Depuis le 2 août 2026, l'article 50 de l'IA Act est passé en phase de contrôle. Le Bureau de l'IA de la Commission et les autorités nationales peuvent désormais vérifier l'application des obligations de transparence, et sanctionner. Ce que le grand public a retenu, c'est le principe du label "généré par IA". Les organisations, elles, découvrent souvent que le pictogramme n'est que la partie visible du chantier. Ce que l'article 50 impose vraiment Deux grandes familles d'obligations. D'abord, les systèmes qui interagissent avec le public, chatbots, agents conversationnels, avatars, doivent signaler clairement qu'on échange avec une IA. Ensuite, les contenus générés ou fortement modifiés par IA, deepfakes, images, sons, textes informatifs publiés sans contrôle éditorial humain, doivent être identifiables comme tels. Par un marquage technique lisible par une machine, ou une mention visible selon les cas. La Commission a même publié un jeu d'icônes officielles, libres de droits, avec trois situations distinctes : intervention d'une IA, contenu entièrement généré, contenu humain modifié par IA. Le calendrier mérite une précision, parce que beaucoup s'y perdent. Les reports négociés dans le cadre de l'omnibus numérique portent sur les systèmes à haut risque, repoussés à 2027 et 2028. Les obligations de transparence de l'article 50, elles, sont applicables maintenant. Pas de sursis de ce côté. Le vrai chantier est en amont du marquage Coller une étiquette est simple. Savoir sur quoi la coller, beaucoup moins. Pour étiqueter correctement, une organisation doit d'abord cartographier où l'IA générative intervient dans ses processus, service par service. Elle doit ensuite distinguer un contenu relu éditorialement d'un contenu publié sans contrôle humain, la ligne de partage qui déclenche ou non l'obligation. Et tracer cette décision. Sans cet inventaire préalable, l'obligation reste théorique. Autre point que peu de DPO ont anticipé : la superposition avec le RGPD. Dès qu'un contenu généré met en jeu des données personnelles, un deepfake reposant sur le visage d'une personne réelle par exemple, les obligations RGPD s'ajoutent. Base légale, information des personnes, analyse d'impact le cas échéant. Marquage IA et conformité RGPD ne sont pas deux dossiers séparés. C'est le même dispositif documentaire. Ce que les organisations doivent traiter maintenant Environ 190 entreprises ont signé le code de bonnes pratiques de la Commission. Un outil utile, mais volontaire, qui n'exonère pas de l'obligation légale sous-jacente. Y adhérer ne vaut pas conformité. Pour une DSI ou un DPO, la question n'est donc pas de savoir s'il faut apposer une mention. Elle est de pouvoir démontrer, traitement par traitement, quels contenus relèvent de l'étiquetage et lesquels en sont exemptés. C'est de l'accountability, appliquée cette fois à l'IA générative. Les organisations prêtes seront celles qui auront fait ce travail de recensement avant qu'un contrôle ne le demande. Les autres improviseront.
