AI Act et marketing : les 4 actions à mener

Mis à jour le 29 septembre 2026.

Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Son application se fait par étapes. Une partie s’applique déjà, une autre vient d’être repoussée.

Dans les équipes marketing, on parle souvent de “l’AI Act 2026”. Cette date a bougé pour le haut risque. Elle n’a pas bougé pour la transparence, qui vous concerne en premier.

L’AI Act ne vise pas seulement les développeurs. Il touche aussi les briques IA que vous branchez au quotidien : chatbots sur site, scoring comportemental dans un CRM, recommandations algorithmiques, génération de contenu avec assistance IA. Dès que votre stack utilise un système d’IA, vous devez savoir comment il est classé.

Ce que change l’omnibus du 27 juillet 2026

Le “Digital Omnibus on AI” est le règlement (UE) 2026/1744 du 8 juillet 2026. Il a été publié au Journal officiel le 24 juillet et il est en vigueur depuis le 27 juillet 2026. Il modifie l’AI Act.

Ce qui change pour vous :

• Le haut risque est reporté : au 2 décembre 2027 pour l’annexe III (recrutement, crédit, éducation, accès aux services essentiels) et au 2 août 2028 pour l’annexe I (IA intégrée dans des produits).
• Le marquage des contenus synthétiques (article 50(2)) est reporté au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026.
• L’article 4 est assoupli : les entreprises doivent “prendre des mesures pour soutenir” la maîtrise de l’IA de leur personnel, sans garantir un niveau précis.
• Les allègements réservés aux PME s’étendent aux petites entreprises à capitalisation intermédiaire.
• Le Bureau de l’IA voit ses pouvoirs de contrôle étendus.

Sources : page de la Commission européenne sur l’entrée en vigueur de l’omnibus, texte du règlement 2026/1744 sur EUR-Lex et calendrier de l’AI Act Service Desk.

Pourquoi l’AI Act reste un sujet marketing

L’AI Act est le premier cadre juridique mondial sur l’IA. Il a été adopté en juin 2024 et publié au Journal officiel en juillet 2024.

Son principe est simple : plus un système d’IA menace les droits fondamentaux, plus les obligations sont lourdes. Pour une équipe marketing, cela donne une règle concrète : chaque outil doit être classé.

Le calendrier réel, après l’omnibus :

• 2 février 2025 (déjà applicable) : pratiques interdites (article 5) et maîtrise de l’IA (article 4)
• 2 août 2025 (déjà applicable) : modèles d’IA à usage général, gouvernance et régime de sanctions
• 2 août 2026 (déjà applicable) : application générale, dont la transparence de l’article 50 (le marquage des contenus synthétiques passe au 2 décembre 2026 pour l’existant)
• 2 décembre 2027 : haut risque de l’annexe III
• 2 août 2028 : haut risque de l’annexe I

Le report du haut risque ne vous donne pas un an de répit sur tout. La transparence, elle, est déjà là. Et un chantier de conformité prend du temps, quelle que soit la date officielle.

Comment fonctionne l’AI Act : les 4 niveaux de risque

L’AI Act classe les systèmes d’IA en quatre niveaux. Pour une équipe marketing, la première question est donc : dans quel niveau tombe votre outil ?

Niveau 1 : risque inacceptable (interdit depuis le 2 février 2025)

Ces systèmes sont bannis, pas encadrés.

Exemples côté marketing :

• Cibler des publicités en exploitant les vulnérabilités psychologiques de personnes fragiles
• Modifier le comportement d’un utilisateur par des techniques subliminales
• Noter socialement des personnes selon leur comportement d’achat, par exemple pour leur refuser un service

La frontière avec la personnalisation classique est fine. Adapter une expérience à des préférences déclarées reste du marketing normal. Exploiter des données comportementales pour contourner la rationalité d’une personne et déclencher un achat, c’est la zone rouge.

Ces pratiques relèvent du palier d’amende le plus haut : 35 M€ ou 7 % du chiffre d’affaires mondial (article 99). C’est ce palier-là, et lui seul, qui justifie ce chiffre.

Niveau 2 : haut risque (reporté à décembre 2027)

Le niveau 2 concerne les systèmes qui pèsent sur des décisions importantes : emploi, crédit, accès à des services essentiels. Une formation IA de vos équipes aide à comprendre les biais, les limites et la gouvernance de ces systèmes.

Exemples pertinents en marketing :

• Scoring qui décide de l’éligibilité d’un prospect à une offre financière ou d’assurance
• Recrutement automatisé qui trie des candidatures
• Évaluation de solvabilité d’un client

Ces obligations s’appliqueront au 2 décembre 2027 pour l’annexe III :

• documentation technique détaillée
• évaluation de conformité formelle
• supervision humaine
• traçabilité des décisions
• marquage CE

Ce n’est plus pour cette année. Mais réunir la documentation de vos fournisseurs prend des mois.

Niveau 3 : risque limité (transparence applicable depuis le 2 août 2026)

C’est là que se trouve la majorité des cas marketing. L’idée centrale est la transparence (article 50).

Systèmes concernés :

• chatbots et assistants virtuels
• génération de contenu (texte, image, audio, vidéo)
• recommandations de produit
• réponses automatiques

Obligation clé : vos utilisateurs doivent savoir qu’ils parlent à une IA et non à un humain.

Concrètement, un chatbot IA sur votre site doit le dire clairement. Cette obligation est applicable depuis le 2 août 2026.

Les contenus générés par IA doivent aussi pouvoir être identifiés comme tels. Pour les systèmes déjà commercialisés avant le 2 août 2026, le marquage technique (article 50(2)) n’est exigé qu’à partir du 2 décembre 2026. Ne comptez pas dessus pour les nouveaux outils.

En cas de manquement, l’amende peut atteindre 15 M€ ou 3 % du chiffre d’affaires mondial (article 99).

Un cas de terrain montre comment un “petit oubli” se transforme en chantier. Une app mobile avait un chatbot sans mention de l’IA et une politique de confidentialité muette sur les échanges. Il a fallu plusieurs semaines pour documenter l’usage, rédiger les mentions, mettre à jour la confidentialité, signer un DPA avec le prestataire et inscrire le système au registre des traitements.

Niveau 4 : risque minimal (le piège du RGPD)

Pour le risque minimal, l’AI Act n’ajoute pas d’obligation spécifique.

Exemples : filtres antispam, optimisation basique, recherche simple.

Mais un niveau “minimal” ne veut pas dire “aucune conformité”. Si ces systèmes traitent des données personnelles, le RGPD s’applique. Les deux règlements sont indépendants. L’un ne remplace pas l’autre.

“C’est juste un bouton” peut donc cacher une double exposition juridique.

RGPD et AI Act : la double conformité que beaucoup négligent

L’AI Act ne remplace pas le RGPD. Les deux se cumulent. En marketing, ils s’appliquent souvent en même temps.

Cas typiques :

• un chatbot qui collecte nom, prénom, email ou mémorise les échanges
• un scoring comportemental basé sur des interactions
• un générateur de contenu personnalisé nourri de données clients

Ce que l’AI Act ajoute au RGPD :

• une transparence spécifique sur l’usage de l’IA
• une documentation technique sur le système
• une supervision humaine dans certains cas
• un registre des systèmes IA, en plus du registre des traitements

Fournisseur ou déployeur : la responsabilité vous retombe dessus

L’AI Act distingue fournisseur et déployeur, avec des obligations différentes.

Le fournisseur

C’est celui qui développe et met sur le marché le système d’IA. Exemples : une plateforme IA, un éditeur de chatbot.

Le déployeur

C’est vous, dès que vous intégrez et utilisez le système dans votre activité professionnelle. Vous avez donc des obligations propres.

Côté déployeur, il faut :

• informer vos utilisateurs qu’ils parlent à une IA
• vérifier que l’outil utilisé est conforme
• documenter votre usage dans votre registre
• cadrer par contrat les responsabilités avec le fournisseur (souvent dans le DPA ou une annexe)

Votre agence peut vous avoir vendu un chatbot “prêt à l’emploi”. Cela ne supprime pas votre responsabilité de déployeur. Le DPO ou le conseil juridique doivent suivre chaque déploiement d’outil IA.

Obligations par secteur : pourquoi “ça dépend” est une bonne réponse

Comme pour le RGPD, l’AI Act ne touche pas tout le monde de la même façon. Votre secteur et vos cas d’usage fixent votre exposition.

Alignements typiques :

• E-commerce : chatbot service client, recommandations produit, personnalisation. Le plus souvent en risque limité, avec obligation de transparence
• SaaS B2B : deux enjeux. Votre propre conformité, et celle des fonctions que vous vendez. Si votre produit aide vos clients à décider, vous pouvez devenir fournisseur
• Finance et assurance : scoring et décisions automatisées sur l’éligibilité ou le risque. C’est le terrain du haut risque
• Santé : app qui collecte des données de santé et personnalise ses recommandations avec l’IA. C’est l’intersection la plus sensible (données au sens de l’article 9 du RGPD), avec des exigences qui dépassent une simple DPIA

Besoin d’un avis pour classer vos outils ? Nos spécialistes IA travaillent en live sur vos cas réels.

Les 4 actions à mener maintenant

On sort du théorique. Voici la méthode, en commençant par ce qui est déjà applicable.

Action 1 : cartographier vos systèmes IA

Listez tous les outils de votre stack, pas seulement ceux qui se présentent comme “IA”. Cela inclut :

• CRM avec scoring automatique
• chatbots
• outils d’email marketing avec personnalisation automatique
• analytics prédictive
• recommandations dans vos parcours produit

Pour chaque système, notez :

• qui est le fournisseur
• quel est le cas d’usage
• quelles données sont traitées
• quel est le niveau de risque (parmi les 4)

En cas de doute, lisez le texte officiel ou demandez un avis. Une erreur de classement coûte cher.

Action 2 : classer et prioriser par niveau de risque

Inutile de tout traiter avec la même urgence. Commencez par les systèmes à risque limité : leurs obligations de transparence sont applicables dès maintenant.

Action 3 : traiter la transparence tout de suite

C’est le sujet immédiat des équipes marketing. Pour chaque système à risque limité :

• ajoutez une mention visible indiquant que l’utilisateur parle à une IA
• identifiez vos contenus générés par IA (image, audio, vidéo) qui doivent être signalés
• mettez à jour la politique de confidentialité
• vérifiez que le DPA du prestataire couvre l’AI Act
• documentez l’usage dans le registre des traitements ou dans un registre dédié aux systèmes IA

Action 4 : préparer le haut risque jusqu’en décembre 2027

Le haut risque de l’annexe III s’applique à partir du 2 décembre 2027. Vous avez du temps, mais pas à perdre. Commencez à demander la documentation technique à vos fournisseurs.

Côté équipes, l’article 4 demande déjà de soutenir la maîtrise de l’IA de votre personnel. L’omnibus a assoupli la formulation : il ne s’agit plus de garantir un niveau précis. L’obligation reste en place, et former vos équipes reste la façon la plus simple de le démontrer.

Le DPO ou le conseil juridique doivent être associés à chaque nouveau déploiement. L’AI Act relève de la gouvernance, pas d’un projet annexe. Formation, audit et documentation sont souvent finançables selon votre OPCO ou votre FAF.

Récapitulatif : où vous en êtes fin 2026

• L’AI Act est en vigueur depuis le 1er août 2024, avec une application par étapes
• La maîtrise de l’IA (article 4, assouplie) et les pratiques interdites s’appliquent depuis le 2 février 2025
• La transparence (article 50) s’applique depuis le 2 août 2026, avec un marquage des contenus reporté au 2 décembre 2026 pour l’existant
• Le haut risque est reporté au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I)
• La plupart des usages marketing relèvent du risque limité
• RGPD et AI Act se cumulent dès que des données personnelles sont traitées
• Vous restez déployeur même si le fournisseur vous livre l’outil

Les règles ne tuent pas l’innovation, elles la cadrent. Comme le RGPD l’a fait pour la donnée, l’AI Act organise l’IA autour de la transparence, de la documentation et de la gouvernance.

FAQ

Quels outils marketing sont concernés par l’AI Act ?

Les chatbots, les systèmes de scoring (CRM), les recommandations algorithmiques, les outils de génération de contenu (texte, image, audio, vidéo) et les réponses automatiques.

Mon système est “risque minimal”. Ai-je quelque chose à faire ?

L’AI Act n’ajoute alors pas d’obligation spécifique. Mais le RGPD s’applique dès qu’il y a des données personnelles. Les deux règlements sont indépendants.

Pourquoi la transparence sur le chatbot est-elle si importante ?

Parce que l’article 50 impose de dire clairement à l’utilisateur qu’il parle à une IA. Cette obligation est applicable depuis le 2 août 2026. Un manquement relève du palier de 15 M€ ou 3 % du chiffre d’affaires mondial.

Les obligations haut risque s’appliquent-elles depuis août 2026 ?

Non. L’omnibus (règlement 2026/1744, en vigueur depuis le 27 juillet 2026) les reporte au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. Préparez-vous quand même, car la documentation prend du temps.

Faut-il encore former ses équipes à l’IA ?

Oui. L’article 4 est toujours en vigueur, mais assoupli : il demande de prendre des mesures pour soutenir la maîtrise de l’IA de votre personnel, sans garantir un niveau précis. Il n’a pas de palier d’amende dédié. Former reste la preuve la plus simple.

Qui est responsable : le fournisseur de l’outil ou l’entreprise qui l’utilise ?

L’AI Act distingue fournisseur et déployeur. Si vous utilisez l’outil dans votre activité, vous êtes déployeur. Vous devez notamment informer vos utilisateurs et documenter votre usage.

Quelles sont les 4 actions à lancer en priorité ?

1) Cartographier les systèmes IA de votre stack. 2) Les classer par niveau de risque. 3) Traiter tout de suite la transparence (mention IA, contenus générés, confidentialité, DPA, registres). 4) Préparer le haut risque d’ici décembre 2027 (documentation technique, DPO, conseil juridique).

Si des outils IA tournent déjà chez vous, l’étape la plus rentable est la même : obtenir une vue fiable de ce qui est réellement déployé. Ensuite, alignez transparence, documentation et contrats.

---

Demandez votre diagnostic offert : 30 minutes pour cartographier vos systèmes IA, identifier vos niveaux de risque et sécuriser votre conformité AI Act.