AI Act : ce que les marques doivent savoir sur l'IA

Le règlement européen sur l'IA n'est plus un texte d'anticipation. Depuis août 2024, il est en vigueur. Depuis février 2025, il interdit certaines pratiques. Et d'ici fin 2026, les obligations de transparence toucheront directement les marques qui utilisent l'IA pour produire du contenu, personnaliser l'expérience ou automatiser leurs opérations e-commerce.

Pour les équipes marketing, produit et digital, la question n'est plus "faut-il s'y intéresser ?" mais "par où commencer ?" Voici ce que l'AI Act impose concrètement et ce qu'il implique pour vos données produit.

Qu'est-ce que l'AI Act, et à qui s'applique-t-il ?

Le règlement (UE) 2024/1689 a été adopté par le Parlement européen le 13 mars 2024, publié au Journal officiel le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Sa logique est graduée par le risque : plus un système d'IA peut affecter la sécurité, la santé ou les droits fondamentaux des personnes, plus les obligations sont strictes. Il a depuis été modifié par le Digital Omnibus sur l'IA, en vigueur depuis le 27 juillet 2026, qui ajuste son calendrier.

Le règlement s'applique à tout acteur qui développe, distribue, importe ou déploie un système d'IA sur le marché de l'Union européenne, y compris les fournisseurs établis hors UE dès lors que la sortie du système est utilisée dans l'UE. En d'autres termes : si votre marque utilise un outil d'IA pour enrichir des fiches produits, faire de la recommandation personnalisée ou générer du contenu marketing, l'AI Act vous concerne, même si vous n'avez pas développé la technologie vous-même. Le texte distingue deux rôles : le fournisseur, qui développe un système d'IA ou le commercialise sous son nom, et le déployeur, qui l'utilise dans son activité. Une marque qui se sert d'un outil d'IA du marché est déployeur ; si elle met en service son propre assistant sous son nom, elle peut aussi devenir fournisseur.

Les quatre niveaux de risque : où se situent les marques ?

L'AI Act classe les systèmes d'IA en quatre catégories. Savoir dans laquelle vous vous situez détermine vos obligations réelles.

Risque inacceptable : les pratiques interdites depuis février 2025

Depuis le 2 février 2025, certaines pratiques sont interdites : notation sociale, manipulation comportementale, identification biométrique à distance en temps réel dans l'espace public (sauf exceptions). Le Digital Omnibus ajoute deux interdictions à partir du 2 décembre 2026, qui visent les systèmes générant des images intimes non consenties ou des contenus d'abus sexuels sur mineurs. Ces interdictions visent les usages les plus intrusifs, sans lien direct avec les pratiques marketing classiques, mais elles fixent une ligne rouge à ne pas franchir.

Haut risque : des obligations strictes, un calendrier repoussé

Les systèmes à haut risque concernent des domaines sensibles comme le recrutement, le crédit, la santé ou la justice. Le Digital Omnibus, publié au Journal officiel le 24 juillet 2026, a repoussé leurs obligations : les systèmes autonomes de l'annexe III, qui devaient s'y conformer au 2 août 2026, ont jusqu'au 2 décembre 2027, et les systèmes d'IA intégrés à des produits réglementés (annexe I) jusqu'au 2 août 2028. Pour les marques, cela concerne principalement les outils RH automatisés et certains systèmes de crédit, pas les outils marketing standards.

Risque limité : la catégorie des marques e-commerce

C'est ici que se situe la grande majorité des usages marketing de l'IA : chatbots, générateurs de contenu, outils de personnalisation, recommandation produit. Pour ces systèmes, l'AI Act impose surtout des obligations de transparence, fixées par son article 50 et applicables depuis le 2 août 2026.

Concrètement : informer l'utilisateur qu'il échange avec une IA, et rendre identifiables les contenus générés ou manipulés par IA.

Risque minimal : aucune obligation spécifique

Les filtres anti-spam, les outils de tri de données ou les systèmes de recommandation sans impact sur les droits fondamentaux entrent dans cette catégorie. Aucune obligation réglementaire, mais de bonnes pratiques à adopter.

Le calendrier après le Digital Omnibus

L'AI Act s'applique par étapes. Voici le calendrier tel que modifié par le Digital Omnibus, en vigueur depuis le 27 juillet 2026 :

• 1er août 2024 : Entrée en vigueur du règlement
• 2 février 2025 : Interdictions (risque inacceptable) et maîtrise de l'IA
• 2 août 2025 : Obligations pour les modèles d'IA à usage général (GPAI)
• 2 août 2026 : Application générale, dont les obligations de transparence (article 50)
• 2 décembre 2026 : Marquage des contenus pour les systèmes d'IA générative déjà sur le marché avant le 2 août 2026, et nouvelles interdictions
• 2 décembre 2027 : Obligations haut risque, annexe III
• 2 août 2028 : Obligations haut risque, annexe I (produits réglementés)

Ce que l'AI Act impose concrètement aux marques en 2026

Transparence sur les contenus générés par IA

C'est l'obligation la plus visible pour les équipes marketing et e-commerce. Depuis le 2 août 2026, les fournisseurs d'outils d'IA générative doivent marquer les contenus produits (texte, image, audio, vidéo) dans un format lisible par machine, par exemple via des métadonnées ou un watermarking. Les outils déjà sur le marché avant cette date ont jusqu'au 2 décembre 2026. Pour accompagner les acteurs, la Commission européenne a publié le 10 juin 2026 un code de bonnes pratiques sur le marquage et l'étiquetage des contenus générés par IA, puis ses lignes directrices sur l'article 50 le 20 juillet 2026.

Côté marques, l'obligation porte sur l'étiquetage visible. En tant que déployeur, vous devez signaler les hypertrucages (deepfakes) : une image, une vidéo ou un son généré ou manipulé par IA qui ressemble à des personnes, des objets ou des lieux réels et pourrait passer pour authentique. Les textes générés par IA publiés pour informer le public sur des questions d'intérêt public doivent aussi être signalés, sauf s'ils ont fait l'objet d'une relecture humaine sous responsabilité éditoriale.

En pratique, faites le tri : un visuel produit retouché ou un mannequin généré par IA peut relever de l'hypertrucage s'il paraît réel ; un chatbot de service client relève de l'obligation d'information ; une description produit rédigée par IA n'impose pas d'étiquetage visible au titre de l'AI Act, mais doit rester exacte au regard du droit de la consommation. Vérifiez aussi que vos outils conservent le marquage des contenus qu'ils génèrent.

Information sur les interactions avec des systèmes d'IA

Si votre site propose un chatbot ou un assistant d'achat alimenté par IA, les utilisateurs doivent savoir qu'ils échangent avec une IA, sauf si c'est évident. Le non-respect des obligations de transparence de l'article 50 est passible d'une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (le plus bas pour les PME). En France, la loi qui doit désigner les autorités de contrôle est encore en discussion au Parlement : le schéma envisagé associe la DGCCRF, la CNIL et l'Arcom. Le règlement européen s'applique toutefois directement depuis le 2 août 2026.

Maîtrise de l'IA des équipes

Depuis février 2025, fournisseurs et déployeurs doivent veiller à la maîtrise de l'IA des personnes qui utilisent des systèmes d'IA en leur nom. Le Digital Omnibus a réécrit cette obligation : depuis le 27 juillet 2026, il s'agit de prendre des mesures pour développer cette maîtrise, sans devoir garantir un niveau précis pour chaque personne. Aucune formation certifiante n'est exigée : documentez les mesures prises, qui relèvent de votre gouvernance interne.

Pourquoi la qualité des données produit devient un enjeu de conformité

C'est le point que les marques anticipent le moins : l'AI Act crée une dépendance directe entre conformité réglementaire et qualité des données en entrée des systèmes d'IA.

Des informations produits erronées ou non conformes peuvent rapidement être diffusées à grande échelle, avec un impact direct sur la confiance des clients et sur l'exposition réglementaire des entreprises.

Si vous utilisez l'IA pour générer des descriptions produits, alimenter des moteurs de recommandation ou personnaliser l'expérience, la fiabilité du contenu produit en sortie dépend directement de la qualité des données en entrée. Sans un référentiel produit propre (PIM), les algorithmes ne disposent pas d'une matière fiable pour travailler. Un projet IA commence presque toujours par un chantier data.

Les capacités de gouvernance du PIM (règles de validation, workflows d'approbation, scoring de complétude, historisation et auditabilité) constituent un véritable filet de sécurité. Elles permettent de s'assurer que les données produits exposées aux moteurs d'IA ont été contrôlées, validées et enrichies, en combinant automatisation et supervision humaine.

En d'autres termes : un PIM bien structuré devient aussi une infrastructure de conformité pour l'IA, en plus d'un outil de productivité.

Conclusion

La régulation des contenus générés par IA marque une nouvelle étape dans la maturité du e-commerce. Elle pousse les marques à passer d'une logique d'expérimentation opportuniste à une approche structurée, gouvernée et durable. Les entreprises qui réussiront sauront utiliser l'IA intelligemment, à partir de données produit fiables, dans un cadre clair et maîtrisé.

L'AI Act pose un cadre qui distingue les marques qui ont structuré leur gestion de la donnée de celles qui ne l'ont pas fait. Pour les équipes qui ont investi dans un référentiel produit centralisé, la mise en conformité s'appuie sur des bases solides. Pour les autres, elle révèle les failles de leur gouvernance data.