AI Act 2 août : l'Article 50 sous-estimé — ce que vos chatbots internes doivent afficher

Le Digital Omnibus n'a pas reporté l'Article 50. Au 2 août, tout chatbot interne doit afficher une notice IA — et c'est le deployer qui porte l'obligation.

Le 22 juin 2026, Tech Times rappelait une date que beaucoup d’équipes juridiques n’ont pas encore inscrite dans leur calendrier : le 22 juillet 2026, à 18h CEST, se clôt la fenêtre de signature du Code de Conduite Article 50 de la Commission européenne. Les organisations qui signent avant cette date obtiennent une présomption de conformité auprès des autorités nationales de surveillance. Celles qui ne signent pas ne sont pas dispensées de l’obligation — elles assument simplement une charge de la preuve plus lourde.

J’ai échangé ces dernières semaines avec plusieurs responsables conformité de grandes entreprises françaises. Le scénario que j’entends le plus souvent ressemble à ceci : “On a suivi le Digital Omnibus de près. Les hauts risques sont reportés à décembre 2027, on a le temps.” Cette lecture est exacte pour les systèmes de l’Annexe III. Elle est inexacte pour Article 50. Et la confusion entre les deux est en train de créer un angle mort de conformité dans des centaines d’entreprises qui ont pourtant fait le travail.

Voici ce que vos chatbots internes doivent afficher au 2 août — et pourquoi la qualité de votre corpus documentaire détermine la valeur légale de cette notice.

Le malentendu Digital Omnibus — ce qui a été reporté, ce qui ne l’a pas été

L’accord du 7 mai 2026 entre le Conseil et le Parlement européens a repoussé une obligation précise : l’entrée en vigueur des contraintes de l’Annexe III pour les nouveaux systèmes d’IA à haut risque (recrutement, crédit, accès aux services essentiels, etc.) est décalée du 2 août 2026 au 2 décembre 2027. C’est un soulagement réel pour les équipes qui travaillaient sur la classification de leurs modèles de scoring ou de leurs outils RH.

Ce que le Digital Omnibus n’a pas touché : Article 50(1). L’obligation de transparence pour les chatbots et assistants IA conversationnels reste ancrée au 2 août 2026. Article 50(2) — le marquage du contenu synthétique (deepfakes, texte généré en masse) — a lui été décalé au 2 décembre 2026. Mais Article 50(1) — la notice d’interaction IA — n’a fait l’objet d’aucun report.

Pour les entreprises qui ont un pilote Copilot M365 en production, un assistant Rovo déployé sur Confluence, un RAG interne qui répond aux questions des équipes commerciales ou des RH : l’échéance est le 2 août 2026. Dans 39 jours.

Pour le contexte complet sur l’articulation entre le Digital Omnibus, l’Annexe IV, et le plan corpus : AI Act 2 août 2026 : ce que le Digital Omnibus n’a pas reporté.

Ce qu’Article 50(1) exige concrètement d’un chatbot interne

L’obligation est posée en termes fonctionnels, pas techniques. Article 50(1) du règlement IA dispose que les fournisseurs de systèmes d’IA conçus pour interagir avec des personnes naturelles doivent s’assurer que ces systèmes informent les personnes qu’elles interagissent avec un système d’IA, sauf si cela est évident au vu des circonstances et du contexte d’utilisation.

Les lignes directrices publiées par la Commission le 8 mai 2026 (dont la consultation a été close le 3 juin) précisent les attendus opérationnels. Plusieurs points méritent attention :

La notice doit être affichée au moment de l’interaction, pas dans les conditions générales. Une clause CGU signée lors de l’onboarding, un banner dans la politique d’utilisation interne : insuffisants. L’information doit parvenir à l’utilisateur au moment où il interagit, de manière accessible et compréhensible.

La notice doit être multimodale. Pour un chatbot textuel, elle peut prendre la forme d’un label visible dans l’interface. Pour un assistant vocal, d’un message audio au démarrage de la session. La forme doit être adaptée au canal.

La notice n’a pas de contenu prescrit à la virgule, mais elle doit clairement identifier la nature IA du système. “Vous interagissez avec un assistant IA” ou “Ce service est fourni par un système d’intelligence artificielle” correspondent aux attentes de la Commission. Des formulations vagues (“Ce service utilise des technologies avancées”) ne suffisent pas.

Deployer vs provider — qui porte l’obligation dans votre entreprise

C’est le point qui crée le plus de confusion — et potentiellement la plus grande exposition. Le règlement IA distingue deux acteurs : le provider (l’entreprise qui développe ou commercialise le système d’IA) et le deployer (l’entreprise qui utilise ce système dans un contexte précis et l’expose à des utilisateurs finaux).

Concrètement : Microsoft est le provider de Copilot. Votre organisation, qui déploie Copilot M365 auprès de vos 8 000 collaborateurs, est le deployer. Atlassian est le provider de Rovo. Votre DSI qui a activé Rovo sur votre instance Confluence est le deployer. Un éditeur de RAG (ou votre propre équipe technique si vous avez développé un assistant interne) : provider. La direction qui l’a déployé pour les équipes commerciales : deployer.

Article 50(1) place l’obligation en premier lieu sur le provider. Mais les lignes directrices de la Commission précisent que lorsque le provider ne peut pas configurer l’interface directement pour les utilisateurs finaux d’un deployer tiers — ce qui est le cas pour la quasi-totalité des déploiements enterprise — le deployer doit s’assurer que l’interface dont il est responsable respecte l’obligation de notice.

Autrement dit : vous ne pouvez pas déléguer votre conformité à Microsoft ou à Atlassian. Vous êtes responsable de ce que voit votre employé quand il ouvre le chatbot interne que vous avez mis à sa disposition.

L’analyse de William Fry sur Articles 50(1) et 50(2) est particulièrement éclairante sur la répartition de responsabilités entre providers et deployers dans les scénarios enterprise. Le cabinet kla.digital a publié une checklist pratique qui confirme que Copilot M365, les agents RAG internes, et les assistants RH sont tous dans le périmètre Article 50 côté deployer.

L’exception “obvious AI” — et pourquoi elle ne couvre pas votre Copilot interne

La tentation est grande de se dire : “Nos employés savent qu’ils utilisent Copilot. Tout le monde sait que c’est de l’IA. On n’a pas besoin d’afficher une notice.” C’est précisément le raisonnement que les guidelines de la Commission invalident.

L’exception pour les interactions “évidentes” est réelle — elle figure bien dans le texte d’Article 50(1). Mais elle est calibrée sur un standard strict : celui du consommateur moyen. La question juridique pertinente n’est pas “est-ce que votre équipe technique sait que c’est de l’IA ?” mais “un employé ordinaire, sans formation technique, interagissant avec cet assistant, comprendrait-il sans ambiguïté qu’il s’adresse à un système automatisé et non à un collègue ou à un prestataire humain ?”

Pour un assistant RH répondant à des questions sur la convention collective, pour un chatbot financier qui interprète les règles de remboursement de notes de frais, pour un assistant commercial qui rédige des propositions commerciales : la réponse n’est pas automatiquement positive. La Commission interprète l’exception de manière restrictive — et les audits menés par les autorités de surveillance demanderont à voir la documentation qui étaye le choix de l’entreprise d’invoquer cette exception.

La recommandation opérationnelle qui s’impose : documenter l’analyse si vous souhaitez invoquer l’exception, et afficher la notice dans tous les cas où cette analyse n’est pas concluante.

Le Code de Conduite Article 50 — ce que les signataires gagnent avant le 22 juillet

La Commission européenne a publié le 10 juin 2026 son Code de Conduite sur la transparence du contenu IA. Ce document est volontaire — il ne crée pas de nouvelles obligations légales. Mais il traduit Article 50 en mesures techniques et organisationnelles concrètes, et les organisations qui s’y conforment bénéficient d’une présomption de conformité auprès des autorités nationales.

La deadline de signature pour être inclus comme signataire initial est fixée au 22 juillet 2026 — soit 28 jours à compter d’aujourd’hui. Les signataires s’engagent à mettre en œuvre les mesures décrites dans le Code et peuvent l’opposer à toute autorité de surveillance comme preuve de leur bonne foi et de leur démarche proactive.

Ne pas signer avant le 22 juillet ne dispense pas de l’obligation au 2 août. Mais l’absence de signature augmente la charge de la preuve en cas de contrôle ou de plainte.

Pourquoi un corpus non gouverné fragilise votre notice Article 50

Il y a un angle que les analyses juridiques sur Article 50 n’ont pas encore posé — et c’est précisément celui que nous observons dans les déploiements que nous accompagnons chez K-AI. La plupart des chatbots internes que déploient les grandes entreprises en 2026 ne sont pas de simples chatbots : ce sont des assistants fondés sur des corpus documentaires internes. Un RAG qui interroge SharePoint, Confluence, une GED, des dossiers partagés.

La notice Article 50, dans ce contexte, ne dit pas seulement “vous interagissez avec une IA”. Elle dit implicitement : “les informations que cet assistant vous fournit sont extraites de nos documents internes.” C’est une information fiable si et seulement si le corpus sur lequel l’assistant s’appuie est lui-même fiable.

Un corpus documentaire non gouverné — avec des documents contradictoires non résolus, des versions expirées jamais invalidées, des doublons divergents qui coexistent — produit des réponses IA qui peuvent être factuellement incorrectes, même si le pipeline RAG fonctionne parfaitement. Le score de faithfulness (fidélité du modèle aux sources récupérées) peut être excellent. Ce n’est pas une protection si les sources elles-mêmes sont en conflit.

Dans ce scénario, la notice “ce service est fondé sur vos documents internes” est exacte dans sa forme et inexacte dans sa substance. Un régulateur qui audite un incident — une réponse incorrecte sur une politique RH, un conseil erroné sur une procédure réglementaire — examinera non seulement la notice affichée, mais aussi la traçabilité des sources utilisées. C’est ici que le document retrieval log (la traçabilité documentaire, qui constitue également une exigence de l’Article 12 pour les systèmes à haut risque) devient un outil de défense légale, pas seulement technique.

Sur un seul référentiel documentaire lors d’un premier diagnostic, les équipes K-AI relèvent en général plusieurs centaines d’anomalies — conflits, doublons divergents, documents expirés toujours indexés. Chacune de ces anomalies est un point de fragilité potentiel pour la validité substantielle de votre notice Article 50.

Gouverner le corpus n’est pas qu’une question de performance IA. C’est une question de robustesse juridique.

Foire aux questions

Que se passe-t-il exactement le 2 août 2026 avec l’AI Act ?

Le 2 août 2026, Article 50(1) entre en vigueur. Tout système d’IA conçu pour interagir avec des personnes naturelles — chatbot, assistant conversationnel, agent IA — doit informer les utilisateurs qu’ils interagissent avec un système d’IA, sauf si cela est évident au vu du contexte. S’appliquent aussi à cette date : Article 4 (AI literacy obligatoire pour les équipes qui opèrent des systèmes IA) et les obligations de documentation de l’Annexe IV pour les systèmes haut-risque déjà en service. L’Annexe III (nouvelles IA haut-risque) a été repoussée au 2 décembre 2027 par le Digital Omnibus.

L’AI Act a-t-il été reporté suite au Digital Omnibus ?

Partiellement. L’accord du 7 mai 2026 a reporté au 2 décembre 2027 les obligations applicables aux nouveaux systèmes d’IA à haut risque listés à l’Annexe III (RH, crédit, accès aux services essentiels, etc.). Il a également décalé au 2 décembre 2026 le marquage obligatoire du contenu synthétique (Article 50(2) — deepfakes et contenu généré en masse). En revanche, Article 50(1) (notice d’interaction IA pour chatbots) n’a fait l’objet d’aucun report : il s’applique au 2 août 2026.

Un chatbot interne B2E (Copilot M365, Rovo, RAG interne) est-il soumis à Article 50 ?

Oui. Article 50(1) s’applique à tout système d’IA interagissant avec des personnes naturelles — y compris les employés d’une organisation. Le fait que l’utilisation soit interne ne constitue pas une exemption. Si votre entreprise a déployé Copilot M365, Rovo, Glean ou tout assistant RAG pour ses collaborateurs, elle est “deployer” au sens du règlement et porte l’obligation de notice — indépendamment de ce que le provider (Microsoft, Atlassian, Glean) a ou n’a pas implémenté dans son interface standard.

Qu’est-ce qu’Article 50(1) exige concrètement d’afficher dans un chatbot interne ?

Une information claire, accessible et compréhensible indiquant que l’utilisateur interagit avec un système d’IA, affichée au moment de l’interaction (et non dans les CGU ou une politique interne signée à l’onboarding). La notice doit être adaptée au canal (texte visible dans une interface de chat, message audio pour un assistant vocal). Son contenu n’est pas prescrit à la formulation près, mais doit identifier sans ambiguïté la nature IA du système. L’exception “obvious AI” est interprétée strictement selon le standard du consommateur moyen — elle ne couvre pas automatiquement les assistants RH, financiers ou juridiques internes.

Pourquoi un corpus documentaire mal gouverné fragilise-t-il la notice Article 50 ?

La plupart des chatbots internes sont des assistants RAG fondés sur des corpus de documents internes. La notice “ce service est fondé sur vos documents internes” est fiable si et seulement si le corpus est lui-même fiable. Un corpus contenant des documents contradictoires, des versions expirées ou des doublons divergents produit des réponses factuellement incorrectes même si le pipeline RAG est techniquement sain. En cas d’audit ou d’incident, un régulateur examinera la traçabilité des sources utilisées pour générer la réponse. Sans gouvernance documentaire — et sans journal de retrieval documentaire (Article 12 pour les systèmes haut-risque) — la défense juridique repose sur du sable.

Pour aller plus loin

La deadline du 2 août 2026 est dans 39 jours. La deadline de signature du Code de Conduite est dans 28 jours. Si vous souhaitez évaluer l’état de votre corpus documentaire avant de formaliser votre conformité Article 50, les équipes K-AI sont disponibles pour un diagnostic initial.

contact@k-ai.ai

K-AI accompagne déjà CMA CGM, Veolia, PwC, BNP Paribas, TotalEnergies et CEVA Logistics. Partenaires : AWS, Snowflake, Microsoft, Wavestone, Devoteam.

Sources citées

Article 50 — EU AI Act (texte officiel) — EU AI Act Service Desk, 2024.
Commission opens consultation on draft guidelines on AI transparency obligations (Article 50) — Commission européenne, 8 mai 2026.
Code of Practice on Transparency of AI-Generated Content — Commission européenne, 10 juin 2026.
EU AI Act chatbot disclosure and deepfake labeling: July 22 signatory deadline — Tech Times, 22 juin 2026.
EU legislators agree to delay for high-risk AI rules (Digital Omnibus) — Hogan Lovells, 7 mai 2026.
Part 1: AI Act Articles 50(1) and 50(2) — Transparency obligations: Deployers vs Providers — William Fry, 2026.
EU AI Act Article 50 checklist for chatbots, copilots and AI agents — kla.digital, 2026.
Taking the EU AI Act to practice: the final Transparency Code of Practice — Bird & Bird, juin 2026.
10 Takeaways: European Commission Draft Guidelines on AI Transparency under the EU AI Act — Global Policy Watch, mai 2026.
Article 50 AI Act chatbot interne — obligation d’affichage et sanctions — Riant Avocat, 2026.