Chatbot site web et obligation AI Act : ce qu’impose l’article 50

Que demande l’article 50 de l’AI Act à un chatbot de site depuis le 2 août 2026 ?

Depuis le 2 août 2026, l’article 50 du règlement (UE) 2024/1689, appelé AI Act, s’applique. Son paragraphe 1 vise les fournisseurs de systèmes d’IA qui interagissent directement avec des personnes (agents conversationnels, agents d’IA, avatars) : ils doivent les concevoir pour que les personnes soient informées qu’elles interagissent avec une IA, sauf si c’est évident.

Le texte est un règlement de l’Union européenne (règlement (UE) 2024/1689). La Commission européenne a publié une FAQ sur ces obligations de transparence ; les critères, le moment et la forme de l’information décrits ici en proviennent.

Le texte demande de concevoir le système pour que la personne soit informée : vérifiez ce que voit le visiteur quand il ouvre la fenêtre de discussion, et non seulement le contrat signé avec l’éditeur de l’outil.

La parenthèse du texte cite les agents conversationnels, les agents d’IA et les avatars. Une bulle de discussion, un assistant de prise de rendez-vous ou un avatar animé peuvent relever de ces catégories s’ils remplissent les quatre critères cumulatifs de la Commission. Le texte nomme les fournisseurs ; faites établir par un juriste qui, de votre prestataire ou de vous, tient ce rôle.

Première action utile : dressez la liste de chaque endroit du site où un visiteur peut converser avec un outil automatisé (bulle de discussion, bouton de messagerie, assistant de réservation, avatar). Notez pour chacun le nom de l’éditeur, la date d’installation et la personne qui peut modifier les textes affichés. Cette liste sert de base à toutes les vérifications suivantes.

Votre assistant remplit-il les quatre critères cumulatifs ?

Les lignes directrices de la Commission retiennent quatre critères cumulatifs : un système d’IA, un échange dans les deux sens, une interaction directe sans intermédiaire humain, et une interaction avec des personnes physiques. Il faut les quatre réunis pour que l’outil corresponde à la situation décrite par l’article 50(1).

Vérifiez, avec un juriste, si une bulle de discussion qui répond seule aux visiteurs remplit les quatre critères. Les cas mixtes demandent plus d’attention : si un employé relit certaines réponses et laisse partir les autres sans relecture, faites trancher la question du troisième critère au lieu de le supposer absent.

Le premier critère est le plus difficile à vérifier seul, parce que deux outils peuvent avoir la même apparence à l’écran et fonctionner tout autrement. Posez par écrit deux questions à l’éditeur : quelle technologie produit les réponses, et une personne valide-t-elle chaque réponse avant son affichage. Gardez sa réponse. Si elle reste floue, ou si votre outil mélange réponses écrites à l’avance et réponses générées, soumettez le cas à un juriste avec cette réponse écrite.

Comment informer le visiteur dès le début de la première interaction

Selon la Commission européenne, l’information doit être donnée dès le début de la première interaction, de façon claire, reconnaissable et conforme aux exigences d’accessibilité. Sur un site, cela se traduit par une mention visible avant ou au moment où le visiteur échange son premier message avec l’outil.

1. Le bouton d’ouverture. Son libellé contient déjà l’information : « Assistant virtuel » ou « Assistant IA », plutôt qu’un prénom seul ou un « Discutons » qui ne dit rien de la nature de l’interlocuteur.
2. Le premier message de l’assistant. Il commence par une phrase simple, par exemple : « Assistant virtuel : les réponses de cette conversation sont produites par une intelligence artificielle. » Le visiteur la lit avant d’avoir tapé quoi que ce soit.
3. L’en-tête de la fenêtre. Un rappel reste affiché pendant toute la conversation, pour le visiteur qui a fermé puis rouvert la fenêtre ou qui revient sur une autre page.
4. Le chemin vers une personne. Indiquer comment joindre l’équipe complète l’information : le visiteur sait à qui il parle et comment parler à quelqu’un d’autre.

Deux erreurs sont à éviter. La première consiste à placer la phrase dans les mentions légales ou dans une page de conditions : le visiteur ne la voit pas au moment où il commence à écrire. La seconde est de donner à l’assistant un prénom et une photo sans rien ajouter ; un prénom ne dit pas qu’il s’agit d’une IA.

À titre d’illustration, l’assistant que Pixel-iA installe se présente comme assistant virtuel sur le bouton et dans la conversation. Sur pixel-ia.io, Mila est décrite comme l’assistante conversationnelle automatique du site, dont les réponses sont produites par un système d’intelligence artificielle et ne constituent ni un devis, ni un engagement contractuel. Cette dernière précision va au-delà de l’information sur l’IA, mais elle évite qu’un visiteur prenne une réponse pour une offre.

Faites le test vous-même : ouvrez votre site sur un téléphone, en navigation privée, et notez à quel moment exact vous apprenez que vous parlez à une IA.

L’exception « c’est évident » s’interprète de façon restrictive

L’article 50(1) dispense d’informer quand il est évident que l’on parle à une IA, mais la Commission européenne précise que cette exception s’interprète de façon restrictive. Pour une PME, la conséquence pratique est simple : dans le doute, on informe.

Ce qui paraît évident à l’entreprise qui a installé l’outil ne l’est pas forcément pour un visiteur pressé, âgé, qui découvre le site sur un petit écran ou qui utilise un lecteur d’écran. Les situations ci-dessous montrent où l’évidence se discute.

• Si votre assistant porte un prénom et une photo de personne, le visiteur peut croire qu’un employé lui répond. L’apparence pousse dans le sens contraire de l’évidence : ajoutez la mention.
• Si l’assistant répond dans la même messagerie que vos collaborateurs, le visiteur ne distingue pas les réponses automatiques des réponses humaines. Signalez clairement les messages produits par l’IA.
• Si le widget s’appelle « Conseiller » ou « Service client », ces mots désignent d’ordinaire une personne. Complétez-les par « assistant virtuel ».
• Si seule une icône de robot signale la nature de l’outil, une image n’est pas lue par tous les visiteurs et ne dit rien à un lecteur d’écran sans texte associé. Ajoutez une phrase.

Le rapport entre l’effort et le risque penche nettement d’un côté. Ajouter quelques mots au bouton et au premier message est une modification limitée ; soutenir après coup qu’une situation était évidente demande un raisonnement juridique dont l’issue n’est pas acquise, puisque l’exception est lue strictement.

Si vous tenez à vous appuyer sur l’exception pour un cas précis, par exemple un outil présenté partout comme un robot et sans aucun trait humain, faites valider ce choix par un juriste et conservez son avis écrit.

L’information doit être accessible : ce que cela change pour l’affichage

La mention IA doit être conforme aux exigences d’accessibilité : un visiteur malvoyant, qui navigue au clavier ou avec un lecteur d’écran, doit la recevoir comme les autres. Pour vérifier l’affichage, les WCAG 2.2 (Règles pour l’accessibilité des contenus web), recommandation du W3C dont la dernière version publiée est datée du 12 décembre 2024, offrent une grille de lecture.

Elles reposent sur quatre principes (perceptible, utilisable, compréhensible et robuste) et définissent trois niveaux de conformité, A, AA et AAA. Appliquées à la seule mention IA, elles donnent la check-list suivante.

• La mention est du texte réel, sélectionnable, et non une image ou une phrase incrustée dans une illustration.
• Le contraste entre le texte et le fond permet de la lire sans effort, y compris sur un téléphone en plein soleil.
• Le bouton d’ouverture s’atteint et s’active au clavier, et son nom lu par un lecteur d’écran contient les mots « assistant virtuel » ou « IA ».
• Le premier message de l’assistant est annoncé par un lecteur d’écran à l’ouverture de la fenêtre ; testez avec celui de votre téléphone.
• La formulation emploie des mots courants, sans sigle ni jargon.
• La mention reste lisible quand on agrandit le texte ou qu’on zoome sur la page.

Ces contrôles se demandent dès le cahier des charges, que vous travailliez avec un éditeur de widget ou avec un prestataire de création de sites sur mesure.

Ne pas confondre avec la loi belge sur l’accessibilité

En Belgique, une autre règle existe : la loi du 5 novembre 2023, entrée en vigueur le 28 juin 2025. Son nouveau titre du livre VIII du Code de droit économique s’applique à deux catégories de services fournis aux consommateurs, les services bancaires et les services de commerce électronique (article VIII.58). L’Inspection économique du SPF Economie contrôle le respect de ces exigences.

Prenons une boutique en ligne belge qui emploie moins de dix personnes et dont le chiffre d’affaires annuel n’excède pas 2 000 000 euros : c’est une micro-entreprise au sens de cette loi. L’article 40 l’exclut du champ de la loi jusqu’au 28 juin 2030, à l’exception de son article 5. Cette exclusion temporaire concerne la loi belge sur l’accessibilité ; elle ne dit rien de l’article 50 de l’AI Act. Pour la France, les règles nationales d’accessibilité sont à vérifier auprès d’un juriste.

Fournisseur ou déployeur : une qualification qui dépend du cas

Identifiez avec un juriste qui, du prestataire technique ou de votre entreprise, tient le rôle de « fournisseur » ou de « déployeur » au sens de l’AI Act : l’article 50 attache ses obligations à ces rôles.

L’article 50(1), vu plus haut, s’adresse aux fournisseurs. L’article 50(4) s’adresse aux déployeurs : ils doivent signaler clairement un texte généré ou manipulé par IA publié pour informer le public sur des questions d’intérêt public. Un texte qui a fait l’objet d’une relecture humaine ou d’un contrôle éditorial, sous la responsabilité éditoriale d’une personne, n’a pas à être signalé. Une simple correction orthographique ou grammaticale ne compte pas comme relecture humaine. Pour savoir si vos articles de blog sont concernés, demandez l’avis d’un juriste.

Faute de réponse générale, rassemblez les faits qui permettront à un juriste de qualifier votre situation. Posez ces questions par écrit à votre prestataire et gardez ses réponses.

1. Qui a conçu l’outil et qui le met à disposition sous son nom ?
2. Qui rédige et affiche la mention IA sur le bouton et dans le premier message ?
3. Qui peut modifier cette mention, et selon quelle procédure ?
4. Qui rédige ou valide le contenu dont l’assistant se sert pour répondre ?
5. Que prévoit le contrat sur la répartition des obligations liées à l’AI Act ?
6. En cas de mise à jour de l’outil, qui vérifie que la mention est toujours affichée ?

Un prestataire qui ne sait pas répondre à la deuxième ou à la troisième question vous laisse sans prise sur l’affichage de l’information, quel que soit le rôle qu’on vous attribuera ensuite. Si vous envisagez un assistant installé par l’atelier, ces questions peuvent être posées dès le premier message envoyé par le formulaire de contact de l’atelier ; les réponses écrites vous servent ensuite auprès de votre conseil juridique.

Le délai de grâce jusqu’au 2 décembre 2026 ne vise pas l’information du visiteur

Un délai de grâce court jusqu’au 2 décembre 2026, et il concerne seulement l’obligation de marquage lisible par machine de l’article 50(2), pour les seuls systèmes mis sur le marché avant le 2 août 2026. L’information du visiteur prévue à l’article 50(1) n’est pas visée par ce délai.

Le malentendu à éviter est de lire « délai de grâce jusqu’en décembre » comme un report de tout l’article 50. Un chatbot installé sur votre site avant l’été n’en bénéficie pas pour la mention destinée au visiteur.

Si votre inventaire du site fait apparaître un assistant sans mention IA, corrigez d’abord le bouton et le premier message, en demandant à l’éditeur de l’outil comment modifier ces textes. Pour l’obligation de marquage évoquée plus haut, qui relève d’un autre paragraphe de l’article 50, demandez à un juriste si elle concerne votre outil.

Concevoir un assistant qui ne collecte aucune donnée dans la conversation

Un assistant peut être conçu pour ne demander aucune donnée personnelle dans la conversation et pour renvoyer le visiteur vers le formulaire, WhatsApp ou le numéro de l’entreprise pour un devis ou un rendez-vous. Cette conception limite ce que l’outil traite ; elle ne remplace pas l’analyse RGPD propre à votre site.

La check-list ci-dessous reprend les choix de conception de l’assistant que Pixel-iA installe. Elle s’utilise pour évaluer n’importe quel outil, y compris celui que vous avez déjà.

• Aucune donnée personnelle demandée. L’assistant ne demande ni nom, ni téléphone, ni adresse. Pour un devis ou un rendez-vous, il renvoie vers le formulaire, WhatsApp ou le numéro de l’entreprise.
• Un dossier validé comme seule base de réponse. Il répond à partir d’un dossier validé par l’entreprise : prestations, conditions, horaires, zone, pages du site. Relisez ce dossier comme un document public.
• Un aveu d’ignorance prévu. Quand il ne sait pas, il le dit et indique comment joindre l’équipe, au lieu d’inventer une réponse.
• Un volume plafonné. Le nombre de messages est plafonné par visiteur et par heure, et par jour pour l’ensemble du site ; dès qu’il faut un humain, l’assistant le dit et donne le chemin.
• Pas de conservation au-delà de la session. Les conversations ne sont pas conservées par l’atelier au-delà de la session du visiteur.
• Le trajet des messages connu. Sur pixel-ia.io, les messages sont transmis, le temps de produire la réponse, à un prestataire de modèle de langage agissant comme sous-traitant ; ce traitement peut impliquer un transfert hors de l’Espace économique européen, encadré par le chapitre V du RGPD. Demandez la même description à votre fournisseur.

Un point échappe à toute conception : un visiteur peut taper de lui-même son numéro ou une information sur sa santé. Demandez à votre fournisseur ce qu’il advient alors du message, combien de temps il est gardé, et par qui il peut être lu.

Pour voir comment ces choix s’articulent dans un outil installé, la page consacrée à l’assistant conversationnel pour votre site les décrit. Avec un autre outil, exigez une réponse écrite sur chacune des six lignes de la liste.

Stockage de la conversation et cookies : les règles de l’APD et de la CNIL

Dès qu’un assistant stocke ou lit des informations dans le navigateur du visiteur, les règles nationales sur les cookies et traceurs entrent en jeu : celles de l’Autorité de protection des données (APD) en Belgique, celles de la CNIL en France. Ce sont deux régimes à vérifier séparément.

Belgique : la position de l’APD

Selon l’APD, on ne peut en principe placer ou lire un cookie sur l’appareil d’un internaute que s’il a d’abord été informé clairement de ce que fait ce cookie et pourquoi, puis y a consenti ; cela vaut pour les cookies et toutes les technologies similaires qui stockent ou lisent des informations sur l’appareil. Deux cas échappent au consentement, dont les cookies fonctionnels strictement nécessaires à un service expressément demandé (choix de la langue, préférences de cookies, panier d’achat, sécurité d’une application bancaire). Pour l’APD, un cookie à finalité analytique ne remplit en principe pas ces conditions.

France : la position de la CNIL

En France, l’article 82 de la loi Informatique et Libertés transpose les règles de la directive ePrivacy sur les traceurs. La CNIL demande que l’utilisateur puisse accepter ou refuser les cookies avec le même degré de simplicité, et que retirer son consentement soit aussi simple que le donner.

Un exemple et les questions à poser

Sur pixel-ia.io, le fil de la conversation vit dans le sessionStorage, le stockage de session du navigateur, et le site n’utilise aucun cookie publicitaire, aucun traceur marketing et aucun outil d’analyse d’audience. La qualification d’un tel stockage au regard de ces règles reste à apprécier pour chaque site, selon ce que le visiteur a demandé et ce que l’outil enregistre.

Avant d’installer un widget, ou pour celui que vous avez déjà, posez trois questions au fournisseur. Que stocke l’outil dans le navigateur (cookie, stockage local, stockage de session) et pour quelle durée ? Le widget charge-t-il un traceur ou un outil de mesure d’audience de son éditeur ? Ce stockage sert-il seulement à faire fonctionner la conversation demandée par le visiteur ? Ses réponses déterminent si votre bandeau de consentement doit mentionner l’assistant.