit de la consommation. Côté AI Act, le plafond d'amende pour un manquement à l'Art. 50 est de 15 M€ ou 3 % du chiffre d'affaires, le montant le plus bas pour une PME.
L'essentiel en 30 secondes
- Art. 50(4), en vigueur depuis le 2 août 2026 : le déployeur qui diffuse un hypertrucage (image, audio ou vidéo généré ou manipulé qui ressemble à une personne réelle et pourrait passer pour authentique) doit indiquer qu'il est artificiel.
- Le marquage lisible par machine (Art. 50(2)) est une obligation du fournisseur de l'outil. Pour les systèmes déjà sur le marché avant le 2 août 2026, il doit être en place au 2 décembre 2026.
- Les lignes directrices de la Commission (20 juillet 2026) citent l'influenceur de synthèse réaliste qui teste un produit sponsorisé parmi les contenus qui ne bénéficient pas du régime allégé réservé aux œuvres créatives.
- La mention de l'Art. 50 ne légalise pas l'imitation d'une personne réelle : le droit à l'image (Code civil, art. 9), le Code pénal (art. 226-8) et le droit de la consommation s'appliquent séparément.
- Sanctions AI Act (Art. 99) : jusqu'à 15 M€ ou 3 % du CA mondial pour l'Art. 50, 35 M€ ou 7 % pour une pratique interdite (Art. 5). Une PME se voit appliquer le montant le plus bas des deux.
- Le RGPD s'applique dès que l'image ou la voix d'une personne identifiable est traitée : base légale et information des personnes.
1. Contexte du cas pratique
Imaginons une PME française du secteur cosmétique, 45 salariés, qui prépare une campagne digitale pour le lancement d'une crème anti-âge. Le budget marketing est serré. L'agence créative propose d'utiliser un deepfake : générer la voix et le visage d'une influenceuse beauté reconnue, sans tournage réel, à partir de ses publications publiques sur les réseaux sociaux.
Le scénario produit présente l'influenceuse appliquant le produit et déclarant : « J'ai testé cette crème pendant trois semaines, le résultat est bluffant. » La voix est synthétisée par un modèle d'IA générative. Le visage est animé via une technique de face-swap. Aucun contrat n'a été signé avec l'influenceuse. Aucune information n'a été communiquée aux consommateurs sur la nature synthétique du contenu.
Ce cas concentre cinq risques majeurs :
- Atteinte au droit à l'image de l'influenceuse (Code civil, art. 9).
- Pratique commerciale trompeuse au sens des articles L121-2 et suivants du Code de la consommation.
- Violation de l'Article 50 du Règlement (UE) 2024/1689 sur la transparence des contenus IA.
- Traitement de données personnelles sans base légale (RGPD, art. 6).
- Reproduction de la voix et de l'image d'une personne sans son consentement (Code pénal, art. 226-8).
Depuis la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, l'article 226-8 du Code pénal réprime la diffusion d'un contenu généré par un traitement algorithmique qui reproduit l'image ou la voix d'une personne sans son consentement, lorsque son caractère artificiel n'apparaît pas à l'évidence ou n'est pas mentionné : un an d'emprisonnement et 15 000 € d'amende, portés à deux ans et 45 000 € en cas de diffusion en ligne.
Pour le cadre général de l'AI Act applicable aux PME, voir le guide AI Act pour les PME françaises.
2. Les obligations de l'Article 50
L'Article 50 du règlement (UE) 2024/1689 répartit les obligations de transparence entre les fournisseurs (paragraphes 1 et 2) et les déployeurs (paragraphes 3 et 4). Il est en vigueur depuis le 2 août 2026. Les autres échéances sont détaillées dans le calendrier de l'AI Act.
2.1 Marquage par le fournisseur, divulgation par le déployeur
L'Article 50, paragraphe 2, impose aux fournisseurs de systèmes d'IA générative de marquer leurs sorties dans un format lisible par machine et détectable comme artificiellement généré. Pour les systèmes déjà sur le marché avant le 2 août 2026, elle devra être respectée au 2 décembre 2026 (voir l'article sur la préparation au marquage des deepfakes de décembre 2026). Pour la PME utilisatrice, l'obligation se déplace au paragraphe 4 : le déployeur d'un système qui génère ou manipule une image, un son ou une vidéo constituant un hypertrucage doit indiquer que le contenu a été généré ou manipulé artificiellement. Selon l'Art. 50(5), l'information est donnée de façon claire et distinguable, au plus tard lors de la première exposition.
2.2 Définition légale du deepfake
L'Article 3, point 60, définit le deepfake (« hypertrucage » dans le texte français) comme une image ou un contenu audio ou vidéo généré ou manipulé par l'IA, qui ressemble à des personnes, des objets, des lieux, des entités ou des événements existants et pourrait être perçu à tort comme authentique ou véridique. Les trois critères se cumulent.
Le clonage de la voix et du visage d'une influenceuse réelle entre dans cette définition. Les lignes directrices de la Commission du 20 juillet 2026 citent parmi leurs exemples une vidéo générée par IA qui représente un influenceur célèbre dans un contexte publicitaire.
2.3 Périmètre des exceptions
L'obligation de divulgation connaît des tempéraments limités :
| Cas | Obligation de divulgation |
|---|---|
| Deepfake publicitaire commercial | Oui, divulgation claire et distinguable, au plus tard à la première exposition |
| Œuvre artistique ou satirique manifeste | Allégée : mention compatible avec l'œuvre |
| Détection ou prévention d'infractions | Exemption sous conditions |
| Texte publié pour informer le public sur des questions d'intérêt public | Divulgation, sauf relecture humaine ou contrôle éditorial avec responsabilité éditoriale |
La campagne cosmétique imaginée ne relève d'aucune exception. Le régime allégé réservé aux œuvres artistiques, créatives, satiriques ou fictionnelles ne s'applique pas à une publicité dont l'objet est de présenter un produit : la Commission range explicitement dans les cas sans dérogation l'influenceur de synthèse réaliste qui teste un produit sponsorisé. La divulgation est exigée.
2.4 Articulation avec les pratiques interdites
L'Article 5 prohibe certaines pratiques manipulatrices. Un deepfake qui recourt à des techniques délibérément trompeuses pour altérer sensiblement la décision d'un consommateur et lui causer, ou être raisonnablement susceptible de lui causer, un préjudice important peut relever de l'Article 5(1)(a) (voir l'article sur les pratiques interdites de l'Article 5). L'hypothèse est étroite, car ces conditions se cumulent, mais le plafond d'amende monte alors à 35 M€ ou 7 % du chiffre d'affaires.
3. Les risques pour la PME
Le cumul juridique distingue le risque deepfake des autres manquements AI Act. La PME s'expose à des sanctions simultanées sur plusieurs fondements.
| Fondement juridique | Sanction maximale | Autorité |
|---|---|---|
| Art. 50 AI Act (transparence) | 15 M€ ou 3 % CA annuel mondial | Autorité nationale compétente |
| Art. 5 AI Act (pratiques interdites) | 35 M€ ou 7 % CA annuel mondial | Autorité nationale compétente |
| RGPD (traitement sans base légale) | 20 M€ ou 4 % CA annuel mondial | CNIL |
| Code de la consommation (pratique commerciale trompeuse, art. L121-2 et L132-2) | 2 ans d'emprisonnement et 300 000 € d'amende, peines aggravées en ligne | DGCCRF (enquête), juridictions pénales |
| Code pénal (art. 226-8, contenu généré sans consentement) | 2 ans d'emprisonnement et 45 000 € d'amende en cas de diffusion en ligne | Juridictions pénales |
| Code civil (art. 9, droit à l'image) | Dommages-intérêts | Tribunal judiciaire |
Le détail du régime de sanctions AI Act figure sur la page sanctions AI Act pour les PME.
Au-delà des amendes, le risque réputationnel est réel : une influenceuse qui découvre l'usage non autorisé de son image peut rendre le différend public.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Les étapes de conformité
La mise en conformité d'une campagne deepfake suit un parcours en cinq étapes opérationnelles.
- Qualifier le contenu. Établir si le visuel produit constitue un deepfake au sens de l'Article 3, point 60. La ressemblance avec une personne réelle ne suffit pas : le contenu doit aussi pouvoir être pris à tort pour authentique.
- Obtenir le consentement écrit. Le consentement de la personne représentée doit être préalable, exprès et limité à un usage précis (finalité, supports, durée). Il distingue explicitement l'autorisation d'utiliser l'image et l'autorisation de la générer ou de la manipuler par IA.
- Documenter la chaîne de production. Conserver les contrats avec le fournisseur de l'outil d'IA, les paramètres utilisés et les sorties intermédiaires. Cette documentation facilite la défense en cas de contrôle.
- Implémenter la divulgation. Intégrer une mention visible et lisible sur chaque support de diffusion, au plus tard au moment de la première exposition au contenu (Art. 50(5)). La checklist de l'Article 50 détaille les vérifications.
- Tenir le registre interne (bonne pratique). Maintenir un registre des contenus synthétiques diffusés, avec date, finalité, personne représentée, mention de divulgation et durée de conservation.
Exemples de formulations de mention
| Support | Exemple de mention |
|---|---|
| Vidéo Instagram / TikTok | « Contenu généré par intelligence artificielle » en surimpression dès la première seconde |
| Bannière display | « Visuel synthétique IA » lisible en bas de la création |
| Spot radio / podcast | Annonce orale « Voix synthétisée par IA » avant le message commercial |
| Post Facebook / LinkedIn | Mention textuelle en début de légende, avant le contenu principal |
Ces formulations sont des exemples à adapter. Le code de bonnes pratiques de la Commission sur la transparence des contenus générés par l'IA, finalisé le 10 juin 2026 et d'adhésion volontaire, propose un cadre pour les mentions des déployeurs.
Pour les définitions complètes, voir le glossaire.
5. Les outils de conformité
Plusieurs ressources facilitent la mise en œuvre opérationnelle.
- Fiches pratiques de la CNIL sur l'IA : 13 fiches sur la base légale, l'analyse d'impact, l'information des personnes ou la sécurité, centrées sur le développement de systèmes d'IA (cnil.fr).
- Service desk européen AI Act : guichet de questions et ressources opéré par la Commission européenne (ai-act-service-desk.ec.europa.eu).
- ISO/IEC 42001:2023 — norme internationale de système de management de l'IA, structurant l'audit interne et la documentation.
- Lignes directrices de la Commission sur l'Article 50 (20 juillet 2026) : exemples concrets de deepfakes, y compris publicitaires (digital-strategy.ec.europa.eu).
Pour les équipes marketing et création, la maîtrise de l'IA se prépare (voir le cas pratique ChatGPT en équipe marketing). L'Article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d'usage. L'obligation n'exige pas de garantir un niveau donné pour chaque personne.
6. Les alternatives sans deepfake
L'interdiction n'est pas absolue, mais la charge de conformité d'un deepfake publicitaire est lourde. Des alternatives juridiquement plus simples méritent d'être considérées.
| Alternative | Avantage juridique | Coût relatif |
|---|---|---|
| Tournage réel avec l'influenceur | Cession de droits à l'image classique, cadre contractuel connu | Élevé |
| User-generated content authentique | Pas de génération IA, droit d'auteur via licence | Faible |
| Avatar IA non ressemblant | À apprécier au cas par cas (voir ci-dessous) | Moyen |
| Voix de synthèse non-clonée | Hors définition si la voix ne reproduit aucune personne existante | Moyen |
| Témoignages clients vidéo | Témoignages authentiques et vérifiables | Faible |
| Motion design illustratif | Création originale, aucun enjeu IA | Moyen |
L'avatar IA non ressemblant mérite une précision. S'il ne ressemble à aucune personne, aucun objet ni aucun lieu existant, il ne répond pas à la définition de l'hypertrucage. Mais un avatar réaliste qui présente un produit réel peut rester un hypertrucage : la Commission cite dans ses lignes directrices l'influenceur de synthèse réaliste qui teste un produit sponsorisé. Si l'avatar dialogue avec le consommateur (agent conversationnel, assistant vocal), le fournisseur du système doit en outre concevoir l'outil de façon que la personne sache qu'elle interagit avec une IA, sauf si c'est évident (Art. 50(1)).
7. Les sanctions possibles
L'Article 99 du Règlement (UE) 2024/1689 fixe trois plafonds de sanctions, applicables selon la gravité de l'infraction.
| Type d'infraction | Plafond | Référence |
|---|---|---|
| Pratiques interdites (Article 5) | 35 M€ ou 7 % du CA annuel mondial | Art. 99, §3 |
| Manquements aux obligations des opérateurs (dont Art. 50) | 15 M€ ou 3 % du CA annuel mondial | Art. 99, §4 |
| Informations inexactes, incomplètes ou trompeuses aux autorités | 7,5 M€ ou 1 % du CA annuel mondial | Art. 99, §5 |
Pour les PME, l'Article 99, paragraphe 6, prévoit l'application du montant le plus faible entre le pourcentage et la valeur absolue. Cette disposition adapte la sanction à la capacité contributive de l'entreprise. Elle ne supprime pas le risque, elle le calibre.
Les sanctions civiles s'ajoutent. Le tribunal judiciaire peut prononcer :
- Le retrait des contenus litigieux sous astreinte.
- Des dommages-intérêts pour préjudice moral et patrimonial de la personne représentée.
- La publication judiciaire de la décision aux frais de la PME.
Sur le plan pénal, l'article 226-8 du Code pénal vise la diffusion d'un contenu généré par un traitement algorithmique reproduisant l'image ou la voix d'une personne sans son consentement (un an et 15 000 €, deux ans et 45 000 € en cas de diffusion en ligne). L'usurpation d'identité (art. 226-4-1) peut aussi être invoquée.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €8. Les bonnes pratiques pour les PME
Cinq pratiques structurent une démarche pérenne.
- Cartographier les usages IA marketing. Recenser tous les outils d'IA générative utilisés par les équipes internes et les agences externes. La cartographie conditionne l'analyse de risque.
- Verrouiller la contractualisation. Tout contrat avec un influenceur doit comporter une clause IA distincte : autorisation ou interdiction d'usage synthétique, périmètre, durée, droit de retrait.
- Tenir un registre des contenus synthétiques. Format minimal : identifiant du contenu, date de création, finalité, personne représentée, modèle IA utilisé, mention de divulgation appliquée, durée de conservation, responsable interne.
- Mettre en place un contrôle qualité avant diffusion. Une validation à quatre yeux (DPO ou responsable conformité plus directeur marketing) avant chaque mise en ligne.
- Suivre les évolutions. Le calendrier de l'AI Act est échelonné et le règlement (UE) 2026/1744 (« Omnibus IA ») l'a modifié : voir la page sur l'Omnibus IA. Une revue régulière des textes et des lignes directrices de la Commission est prudente.
Les références réglementaires utilisées figurent dans les sources officielles ci-dessous et sur la page sources.
FAQ
Qu'est-ce qu'un deepfake considéré comme trompeur selon l'EU AI Act ?
L'AI Act ne distingue pas un « deepfake trompeur » : tout hypertrucage (Art. 3, point 60) doit être signalé par le déployeur (Art. 50, paragraphe 4). Il s'agit d'un contenu généré ou manipulé qui ressemble à des personnes, objets, lieux ou événements existants et pourrait être pris à tort pour authentique. Le caractère trompeur relève d'autres textes (pratiques commerciales trompeuses, droit à l'image) et, dans les cas les plus graves, de l'Article 5(1)(a) : techniques délibérément trompeuses causant ou susceptibles de causer un préjudice important.
Quelles sont les sanctions pour une PME qui utilise un deepfake non conforme ?
Un manquement à l'Article 50 expose à 15 M€ ou 3 % du chiffre d'affaires mondial (Art. 99(4)) ; pour une PME, c'est le montant le plus bas des deux (Art. 99(6)). Si la pratique relève de l'Article 5, le plafond est de 35 M€ ou 7 %. S'ajoutent, selon les cas, le RGPD (jusqu'à 20 M€ ou 4 %), les peines du Code de la consommation (deux ans et 300 000 € pour une pratique commerciale trompeuse), celles du Code pénal (art. 226-8 : jusqu'à deux ans et 45 000 € en cas de diffusion en ligne) et les dommages-intérêts civils.
Comment obtenir le consentement d'un influenceur pour un deepfake ?
Le droit à l'image suppose un consentement exprès, préalable et spécifique à chaque usage ; un écrit est vivement recommandé. Il distingue explicitement l'autorisation d'utilisation de l'image (Code civil, art. 9) et l'autorisation de génération synthétique par IA. Le contrat précise le périmètre des contenus, la durée, les supports de diffusion, la rémunération et les modalités de retrait. La preuve écrite se conserve pendant toute la durée de diffusion et jusqu'à l'expiration des délais de prescription applicables.
Quelles sont les alternatives aux deepfakes pour les campagnes d'influenceurs ?
Les alternatives juridiquement plus simples incluent le tournage réel sous cession d'image classique, l'user-generated content authentique, les avatars IA non ressemblants à des personnes réelles, les voix de synthèse non clonées, les témoignages clients vidéo et le motion design illustratif. Chacune réduit la charge de conformité, sous réserve de l'analyse au cas par cas décrite plus haut.
Où trouver de l'aide pour se conformer à l'EU AI Act ?
Le service desk européen ai-act-service-desk.ec.europa.eu permet de poser des questions sur l'AI Act. La Commission a publié des lignes directrices sur l'Article 50 (20 juillet 2026) et un code de bonnes pratiques sur la transparence des contenus générés par l'IA (10 juin 2026). La CNIL publie des fiches pratiques sur l'IA et le RGPD. La norme ISO/IEC 42001:2023 structure le système de management interne.
Sources officielles
- Service desk européen AI Act — Commission européenne
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- CNIL — intelligence artificielle
- CNIL — fiches pratiques IA
- AI Act consolidé — artificialintelligenceact.eu
- Lignes directrices de la Commission sur les obligations de transparence (Article 50), 20 juillet 2026
- Code de bonnes pratiques sur la transparence des contenus générés par l'IA (10 juin 2026) — Commission européenne
Disclaimer. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.