Les obligations de transparence de l'article 50 du règlement européen sur l'IA, le règlement (UE) 2024/1689, s'appliquent dès aujourd'hui. Aucune période de tolérance n'est prévue à cette date et il n'y a pas d'annonce à attendre. Le texte est public depuis 2024 et le calendrier figure dans le règlement lui-même.
Ce que l'obligation exige, en un écran
L'article 50 exige que les personnes soient informées lorsqu'un contenu qu'elles rencontrent a été généré ou manipulé par un système d'IA. Les fournisseurs de systèmes génératifs doivent veiller à ce que la sortie soit marquée dans un format lisible par machine comme générée ou manipulée artificiellement. Les déployeurs, c'est-à-dire ceux qui utilisent un tel système et publient le résultat, doivent le divulguer. Les hypertrucages ainsi que les textes générés ou manipulés par IA publiés afin d'informer le public sur des questions d'intérêt public sont nommés expressément. Les obligations s'appliquent à partir du 2 août 2026.
Si vous publiez, vous êtes presque certainement un déployeur, et l'obligation de divulgation vous revient. Une lecture plus complète du champ d'application et des rôles figure sur notre page consacrée à l'article 50.
Une étiquette est une affirmation, et les affirmations sont mises à l'épreuve
La divulgation est une déclaration que vous faites sur vos propres contenus, dans vos mots, sur une surface que vous contrôlez. C'est ce que la règle demande, et cela mérite d'être fait avec soin.
La difficulté commence quand quelqu'un a une raison de la vérifier. Ce quelqu'un est rarement un régulateur. En pratique, c'est l'une de ces quatre personnes :
- Un client en phase d'achat, qui remplit un questionnaire fournisseur comportant désormais une section sur la divulgation IA.
- Une contrepartie dans un litige, où qui a produit quoi et quand devient soudain tout l'enjeu.
- Une plateforme ou un partenaire de distribution qui vous demande d'étayer une déclaration attachée à un actif il y a des mois.
- Un concurrent, qui a intérêt à ce que votre affirmation soit fausse et aucune obligation d'indulgence.
À ce moment-là, l'étiquette cesse d'être la réponse et devient ce qui est mis en cause.
À quoi ressemble réellement une preuve
Écartez l'image du tribunal. La version réaliste est bien plus banale et bien plus fréquente : un e-mail d'un client demandant quelles parties d'une campagne livrée ont été réalisées avec l'aide de l'IA, échéance vendredi, service juridique en copie.
Cet e-mail pose en réalité trois questions. Quelle version a été publiée. Ce qui y a touché entre le premier brouillon et cette version. À quelle date chacune de ces choses était vraie. Un document de politique ne répond à aucune des trois. Une capture d'écran n'y répond d'aucune manière que le destinataire ait une raison d'accepter.
La plupart des équipes se rabattent alors sur ce qu'elles ont : dates de modification de fichiers, fil d'e-mails, historique de projet, historique de versions dans le cloud. Tout cela réside dans des systèmes que la partie qui répond contrôle et peut modifier. C'est utile pour reconstituer sa propre mémoire. C'est fragile dès lors que la valeur dépend du fait qu'un tiers y croie.
Ce qui tient vraiment comme preuve
Un enregistrement qui résiste à la contestation comporte quatre éléments, et l'ordre compte.
1. Une empreinte du fichier. Une empreinte cryptographique calculée à partir de l'objet lui-même. Un caractère ou un pixel modifié, et l'empreinte ne correspond plus. C'est ce qui rattache l'affirmation à une version précise plutôt qu'à un document qui a évolué depuis.
2. Une déclaration sur le mode de production. Généré par IA, modifié par IA, assisté par IA, ou rédigé par un humain. Rattachée à l'empreinte, de sorte que la déclaration et l'objet qu'elle décrit voyagent ensemble au lieu de vivre dans deux systèmes qu'il faudra rapprocher plus tard.
3. Un horodatage qualifié. Délivré par un prestataire de services de confiance qualifié sur l'empreinte et la déclaration. C'est l'élément qui fixe le moment où l'enregistrement existait, indépendamment de tout champ de date que vous contrôlez.
4. Un certificat vérifiable par un tiers. Vérifiable sans compte et sans vous contacter. C'est le seul élément que votre interlocuteur voit réellement, et la raison pour laquelle les trois autres valent la peine.
Retirez l'un des quatre et l'enregistrement s'affaiblit d'une manière précise. Sans l'empreinte, il n'est rattaché à aucune version. Sans la déclaration, il prouve l'existence mais ne dit rien de la production. Sans l'horodatage, la date repose sur votre parole. Sans vérification par un tiers, le destinataire doit encore vous faire confiance, ce qui était précisément le problème. Voyez le fonctionnement, ou vérifiez un document déjà scellé pour voir ce que voit le destinataire.
Pourquoi des services qualifiés, et lesquels
Le mot qualifié fait ici un vrai travail. Ce n'est pas un adjectif marketing, c'est un statut juridique.
En vertu du règlement eIDAS, règlement (UE) n° 910/2014, un horodatage électronique qualifié délivré par un prestataire de services de confiance qualifié bénéficie d'une présomption légale quant à la date et à l'heure qu'il indique et à l'intégrité des données auxquelles il est lié. Un horodatage ordinaire, qu'il provienne de votre propre serveur ou d'un registre public, ne bénéficie pas de ce statut.
En Suisse, le cadre est la ZertES, qui régit les services de certification pour les signatures électroniques en droit fédéral suisse. L'équivalence avec la signature manuscrite ne vient toutefois pas de la ZertES. Elle vient de l'art. 14 al. 2bis du Code des obligations suisse, qui place la signature électronique qualifiée assortie d'un horodatage qualifié sur le même plan qu'une signature manuscrite. Ces deux textes sont souvent réduits à une seule référence. Ils sont distincts, et la règle d'équivalence figure dans le Code des obligations.
La conséquence pratique pour une divulgation au titre de l'article 50 est simple : une déclaration scellée avec un horodatage qualifié est un enregistrement dont la date ne dépend pas de vos propres systèmes, ce qui est exactement la propriété dont une divulgation a besoin lorsqu'elle est contestée et non simplement lue.
Quatre étapes pour cette semaine
Aucune n'exige un avis juridique préalable.
Un. Listez ce que vous avez publié au dernier trimestre avec une intervention d'un modèle. Pas tout ce que vous avez produit un jour, mais le matériel récent, en ligne, destiné aux clients.
Deux. Pour chaque élément, choisissez la déclaration réellement exacte. La plupart des équipes retiennent assisté par IA plus souvent qu'elles ne l'imaginent, et c'est une position parfaitement respectable à assumer par écrit.
Trois. Scellez ce qui compte. Les livrables clients, tout ce qui est publié vers l'UE, tout ce qui touche à un sujet d'intérêt public. Un brouillon que personne n'a vu n'a pas besoin d'être scellé.
Quatre. Placez le procédé au moment de la publication plutôt qu'au moment de l'audit. Un enregistrement créé quand le travail sort coûte quelques minutes. Le même enregistrement reconstitué un an plus tard coûte nettement plus cher et convainc nettement moins.
L'article 50 vous demande de divulguer. Il ne vous demande pas de prouver votre divulgation. Ceux qui poseront la question sont ceux qui liront cette divulgation, et aujourd'hui est un bon jour pour y être prêt.
