Que dire aux clients sur les mentions de l’article 50 de l’EU AI Act
La page de la Commission sur l’article 50 fixe les devoirs des fournisseurs et des déployeurs pour les avis d’interaction, le marquage lisible par machine et la divulgation des deep fakes (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). Une alerte d’un cabinet dit que ces devoirs sont devenus applicables le 2 August 2026 et n’ont pas été reportés avec les règles à haut risque (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). Information générale, pas un conseil juridique.
Cet article a été traduit par une machine.
2026-10-08. Ceci est une information générale pour les consultants, pas un conseil juridique. Demandez à un conseil de lire le règlement avant qu’un client s’y fie. Deux pages publiques sont utilisées. La page de la European Commission sur l’article 50 est https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50 . L’alerte du cabinet est https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force . L’alerte dit qu’elle ne constitue pas un conseil juridique. Les dates, le numéro du règlement et le chiffre de l’amende qui n’apparaissent que dans l’alerte sont le récit de ce cabinet. Le texte officiel d’EUR-Lex n’a pas été retrouvé dans cette vérification.
La page de la Commission dit que le texte qui y est affiché repose sur la version consolidée EUR-Lex de l’AI Act au 27 July 2026. Elle dit que, lorsqu’ils sont montrés, “NEW” et “AMENDED” identifient les ajouts ou modifications faits par le Digital Omnibus on AI. Elle dit que les résumés “are not legal binding.” La page n’indique pas la date à laquelle l’article 50 est devenu applicable. Cette date figure seulement dans la section du cabinet, plus bas.
## Les fournisseurs et les déployeurs ne sont pas le même devoir
La page attribue certains devoirs aux fournisseurs et certains aux déployeurs. Les passages utilisés ici ne définissent pas ces mots. L’intitulé de poste d’un client ne décide pas du rôle. Un conseil devrait lire les définitions propres du règlement avant que l’on dise à quiconque quel paragraphe s’applique.
## Ce que la page de la Commission dit que les fournisseurs doivent faire
Paragraph 1. Les fournisseurs veillent à ce que les systèmes d’IA destinés à interagir directement avec des personnes physiques soient conçus et développés de façon que les personnes concernées soient informées qu’elles interagissent avec un système d’IA, sauf si cela est évident du point de vue d’une personne physique raisonnablement informée, attentive et avisée, compte tenu des circonstances et du contexte d’utilisation. La page dit que cette obligation ne s’applique pas aux systèmes d’IA autorisés par la loi à détecter, prévenir, enquêter sur des infractions pénales ou en poursuivre les auteurs, sous réserve de garanties appropriées pour les droits et libertés des tiers, sauf si ces systèmes sont à la disposition du public pour signaler une infraction pénale.
Paragraph 2. Les fournisseurs de systèmes d’IA, y compris les systèmes d’IA à usage général, qui génèrent un contenu synthétique audio, image, vidéo ou texte, veillent à ce que les sorties soient marquées dans un format lisible par machine et détectables comme générées ou manipulées artificiellement. La page dit que les solutions techniques doivent être efficaces, interopérables, robustes et fiables dans la mesure où cela est techniquement réalisable, en tenant compte des spécificités et des limites des types de contenu, des coûts de mise en œuvre et de l’état de l’art généralement reconnu, tel qu’il peut être reflété dans des normes techniques pertinentes. Elle dit que cette obligation ne s’applique pas dans la mesure où les systèmes assurent une fonction d’assistance à l’édition courante, ou ne modifient pas substantiellement les données d’entrée fournies par le déployeur ni leur sémantique, ou lorsqu’ils sont autorisés par la loi à détecter, prévenir, enquêter sur des infractions pénales ou en poursuivre les auteurs.
## Ce que la page de la Commission dit que les déployeurs doivent faire
Paragraph 3. Les déployeurs d’un système de reconnaissance des émotions ou d’un système de catégorisation biométrique informent les personnes physiques qui y sont exposées du fonctionnement du système, et traitent les données à caractère personnel conformément aux Regulations (EU) 2016/679 et (EU) 2018/1725 et à la Directive (EU) 2016/680, selon le cas. La page dit que cette obligation ne s’applique pas aux systèmes d’IA utilisés pour la catégorisation biométrique et la reconnaissance des émotions que la loi permet pour détecter, prévenir ou enquêter sur des infractions pénales, sous réserve de garanties appropriées pour les droits et libertés des tiers, et conformément au droit de l’Union.
Paragraph 4, image, audio ou vidéo. Les déployeurs d’un système d’IA qui génère ou manipule un contenu image, audio ou vidéo constituant un deep fake divulguent que le contenu a été généré ou manipulé artificiellement. La page emploie les mots “deep fake.” Cet article ne reformule pas une définition, parce que la définition n’était pas dans les passages utilisés ici. La page dit que cette obligation ne s’applique pas lorsque l’usage est autorisé par la loi pour détecter, prévenir, enquêter sur une infraction pénale ou en poursuivre l’auteur. Lorsque le contenu fait partie d’une œuvre ou d’un programme manifestement artistique, créatif, satirique, fictif ou analogue, la page limite cette obligation de transparence à la divulgation de l’existence d’un tel contenu généré ou manipulé d’une manière appropriée qui n’entrave pas l’affichage ou la jouissance de l’œuvre.
Paragraph 4, texte. Les déployeurs d’un système d’IA qui génère ou manipule un texte publié dans le but d’informer le public sur des questions d’intérêt public divulguent que le texte a été généré ou manipulé artificiellement. La page dit que cette obligation ne s’applique pas lorsque l’usage est autorisé par la loi pour détecter, prévenir, enquêter sur des infractions pénales ou en poursuivre les auteurs, ou lorsque le contenu généré par IA a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu.
Paragraphs 5 to 7. Les informations des paragraphes 1 à 4 sont fournies aux personnes physiques concernées de manière claire et distinguable au plus tard au moment de la première interaction ou exposition, et elles sont conformes aux exigences d’accessibilité applicables. Les paragraphes 1 à 4 n’affectent pas les exigences et obligations du Chapter III, et sont sans préjudice des autres obligations de transparence prévues par le droit de l’Union ou le droit national pour les déployeurs de systèmes d’IA. Le Paragraph 7 est marqué AMENDED. La Commission encourage et facilite des codes de pratique au niveau de l’Union pour la détection, le marquage et l’étiquetage des contenus générés ou manipulés artificiellement. En tenant le plus grand compte de l’avis de the Board, la Commission évalue si le respect de ces codes est suffisant pour assurer la conformité aux paragraphes 2 et 4, conformément à la procédure de l’Article 56(6). Si elle juge un code insuffisant, elle peut adopter un acte d’exécution selon la procédure d’examen de l’Article 98(2). La page énumère les recitals 132, 133, 134, 136 and 137. Cet article ne cite pas ces recitals.
## La date, et la raison pour laquelle les dates du haut risque ont bougé, sont le récit du cabinet
Ce qui suit est le récit du cabinet, pas une lecture d’EUR-Lex. L’alerte dit que le 2 August 2026 les obligations de transparence et d’information au titre de l’article 50 sont devenues généralement applicables et opposables par les autorités nationales compétentes dans toute l’UE. Elle dit que les devoirs s’appliquent qu’un système soit ou non classé à haut risque, avec une exception étroite relative à l’étiquetage des systèmes génératifs déjà en place. La page de la Commission utilisée plus haut n’indique pas cette date.
L’alerte dit que le 2 August 2026 avait aussi été annoncé à l’origine comme la date des dispositions à haut risque, et que cela n’a pas eu lieu. Elle dit que l’AI Omnibus, qu’elle cite comme Regulation (EU) 2026/1744 et dont elle dit qu’il est entré en vigueur le 27 July 2026, a repoussé ces obligations. Le texte officiel de ce règlement n’a pas été retrouvé ici, donc le numéro du règlement et cette date d’entrée en vigueur sont des citations du cabinet. Le même jour calendaire, 27 July 2026, est aussi la date que la page de la Commission donne pour la version consolidée qu’elle affiche. Ce sont deux affirmations distinctes. L’alerte dit que les systèmes autonomes à haut risque de l’Annex III, y compris ceux utilisés dans l’emploi, l’éducation, l’application de la loi et les infrastructures critiques, s’appliqueront à partir du 2 December 2027. Elle dit que les systèmes d’IA intégrés dans des produits régis par la législation de l’UE sur la sécurité des produits (Annex I), tels que les dispositifs médicaux, les jouets et les ascenseurs, s’appliqueront à partir du 2 August 2028. Elle dit que les machines sont traitées différemment : les exigences de l’AI Act seront plutôt transposées dans le règlement relatif aux machines par un acte délégué attendu pour le 2 August 2028.
L’alerte dit que ces reports n’affectent pas les interdictions des pratiques d’IA inacceptables, les obligations relatives aux modèles d’IA à usage général, ni les obligations de transparence, dont elle dit qu’elles continuent de s’appliquer selon le calendrier existant. Elle dit que les fournisseurs de systèmes génératifs déjà sur le marché avant le 2 August 2026 ont jusqu’au 2 December 2026 pour se conformer à l’obligation de marquage au titre de l’AI Omnibus. Elle dit que la Commission a adopté des lignes directrices sur les obligations de transparence le 20 July 2026. Ces lignes directrices n’ont pas été retrouvées dans cette vérification.
L’alerte dit que le non-respect peut donner lieu à des amendes administratives allant jusqu’à €15 million ou 3% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, et elle cite l’Article 99(4). L’Article 99 n’a pas été retrouvé. Ne citez pas ce chiffre à un client comme un chiffre vérifié par rapport au règlement. La liste des contenus de la page de la Commission comprend une entrée intitulée “Article 99: Penalties”, et cette liste n’est pas le texte de la sanction.
Le résumé plus court de l’alerte dit que les fournisseurs et les déployeurs de systèmes générant de l’audio, de l’image, de la vidéo ou du texte synthétiques, y compris ce qu’elle appelle des deepfakes, doivent marquer les sorties dans un format lisible par machine et détectable, et que les déployeurs doivent aussi divulguer les deepfakes représentant des personnes, des lieux ou des événements réels. La page de la Commission place le devoir de marquage lisible par machine sur les fournisseurs, au paragraph 2, et le devoir de divulgation du deep fake sur les déployeurs, au paragraph 4. Le paragraph 4 de cette page n’emploie pas la phrase “real persons, places, or events.” Utilisez la page de la Commission pour savoir qui doit marquer et qui doit divulguer. Traitez le résumé plus court de l’alerte comme la compression du cabinet, pas comme le texte de l’article.
## Un fichier qu’un client dit être un deepfake
Conservez le fichier tel qu’il est arrivé. Notez l’heure, le canal, et si une divulgation ou une marque était visible au premier moment où la personne l’a vu. N’éditez pas le fichier pour ajouter une mention, retirer une mention ou changer une mention. Cet article ne décrit pas comment une mention est faite, comment un détecteur fonctionne, ni comment une mention peut être évitée.
L’absence de mention n’est pas la preuve que le contenu est authentique. Une mention présente n’est pas la preuve de qui a envoyé le fichier, et ce n’est pas un moyen de récupérer de l’argent. Cet article ne fixe pas de procédure de signalement. Le conseil nomme l’autorité, s’il y en a une. Rien ici ne promet qu’un enregistrement fera revenir une perte.
## Une liste de contrôle qui n’est pas un conseil juridique
- Lisez la page de la Commission sur l’article 50 avec un conseil, y compris les exceptions, avant de dire à un client quel devoir s’applique.
- Demandez si le client fournit un système avec lequel des personnes interagissent, fournit de l’audio, de l’image, de la vidéo ou du texte synthétiques, déploie un deep fake, déploie un texte d’intérêt public, ou déploie une reconnaissance des émotions ou une catégorisation biométrique. La page donne à ces situations des devoirs différents.
- Ne supposez pas une exception. Les exceptions de la page comprennent une interaction évidente pour la personne décrite au paragraph 1, une fonction d’assistance à l’édition courante, aucun changement substantiel de l’entrée du déployeur ou de sa sémantique, une œuvre manifestement artistique, créative, satirique, fictive ou analogue, un examen humain ou un contrôle éditorial avec responsabilité éditoriale, et une autorisation légale pour les infractions pénales.
- Tant qu’un conseil n’a pas vérifié le texte officiel, traitez la date d’application du 2 August 2026, le report du haut risque, la fenêtre de marquage des systèmes déjà en place jusqu’au 2 December 2026, la date des lignes directrices du 20 July 2026, le Regulation (EU) 2026/1744 et le chiffre de l’amende comme le récit du cabinet.
- Si un client apporte un fichier qu’il croit synthétique, conservez-le, enregistrez quand et où il est arrivé, et enregistrez si une divulgation était visible. Ne le modifiez pas.
- Ne promettez pas qu’une mention, une mention absente ou une note enregistrée récupérera une perte.
D’autres notes pour ce public se trouvent sur le pôle consultants : https://blog.mithril.fund/for/consultants .
## Ce que Mithril fera et ne fera pas
La documentation publique décrit Your records (あなたの記録) comme l’endroit qui s’ouvre après la connexion, où une personne choisit une catégorie, écrit ce qui s’est passé et ajoute des notes : https://docs.mithril.fund/app-guide . Ce guide dit que les écrans après connexion n’ont pas été enregistrés, donc cet article ne décrit pas la disposition. Cet article appelle Live ce chemin d’enregistrement après connexion seulement au sens où les indications publiques le présentent comme ce qui s’ouvre après la connexion. Les DAST et SAST hébergés sont Planned. La page des services de sécurité dit qu’ils sont gated, pas encore disponibles en tant que service hébergé, et qu’il s’agit de planned work : https://docs.mithril.fund/reference/security-services . Mithril n’enquête pas sur un fichier, ne nomme pas un expéditeur, ne récupère pas d’argent et ne donne pas de conseil juridique. Aucun autre état de produit n’est indiqué ici.