AI La loi en 30 secondesUne phrase suffit à la comprendre
L'Europe a voté une loi pour encadrer l'intelligence artificielle : l'AI Act. Sa logique tient en une phrase : plus un usage de l'IA peut abîmer la vie d'une personne (perdre un emploi, se voir refuser un crédit, être manipulée), plus les règles sont strictes. Générer un visuel pour un post LinkedIn et trier des CV de candidats, ce n'est pas le même niveau de risque. La loi ne les traite donc pas pareil.
Elle s'applique par étapes depuis 2025. Et contrairement à ce qu'on lit souvent, elle ne vise pas que les géants de la tech. Elle concerne toute entreprise qui utilise un outil contenant de l'IA. La vôtre, donc.
Le fil rougeOn a fait l'exercice sur nous-mêmes
Plutôt qu'un cas d'école inventé, ce guide s'appuie sur un cas réel : le nôtre. Chez AI x Leaders, on porte les deux casquettes que la loi distingue. Au quotidien, on utilise des outils IA comme n'importe quelle entreprise : Claude et ChatGPT pour travailler, Canva pour les visuels. Et on édite deux produits IA : Story Studio (storystudio.cc), un studio de génération d'images et de vidéos qui se branche à Claude ou à n'importe quel agent, et Micro Drama (microdrama.studio), qui produit des mini-séries verticales de marque, vendues 20 000 euros la saison ou opérées par le client en abonnement.
En juillet 2026, on a passé nos propres produits au crible de la loi, fichiers en main. Vous trouverez les résultats, les bons comme les moins bons, dans les encadrés "Le cas AI x Leaders". Si ce guide vous demande de faire l'exercice, autant vous montrer qu'on l'a fait sur nous d'abord.
Le report de juin 2026
Bruxelles a allégé et repoussé une partie de la loi en juin 2026 (le paquet "Digital Omnibus" : accord du 7 mai, vote du Parlement européen le 16 juin, adoption finale par le Conseil le 29 juin 2026). Ce qui est repoussé : le morceau le plus lourd, les usages sensibles (RH, crédit, assurance, éducation), qui passent du 2 août 2026 au 2 décembre 2027.
Ce qui n'est pas repoussé, et qui tombe bien le 2 août 2026 : la transparence sur vos chatbots et vos contenus générés, l'entrée en fonction des autorités de contrôle, et la possibilité d'infliger des amendes.
Le calendrierVersion agenda
| Date | Ce qui s'applique | Concrètement pour vous |
|---|---|---|
| Depuis fév. 2025 | Les usages interdits + l'obligation de former vos équipes | Déjà en vigueur. Si vos équipes utilisent l'IA sans formation, vous êtes déjà en retard. |
| Depuis août 2025 | Les règles pour les fabricants des grandes IA (OpenAI, Google, Anthropic, Mistral) | Rien à faire de votre côté : c'est leur dossier. |
| 2 août 2026 | Transparence (chatbots, contenus générés) + autorités en poste + amendes possibles | Votre échéance. Détaillée plus bas. |
| 2 déc. 2026 | Deux interdictions de plus (fausses images intimes, contenus pédocriminels) + fin de la tolérance sur le tatouage numérique pour les outils déjà sur le marché avant le 2 août 2026 | Si vous éditez ou avez fait développer un outil de génération, c'est votre vraie date limite de marquage. |
| 2 déc. 2027 | Les usages sensibles (RH, crédit, assurance, éducation) | Le gros morceau, reporté. À préparer dès maintenant. |
| 2 août 2028 | L'IA intégrée dans des produits déjà réglementés (dispositifs médicaux, machines) | Seulement si vous fabriquez ce type de produits. |
Êtes-vous concerné ?Le test en une question
Utilisez-vous au moins un outil qui contient de l'IA ? ChatGPT même gratuit, Copilot dans Word, un chatbot sur votre site, un module de scoring dans votre CRM, un filtre de tri dans votre logiciel RH. Si oui, vous êtes concerné.
Il n'y a pas de taille minimum : la loi s'applique à l'indépendant comme au CAC 40. Elle s'applique aussi aux entreprises étrangères dès que leur outil est vendu en Europe ou que ses résultats y sont utilisés. La loi suit le produit, pas le passeport.
On est concernés deux fois : comme utilisateurs de Claude, ChatGPT et Canva au quotidien, et comme fabricants de Story Studio et Micro Drama. La plupart de nos lecteurs ne portent que la première casquette. Mais si vous avez fait développer un outil interne ou si vous revendez un assistant IA, lisez bien la suite : vous portez peut-être la seconde sans le savoir.
Les deux casquettesFabricant ou utilisateur
La loi distingue celui qui crée ou vend l'outil (elle l'appelle le "fournisseur", disons le fabricant) et celui qui l'utilise dans son activité (le "déployeur", disons l'utilisateur). Le fabricant porte les grosses obligations : documentation technique, marquage CE, enregistrement européen. L'utilisateur a des obligations plus légères, centrées sur le bon usage.
La quasi-totalité des dirigeants qui liront ce livre blanc sont des utilisateurs. Bonne nouvelle : vos obligations sont réelles, mais gérables.
Le piège à connaître : on peut devenir fabricant sans s'en rendre compte. La loi prévoit trois cas : vous vendez sous votre marque un outil développé par un autre (la marque blanche), vous modifiez l'outil en profondeur, ou vous le détournez de son usage prévu. Et il existe une quatrième porte d'entrée, la plus fréquente aujourd'hui : intégrer le modèle d'un autre via une API dans votre propre produit ou votre site. Aux yeux de la loi, l'intégrateur devient fabricant du système qu'il propose. Règle pratique à donner à vos équipes : fournir vos documents à une IA pour qu'elle réponde mieux, ça va. La réentraîner, la revendre ou la brancher dans votre produit, vous changez de casquette.
Story Studio ne développe aucun modèle d'IA. Il assemble ceux des autres, appelés par API : Nano Banana 2 et Veo chez Google, GPT-Image-2 chez OpenAI, Seedream et Seedance chez ByteDance, plus Kling, MiniMax, Wan et FLUX. Aux yeux de la loi, Story Studio est pourtant un fabricant à part entière. Assembler les briques des autres n'exonère de rien. Retenez ce point si votre agence ou votre DSI vous a construit un assistant maison.
Les 4 étages de la loiL'image à retenir
L'AI Act classe chaque usage dans un des quatre étages d'une pyramide. Pensez code de la route.
La grande majorité de vos usages sont à l'étage 4. Un audit type dans une PME de services trouve zéro ou un usage interdit, un à trois usages sensibles (souvent un outil RH), et tout le reste entre transparence et libre. Respirez.
Étage 1Ce qui est interdit (déjà en vigueur)
Interdit veut dire interdit, quelle que soit la taille de l'entreprise, avec l'amende maximale à la clé. Six situations qui parlent aux dirigeants. Cliquez pour déplier.
Analyser les expressions du visage ou le ton de la voix en entretien, mesurer l'engagement d'un collaborateur par webcam : interdit au travail et à l'école. Seule exception, la sécurité ou le médical, comme détecter la fatigue d'un chauffeur.
Ou exploiter une faiblesse liée à l'âge, au handicap ou à la précarité. Exemple : un chatbot commercial calibré pour pousser des personnes âgées vulnérables à l'achat.
Façon crédit social, qui les pénalise dans des domaines sans rapport. Précision utile : le scoring bancaire classique pour accorder un prêt n'entre pas dans cette interdiction, il est à l'étage 2.
Pour bâtir une base de reconnaissance faciale. La CNIL a déjà infligé 20 millions d'euros à Clearview AI pour ce type de pratique.
À partir de leur biométrie. Utiliser le visage ou la voix pour déduire l'origine, les opinions politiques, la religion ou l'orientation sexuelle : interdit.
Dans l'espace public, et la police prédictive individuelle. Surtout l'affaire de l'État. Retenez simplement que ça existe.
À partir du 2 décembre 2026 s'ajouteront les fausses images intimes de personnes réelles (les applis de "déshabillage") et les contenus pédocriminels générés par IA.
Le 2 août 2026Ce que vous devez faire, concrètement
Deux règles de transparence, plus une nouveauté qui change l'ambiance.
1. Votre chatbot doit dire qu'il est un robot
Toute personne qui échange avec votre IA (chatbot du site, voicebot téléphonique, assistant WhatsApp, borne interactive) doit le savoir dès le début, sauf si c'est évident. Une ligne dans les conditions générales ne suffit pas : l'information doit apparaître dans la conversation elle-même. Et pas de clause du grand-père : un chatbot installé en 2024 doit se présenter dès le 2 août 2026.
La seconde phrase, seulement si c'est vrai chez vous.
2. Vos contenus fabriqués par IA doivent être identifiables
Deux niveaux à bien distinguer, parce qu'ils ne pèsent pas sur la même personne.
- Le tatouage numérique invisible, glissé dans le fichier : c'est le travail du fabricant de l'outil. Si vous n'êtes qu'utilisateur, votre job se limite à vérifier que vos outils le font. Si vous éditez ou avez fait développer un outil, c'est votre chantier, avec le 2 décembre 2026 comme date butoir pour les outils déjà sur le marché.
- Le signalement visible, qui concerne tout le monde : toute image, vidéo ou voix truquée réaliste (un "deepfake") doit être clairement présentée comme générée au moment où vous la diffusez. Le test simple : est-ce que quelqu'un pourrait croire que c'est vrai ? Oui, vous signalez. Non, vous êtes libre. Un avatar au visage humain crédible qui présente votre produit : à signaler. Une illustration abstraite, un éléphant qui conduit une voiture : aucune obligation. Pour les textes, un article d'information publié tel quel après génération doit être signalé ; un texte relu, corrigé et assumé par un humain, non.
3. Les gendarmes prennent leur poste
À partir du 2 août 2026, les autorités de contrôle sont opérationnelles et les amendes deviennent juridiquement possibles. Les montants sont détaillés plus bas.
Nos mini-séries mettent en scène des personnages photoréalistes qui n'existent pas : du contenu réaliste généré, donc à signaler. Bonne nouvelle, les œuvres créatives bénéficient d'un régime allégé : une mention au générique ou dans la description suffit, pas de bandeau qui gâche l'épisode.
On a donc pris deux décisions. La mention "série générée par IA" est intégrée d'office au générique de fin de chaque épisode livré, avec un modèle de légende fourni au client pour TikTok, Reels et YouTube. Et nos CGV précisent qui porte quoi : nous, le marquage machine du fichier ; la marque cliente, le signalement au moment de la diffusion. Le point subtil : c'est le diffuseur qui porte l'obligation de signalement, donc nos clients. Autant la leur rendre facile.
Le tatouage numériqueCe qui existe vraiment (état juillet 2026)
C'est la question qu'on nous pose le plus, alors mettons les choses au clair : non, ce tatouage n'existe pas partout. Et il faut comprendre qu'il y en a deux sortes, qui ne se valent pas.
- L'étiquette (le standard C2PA, dit aussi Content Credentials) : une carte d'identité signée, collée au fichier. Riche en informations, mais fragile : une capture d'écran, une recompression ou un simple upload sur Instagram, X, Facebook ou WhatsApp la font disparaître. Deux réseaux font exception et la conservent : LinkedIn, qui affiche un badge, et TikTok, qui la lit pour étiqueter. Selon le Reuters Institute, moins de 1 pour cent des images d'actualité publiées dans le monde portent aujourd'hui une étiquette de ce type.
- Le filigrane dans les pixels (SynthID, de Google) : invisible, pauvre en informations, mais coriace. Il survit aux captures d'écran, aux recadrages et aux compressions. C'est la seule couche qui traverse vraiment le partage sur les réseaux.
Le code de bonnes pratiques européen publié le 10 juin 2026 tire la conclusion logique : aucune technique seule ne suffit, il faut combiner les deux couches.
Qui marque aujourd'hui ? Les grands éditeurs fermés marquent, dans l'application ET via leurs API : OpenAI, Google (SynthID par défaut partout, non désactivable), Adobe Firefly, Amazon, Microsoft. En face, trois angles morts : Midjourney ne marque rien du tout, les modèles open source auto-hébergés (Stable Diffusion, FLUX dev) ne marquent rien par défaut, et les plateformes qui servent ces modèles (fal.ai, Replicate) laissent le sujet à celui qui les intègre. Rappelez-vous la casquette : si c'est vous qui intégrez un modèle ouvert dans votre produit, c'est vous le fabricant, donc c'est à vous de marquer.
Comment vérifier en cinq minutes
Générez un fichier test avec chacun de vos outils, puis déposez-le sur contentcredentials.org/verify, sur openai.com/verify pour les sorties OpenAI, ou dans le détecteur SynthID de Google. Aucun signal, c'est qu'il n'y a pas de marquage : posez alors la question par écrit au fournisseur et gardez sa réponse. Dernière subtilité : l'absence de marque ne prouve rien.
En juillet 2026, on a téléchargé quatre fichiers réellement sortis de notre plateforme, un par moteur majeur : une image Nano Banana 2, une image GPT-Image-2, une image Seedream 5 Pro et une vidéo Veo 3.1 Fast. Verdict : les quatre portaient une étiquette C2PA intacte et valide, signée par le fournisseur du modèle lui-même (Google, OpenAI, ByteDance), avec la mention officielle "créé par une IA", et le filigrane SynthID déclaré côté Google et OpenAI. Sur la génération brute, on était donc déjà conformes.
Deux trous quand même. Un : notre éditeur de montage recompresse la vidéo finale en MP4, et la recompression détruit l'étiquette. Or l'épisode monté, sous-titré, doublé et exporté, c'est exactement le livrable que Micro Drama facture. Deux : les moteurs de secours (Kling, MiniMax, Wan, les routes de repli via Replicate et fal) ne marquent probablement rien. Le correctif : re-signer chaque fichier côté serveur, à l'entrée du stockage et à l'export final, avec la brique open source c2pa-rs.
Moralité : sans le test fichier en main, on aurait juré être conformes, et on aurait eu tort sur le seul fichier qui compte, celui qu'on livre au client.
Le robinetEt les contenus créés avant le 2 août 2026 ?
Non, vous n'avez pas à fouiller vos archives pour tatouer rétroactivement ce qui existe déjà. La loi encadre les outils et ce qu'ils produisent à partir de son entrée en application, pas votre disque dur. Les éditeurs eux-mêmes fonctionnent ainsi : ElevenLabs, par exemple, ne marque aucun audio antérieur à juin 2026.
La bonne image, c'est le robinet : la loi règle l'eau qui coule à partir de maintenant, pas celle qui est déjà dans la baignoire. Avec deux conséquences pratiques. D'abord, republier compte comme diffuser : un contenu réaliste généré en 2025 que vous ressortez dans une campagne après le 2 août doit être signalé comme les autres. Ensuite, ce que vous continuez à diffuser activement (une publicité qui tourne encore, une vidéo épinglée, une page de votre site) mérite d'être mis en règle, sans obligation d'aller déterrer chaque vieux post dormant de 2024.
Le réflexe utile : tenir un simple inventaire de vos contenus générés (quoi, quand, avec quel outil), pour savoir instantanément quoi étiqueter le jour où vous les réutilisez.
Décembre 2027Les usages sensibles, à préparer sans paniquer
Un usage est "sensible" quand l'IA participe à une décision importante sur une personne. Embaucher ou licencier. Promouvoir ou écarter. Accorder ou refuser un crédit. Fixer un tarif d'assurance vie ou santé. Noter un élève, admettre un étudiant. La liste officielle couvre huit domaines ; pour une entreprise classique, la porte d'entrée principale, ce sont les RH.
Concrètement : un outil qui trie ou note des CV, qui analyse des entretiens vidéo, qui évalue les performances ou propose des promotions. À l'inverse, la détection de fraude n'est pas classée sensible, et un logiciel RH sans module de scoring n'est pas concerné.
Si vous utilisez un outil sensible, voici vos obligations d'utilisateur à partir du 2 décembre 2027, en langage courant :
- Suivre la notice du fabricant, sans détourner l'outil. Un outil conçu pour préparer une présélection ne doit pas devenir l'outil de la décision finale.
- Garder un humain formé dans la boucle, avec le pouvoir réel de dire non à la machine. Un clic de validation automatique ne compte pas.
- Prévenir vos salariés et le CSE avant de déployer l'outil, pas après.
- Prévenir les personnes concernées par une décision. Un candidat écarté doit savoir qu'une IA a participé au tri.
- Conserver les journaux de fonctionnement de l'outil au moins six mois.
- Surveiller l'outil et signaler tout incident grave.
Une étude d'impact renforcée existe aussi (la loi l'appelle "FRIA"), mais elle ne vise que les services publics, les banques pour le crédit, et les assureurs vie et santé. Une PME classique n'y est pas soumise.
Pourquoi s'y mettre dès maintenant si l'échéance est fin 2027 ? Parce que mettre un outil RH en conformité prend des mois : renégocier le contrat fournisseur, former les recruteurs, consulter le CSE, documenter le tout. Et parce que les grands donneurs d'ordre commencent déjà à exiger des preuves de conformité dans leurs appels d'offres.
Ni Story Studio ni Micro Drama ne touchent l'étage sensible : pas de tri de candidats, pas de scoring de crédit, pas d'évaluation de salariés, pas de décision sur des personnes. C'est un choix de conception assumé. Cartographier ses usages sert aussi à ça : savoir où on refuse d'aller.
La règle que tout le monde oublieFormer vos équipes (déjà obligatoire)
Depuis février 2025, toute entreprise dont les équipes utilisent l'IA doit s'assurer qu'elles savent s'en servir correctement. Même ChatGPT gratuit. La loi ne demande pas un diplôme : des mesures proportionnées au poste. Une sensibilisation pour tous, une formation métier pour les utilisateurs réguliers, un module décision pour les dirigeants, un point spécifique pour les recruteurs si vous avez un outil RH. Deux réflexes : adapter au rôle, et garder une trace écrite (qui a été formé, quand, sur quoi).
Pas d'amende automatique sur ce point. Mais en cas de contrôle ou d'incident, l'absence de formation jouera contre vous. Et c'est le premier domino : impossible de former sans lister d'abord qui utilise quoi. Cet inventaire servira à tout le reste.
La passerelle RGPDUne IA ne peut jamais décider seule
L'AI Act ne remplace pas le RGPD, il s'y ajoute. Le RGPD protège les données des personnes, l'AI Act encadre les outils. Et le RGPD pose déjà une règle simple à retenir : aucune décision lourde de conséquences (refus d'embauche, licenciement, refus de crédit) ne peut être prise par une machine seule. Un humain doit trancher, pour de vrai.
Côté droit du travail français, un réflexe de plus : consulter le CSE avant d'introduire un outil qui surveille ou évalue les salariés. L'oublier constitue un délit d'entrave.
Les amendesEt qui contrôle
| Le manquement | L'amende maximale |
|---|---|
| Utiliser une pratique interdite (la liste de l'étage 1) | 35 M€ ou 7 % du CA mondial |
| Manquer aux règles des usages sensibles ou de la transparence, marquage compris | 15 M€ ou 3 % |
| Mentir ou donner des informations incomplètes aux autorités | 7,5 M€ ou 1 % |
Pour les grandes entreprises, c'est le montant le plus élevé des deux qui s'applique. Pour les PME et les startups, c'est l'inverse : le plus bas. La loi prévoit aussi des allégements de paperasse pour les PME et pour les entreprises de moins de 750 salariés réalisant jusqu'à 150 millions d'euros de chiffre d'affaires.
En France, la CNIL joue le chef d'orchestre, entourée d'une quinzaine d'autorités selon les sujets : la DGCCRF pour la coordination, l'Arcom pour les contenus, l'ACPR pour la banque et l'assurance, l'ANSSI en appui technique. La loi française de désignation, en cours d'adoption au Parlement, prévoit pour la CNIL des injonctions assorties d'astreintes pouvant atteindre 100 000 euros par jour. Les premières sanctions marquantes sont attendues courant 2027.
Le vrai risque à court terme n'est pas le contrôle surprise. C'est le concurrent qui signale votre chatbot muet, le syndicat qui alerte sur votre outil RH, le client agacé de découvrir qu'il parlait à un robot déguisé, ou l'appel d'offres perdu faute de pouvoir prouver votre conformité.
Votre plan d'actionCe que vous faites, et quand
- Faites l'inventaire de vos outils IA. Y compris l'IA cachée dans vos logiciels (Copilot dans Microsoft 365, modules de votre CRM et de votre logiciel RH) et les usages non déclarés de vos équipes : environ un salarié sur deux utilise des outils IA sans l'accord de son employeur (étude BlackFog, janvier 2026). Astuce : demandez à ChatGPT ou Claude de lister les fonctions IA de chacun de vos logiciels.
- Classez chaque usage dans un des quatre étages : interdit, sensible, à signaler, libre.
- Réglez le visible : affichez sur vos chatbots qu'ils sont des robots, signalez vos contenus réalistes générés, y compris ceux d'avant le 2 août que vous continuez à diffuser.
- Lancez la formation de vos équipes et gardez la preuve écrite.
- Testez le marquage de vos outils de génération : un fichier test par outil, déposé sur contentcredentials.org/verify. Aucun signal, question écrite au fournisseur, réponse conservée. C'est l'audit qu'on a fait sur Story Studio en 20 minutes.
- Posez quatre questions écrites à chaque fournisseur : votre outil est-il classé sensible ? Qui est responsable de quoi entre nous ? Vos contenus générés sont-ils tatoués numériquement, y compris via l'API ? Où sont les journaux de fonctionnement et comment y accéder ?
- Désignez un référent IA. Pas obligatoire, mais sans pilote, la conformité n'est l'affaire de personne. Souvent le DPO, le DSI, un membre du Codir ou vous-même.
- Ouvrez un registre : la liste de vos outils, leur étage, les personnes formées, les échanges fournisseurs, l'inventaire de vos contenus générés. Un tableur suffit pour démarrer.
Contrat fournisseur à jour, humain dans la boucle formé et légitime, information des salariés et du CSE, conservation des journaux. Objectif : être prêt avant le 2 décembre 2027, pas le jour même.
Côté budget : la mise en conformité de base (chatbot, signalement, formation, registre) se compte en heures de travail, pas en milliers d'euros. Pour une PME avec un outil sensible, les estimations de marché tournent entre 2 000 et 8 000 euros par an. Chiffres de prestataires, à prendre avec recul.
FAQLes questions que tout le monde pose
Non. Les obligations sur ChatGPT pèsent sur OpenAI, pas sur vous. De votre côté : former vos équipes, et ne pas y coller de données confidentielles ou personnelles sans version entreprise.
Oui. Aucune taille minimum. En revanche, vos obligations sont proportionnées et les plafonds d'amende réduits.
Pas pour l'AI Act. Pour la confidentialité de vos données, oui : les versions gratuites peuvent s'entraîner sur ce que vous y mettez.
Oui, dès le 2 août 2026, dans la conversation elle-même, sauf si c'est évident. Même s'il est en service depuis des années.
Non. Les grands éditeurs (OpenAI, Google, Adobe, Amazon, Microsoft) marquent, dans l'application comme via l'API. Midjourney ne marque rien, les modèles open source auto-hébergés non plus par défaut. Le détail outil par outil est en annexe.
Chez les grands éditeurs, le marquage suit, API comprise. Via les plateformes d'inférence ou en auto-hébergé, rien n'est ajouté : et si c'est vous qui intégrez le modèle dans votre produit, c'est à vous de marquer.
Cinq minutes : un fichier test, déposé sur contentcredentials.org/verify. Aucun signal, pas d'étiquette. Complétez avec openai.com/verify ou le détecteur SynthID selon l'outil.
Non, pas d'archéologie. Mais ce que vous republiez ou continuez à diffuser activement après le 2 août doit être signalé comme le reste.
Oui, même s'il repose entièrement sur le modèle d'un autre. C'est exactement le cas de notre Story Studio.
Si elle est réaliste, oui, mais avec un régime allégé pour les œuvres créatives : une mention au générique ou dans la description suffit.
Oui. Mais un outil qui trie ou note des candidats est un usage sensible : humain dans la boucle, information des candidats et du CSE, journaux conservés. Et l'analyse des émotions en entretien est interdite, point.
Non. Une décision de ce poids exige un humain qui tranche. C'est le RGPD qui le dit, et il s'applique déjà.
Non, si vous les relisez et les assumez. L'obligation de signalement vise les contenus réalistes truqués (visages, voix) et les textes d'information publiés sans relecture humaine.
Oui, dès que leur outil est vendu en Europe ou que ses résultats y sont utilisés.
Non. Seuls les usages sensibles sont repoussés. La formation, les interdictions et la transparence s'appliquent sans report.
Le RGPD protège les données personnelles, l'AI Act encadre les outils d'IA. Les deux s'additionnent, avec des registres distincts.
Pas d'obligation. Fortement conseillé.
Sur le papier, jusqu'à 15 millions ou 3 pour cent pour un chatbot non signalé. En pratique, l'application sera progressive et proportionnée. Le risque immédiat est réputationnel et commercial plus que financier.
Pour une PME de services sans usage sensible : une à deux journées de travail réparties sur un mois. Avec un outil RH sensible : un chantier de quelques mois, d'où l'intérêt de démarrer en 2026. Pour auditer le marquage de vos outils de génération : 20 minutes, on l'a chronométré.
AnnexeQuels outils tatouent leurs contenus (état juillet 2026)
Ce paysage bouge vite : vérifiez le statut de vos propres outils avec un fichier test avant de vous y fier. "Dans l'appli" : quand vous générez depuis le site ou le logiciel. "Via l'API" : quand un développeur appelle le modèle depuis votre produit ou votre site.
| Outil | Dans l'appli | Via l'API | Type de marquage |
|---|---|---|---|
| OpenAI (GPT-Image, ex-DALL·E) | Oui | Oui | Étiquette C2PA depuis fév. 2024, filigrane SynthID ajouté en mai 2026 |
| Google (Imagen, Gemini, Veo) | Oui | Oui | Filigrane SynthID par défaut, non désactivable, plus étiquette |
| Adobe Firefly | Oui | Oui | Étiquette C2PA plus filigrane, depuis le lancement en 2023 |
| Amazon (Titan, Nova) | Oui | Oui | Filigrane invisible par défaut plus étiquette, depuis avril 2024 |
| Microsoft (Bing, Copilot, Designer) | Oui | À vérifier | Filigrane visible plus étiquette C2PA |
| Meta AI | Oui | Non documenté | Étiquetage à l'affichage, lit aussi les étiquettes des autres |
| ElevenLabs (audio) | Oui | Par phases | Filigrane SynthID audio plus étiquette, depuis juin 2026, non rétroactif |
| Midjourney | Non | Non | Aucun marquage |
| Stable Diffusion (auto-hébergé) | Non | Variable | Filigrane désactivable, rien de garanti |
| FLUX (Black Forest Labs) | Dev : retirable | Pro : oui | Étiquette C2PA sur l'offre Pro seulement |
| Ideogram, Leonardo, Recraft | Non fiable | Non | Filigrane visible sur les offres gratuites, pas de marquage machine |
| fal.ai, Replicate (plateformes) | sans objet | Non | Rien par défaut : c'est à l'intégrateur de marquer |
| Vidéo : Sora, Veo, Runway | Oui | Oui | Étiquette ou filigrane selon l'outil |
| Vidéo : Kling, Luma, MiniMax, Wan | Non | Non | Rien de conforme |
| Canva (Magic Media) | Non confirmé | Non confirmé | Membre du standard C2PA, mais l'embarquement n'est pas documenté |
Trois lectures à retenir. Les grands éditeurs américains marquent partout, application comme API : si vos équipes utilisent ChatGPT, Gemini, Firefly ou Copilot pour produire des visuels, vous êtes couverts côté marquage machine. Midjourney et les modèles auto-hébergés sont le principal angle mort, et ce sont souvent ceux que les créatifs préfèrent. Enfin, les plateformes techniques comme fal.ai ou Replicate ne marquent rien : si votre outil sur mesure passe par elles, le marquage vous incombe.
GlossaireLes mots de la loi, en clair
- AI Act
- La loi européenne sur l'intelligence artificielle, votée en 2024, appliquée par étapes de 2025 à 2028.
- RGPD
- La loi européenne qui protège les données personnelles depuis 2018. S'ajoute à l'AI Act, ne le remplace pas.
- CNIL
- L'autorité française qui veille sur les données personnelles, et désormais chef d'orchestre du contrôle de l'IA en France.
- DPO
- Le délégué à la protection des données. Candidat naturel au rôle de référent IA.
- CSE
- Le comité social et économique. À consulter avant tout outil qui surveille ou évalue le personnel.
- Fabricant
- La loi dit "fournisseur" : celui qui crée, vend ou intègre un outil d'IA sous sa responsabilité.
- Utilisateur
- La loi dit "déployeur" : l'entreprise qui utilise un outil d'IA dans son activité.
- FRIA
- L'étude d'impact renforcée exigée avant certains usages sensibles. Réservée aux services publics, banques et assureurs vie et santé.
- Marquage CE
- Le sigle qui atteste qu'un produit respecte les règles européennes. Exigé des fabricants d'outils sensibles.
- C2PA
- Content Credentials : le standard de l'étiquette numérique signée, collée aux fichiers générés. Riche mais fragile.
- SynthID
- Le filigrane invisible de Google, logé dans les pixels ou le son. Discret mais coriace.
- Deepfake
- Un contenu réaliste (visage, voix, scène) généré ou truqué par IA, qui pourrait passer pour vrai.
- IA à usage général
- Les grands modèles polyvalents type ChatGPT, Claude, Gemini ou Mistral, soumis à leurs propres règles depuis août 2025.
