Qui signale les contenus d’IA, et quand

Beaucoup d’entreprises ont noté le 2 décembre dans leur agenda comme le jour où les contenus d’IA devront être signalés dans l’UE. Ce n’est qu’à moitié vrai. Cette date concerne les fabricants d’outils génératifs, et une seule obligation : marquer ce que produisent leurs systèmes pour que des machines puissent le détecter. L’entreprise qui publie un deepfake a sa propre obligation depuis le 2 août, et les mois supplémentaires ne s’appliquent pas à elle.

Voici qui porte quelle obligation, ce qui compte comme deepfake, où se situent les exceptions et pourquoi une entreprise suisse est concernée. Il s’agit d’un aperçu, pas d’un avis juridique.

Qui marque, qui signale

L’article 50 du règlement européen sur l’IA (AI Act) partage le travail en deux. Le fournisseur, c’est-à-dire l’entreprise qui développe un système génératif et le propose sous son propre nom, doit veiller à ce que ses sorties soient « marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA ». Le déployeur, l’entreprise qui utilise le système dans son travail, doit signaler un deepfake : il « indique que les contenus ont été générés ou manipulés par une IA ». Une entreprise qui construit son propre générateur sur la base d’un modèle et le met en service sous son propre nom peut aussi devenir fournisseur.

L’usage personnel et non professionnel échappe au règlement, mais une personne qui en tire régulièrement un revenu compte comme déployeur. Une entreprise reste le déployeur lorsque des sous-traitants ou des indépendants exploitent le système pour son compte et sous son contrôle.

L’Omnibus numérique sur l’IA, le règlement (UE) 2026/1744 publié le 24 juillet, a accordé plus de temps à un groupe. Les systèmes génératifs mis sur le marché avant le 2 août 2026 doivent remplir l’obligation de marquage de l’article 50, paragraphe 2, d’ici au 2 décembre 2026. Les systèmes lancés depuis doivent marquer leurs contenus dès le départ. La Commission précise que le délai de grâce s’applique « uniquement en ce qui concerne l’obligation de marquage et de détection » : rien n’a donc bougé pour le déployeur. Les contenus créés avant le 2 août n’ont pas besoin d’être signalés après coup.

Le marquage dans le fichier ne remplace pas le signalement. Selon les termes de la Commission, les déployeurs « ne peuvent pas simplement se fier au marquage lisible par machine intégré au contenu par le fournisseur ». Les personnes doivent en être informées de manière claire et reconnaissable, au plus tard lorsqu’elles voient ou entendent le contenu pour la première fois.

Ce qui compte comme deepfake

Le règlement définit un deepfake comme une image ou un contenu audio ou vidéo généré ou manipulé par l’IA, présentant une ressemblance avec des personnes, des objets, des lieux, des entités ou des événements existants, et qui « pourrait être perçu à tort par une personne comme authentique ou véridique ». La Commission y lit trois critères : une forte ressemblance, un sujet qui existe ou « peut vraisemblablement exister », et la capacité à induire en erreur. Une personne photoréaliste qui n’a jamais existé peut être concernée, tout comme une voix clonée, car l’audio est couvert au même titre que l’image et la vidéo.

Les lignes directrices définitives de la Commission, publiées le 20 juillet, ajoutent qu’un contenu peut échapper à la définition lorsque le public ne s’attend pas à ce qu’il soit authentique. Leurs exemples sont moins indulgents pour le marketing. Selon un résumé du cabinet d’avocats Faegre Drinker, des images générées qui font paraître des produits différents de ce qu’ils sont, des répliques numériques de personnes réelles et des acteurs rajeunis comptent tous comme des deepfakes à signaler. Un texte n’est jamais un deepfake. Il obéit à une règle propre.

Art, satire et textes relus

Lorsqu’un deepfake fait partie d’une « œuvre ou d’un programme manifestement artistique, créatif, satirique, fictionnel ou analogue », l’obligation se réduit à le signaler « d’une manière appropriée qui n’entrave pas l’affichage ou la jouissance de l’œuvre ». Le mot « manifestement » pèse lourd. Faegre Drinker comprend les lignes directrices définitives comme n’admettant le caractère créatif de la publicité que dans des circonstances étroites, la plupart des exemples publicitaires restant en dehors du régime allégé.

Pour les textes, l’obligation couvre les écrits publiés dans le but d’informer le public sur des questions d’intérêt public. La Commission cite la politique, la santé publique, la sécurité des consommateurs et toute évolution économique, financière, politique, scientifique ou culturelle susceptible de faire l’objet d’un débat public : la règle peut donc toucher le blog ou la newsletter d’une entreprise autant qu’une rédaction. Elle tombe si le texte a fait l’objet d’un examen humain ou d’un contrôle éditorial et si quelqu’un en assume la responsabilité éditoriale. La barre est réelle : la correction orthographique et grammaticale ne suffit pas, et quelqu’un doit assumer « la responsabilité juridique ultime » de la publication.

Pourquoi les entreprises suisses sont concernées

Le règlement s’étend au-delà de l’UE. Il s’applique aux fournisseurs et aux déployeurs établis dans des pays tiers « lorsque les sorties produites par le système d’IA sont utilisées dans l’Union ». Une entreprise suisse qui mène une campagne avec des visages générés pour des acheteurs en Allemagne, ou diffuse une vidéo avec une voix clonée pour des clients en France, devrait considérer l’obligation de signalement comme la sienne. Les autorités nationales de surveillance du marché la font respecter, et la Commission fixe les amendes pour manquement aux obligations de transparence jusqu’à 15 millions d’euros ou 3 pour cent du chiffre d’affaires mondial.

En Suisse, il n’existe pas encore de loi sur l’IA. Le Département fédéral de justice et police doit présenter un projet mis en consultation d’ici à la fin de 2026, la transparence figurant parmi ses thèmes. D’ici là, c’est la loi sur la protection des données (LPD) qui s’applique, et le Préposé fédéral à la protection des données et à la transparence (PFPDT) indique que l’utilisation de programmes qui manipulent des visages, des images ou des messages vocaux de personnes identifiables « doit en outre toujours être clairement signalée ».

Ce qu’il faut faire avant décembre

Dressez la liste des outils génératifs utilisés, y compris ceux que des collaborateurs ont trouvés eux-mêmes, et demandez par écrit à chaque fournisseur comment il marque ses sorties, et à partir de quand.

Vérifiez que votre propre chaîne de travail conserve ces marquages. Les exports, la compression et le montage peuvent supprimer les métadonnées. Le code de bonnes pratiques sur la transparence des contenus générés par IA, publié le 10 juin, demande aux fournisseurs de superposer leurs marquages, en général des métadonnées signées et un filigrane imperceptible, car aucune technique ne suffit à elle seule.

Décidez comment vous signalez. La Commission et le Comité IA ont confirmé que le code est un outil volontaire adéquat, et l’UE propose une série d’icônes à cet effet. Convenez de qui appose le signalement dans chaque canal, agences comprises.

Pour les textes, désignez le responsable éditorial qui valide les contenus portant sur des questions d’intérêt public. Conservez les prompts, les originaux et les décisions avec chaque contenu publié. Si une autorité pose la question, ce dossier est la réponse.

Où nous en sommes

Reel, déjà disponible, crée des images, des films et de la 3D avec l’IA, et une personne choisit chaque image et chaque séquence utilisée. Chacune se trouve dans une médiathèque, avec toutes ses versions et la recette qui l’a produite. Studio, en accès anticipé, réunit le marketing d’une entreprise en un seul endroit, où une personne approuve chaque modification avant sa mise en ligne et où chaque action est consignée dans un journal d’audit. Aucun des deux ne remplace le signalement. Tous deux permettent de savoir plus facilement où il doit figurer.