L’AI Act n’est pas une échéance future. Le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689) est en vigueur depuis le 1er août 2024 : les interdictions portant sur les pratiques inacceptables s’appliquent depuis le 2 février 2025, les obligations relatives aux modèles à usage général depuis le 2 août 2025 et, depuis le 2 août 2026, les obligations de transparence qui concernent directement tous ceux qui communiquent avec leurs clients.
S’agissant de la communication client face à l’AI Act, le piège le plus courant est une erreur de calendrier : de nombreuses équipes IT, Risk et Compliance ont reporté toute action à 2027, l’année des échéances liées au risque élevé, et ont négligé l’obligation de transparence, qui a pourtant touché en premier lieu la communication client. Cette obligation s’applique déjà, et les manquements aux obligations de transparence sont passibles d’amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel.
AI Act depuis le 2 août 2026 : ce qui s’applique déjà à la communication client
En juillet 2026, le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) a reporté les obligations relatives aux systèmes à haut risque. Les systèmes relevant de l’Annexe III, des systèmes à haut risque classés selon leur finalité d’usage, comme le credit scoring ou la sélection du personnel, sont désormais reportés au 2 décembre 2027. Pour les systèmes de l’Annexe I, c’est-à-dire l’IA intégrée comme composant de sécurité dans des produits déjà réglementés (dispositifs médicaux, machines), l’échéance est désormais fixée au 2 août 2028.
C’est un répit bienvenu, mais pas pour les équipes en charge de la communication client. L’Omnibus n’a pas reporté les obligations de transparence de l’article 50 : elles s’appliquent depuis le 2 août 2026. Les équipes qui ont planifié sur l’horizon 2027 sont déjà en retard.
Transparence sur les chatbots (art. 50) : ce qui s’applique depuis le 2 août 2026
Lorsqu’un client interagit avec un système d’IA, un chatbot, un assistant virtuel, une réponse générée, il doit en être informé, et les contenus générés ou manipulés par l’IA doivent être signalés comme tels. L’obligation de transparence de l’article 50 est donc la première exigence de l’AI Act à s’appliquer à chaque point de contact avec le client. Pour les systèmes d’IA générative déjà présents sur le marché avant cette date, l’obligation de marquage lisible par machine (filigrane ou watermarking) s’applique à partir du 2 décembre 2026 : c’est la prochaine échéance à anticiper.
AI Act et secteurs réglementés : le modèle fondé sur le risque pour la communication
Le modèle fondé sur le risque de l’AI Act classe les systèmes selon leur niveau de risque. Le même principe devrait s’appliquer à la communication client. Une facture, un document d’assurance ou une communication relative à un crédit présentent un profil de risque juridique et financier différent d’une campagne d’onboarding ou d’une newsletter. Imposer une règle unique à toutes les communications reviendrait à ralentir les flux sans enjeu tout en laissant les flux critiques sans protection.
La distinction opérationnelle doit être nette :
- Communications à haut risque (informations financières, polices d’assurance, décisions d’investissement, facturation réglementée, notifications officielles) : l’IA travaille au sein de modèles structurés, sous supervision humaine, avec traçabilité et auditabilité. Elle optimise, valide et migre les contenus, mais ne les rédige pas de façon autonome.
- Communications à faible risque (onboarding, contenus informatifs, marketing, parcours interactifs) : l’IA peut ici renforcer la créativité, la personnalisation en temps réel et l’orchestration, tout en garantissant la transparence et la protection des données.
L’avantage est concret : l’entreprise accélère là où l’exposition est faible et garde le contrôle là où elle est élevée, sans bloquer l’ensemble de la feuille de route dans l’attente d’une politique unique valable pour tout.
AI Act pour les banques et les assurances : mêmes flux, risques différents
Dans les secteurs de la finance et de l’assurance, des dizaines de flux documentaires aux profils très différents coexistent : un devis d’assurance, un relevé de compte et une communication promotionnelle exigent des niveaux de contrôle distincts. Grâce à la classification par risque, l’entreprise adopte l’IA sans interrompre son activité : elle l’active sur les parcours à faible risque et la maintient sous contrôle strict pour la facturation et les documents réglementés.
Shadow AI : les risques pour les entreprises des secteurs réglementés
Le risque le plus sous-estimé ne concerne pas les plateformes d’IA officiellement adoptées par l’entreprise. Il vient des outils d’IA générative non approuvés que les collaborateurs utilisent pour aller plus vite dans leur travail. Un collaborateur qui copie les données d’un client dans un chatbot public pour reformuler une communication expose des informations sensibles en dehors du périmètre de l’entreprise, sans base juridique ni traçabilité.
Dans un secteur réglementé, l’utilisation d’un outil non approuvé crée trois risques simultanés : une violation potentielle du RGPD sur les données traitées, une perte de contrôle sur les transferts transfrontaliers et l’absence totale de piste d’audit. Par ailleurs, plus les processus officiels sont lents, plus le Shadow AI se développe.
Pourtant, une chose est certaine : une interdiction sans alternative encourage un usage « clandestin ». La solution consiste à proposer un outil approuvé plus simple et plus efficace que celui utilisé en catimini.
Human-in-the-loop et conformité : une exigence, pas un frein
Dans les communications à haut risque, la supervision humaine n’est pas une contrainte qui alourdit le processus : c’est la condition qui rend le contenu produit par l’IA « défendable ». L’AI Act l’exige d’ailleurs explicitement pour les systèmes à haut risque. Lorsqu’une communication a des implications juridiques ou financières, la révision humaine fait la différence entre un processus vérifiable a posteriori et un processus impossible à justifier devant une autorité ou un client.
Concrètement, cela signifie intégrer des points de validation tout au long du flux de travail, pendant que la communication prend forme, plutôt que d’effectuer un contrôle formel à la fin. Qui a généré ce contenu ? Quand ? Avec quel modèle ? Qui l’a validé ? Sans réponse à ces questions, il n’y a pas de conformité, aussi bonne que soit la communication elle-même.
AI Act et obligations des entreprises : la gouvernance, c’est de l’architecture
Le message adressé aux DSI, RSSI et responsables Compliance est simple : la gouvernance de l’IA fait partie de l’architecture numérique de l’organisation, au même titre que la sécurité et la continuité d’activité. Les entreprises qui classent leurs communications par niveau de risque, intègrent des contrôles dans leurs processus et déploient l’IA de manière sélective peuvent démontrer leur conformité dès aujourd’hui et sont prêtes pour les prochaines échéances (2 décembre 2026 pour le marquage, 2 décembre 2027 pour les systèmes à haut risque).
La première étape consiste à réaliser une cartographie : déterminer dans quelles communications l’IA est déjà utilisée, ou le sera, avec quel profil de risque et quels contrôles sont déjà en place. Si ce n’est pas encore fait, c’est le moment de commencer : l’obligation de transparence s’applique déjà.
Vous voulez savoir quelles communications relèvent déjà du périmètre de l’AI Act ?
Le point de départ est une cartographie par niveau de risque de vos flux de communication. Lisez notre executive brief La communication client à l’ère du règlement sur l’IA : de la conformité à l’avantage concurrentiel et prenez rendez-vous avec l’équipe Doxee pour une évaluation concrète de vos cas d’usage.
FAQ
Depuis quand l’AI Act s’applique-t-il ?
Le règlement (UE) 2024/1689 est en vigueur depuis le 1er août 2024. Les interdictions s’appliquent depuis le 2 février 2025, les obligations relatives aux modèles à usage général depuis le 2 août 2025 et les obligations de transparence depuis le 2 août 2026. Après le Digital Omnibus (règlement (UE) 2026/1744), l’obligation de marquage pour les systèmes déjà sur le marché s’applique à partir du 2 décembre 2026, les règles relatives au risque élevé à partir du 2 décembre 2027 (Annexe III) et du 2 août 2028 (Annexe I).
Qu’est-ce qui a changé pour les entreprises depuis le 2 août 2026 ?
Depuis le 2 août 2026, les obligations de transparence de l’article 50 s’appliquent, et la Commission peut sanctionner les fournisseurs de modèles d’IA à usage général. Les entreprises doivent informer l’utilisateur lorsqu’il interagit avec un système d’IA et signaler les contenus générés par l’IA dans les cas prévus par le règlement. C’est le premier seuil qui touche directement la communication client.
L’AI Act s’applique-t-il à la communication avec les clients ?
Oui. Toute communication produite, personnalisée ou gérée par l’IA relève du périmètre de l’AI Act : des obligations de transparence sur les contenus générés par l’IA, y compris les contenus à haut risque comme la facturation réglementée ou les documents financiers, jusqu’aux exigences de supervision humaine, de traçabilité et d’auditabilité du système utilisé.
Qu’est-ce que le Shadow AI, et pourquoi représente-t-il un risque ?
Il s’agit de l’utilisation, par les collaborateurs, d’outils d’IA générative non approuvés par l’entreprise. Dans les contextes réglementés, le Shadow AI risque d’exposer des données sensibles sans base juridique ni piste d’audit, avec des risques liés au RGPD et aux transferts transfrontaliers. Il se développe d’autant plus que les processus officiels sont lents.
Que signifie human-in-the-loop dans le cadre de l’AI Act ?
Cela désigne la présence d’un contrôle humain effectif sur les résultats produits par les systèmes d’IA. L’AI Act l’exige pour les cas à haut risque. Dans les communications ayant un impact juridique ou financier, des points de validation intégrés au flux rendent le processus traçable et défendable, plutôt qu’un simple contrôle formel a posteriori.
Quelles sanctions l’AI Act prévoit-il ?
Les infractions les plus graves, liées aux pratiques interdites, sont passibles d’amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel. Pour la plupart des autres obligations, le plafond est ramené à 15 millions d’euros ou 3 % du chiffre d’affaires. C’est le montant le plus élevé des deux qui s’applique.
