Deepfakes : le règlement européen sur l'IA impose l'étiquetage dès le 2 août

Les obligations de transparence du règlement européen sur l'intelligence artificielle entrent en application le 2 août 2026. À cette date, l'article 50 du règlement (UE) 2024/1689 imposera aux entreprises qui diffusent des contenus générés par IA de le signaler, et à celles qui exploitent des systèmes génératifs d'y intégrer un marquage lisible par machine. La Commission européenne a adopté le 20 juillet ses lignes directrices d'application, un document de 51 pages publié moins de deux semaines avant l'échéance.

Pour les directions juridiques et les responsables de la communication, le changement dépasse la conformité technique. Le règlement installe un standard européen d'identification des contenus synthétiques au moment où les fausses vidéos de dirigeants deviennent un mode opératoire courant. La gestion d'une crise de réputation cesse d'être un exercice purement narratif : elle devient un travail de preuve.

Ce qui devient obligatoire le 2 août

L'article 50 se décompose en quatre séries d'obligations. Les fournisseurs de systèmes conversationnels doivent informer l'utilisateur qu'il dialogue avec une machine, sauf lorsque le caractère artificiel de l'échange est évident. Les fournisseurs de systèmes génératifs doivent marquer leurs sorties audio, image, vidéo et texte dans un format lisible par machine, une exception étant prévue pour les fonctions d'assistance à l'édition qui ne modifient pas substantiellement le contenu fourni par l'utilisateur.

Les deux dernières séries visent les déployeurs, donc les entreprises utilisatrices. Celles qui recourent à la reconnaissance des émotions ou à la catégorisation biométrique doivent en informer les personnes exposées. Celles qui diffusent un deepfake doivent le révéler. La Commission reprend la définition du règlement : un contenu image, audio ou vidéo généré ou manipulé par IA, ressemblant à des personnes, objets, lieux, entités ou événements existants, et pouvant faussement apparaître comme authentique ou véridique. Trois critères cumulatifs, donc : la ressemblance, l'existence réelle du sujet et l'apparence trompeuse d'authenticité.

L'information doit être délivrée au plus tard lors de la première interaction ou exposition, de manière claire et distinguable. Les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles relèvent d'un régime allégé. Un texte généré par IA publié pour informer le public sur des questions d'intérêt général doit lui aussi être signalé, sauf s'il a fait l'objet d'une relecture humaine et d'une responsabilité éditoriale.

Un calendrier retouché à quelques jours de l'échéance

Le cadre a bougé jusqu'au dernier moment. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, a été publié au Journal officiel de l'Union européenne le 24 juillet et entre en vigueur le 27 juillet. Il repousse l'essentiel du régime applicable aux systèmes à haut risque : au 2 décembre 2027 pour les systèmes relevant de l'annexe III, au 2 août 2028 pour ceux intégrés à des produits couverts par l'annexe I.

Les obligations de transparence, elles, ne sont pas reportées. Le texte accorde une seule respiration : les systèmes génératifs déjà mis sur le marché avant le 2 août 2026 disposent jusqu'au 2 décembre 2026 pour se conformer au marquage lisible par machine prévu au paragraphe 2 de l'article 50. Les systèmes lancés à compter du 2 août n'ont aucun délai. Quant au devoir de révélation des deepfakes qui pèse sur les déployeurs, il s'applique sans transition.

Le marquage devient une pièce à conviction

Les lignes directrices confirment que le code de bonnes pratiques sur la transparence des contenus générés par IA a été jugé adéquat par la Commission. L'intérêt pratique pour une entreprise visée par une fausse vidéo est direct : plus les contenus légitimes portent une signature technique, plus l'absence de signature devient un signal exploitable, et plus une contestation publique peut s'appuyer sur une vérification objectivable plutôt que sur une dénégation.

La limite est connue : l'obligation ne pèse que sur les acteurs conformes. Un attaquant qui fabrique une fausse visioconférence du dirigeant ne marquera pas sa production, et les modèles diffusés hors du cadre européen continueront de générer des sorties non signées. Le règlement ne supprime pas le risque, il installe un référentiel de preuve et déplace la charge du soupçon.

Quinze millions d'euros ou 3 % du chiffre d'affaires

Le manquement aux obligations de transparence relève du point g) du paragraphe 4 de l'article 99 du règlement, qui prévoit des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, avec une prise en compte de la situation des PME.

En France, le schéma de gouvernance rendu public le 9 septembre 2025 attend toujours sa traduction législative. Il confierait à la DGCCRF un rôle de coordination, à la CNIL les usages biométriques et les traitements de données personnelles, et aux régulateurs sectoriels, dont l'Arcom, le contrôle du marquage des contenus. Le règlement étant d'application directe, les obligations s'imposent néanmoins aux entreprises françaises le 2 août, indépendamment de l'état d'avancement du dispositif national de surveillance.

Le droit pénal français, lui, avait pris de l'avance. La loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique a adapté l'article 226-8 du code pénal, qui punit la diffusion d'un montage réalisé avec la parole ou l'image d'une personne sans son consentement de deux ans d'emprisonnement et 45 000 euros d'amende lorsqu'elle intervient en ligne. Le nouvel article 226-8-1 porte les peines à deux ans et 60 000 euros pour les contenus à caractère sexuel, et à trois ans et 75 000 euros en cas de diffusion en ligne.

Ce que l'assurance de crise prend réellement en charge

Les contrats commercialisés sous l'appellation assurance gestion de crise et réputation n'indemnisent pas une image dégradée : ils financent la réponse. Honoraires d'agences de communication, cellules de veille, expertise technique d'authentification, frais juridiques de retrait des contenus, campagnes de restauration d'image. Certains contrats couvrent également la perte de marge brute lorsqu'un lien de causalité peut être établi entre l'événement médiatique et le recul des ventes.

Le marché s'ajuste. En février 2025, le courtier Bessé et l'assureur Hiscox ont lancé une garantie destinée à protéger l'image des marques, construite sur un score de réputation calculé à partir de données sémantiques issues des réseaux sociaux : lorsque le score décroche, le contrat libère automatiquement des fonds de réponse. Sa conception s'appuie sur l'analyse de 166 marques agroalimentaires sur onze ans, dont 60 % ont connu au moins une alerte médiatique et 14 % une crise majeure. En décembre 2025, l'assureur Coalition a de son côté ajouté à sa police cyber un avenant consacré aux deepfakes, couvrant l'analyse technique, le retrait des contenus et l'accompagnement réputationnel.

Les limites d'un marché encore jeune

Les partisans de ces garanties avancent un argument opérationnel : dans une crise pilotée par des contenus synthétiques, les premières heures décident de la suite, et l'accès immédiat à des experts déjà payés vaut souvent davantage que l'indemnité. Le déclenchement paramétrique répond de plus à l'objection classique adressée à l'assurance de réputation, la difficulté de chiffrer le préjudice.

Les réserves sont sérieuses. Un déclenchement fondé sur un score de sentiment mesure la visibilité d'une crise, pas son coût. Les polices cyber traditionnelles supposent une intrusion dans les systèmes, alors qu'un deepfake exploite la confiance humaine sans compromettre aucun réseau, terrain propice aux contentieux de couverture. Courtney Horrigan, avocate chez Reed Smith, résume le mouvement engagé :

Ces risques cesseront d'être des couvertures silencieuses.

Courtney Horrigan, avocate chez Reed Smith, citée par L'ADN

Les assureurs devront donc trancher explicitement, dans un sens ou dans l'autre. Le contexte de risque, lui, se durcit. Le baromètre des risques 2026 d'Allianz, établi auprès de 3 338 professionnels de la gestion des risques dans près de 100 pays, place les incidents cyber en tête pour la cinquième année consécutive avec 42 % des réponses, l'intelligence artificielle en deuxième position avec 32 % et l'interruption d'activité en troisième position avec 29 %. C'est la première fois que l'interruption d'activité sort des deux premières places du classement. Le FBI a pour sa part recensé en 2025 quelque 22 364 signalements liés à l'IA, pour près de 900 millions de dollars de pertes déclarées. Le précédent le plus cité reste le virement de 25 millions de dollars obtenu en 2024 auprès de la filiale hongkongaise d'un groupe d'ingénierie britannique, à l'issue d'une visioconférence entièrement fabriquée.

Ce qu'il faut surveiller

Trois échéances structurent les prochains mois. Le 2 août 2026, l'article 50 devient applicable, ainsi que le pouvoir de sanction qui l'accompagne. Le 2 décembre 2026, la fenêtre transitoire de marquage se referme pour les systèmes génératifs antérieurs. Le 2 décembre 2027, le régime des systèmes à haut risque prendra le relais, avec des exigences documentaires d'une autre ampleur.

Deux chantiers s'imposent aux entreprises d'ici là. Le premier consiste à recenser les usages internes de l'IA générative qui déclenchent une obligation de signalement, en particulier les agents conversationnels en relation clientèle et les contenus publiés sur des sujets d'intérêt général. Le second consiste à vérifier, contrat en main, qui paie l'authentification technique, le retrait des contenus et la communication lorsque le deepfake vise l'entreprise elle-même. Ces deux lignes relèvent rarement du même assureur.

Sources

• Commission européenne, lignes directrices sur les obligations de transparence de l'article 50 (20 juillet 2026)
• Commission européenne, communiqué du 20 juillet 2026
• Commission européenne, questions et réponses sur l'article 50
• Règlement (UE) 2026/1744 du 8 juillet 2026, Journal officiel de l'Union européenne
• Texte de l'article 50 du règlement (UE) 2024/1689
• Texte de l'article 99 du règlement (UE) 2024/1689 sur les sanctions
• Allianz Commercial, baromètre des risques 2026
• Toute l'Europe, ce qui change le 2 août 2026
• Planète CSCA, nouvelle garantie de protection de l'image des marques
• L'ADN, peut-on s'assurer contre l'usurpation d'identité numérique
• NicFab, publication de l'omnibus numérique sur l'IA au Journal officiel
• CMS, accord politique sur l'omnibus numérique et calendrier de mise en œuvre
• Regulatory AI, état des désignations d'autorités en France
• Cadre juridique français des deepfakes, articles 226-8 et 226-8-1 du code pénal