Votre site est-il conforme à l'AI Act ? L'audit en 7 étapes

Vous savez désormais que les obligations de transparence du règlement européen sur l'IA sont opposables depuis le 2 août 2026. Reste la question qui compte : votre site est-il en règle, et si non, par où commencer ?

Cet article est un outil de travail, pas une analyse juridique. Il vous propose un audit en sept étapes que vous pouvez conduire vous-même, sans cabinet, sans logiciel, et sans y consacrer plus d'une demi-journée. À la fin, vous saurez exactement ce qui doit être corrigé, dans quel ordre, et ce qui ne vous concerne pas — cette dernière liste étant souvent la plus longue, et la plus rassurante.

Un avertissement avant de commencer. La conformité n'est pas un état que l'on atteint puis que l'on oublie : c'est un inventaire qui se met à jour. Le vrai risque, pour une petite structure, n'est pas de mal faire aujourd'hui. C'est d'intégrer dans six mois un nouvel outil sans repasser par cette grille.

Étape 1 — Recenser, honnêtement

L'audit commence toujours par le même exercice, et c'est celui que tout le monde bâcle : dresser la liste complète des endroits où une intelligence artificielle intervient dans votre activité.

Bâclé, parce qu'on croit connaître la réponse. On pense au chatbot, on l'inscrit, on passe à la suite. Or les briques d'IA se sont glissées partout ces trois dernières années, souvent sans décision formelle, souvent ajoutées par des équipes différentes.

Passez en revue, méthodiquement :

Ce qui parle à vos visiteurs. Chatbot de support, assistant de recherche interne, formulaire de qualification qui répond en langage naturel, serveur vocal, réponses automatiques aux avis clients, messagerie automatisée sur les réseaux sociaux.

Ce qui produit du contenu. Générateur de descriptions produits, rédaction ou reformulation d'articles, traduction automatique du site, sous-titrage automatique, génération de visuels d'illustration, voix de synthèse, résumés automatiques.

Ce qui décide ou trie. Tri de candidatures, scoring de prospects, modération automatique des commentaires, détection de fraude, recommandation de contenus, personnalisation d'affichage.

Ce qui analyse des personnes. Reconnaissance faciale, analyse d'émotions dans la voix ou l'image, catégorisation biométrique, estimation d'âge.

Pour chaque élément trouvé, notez trois informations : quel outil, qui l'a mis en place, et si le résultat est visible par une personne extérieure à l'entreprise. Cette troisième colonne fera le tri à elle seule.

Un tableur suffit. Une page de carnet suffit. Ce qui ne suffit pas, c'est de garder la liste en tête.

Étape 2 — Écarter ce qui ne relève pas du texte

Bonne nouvelle : une grande partie de votre inventaire va sortir du champ dès cette étape.

Le règlement ne s'intéresse pas à tout usage d'IA. Les obligations de transparence entrées en application le 2 août visent des situations précises : l'interaction avec une personne, la production de contenu de synthèse, la manipulation de représentations réelles, l'analyse biométrique ou émotionnelle.

Sortent donc du champ de ces obligations, entre autres :

Un moteur de recommandation qui classe vos articles ne parle à personne et ne génère aucun contenu. Un modèle de prévision de stock, un outil de détection d'anomalies dans vos journaux serveur, un classificateur qui range vos e-mails entrants : même logique. Ils peuvent relever d'autres pans du règlement selon leur usage, mais pas de l'obligation d'information qui nous occupe.

Un correcteur orthographique ou grammatical ne transforme pas votre texte en contenu de synthèse : il assiste l'édition sans modifier substantiellement ce que vous avez écrit.

Un visuel purement décoratif, une texture, un fond abstrait généré par IA ne représente aucune personne ni aucun événement réel. Il ne constitue pas une représentation manipulée susceptible de tromper.

Rayez ces lignes de votre inventaire. Elles reviendront peut-être dans une autre analyse — le règlement comporte d'autres régimes, notamment pour les systèmes à haut risque — mais elles n'appellent aucune action cette semaine.

Étape 3 — Le chatbot, priorité absolue

De tout ce qui reste, l'assistant conversationnel est le point à traiter en premier. Trois raisons à cela.

C'est le manquement le plus visible depuis l'extérieur : n'importe qui peut le constater en trente secondes depuis son navigateur, sans accès à vos systèmes. Une association de consommateurs, un concurrent, un journaliste ou une autorité n'ont aucun effort à fournir.

C'est le plus fréquent : l'immense majorité des widgets déployés ces dernières années ont été conçus pour ressembler à un échange humain, prénom et photo de profil compris.

C'est le plus simple à corriger : une phrase, au bon endroit.

Le test

Ouvrez votre site en navigation privée, comme un visiteur qui découvre. Déclenchez le chat. Sans rien lire d'autre que ce qui s'affiche à l'écran avant votre premier message, la réponse à la question « est-ce que je parle à un humain ? » doit être évidente.

Si vous devez chercher, si l'information est dans les conditions générales, si elle apparaît en gris clair sous le champ de saisie, si elle n'arrive qu'après votre première question : ce n'est pas conforme.

La correction

Une mention dans le corps de la fenêtre, avant le premier échange, dans le même corps de texte que la conversation :

Vous échangez avec un assistant automatisé. Pour parler à un conseiller, tapez « conseiller ».

Vérifiez ensuite un point souvent négligé : si votre dispositif permet de basculer vers un humain, ce basculement doit être perceptible. Un utilisateur qui a compris qu'il parlait à une machine, puis se retrouve face à un conseiller sans transition annoncée, se trouve dans la situation symétrique de celle que le texte veut éviter.

Le piège des prénoms

Beaucoup d'entreprises hésitent à renoncer au prénom et à la photo, par crainte de dégrader l'expérience. Le règlement ne les interdit pas. Il exige que le caractère automatisé soit clair.

Rien ne vous empêche de conserver « Julie » — à condition d'écrire, juste à côté, que Julie est un assistant automatisé. C'est même souvent préférable : un utilisateur qui découvre après coup qu'il s'est confié à une machine réagit nettement plus mal qu'un utilisateur informé dès le départ.

Étape 4 — Les contenus visuels et sonores

Passez ensuite aux images, vidéos et enregistrements audio.

La question à poser pour chaque élément est double, et l'ordre compte.

Le contenu représente-t-il des personnes, des objets ou des événements réels ? Si la réponse est non — illustration abstraite, décor imaginaire, motif graphique — vous pouvez passer. La disposition sur les représentations manipulées ne s'applique pas.

Si oui : le contenu pourrait-il apparaître authentique à une personne qui ne sait pas ? C'est le critère décisif. Un portrait généré d'une personne qui n'existe pas, mais qui semble être une photographie ; une scène d'actualité recomposée ; une voix imitant celle d'une personne identifiable.

Dans ce cas, la mention destinée au public est requise. Elle doit être compréhensible, pas cachée dans les métadonnées : la lisibilité par machine et la divulgation aux humains sont deux obligations distinctes, qui pèsent d'ailleurs sur des acteurs différents.

Une légende suffit : « Image générée par intelligence artificielle. »

L'exception artistique, satirique ou fictionnelle existe. Elle permet d'adapter la forme de la divulgation pour ne pas ruiner l'œuvre — la mention peut alors figurer au générique plutôt qu'en surimpression. Elle ne dispense pas de divulguer.

Étape 5 — Les textes publiés

Nous arrivons au point le plus délicat pour un site éditorial, et à la disposition la plus mal comprise.

L'obligation vise les textes générés ou manipulés par IA publiés dans le but d'informer le public sur des questions d'intérêt public. Formulation qui ne recouvre ni vos fiches produits, ni vos pages de service, ni votre documentation technique — mais bien vos contenus d'actualité, vos analyses, vos enquêtes.

Et surtout, cette obligation connaît une exemption décisive : elle ne s'applique pas lorsque le contenu a fait l'objet d'un contrôle humain et qu'une personne assume la responsabilité éditoriale de sa publication.

Ce que « responsabilité éditoriale » veut dire

Cette exemption n'est pas une formalité que l'on coche. Elle suppose trois choses réunies.

Un contrôle réel. Quelqu'un a lu, vérifié les faits, corrigé les erreurs. Pas survolé : vérifié. Un chiffre non sourcé qui subsiste dans un texte publié est le signe le plus sûr que le contrôle n'a pas eu lieu.

Une personne identifiée. La responsabilité doit pouvoir être rattachée à quelqu'un — une personne physique ou l'entité éditrice. C'est le principe classique du directeur de publication.

Une assomption de cette responsabilité. Vous répondez de ce qui est publié, comme vous répondriez d'un texte écrit par un pigiste.

Si ces trois conditions sont réunies, aucune mention n'est exigée. C'est la situation normale d'une rédaction qui travaille sérieusement, et le règlement ne fait ici que reprendre un principe ancien du droit de la presse : ce qui compte, c'est qui répond du contenu, pas quel outil a servi à le produire.

Si l'une des trois manque — publication automatisée sans relecture, absence de responsable identifiable — l'exemption tombe, et la divulgation devient obligatoire.

La question à vous poser franchement

Publiez-vous des textes que personne n'a réellement relus ?

Si oui, le problème dépasse la conformité réglementaire. Un texte non relu contient des erreurs, et sur un site qui prétend informer, ces erreurs coûtent bien plus cher que n'importe quelle amende : elles coûtent la crédibilité, qui est le seul actif d'un média.

Étape 6 — Vérifier ce que font vos fournisseurs

Une partie des obligations ne vous incombe pas, mais leur non-respect peut vous exposer.

Le marquage lisible par machine des contenus de synthèse pèse sur le fournisseur de l'outil, pas sur vous qui l'utilisez. Vous n'avez pas à inventer un filigrane.

Vous avez en revanche tout intérêt à savoir si vos outils le font. Un fournisseur négligent sur ce point l'est probablement aussi sur d'autres, et vous n'avez aucune envie de découvrir en pleine polémique que le générateur d'images que vous utilisez depuis deux ans n'inscrit aucune métadonnée.

Trois questions à poser à chaque éditeur d'outil, par écrit :

Vos sorties portent-elles un marquage lisible par machine conformément à l'article 50 du règlement (UE) 2024/1689 ? Sous quel format — métadonnées, filigrane, signature ? Où puis-je consulter votre documentation de conformité ?

Un fournisseur sérieux répond en quelques jours et dispose d'une page publique sur le sujet. Un fournisseur qui élude, ou qui répond par une formule marketing, vous renseigne aussi — sur autre chose.

Conservez les réponses. Elles ne constituent pas une garantie juridique, mais elles documentent votre diligence.

Étape 7 — Écrire, dater, planifier la relecture

Dernière étape, et la plus vite négligée : consignez.

Un document d'une page suffit. Il contient l'inventaire des usages d'IA, la conclusion retenue pour chacun — concerné ou non, et pourquoi —, l'action menée le cas échéant, et la date.

Ce document n'a pas vocation à impressionner une autorité. Il a une fonction bien plus prosaïque : permettre à la personne qui reprendra le sujet dans un an, peut-être quelqu'un d'autre que vous, de savoir ce qui a déjà été analysé et pourquoi telle conclusion a été retenue.

Fixez enfin une échéance de relecture. Deux fois par an convient à la plupart des structures, et systématiquement à chaque intégration d'un nouvel outil. C'est cette seconde règle qui compte vraiment : la conformité ne se dégrade presque jamais toute seule, elle se dégrade quand on branche quelque chose de nouveau sans y repenser.

Ce que cet audit ne couvre pas

Soyons clairs sur les limites de l'exercice.

Cette grille porte sur les obligations de transparence entrées en application le 2 août 2026. Le règlement comporte d'autres régimes, nettement plus exigeants.

Les pratiques interdites — notation sociale, exploitation de vulnérabilités, certaines formes de reconnaissance biométrique — relèvent d'un tout autre niveau de gravité et d'un tout autre niveau de sanction. Si votre activité s'en approche, cet audit ne suffit pas.

Les systèmes à haut risque — recrutement, éducation, accès aux services essentiels, infrastructures critiques, justice — imposent une analyse de conformité, une documentation technique, une gestion des risques et une surveillance après mise sur le marché. Si vous triez des candidatures avec un modèle, vous êtes vraisemblablement dans cette catégorie, et l'accompagnement d'un professionnel devient nécessaire.

Pour tous les autres — c'est-à-dire l'immense majorité des sites et des entreprises francophones — les sept étapes ci-dessus couvrent l'essentiel de ce qui est exigé aujourd'hui.

Les cinq erreurs que nous voyons partout

En parcourant les sites francophones depuis le 2 août, cinq travers reviennent avec une régularité frappante.

Placer la mention dans les conditions générales. C'est la solution que retiennent spontanément les équipes juridiques, et c'est exactement ce que le texte écarte. L'information doit être donnée au moment de l'interaction, à l'endroit de l'interaction. Personne ne lit les conditions générales avant d'ouvrir une fenêtre de chat, et le législateur le sait.

Confondre marquage technique et divulgation. Ce sont deux obligations distinctes, qui pèsent sur des acteurs distincts et poursuivent des buts distincts. Le marquage lisible par machine sert aux plateformes et aux outils de détection ; la divulgation sert aux humains. Inscrire une métadonnée dans un fichier image ne dispense pas de la légende, et réciproquement.

Croire que le RGPD couvre le sujet. Une conformité RGPD irréprochable ne vous met à l'abri de rien sur le terrain de l'AI Act. Les deux textes coexistent, avec des champs d'application, des logiques et des autorités qui ne se recouvrent que partiellement.

Traiter l'exemption éditoriale comme une case à cocher. Écrire « relu par la rédaction » au bas d'un texte que personne n'a lu ne constitue pas un contrôle humain. L'exemption repose sur une réalité vérifiable, pas sur une formule.

Faire l'audit une fois, puis l'oublier. C'est l'erreur la plus coûteuse à terme. Votre inventaire sera périmé le jour où quelqu'un branchera un nouvel outil sans y repenser — et ce jour arrive toujours plus vite qu'on ne l'imagine.

Questions fréquentes

Dois-je afficher un bandeau de consentement à cause de l'AI Act ?

Non. Le bandeau de consentement relève du RGPD et de la directive vie privée, et concerne les cookies et traceurs. L'AI Act n'impose aucun consentement pour les obligations de transparence : il impose une information, ce qui est très différent. Vous n'avez pas à demander l'autorisation d'utiliser une IA, vous devez signaler que vous en utilisez une.

Mon site est hébergé hors de l'Union européenne. Suis-je concerné ?

Probablement oui. Le règlement ne se déclenche pas sur le lieu d'établissement mais sur le lieu où la sortie du système est utilisée. Un déployeur établi hors de l'Union entre dans le champ dès lors que le résultat produit par son système est utilisé dans l'Union. Pour un site francophone lu depuis la France ou la Belgique, la question ne se pose guère.

Faut-il mentionner chaque article rédigé avec l'aide d'un modèle de langage ?

Pas si trois conditions sont réunies : le contenu a fait l'objet d'un contrôle humain effectif, une personne ou une entité identifiée assume la responsabilité éditoriale de la publication, et ce contrôle est réel — c'est-à-dire que quelqu'un a vérifié les faits et corrigé les erreurs. C'est la situation normale d'une rédaction. En revanche, une publication automatisée sans relecture ne bénéficie pas de cette exemption.

Qui contrôle, concrètement ?

Chaque État membre désigne une ou plusieurs autorités nationales compétentes, chargées de la surveillance du marché sur son territoire. Le Bureau européen de l'IA, rattaché à la Commission, dispose de prérogatives propres sur les fournisseurs de modèles à usage général. L'architecture est en place depuis le 2 août 2026.

Je suis une TPE de trois personnes. Est-ce vraiment pour moi ?

Les obligations s'appliquent quelle que soit la taille de la structure. En revanche, le règlement prévoit une règle de proportionnalité pour les PME et les jeunes pousses : le plafond de l'amende retenu est alors le plus faible des deux termes — montant fixe ou pourcentage du chiffre d'affaires — et non le plus élevé. L'ordre de grandeur du risque n'a donc rien à voir avec les millions d'euros brandis un peu partout. Ce qui ne dispense pas de la demi-journée d'audit, d'autant qu'elle est largement suffisante à cette échelle.

Que se passe-t-il si je découvre un manquement chez moi ?

Corrigez-le, datez la correction, et consignez-la. Les autorités disposent d'un pouvoir d'appréciation qui tient compte de la gravité, de la durée, du caractère intentionnel du manquement et de la coopération de l'entreprise. Une correction spontanée et documentée pèse différemment d'un manquement persistant constaté sur signalement.

Le texte va-t-il encore évoluer ?

Le déploiement du règlement n'est pas achevé : d'autres échéances concernent notamment les systèmes classés à haut risque. Par ailleurs, la Commission publie des lignes directrices qui précisent l'interprétation de certaines dispositions. Prévoyez de reprendre cette grille au moins deux fois par an.

Le récapitulatif

Étape	Ce que vous vérifiez	Temps
1	Inventaire complet des usages d'IA	1 h à 2 h
2	Élimination de ce qui est hors champ	20 min
3	Chatbot : mention avant le premier échange	30 min
4	Visuels et audio représentant du réel	30 min
5	Textes d'information : contrôle humain établi	30 min
6	Questions écrites aux fournisseurs	30 min
7	Document daté et échéance de relecture	20 min

Une demi-journée, une fois. Puis une heure, deux fois par an.

Rapporté à ce que coûte une reprise en urgence après un signalement — sans même parler de la sanction —, c'est probablement le meilleur rapport entre l'effort consenti et le risque écarté que vous rencontrerez cette année.

---

Note de méthode

Cet article s'appuie sur le texte du règlement (UE) 2024/1689 et sur les ressources officielles de la Commission européenne. Il présente l'état du droit au 7 août 2026.

Il constitue une aide à l'auto-évaluation, non un conseil juridique. Les qualifications proposées — notamment la distinction entre contenu représentant le réel et illustration décorative, ou l'appréciation du caractère « manifestement évident » d'une interaction automatisée — comportent une part d'interprétation que seule la pratique des autorités viendra préciser. Pour un cas particulier, et impérativement si votre activité relève des systèmes à haut risque, consultez un professionnel du droit.

Sources

• Règlement (UE) 2024/1689 — texte officiel sur EUR-Lex
• AI Act Service Desk de la Commission européenne — Article 50
• Article 99 — Sanctions