Depuis le 2 août 2026, l’AI Act franchit une nouvelle étape importante pour les directions marketing. Les obligations de transparence prévues par l’article 50 deviennent applicables, notamment pour certains systèmes conversationnels et certains contenus générés ou manipulés par IA. Parallèlement, les pouvoirs de contrôle prévus par le règlement entrent progressivement en application.
Cela ne signifie pas que tous les usages marketing de l’IA deviennent fortement réglementés. En revanche, les entreprises doivent désormais identifier les obligations qui correspondent réellement à leurs usages, à leur rôle et au niveau de risque du système concerné.
Nous reprenons 6 points clés pour vous aider à mieux appréhender le texte et comprendre u’il faut prévoir dorénavant pour rester dans les clous !
1 ) Toutes les IA marketing ne sont pas à haut risque
Premier point rassurant : toutes les IA utilisées en marketing ne sont pas automatiquement des systèmes à haut risque.
L’AI Act repose sur une approche par les risques. Certains usages sont interdits, certains sont classés à haut risque, certains sont soumis à des obligations spécifiques de transparence, et beaucoup d’autres relèvent d’un risque minimal ou limité. La CNIL rappelle ainsi que le règlement distingue notamment les systèmes interdits, les systèmes à haut risque, les systèmes soumis à des obligations de transparence et les systèmes à risque minimal.
Concrètement, une IA utilisée pour segmenter des audiences, recommander un contenu, prédire une probabilité de conversion, personnaliser une campagne ou prioriser des scénarios de marketing automation n’est pas, par nature, une IA à haut risque
Ce qui compte, c’est la finalité!
Un scoring marketing destiné à identifier les contacts les plus susceptibles de cliquer sur une newsletter n’a pas, en principe, la même qualification qu’un système d’IA utilisé pour évaluer la solvabilité d’une personne, établir son score de crédit, prendre certaines décisions en matière d’emploi ou évaluer un risque et fixer une tarification en assurance-vie ou assurance maladie.
La qualification dépend donc de la finalité et de la destination du système, au regard notamment des critères prévus par l’IA Act.
Pour les directions marketing, cela change la manière de présenter les modèles d’IA utilisés … Il ne suffit plus de dire : “nous utilisons un modèle prédictif”. Il faut pouvoir expliquer : pour quoi faire ? Avec quelles données ? Dans quel parcours ? Avec quel impact réel pour le client ou le prospect ?
À noter : identifier aujourd’hui un usage comme potentiellement « à haut risque » ne signifie pas nécessairement que l’ensemble des obligations applicables à cette catégorie est déjà entré en vigueur au 2 août 2026, leur calendrier d’application ayant été récemment ajusté.
2 ) Vos clients doivent savoir lorsqu’ils parlent à une IA
Depuis le 2 août 2026, les obligations de transparence prévues par l’AI Act deviennent plus visibles pour les utilisateurs finaux.
Lorsqu’un système d’IA est destiné à interagir directement avec des personnes, son fournisseur doit le concevoir de manière à ce que celles-ci soient informées qu’elles interagissent avec une IA, sauf lorsque cela est évident compte tenu du contexte. Cette information doit être claire et intervenir au plus tard lors de la première interaction.
Pour une direction marketing qui déploie un chatbot, un assistant virtuel ou un agent conversationnel fourni par un tiers, le bon réflexe consiste donc à vérifier que cette information est effectivement prévue et correctement présentée à l’utilisateur.
Prenons un exemple concret :
Un visiteur arrive sur votre site. Une fenêtre de dialogue lui propose de l’aider à trouver une offre, de répondre à une question sur un produit, de préparer un rendez-vous commercial ou de qualifier son besoin. Si cette interface repose sur une IA, il convient donc de vérifier que l’utilisateur est clairement informé de la nature de son interlocuteur.
3 ) Les contenus générés par IA deviennent plus transparents
L’AI Act distingue plusieurs obligations selon la nature du contenu et selon le rôle de l’entreprise.
D’un côté, les fournisseurs de systèmes d’IA qui génèrent des contenus synthétiques de type texte, image, audio ou vidéo doiventveiller à ce que les contenus soient marqués et détectables.
De l’autre, l’entreprise qui utilise un système d’IA pour produire et diffuser un contenu (le « déployeur » au sens du règlement ) doit informer clairement le public dans le cadre de certains usages. On peut citer comme usage principal nécessitant une information :
- Le cas des deepfakes : images, vidéos ou contenus audio générés ou manipulés par IA qui ressemblent à des personnes, objets, lieux, entités ou événements réels ou plausibles et qui peuvent être perçus à tort comme authentiques ou véridiques
- Le cas des textes générés ou manipulés par une IA et publiés afin d’informer le public sur des questions d’intérêt public, sauf lorsqu’ils ont fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale en assume la responsabilité éditoriale
Tous les contenus marketing réalisés avec l’aide d’une IA ne doivent donc pas être étiquetés de la même façon. Une illustration manifestement fictive, une reformulation rédactionnelle, une voix synthétique générique et une fausse vidéo réaliste d’un dirigeant ne relèvent pas nécessairement des mêmes obligations.
Le bon réflexe pour savoir s’il faut informer le public de l’usage d’une IA consiste à examiner trois éléments
- Sommes-nous fournisseur ou déployeur du système ?
- Quel type de contenu a été généré ou manipulé ?
- Ce contenu peut-il être confondu avec une réalité ou relève-t-il d’une publication d’intérêt public ?
4) Vos équipes doivent apprendre à bien utiliser l’IA
L’AI Act prévoit également une obligation de « maîtrise de l’IA ». Cette obligation n’est d’ailleurs pas nouvelle au 2 août 2026 puisqu’elle s’applique en réalité depuis le 2 février 2025. Mais nous profitons de cet article pour une petite piqûre de rappel!
Ainsi le texte attend que les fournisseurs et les déployeurs de systèmes d’IA doivent prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leurs collaborateurs et des autres personnes qui utilisent ces systèmes pour leur compte. Bien entendu les mesures pour permettre cette montée en compétence doivent être adaptées à chaque personne et au contexte dans lequel l’IA est utilisée.
Le règlement n’impose pas à chaque collaborateur d’atteindre un niveau uniforme ou une certification particulière. Pour une direction marketing, l’enjeu est plutôt de mettre en place une sensibilisation proportionnée aux usages réels.
Cette montée en compétence a pour but de permettre aux collaborateurs de maîtriser quelques notions clés comme par exemple :
- La notion d’hallucinations, c’est-à-dire les réponses fausses mais convaincantes
- La confidentialité, notamment lorsqu’un collaborateur copie-colle des informations internes dans un outil externe
- L’enjeu de la protection des données personnelles lors de l’usage d’un système d’IA
- Les biais et les limites
- Les usages autorisés et les cas qui nécessitent une validation juridique, DPO, data ou métier
- Le rôle du contrôle humain.
Notre recommandation : créer une charte d’usage simple : quels outils sont autorisés ? Quelles données ne doivent jamais être saisies ? Quels contenus doivent être relus ? Quels usages nécessitent une validation ? Qui arbitre en cas de doute ?
5) AI Act + RGPD : deux sujets désormais indissociables
La CNIL rappelle que le règlement IA ne remplace pas le RGPD et que les deux cadres peuvent s’appliquer ensemble lorsqu’un système d’IA implique le traitement de données personnelles. Elle donne également l’exemple d’un système d’IA utilisé pour attribuer des centres d’intérêt à des fins publicitaires, qui peut relever du RGPD même lorsqu’il n’est pas soumis aux exigences spécifiques du règlement IA.
Ainsi un projet peut être acceptable au regard de l’AI Act et poser malgré tout une difficulté RGPD : données insuffisamment minimisées, base légale fragile, durée de conservation excessive, information des personnes incomplète, absence de maîtrise sur un sous-traitant….
Un traitement peut être conforme au RGPD mais être soumis à des obligations légales dans le cadre de l’AI Act (transparence, contrôle humain, gestion des risques ou autres exigences selon la qualification du système,…)
La révolution induite au niveau des outils et des usages par l’IA est entraine dans son giron une révolution en terme de Data Governance, de Privacy et de gouvernance des systèmes IA qui sont en train de converger progressivement. Les directions marketing ne peuvent plus gérer ces sujets en silos : d’un côté la donnée, de l’autre les campagnes, de l’autre l’IA. Les trois sont désormais liés. Cette logique de centralisation et de gouvernance des données est notamment au cœur du fonctionnement d’une Customer Data Platform (CDP).
Et c’est précisément là que le marketing a un rôle fort à jouer. Il est souvent au croisement des usages, des données clients, des outils d’activation et de la relation finale avec l’utilisateur.
6) Commencez par cartographier vos usages
La première action à engager n’est pas nécessairement de lancer un grand chantier juridique, la première action, très concrète, consiste à cartographier les usages de l’IA dans l’équipe marketing.
Cette cartographie n’est pas, en tant que telle, une obligation générale imposée à toutes les entreprises par l’AI Act. Elle constitue en revanche l’un des moyens les plus efficaces pour déterminer les obligations applicables à chaque usage et démontrer une démarche structurée de gouvernance.
Où utilisez-vous déjà de l’IA ? Dans un outil de Marketing automation ? Dans une Customer Data Platform ? Dans un module de scoring ? Dans un assistant de rédaction ? Dans une solution de recommandation ? Dans votre analytics ? Dans votre CRM ? Dans vos campagnes email ou SMS ? Dans votre support client ?
La cartographie doit ensuite répondre à cinq questions simples :
- Où utilisons-nous de l’IA ?
- Dans quel objectif ?
- Avec quelles données ?
- Quelle décision ou recommandation produit-elle ?
- Quel contrôle humain conservons-nous ?
Cette démarche permet de distinguer les usages simples des usages plus sensibles. Elle aide aussi à identifier les zones floues : un outil utilisé sans validation, un modèle dont personne ne connaît les données d’entrée, une automatisation qui produit des recommandations sans supervision, ou un contenu généré sans circuit de relecture.
La cartographie n’est pas une fin en soi. C’est le point de départ d’une démarche raisonnable de conformité IA et de gouvernance marketing.
Elle permet ensuite de prioriser : documenter certains usages, former les équipes, ajuster les mentions de transparence, renforcer les contrôles, revoir certains paramétrages, ou clarifier les responsabilités entre marketing, DSI, data, juridique et DPO.
