AI Act et service client ce que le règlement IA impose vraiment à un agent conversationnel

I

Un règlement fondé sur le risque, et un agent de relation client au milieu de l’échelle

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024¹. La Commission en présente l’approche selon quatre niveaux de risque : pratiques interdites, systèmes à haut risque, systèmes soumis à des obligations de transparence, et le reste, sans obligation spécifique³⁵.

Un agent IA qui répond aux questions, suit une commande ou prend un rendez-vous relève en règle générale du troisième niveau. Les lignes directrices de la Commission sur l’article 50 citent explicitement les agents conversationnels de support client, de gestion des réclamations et d’e-commerce, ainsi que les assistants vocaux⁵. L’agent n’est ni interdit ni à haut risque par nature, mais il doit se signaler comme IA.

Les cas qui font basculer un agent dans le haut risque

La qualification dépend de la finalité, pas de la technologie. Le point 5 de l’annexe III, consacré à l’accès aux services essentiels, touche directement la relation client¹ :

Un agent qui se borne à expliquer une offre de crédit ne produit, a priori, ni la décision ni le score. L’article 6, paragraphe 3, écarte la qualification de haut risque lorsque le système ne présente pas de risque important de préjudice, y compris parce qu’il n’a pas d’incidence significative sur le résultat de la décision, par exemple s’il accomplit une tâche procédurale étroite ou une tâche préparatoire. Cette dérogation ne joue jamais en cas de profilage de personnes physiques¹.

Les agents vocaux appellent une vigilance particulière. Un système de reconnaissance des émotions reconnaît ou déduit des émotions ou des intentions à partir de données biométriques (article 3, point 39)¹, et les lignes directrices de la Commission citent la voix parmi ces données⁷. Un agent qui déduit l’état émotionnel d’un appelant à partir de sa voix relève donc vraisemblablement de l’annexe III, point 1 c), et son déployeur doit en informer les personnes exposées (article 50, paragraphe 3)¹.

II

L’article 50 : se présenter comme une IA, dès le premier échange

L’article 50, paragraphe 1, impose aux fournisseurs de concevoir les systèmes qui interagissent directement avec des personnes de façon à ce qu’elles sachent qu’elles interagissent avec une IA. Selon le paragraphe 5, l’information est fournie de manière claire et reconnaissable, au plus tard au moment de la première interaction, et respecte les exigences d’accessibilité¹. Ces obligations s’appliquent depuis le 2 août 2026⁵.

Ce que disent les lignes directrices de la Commission

La Commission a approuvé le contenu de ses lignes directrices le 20 juillet 2026 (C(2026) 5054), en annonçant leur adoption formelle une fois toutes les versions linguistiques disponibles⁵. Non contraignantes, elles donnent des repères concrets :

• La forme. Un message d’accueil qui mentionne l’IA, un bandeau en langage clair, un badge persistant près du champ de saisie, ou, au téléphone, une phrase prononcée en début d’appel. Un signal sonore seul ne suffit pas⁵.
• Ce qui ne suffit pas. Une mention placée uniquement dans les conditions générales, un marquage lisible seulement par une machine, le terme générique « assistant », une mention globale du type « les services de ce site utilisent l’IA » ou une référence purement technique aux modèles de langage⁵.
• La fréquence. Une notification unique et visible avant la première interaction suffit le plus souvent. Des rappels sont attendus dans les contextes plus sensibles : conseil financier, assurance, santé, traitement des réclamations, publics vulnérables⁵.
• Les agents qui agissent. Un agent qui réserve, achète ou gère une correspondance doit indiquer sa nature artificielle et la personne pour le compte de laquelle il agit⁵.

L’exception de l’interaction « évidente » s’interprète strictement : les agents intégrés à des outils d’assistance (helpdesks) figurent parmi les exemples où elle ne s’applique pas⁵. Sont en revanche hors champ les réponses automatiques fondées sur des règles, et l’outil qui aide un conseiller humain à rédiger, tant que le conseiller reste l’interlocuteur⁵.

Marquage des contenus générés

L’article 50, paragraphe 2, impose aux fournisseurs de systèmes générant son, image, vidéo ou texte un marquage lisible par machine¹. Il peut viser les contenus d’un agent IA perçus par une personne, pas ses étapes intermédiaires de raisonnement⁵. Pour les systèmes génératifs mis sur le marché avant le 2 août 2026, l’omnibus IA accorde un délai jusqu’au 2 décembre 2026, limité au marquage : l’information de l’utilisateur n’est pas reportée²⁵.

Un code de bonnes pratiques volontaire, publié en juin 2026, couvre les paragraphes 2 et 4⁶. Le paragraphe 4 oblige le déployeur à signaler les hypertrucages, c’est-à-dire les images et contenus audio ou vidéo générés ou manipulés par l’IA qui ressemblent à des personnes, objets, lieux, entités ou événements existants et pourraient être perçus à tort comme authentiques (article 3, point 60)¹. Certains contenus marketing peuvent être concernés.

III

Article 5 : où s’arrête la persuasion commerciale

Les pratiques interdites s’appliquent depuis le 2 février 2025. Deux concernent un agent qui conseille et vend. L’article 5, paragraphe 1, point a), interdit les techniques subliminales, délibérément manipulatrices ou trompeuses qui altèrent substantiellement le comportement d’une personne et lui causent, ou risquent de lui causer, un préjudice important. Le point b) interdit, dans les mêmes conditions, l’exploitation des vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique spécifique¹.

Le considérant 29 précise que les pratiques commerciales légitimes, comme la publicité conforme au droit, ne sont pas en elles-mêmes manipulatrices¹. Les lignes directrices de la Commission sur les pratiques interdites (C(2025) 5052) distinguent la « persuasion licite », qui opère dans la transparence, avec des informations exactes et dans le respect du choix, de la manipulation, qui repose sur des techniques cachées exploitant des biais⁷. Leurs exemples sont parlants : des recommandations personnalisées fondées sur des algorithmes transparents relèvent de la persuasion ; inférer en secret les émotions des consommateurs pour proposer des prix plus élevés au moment où ils sont enclins à acheter relève de la manipulation⁷. La différence tient aux méthodes employées et à leurs conséquences pour la personne, non au fait de chercher à vendre.

L’omnibus IA ajoute une interdiction applicable au 2 décembre 2026, visant les systèmes qui génèrent des contenus sexuels ou intimes non consentis et des contenus pédocriminels (article 5, paragraphe 1, points b bis et b ter)²³. Elle ne concerne pas un usage normal en relation client.

IV

Fournisseur ou déployeur : qui porte quelle obligation

Le fournisseur développe un système et le met sur le marché ou en service sous son nom ou sa marque (article 3, point 3). Le déployeur l’utilise sous son autorité, à titre professionnel (article 3, point 4)¹. Pour un agent à risque limité :

• Le fournisseur conçoit l’information de l’article 50(1) et le marquage de l’article 50(2). Les lignes directrices indiquent qu’il doit garantir cette transparence quels que soient les déployeurs⁵.
• Le déployeur porte les obligations de l’article 50(3), si le système reconnaît des émotions, et de l’article 50(4), pour les hypertrucages et certains textes d’intérêt public¹⁵.
• Les deux sont soumis à l’obligation de maîtrise de l’IA de l’article 4⁵.

La qualification dépend des faits : une entreprise qui développe un agent en interne, ou modifie un système existant, et le met en service sous son nom est fournisseur⁵. Pour le haut risque, l’article 25 fait aussi d’un déployeur un fournisseur, notamment s’il commercialise le système sous son nom ou sa marque, le modifie substantiellement ou en change la destination¹.

Si l’agent est à haut risque, l’article 26 impose au déployeur une utilisation conforme à la notice, un contrôle humain compétent, une surveillance du fonctionnement, la conservation des journaux au moins six mois et l’information des personnes concernées par une décision. L’article 27 ajoute une analyse d’impact sur les droits fondamentaux, notamment pour le crédit et l’assurance vie ou santé¹. Ces règles s’appliqueront au 2 décembre 2027³.

V

Article 4 : la maîtrise de l’IA, une obligation d’organisation

L’article 4 s’applique depuis le 2 février 2025. Sa version initiale demandait aux fournisseurs et déployeurs d’assurer, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA chez leur personnel¹. L’omnibus IA a simplifié cette obligation et renforcé le rôle de la Commission et des États membres⁴. Le texte modifié demande de prendre des mesures pour favoriser le développement de cette maîtrise, sans obligation de garantir un niveau donné pour chaque personne². Concrètement, les équipes qui paramètrent l’agent, lisent ses conversations et reprennent la main doivent comprendre ce qu’il fait et ses limites.

VI

Modèles d’IA à usage général : ce qui reste chez le fournisseur du modèle

La plupart des agents reposent sur un modèle d’IA à usage général. Les obligations de ces modèles (articles 53 et suivants) s’appliquent depuis le 2 août 2025 et pèsent sur leur fournisseur : documentation technique, informations aux fournisseurs en aval, politique de droit d’auteur, résumé des données d’entraînement¹³. Un code de bonnes pratiques a été publié le 10 juillet 2025⁹. Les modèles mis sur le marché avant le 2 août 2025 ont jusqu’au 2 août 2027¹.

Affiner un modèle ne fait pas automatiquement de vous son fournisseur. Les lignes directrices C(2025) 7719 retiennent un critère indicatif : le modificateur en aval en devient le fournisseur lorsque la puissance de calcul utilisée pour la modification dépasse le tiers de celle utilisée pour l’entraînement du modèle original⁸. L’agent construit sur le modèle reste soumis à l’article 50⁵.

VII

Le calendrier, après l’omnibus IA

Proposé par la Commission le 19 novembre 2025, l’omnibus IA a fait l’objet d’un accord politique le 7 mai 2026 et est entré en vigueur le 27 juillet 2026³⁴. C’est le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026². Le report du haut risque est donc adopté, et non plus seulement proposé.

Le « Digital Omnibus » proposé le même jour, qui vise notamment à modifier le RGPD, est un texte distinct. Selon l’Observatoire législatif du Parlement européen, il attend toujours la décision des commissions parlementaires¹⁰ : ses propositions ne sont pas du droit applicable.

VIII

Sanctions : trois paliers

L’article 99 fixe des plafonds d’amendes administratives¹ :

• jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites de l’article 5 ;
• jusqu’à 15 millions d’euros ou 3 % pour les autres manquements listés, dont les obligations du déployeur (art. 26) et la transparence (art. 50) ;
• jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes aux autorités.

Le montant le plus élevé s’applique, sauf pour les PME et jeunes pousses, pour lesquelles c’est le plus faible¹. L’omnibus IA étend ce plafonnement réduit aux petites entreprises à moyenne capitalisation pour les deux derniers paliers (article 99, paragraphe 6 bis)².

IX

RGPD et droit de la consommation : les textes qui continuent de s’appliquer

Le règlement IA ne remplace pas le RGPD. Selon la CNIL, le déployeur est le plus souvent responsable de traitement lors de l’utilisation, et l’analyse d’impact relative à la protection des données sera présumée requise de la part du fournisseur et du déployeur de systèmes à haut risque¹¹.

L’article 22 du RGPD protège contre les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, qui produisent des effets juridiques ou affectent la personne de manière significative. Les exceptions sont le contrat, la loi ou le consentement explicite ; dans le cas du contrat ou du consentement, la personne garde le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision¹². Dans l’arrêt SCHUFA du 7 décembre 2023 (C-634/21), la Cour de justice a jugé que l’établissement automatisé d’un score de crédit relève de l’article 22 lorsqu’il joue un rôle déterminant dans la décision d’un tiers¹³. Un agent qui refuse seul un paiement fractionné doit être examiné sous cet angle, indépendamment du règlement IA.

Le droit de la consommation s’ajoute : les lignes directrices rappellent que les directives 2005/29/CE (pratiques commerciales déloyales) et 2011/83/UE (droits des consommateurs) s’appliquent en parallèle⁵. Pour les contrats de services financiers conclus à distance, la directive (UE) 2023/2673, dont les règles nationales de transposition s’appliquent depuis le 19 juin 2026, donne au consommateur le droit de demander et d’obtenir une intervention humaine lorsque le professionnel utilise des outils en ligne, comme des agents conversationnels¹⁴.

X

Ce que cela implique pour votre organisation

Pour un déployeur, la conformité tient en dix vérifications, dans l’ordre où elles se posent.

1. Cartographier les usages. Listez ce que fait chaque agent (informer, vendre, réserver, rembourser, décider). Signalez tout usage proche de l’annexe III, point 5, et toute analyse de la voix ou du visage.
2. Qualifier votre rôle. Déployeur ou fournisseur, notamment si l’agent est développé en interne ou mis en service sous votre marque.
3. Contrôler l’information de l’article 50. Mention d’IA au premier message et en début d’appel, lisible, accessible, sur chaque canal. Rappels dans les parcours sensibles.
4. Vérifier les limites commerciales. Relisez les règles de l’agent au regard de l’article 5 : informations exactes sur les prix et conditions, aucune exploitation de la fragilité d’un client.
5. Organiser le relais humain. Un passage vers un conseiller pour toute décision qui affecte significativement le client et pour les services financiers à distance.
6. Former les équipes. Documentez les actions menées au titre de l’article 4.
7. Signaler les contenus générés. Identifiez les visuels, sons et vidéos produits par IA qui constituent des hypertrucages au sens de l’article 50(4).
8. Demander au fournisseur. Ses engagements sur l’article 50(1) et (2), le modèle utilisé, la localisation des traitements.
9. Aligner avec le RGPD. Registre des traitements et, si nécessaire, analyse d’impact.
10. Préparer décembre 2027. Si un usage relève du haut risque, anticipez les articles 26 et 27.

XI

Où se situe QLOA

XII

Questions fréquentes

Un agent IA de service client est-il à haut risque selon l’AI Act ?

En règle générale, non. Un agent qui informe, suit des commandes ou prend des rendez-vous relève des obligations de transparence de l’article 50. Il devient à haut risque si sa finalité figure à l’annexe III, par exemple l’évaluation de la solvabilité ou la tarification en assurance vie et santé, sauf dérogation de l’article 6(3). Les règles du haut risque s’appliquent à partir du 2 décembre 2027.

Faut-il dire au client qu’il parle à une IA ?

Oui, depuis le 2 août 2026. L’article 50(1) impose que la personne soit informée qu’elle interagit avec une IA, de façon claire et au plus tard lors de la première interaction. Selon les lignes directrices de la Commission, une mention dans les seules conditions générales ou le simple mot « assistant » ne suffit pas ; au téléphone, elles recommandent une mention orale en début d’appel.

L’omnibus IA a-t-il reporté l’article 50 ?

Non. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, reporte les obligations à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Pour l’article 50, il n’accorde qu’un délai au 2 décembre 2026 pour le marquage des contenus par les systèmes génératifs déjà sur le marché. L’information de l’utilisateur s’applique depuis le 2 août 2026.

Quelle amende en cas de non-respect de l’obligation de transparence IA ?

L’article 99 du règlement IA prévoit jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour un manquement à l’article 50. Pour les PME et, depuis l’omnibus IA, les petites entreprises à moyenne capitalisation, c’est le montant le plus faible qui s’applique. Les pratiques interdites de l’article 5 sont sanctionnées jusqu’à 35 millions d’euros ou 7 %.

Un agent IA peut-il faire de la vente sans enfreindre l’article 5 ?

Oui. Le considérant 29 et les lignes directrices de la Commission distinguent la persuasion licite de la manipulation. Recommander des produits de façon transparente, à partir d’informations exactes et des préférences du client, est licite. Sont interdites les techniques cachées ou trompeuses, ou l’exploitation de vulnérabilités, qui altèrent la décision et causent un préjudice important.

Le RGPD s’applique-t-il en plus du règlement IA ?

Oui. La CNIL rappelle que le règlement IA ne remplace pas le RGPD et que le déployeur est le plus souvent responsable de traitement lors de l’utilisation. L’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé : la personne peut obtenir une intervention humaine, exprimer son point de vue et contester la décision.

XIII

Sources

1. 1

   Parlement européen et Conseil, « Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle », JO L du 12.7.2024. eur-lex.europa.eu

2. 2

   Parlement européen et Conseil, « Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle (train de mesures omnibus numérique sur l’IA) », JO L du 24.7.2026. eur-lex.europa.eu

3. 3

   Commission européenne, « AI Act », page Shaping Europe’s digital future, consultée le 23 octobre 2026. digital-strategy.ec.europa.eu

4. 4

   Commission européenne, « AI Omnibus enters into force », 27 juillet 2026. digital-strategy.ec.europa.eu

5. 5

   Commission européenne, « Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689 (the ‘AI Act’) », annexe à la communication C(2026) 5054 portant approbation de leur contenu, 20 juillet 2026. digital-strategy.ec.europa.eu

6. 6

   Commission européenne, « Signing the Code of Practice on Transparency of AI-generated Content », 2026. digital-strategy.ec.europa.eu

7. 7

   Commission européenne, « Lignes directrices de la Commission sur les pratiques interdites en matière d’intelligence artificielle au sens du règlement (UE) 2024/1689 (règlement sur l’IA) », C(2025) 5052, 29 juillet 2025. digital-strategy.ec.europa.eu

8. 8

   Commission européenne, « Lignes directrices de la Commission sur la portée des obligations incombant aux fournisseurs de modèles d’IA à usage général établies par le règlement (UE) 2024/1689 (règlement sur l’IA) », C(2025) 7719, 19 novembre 2025. digital-strategy.ec.europa.eu

9. 9

   Commission européenne, « General-Purpose AI Code of Practice now available », 10 juillet 2025. digital-strategy.ec.europa.eu

10. 10

    Parlement européen, Observatoire législatif, procédure 2025/0360(COD) « Simplification of the digital legislative framework – Digital Omnibus (Omnibus VII) », consultée le 23 octobre 2026. oeil.europarl.europa.eu

11. 11

    CNIL, « Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL », mise à jour le 17 août 2026. cnil.fr

12. 12

    Parlement européen et Conseil, « Règlement (UE) 2016/679 (RGPD) », article 22, JO L 119 du 4.5.2016. eur-lex.europa.eu

13. 13

    Cour de justice de l’Union européenne, arrêt du 7 décembre 2023, SCHUFA Holding (Scoring), C-634/21. curia.europa.eu

14. 14

    Parlement européen et Conseil, « Directive (UE) 2023/2673 du 22 novembre 2023 modifiant la directive 2011/83/UE en ce qui concerne les contrats de services financiers conclus à distance et abrogeant la directive 2002/65/CE », JO L du 28.11.2023. eur-lex.europa.eu