EU AI Act : Premières Amendes à 47 M€ — Ce Que Votre Chatbot IA Risque Maintenant

Le 2 août 2026 est passé. L’EU AI Act est entré en application. Et contrairement à ce que certains espéraient — une période de grâce, des contrôles symboliques, un régulateur qui prend son temps — l’Office de l’IA a rendu ses premières décisions en moins d’une semaine.

Bilan : 47 millions d’euros d’amendes. Trois entreprises. Trois violations distinctes.

18 millions contre une plateforme RH pan-européenne qui automatisait des décisions d’embauche sans évaluation de conformité ni supervision humaine. 14 millions contre un prestataire de scoring de crédit qui n’avait pas documenté son système selon l’Annexe III. Et 15 millions contre une enseigne de distribution qui déployait une reconnaissance d’émotions en temps réel dans ses magasins à travers quatre États membres — une pratique explicitement interdite par l’Article 5 du règlement.

Si vous utilisez un chatbot IA sur votre site, aucun de ces cas n’est exactement le vôtre. Mais ce sont vos précédents.

Ce Que Ces Premières Sanctions Signalent

Les trois décisions concernaient des systèmes à haut risque — les catégories qui cumulent les obligations les plus lourdes : évaluation de conformité, supervision humaine obligatoire, documentation technique exhaustive. La grande majorité des chatbots relève d’une autre catégorie : le risque limité, principalement encadré par les obligations de transparence de l’Article 50.

Les amendes pour violation de l’Article 50 atteignent jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial — le même ordre de grandeur que la sanction infligée pour reconnaissance d’émotions. Et l’Office de l’IA a confirmé que les plaintes déposées avant le 2 août sont en cours d’examen actif.

Ce qui rend l’application de l’Article 50 particulièrement rapide : un inspecteur de la CNIL peut tester votre chatbot avec un navigateur et un compte gratuit. Pas de lanceur d’alerte requis, pas d’audit technique complexe. Le test prend quelques minutes. La file d’instruction est déjà longue.

Ce Qu’Exige Concrètement l’Article 50

L’Article 50 s’applique à tout système IA capable d’interagir avec des humains en langage naturel : chatbot de support client, FAQ intelligente, assistant commercial, bot RH, formulaire conversationnel. Pour ces systèmes, le règlement impose une obligation principale :

Les utilisateurs doivent être informés — clairement, avant le début de la conversation — qu’ils interagissent avec une IA.

Cette information doit être :

• Automatique : elle doit apparaître au tout début de chaque interaction, pas dans les CGU ou la politique de confidentialité consultables en trois clics
• Compréhensible : « Vous discutez avec un assistant IA » suffit ; le jargon juridique ne suffit pas
• Accessible : l’European Accessibility Act — entré en application en 2025 — ajoute que la mention doit être lisible par les lecteurs d’écran et navigable au clavier

L’Article 50 couvre également les contenus générés par IA. Si votre chatbot produit des résumés, des devis ou des rapports téléchargeables, ces contenus doivent être identifiables comme produits par une IA. Cette exigence a pris une dimension concrète début août 2026 : Anthropic a annoncé l’intégration de filigranes invisibles dans l’ensemble des textes générés par Claude, partout dans le monde — une décision directement motivée par l’enforcement de l’Article 50(2). Si votre chatbot tourne sur Claude, chaque réponse que reçoivent vos utilisateurs porte désormais un filigrane contrôlé par Anthropic, sans que vous l’ayez configuré ni que vos utilisateurs en soient explicitement informés.

Les Trois Lacunes Qui Exposent les Entreprises aux Sanctions

D’après les priorités d’enquête de l’Office de l’IA et les premières décisions d’application, trois configurations exposent particulièrement les opérateurs de chatbots :

1. La Divulgation Apparaît Après — ou Pas du Tout

Une mention « Ce site utilise l’IA » dans le footer n’est pas conforme. Un paragraphe dans la politique de confidentialité mentionnant le recours à l’IA n’est pas conforme. Le règlement exige que la divulgation apparaisse avant le premier message généré par l’IA — pas à côté, pas en dessous. Si votre chatbot accueille un utilisateur avec une réponse avant toute identification explicite, vous avez une lacune que l’Office peut documenter en moins d’une minute.

2. Aucune Documentation du Système

L’AI Act exige que les opérateurs de systèmes à risque limité disposent d’une documentation technique de base : ce que fait le système, quelles données il traite, comment les réponses sont produites, qui est l’opérateur responsable. Pour un chatbot, c’est un document court — mais il doit exister et être transmissible si une autorité de surveillance le demande. De nombreuses entreprises ont déployé des chatbots sans la moindre documentation, et sans savoir qu’on pouvait leur en réclamer une.

3. Les Données Quittent l’UE Sans Divulgation Explicite

Si votre chatbot envoie les conversations à un fournisseur de LLM américain, ces données tombent sous le coup du CLOUD Act. Les autorités américaines peuvent contraindre le fournisseur à les transmettre sans vous prévenir ni prévenir vos utilisateurs. C’est à la fois un problème RGPD et un manquement à l’AI Act : vous ne pouvez pas documenter « où vont les données » quand un gouvernement étranger peut les réorienter sans votre consentement. La CNIL a explicitement identifié ce point dans ses orientations post-enforcement.

DoxyChat : Conforme par Construction

DoxyChat a été conçu pour l’environnement réglementaire européen. En 2026, cela signifie que la conformité à l’Article 50 est un réglage par défaut, pas une option à débloquer.

Divulgation Article 50 intégrée : chaque chatbot déployé sur DoxyChat affiche une mention d’identité IA explicite avant le premier message. C’est automatique, en langage clair, compatible avec les lecteurs d’écran. Aucune configuration requise. Aucun plan premium nécessaire. La mention fonctionne sur le plan Discovery gratuit.

Données hébergées en France chez Scaleway : l’ensemble des conversations est traité et stocké en France. Pas de transfert transatlantique, pas d’exposition au CLOUD Act, pas d’ambiguïté sur la localisation des données de vos utilisateurs. Vous pouvez documenter votre hébergement en une ligne parce qu’il n’y a qu’une seule réponse.

LLM open-weight, sans filigrane tiers : les réponses DoxyChat sont générées par Mistral, un modèle open-weight (Apache 2.0). Vos données ne servent pas à entraîner un modèle public. Aucun tiers n’intègre de filigranes invisibles dans les réponses de votre chatbot — votre contenu vous appartient.

Réponses bornées par le RAG : l’architecture DoxyChat garantit que votre chatbot répond uniquement depuis vos documents importés. Il ne peut pas halluciner des informations qu’il n’a pas reçues, ce qui élimine la catégorie d’erreurs la plus susceptible de générer des plaintes utilisateurs — et d’attirer l’attention des régulateurs.

Traçabilité complète : chaque conversation est enregistrée, horodatée, et attribuable. La documentation qu’un inspecteur de l’Office de l’IA s’attend à trouver est générée automatiquement.

Votre Vérification de Conformité en Cinq Minutes

Que vous utilisiez DoxyChat ou une autre plateforme, voici comment vérifier le statut Article 50 de votre chatbot maintenant :

1. Ouvrez votre chatbot comme un nouvel utilisateur (fenêtre de navigation privée, sans cookies préalables)
2. Vérifiez : une mention IA explicite apparaît-elle avant tout message généré par l’IA ?
3. Consultez votre DPA ou vos paramètres : où exactement les données de conversation sont-elles stockées ?
4. Trouvez l’option d’escalade humaine : l’utilisateur peut-il joindre une personne si nécessaire ?
5. Demandez à votre fournisseur : disposez-vous d’un modèle de documentation technique AI Act pour les opérateurs ?

Si l’un de ces points échoue — et ce sont précisément les points qu’un agent de la CNIL va vérifier — il vaut mieux y remédier avant que l’autorité de surveillance ne le fasse à votre place.

La File d’Instruction est Déjà Longue

Les 47 millions d’euros de la première semaine provenaient de dossiers instruits avant le 2 août. La file derrière eux est plus longue. Les violations de transparence de l’Article 50 sont parmi les plus simples à constater : elles ne nécessitent qu’un navigateur, prennent quelques minutes à documenter, et ne laissent aucune ambiguïté sur l’identité de l’opérateur responsable.

Les entreprises qui éviteront les sanctions sont celles qui ont intégré la conformité dans la configuration de leur chatbot dès le départ — pas celles qui comptent réagir quand le problème arrivera.

Essayez DoxyChat gratuitement — votre chatbot est conforme à l’Article 50 avant même votre première conversation.