Conformité · 14 août 2026

Le 31 juillet 2026, une liste d’environ 190 organisations signataires d’un code de transparence volontaire a circulé. On y trouve, côté fournisseurs de modèles, Anthropic, Google, Meta, Microsoft, Mistral et OpenAI. Le 2 août, l’article 50 de l’AI Act est entré en application, et le Bureau de l’IA a pu enquêter sur les fournisseurs de modèles à usage général. Pour une PME intégratrice, la tentation est double: coller le logo du code sur une proposition commerciale, ou croire que le fournisseur a « signé, donc on est couverts ». Les deux lectures sont fausses. Un code n’est pas le règlement. Signer n’est pas déployer.

Ce qu’est le code, et ce qu’il n’est pas

Un code de bonnes pratiques est un engagement volontaire, utile pour aligner des grands fournisseurs sur des méthodes (marquage, documentation, coopération). Il ne crée pas, à lui seul, vos obligations de déployeur. Il ne remplace pas l’article 50: information de l’utilisateur qui parle à une IA, marquage machine des contenus synthétiques, étiquette visible des deepfakes professionnels, mention sur certains textes d’intérêt public peu relus. Il ne remplace pas l’article 4, applicable depuis le 2 février 2025 aux fournisseurs et aux déployeurs. Il ne fait pas avancer d’un jour le haut risque reporté au 2 décembre 2027 (annexe III) ou au 2 août 2028 (annexe I, règlement UE 2026/1744).

Les amendes du volet transparence vont jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Celles des pratiques interdites, déjà applicables, jusqu’à 35 millions ou 7 %. Le code ne plafonne rien, n’exonère rien, n’est pas un certificat que vous pouvez annexer à un marché public en lieu et place d’un affichage réel sur le chatbot du client.

Anthropic a annoncé un filigrane textuel invisible dans Claude à compter du 2 août; le détecteur n’est pas public. OpenAI utilise SynthID pour l’image et l’audio. Ces briques ne configurent pas le bandeau français de votre client, ni son registre d’usages, ni la formation de son équipe.

Le cas particulier de l’intégrateur TPE/PME

Si vous posez des agents chez vos clients (site, CRM, atelier, hôtel), vous touchez trois rôles possibles, parfois dans la même affaire: déployeur sur votre propre site; prestataire qui configure le système du client; et, si vous marquez une solution à votre nom et la mettez sur le marché, un basculement vers le rôle de fournisseur. Le code signé par Microsoft ou Mistral ne dit pas dans quelle case vous tombez.

Le client est presque toujours déployeur: c’est lui qui doit informer ses utilisateurs. Si vous livrez un widget sans phrase d’information, vous lui livrez un manquement. Votre responsabilité contractuelle s’ajoute à la sienne. Un slide « nos partenaires ont signé le code » n’aide ni l’un ni l’autre.

Les systèmes déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour le marquage machine de l’article 50, paragraphe 2. Si vous maintenez des agents installés au printemps, ce délai vous concerne. L’information de l’utilisateur, elle, ne bénéficie pas de ce sursis. Corrigez les libellés maintenant; planifiez le marquage machine d’ici décembre.

Six preuves plus utiles qu’une signature

• Inventaire des agents livrés. Client, date, modèle, lieu d’exécution (cloud, France, local), données branchées, affichage en place ou non.
• Libellés d’information versionnés. Texte affiché, langue, moment d’apparition dans le parcours. Une capture d’écran datée par environnement (préprod, prod).
• Chaîne de contenu. Qui génère les images et les voix, avec quel marquage (C2PA, filigrane fournisseur), quelle étiquette visible pour les usages de type deepfake professionnel.
• Compétence des équipes. L’article 4 n’est pas optionnel parce qu’un fournisseur a signé un code. Documentez qui, chez vous et chez le client, a été formé. Nos formations IA et cybersécurité sont conçues pour cet usage, pas pour un catalogue de culture générale.
• RGPD du flux. Sous-traitants, transferts, conservation des conversations. Un audit de conformité RGPD reste le moyen de voir ce que le code de transparence ne décrit pas: le fichier client dans le prompt.
• Clauses utiles. Ce que vous configurez, ce que le client valide, qui coupe en cas d’incident, qui parle à l’utilisateur. Le code des 190 ne rédige pas cette clause.

Ce qu’il ne faut plus écrire dans une offre

« Solution conforme AI Act car basée sur un modèle signataire du code. » Cette phrase est inexacte. Le modèle peut être transparent au niveau fournisseur; votre intégration peut rester opaque. « Conforme haut risque » est tout aussi hasardeux: ce régime n’est pas encore applicable (2027/2028) et, pour la plupart des agents TPE/PME, il n’est pas le bon qualificatif.

Écrivez plutôt ce que vous faites: information utilisateur dès le premier message; journal des outils appelés; cloisonnement des données; plan de marquage d’ici le 2 décembre 2026; formation des opérateurs. C’est lisible. C’est vérifiable. C’est ce qu’un dirigeant de PME peut opposer à un client ou à un contrôleur.

Comment Cybernecs positionne le sujet

Nous concevons des agents pour TPE et PME en partant du rôle de déployeur, pas du communiqué du fournisseur. Patrick Dajan Mouelle, dirigeant de Cybernecs, demande à chaque affaire: que verra l’utilisateur, que verra le journal, que saura l’opérateur. Si l’une des trois réponses est « le code s’en charge », l’affaire n’est pas prête.

Intégrateurs et dirigeants: pour une revue de vos livraisons (libellés, rôles, formation, RGPD), contactez-nous via la page contact. Les 190 signatures du 31 juillet sont un fait de marché. Votre conformité se joue sur la machine de votre client, un jour ouvré, avec un vrai utilisateur au bout du chat.

Sources: règlement sur l’intelligence artificielle (AI Act), règlement UE 2026/1744 (Digital Omnibus), Touteleurope, L’Express, communications des fournisseurs (Anthropic, OpenAI / SynthID), C2PA.