IA et marketing : ce que l'AI Act, le RGPD et la loyauté vous imposent vraiment en 2026
Depuis dix-huit mois, une phrase circule dans les directions marketing : « L'IA Act, c'est pour les systèmes à haut risque — la santé, le recrutement, le crédit. Le marketing n'est pas concerné. »
Elle est fausse. Elle repose sur une confusion entre deux étages du règlement : la classification haut risque (annexe III), effectivement reportée au 2 décembre 2027 par le paquet « Digital Omnibus », et les obligations de transparence (article 50) et interdictions (article 5), qui n'ont pas été reportées.
Si votre équipe fait tourner un agent conversationnel, génère des visuels avec une IA, produit des voix de synthèse ou personnalise ses offres avec du scoring, vous êtes dans le champ de trois textes en vigueur aujourd'hui.
Pourquoi « pas à haut risque » ne veut pas dire « pas régulé »
L'AI Act est un règlement à étages, avec des dates d'application distinctes :
- Pratiques interdites (art. 5) : depuis le 2 février 2025.
- Modèles d'usage général (GPAI) : depuis le 2 août 2025.
- Transparence (art. 50) et gouvernance/sanctions (art. 99) : depuis le 2 août 2026.
- Haut risque annexe III : reporté au 2 décembre 2027. Annexe I (produits) : 2 août 2028.
Le Digital Omnibus a repoussé le seul bloc haut risque. Il n'a touché ni à l'article 50, ni à l'article 5. Le calendrier complet le montre ligne par ligne.
Le triple verrou du marketing IA
Verrou 1 — La transparence (article 50)
La transparence au sens de l'article 50 impose de dire quand c'est de l'IA. Quatre situations :
1. Interaction directe. Toute personne échangeant avec une IA doit en être informée, dès le début, sauf évidence manifeste. Un agent nommé « Julie du support » sans mention n'est pas conforme.
2. Contenus de synthèse. Texte, image, audio, vidéo doivent porter un marquage lisible par machine.
3. Émotions et biométrie. Analyser les émotions d'un prospect suppose de l'en informer — et l'usage « au travail » relève, lui, de l'interdiction.
4. Deepfakes. Un deepfake doit être signalé comme artificiellement généré ou manipulé.
Sanction : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial.
Verrou 2 — L'interdiction de manipuler (article 5)
L'article 5 interdit, sans période de grâce depuis février 2025, deux pratiques manipulatrices :
- les techniques subliminales, délibérément manipulatrices ou trompeuses altérant substantiellement le comportement avec préjudice important ;
- l'exploitation des vulnérabilités liées à l'âge, au handicap, à la situation économique ou sociale.
Un moteur qui détecte une détresse financière pour pousser un crédit au moment le plus favorable à la conversion bascule du côté interdit. Sanction : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial — le plafond le plus élevé du règlement.
Verrou 3 — RGPD et loyauté
- Profilage et décision automatisée. Scoring de leads, segmentation prédictive, ciblage comportemental sont des profilages. Dès qu'une décision à effet significatif est prise sur une base exclusivement automatisée, l'article 22 impose une base légale et le droit d'obtenir une intervention humaine. L'arrêt SCHUFA l'a confirmé : un score peut être une décision automatisée même si un tiers l'utilise ensuite.
- Consentement. La CNIL a prononcé 89 M€ d'amendes en 2025 sur le profilage publicitaire.
- Loyauté. Les schémas trompeurs sont sanctionnables au titre du RGPD, du droit de la consommation et, pour les très grandes plateformes, du DSA et du DMA. L'IA générative les industrialise.
Ces trois verrous se cumulent. Un même agent conversationnel peut relever de l'article 50 pour sa mention, du RGPD pour les données qu'il collecte, et de l'article 5 s'il manipule. Le comparatif des trois verrous détaille quel régime s'applique à quel système.
L'échéance du 2 décembre 2026, lue correctement
C'est la date qui circule le plus, et le plus mal.
L'article 50 s'applique depuis le 2 août 2026. Le 2 décembre 2026 n'est pas son entrée en vigueur : c'est la fin d'une période de grâce, réservée aux systèmes d'IA générative déjà sur le marché avant le 2 août. Un outil mis en service après cette date n'a aucun délai — l'obligation le frappe immédiatement.
La date suivante, moins connue, est le 2 février 2027 : mise à disposition de la solution d'interopérabilité permettant la détection des filigranes entre systèmes.
Pour une direction marketing, trois questions concrètes en découlent :
- Quels outils génèrent des contenus dans mon périmètre, et depuis quand sont-ils en service ?
- Qui est fournisseur, qui est déployeur ? Le marquage machine incombe au fournisseur ; la divulgation des deepfakes vous incombe.
- Comment le prouver lors d'un contrôle ?
Quand le marketing bascule à haut risque
La règle est : marketing = transparence, pas haut risque. Trois exceptions :
- systèmes visant des enfants ou des personnes vulnérables avec effets comportementaux importants ;
- personnalisation adossée à un service essentiel — crédit, assurance : voir le volet Finance de cette série ;
- catégorisation biométrique déduisant des données sensibles.
La méthode en 7 étapes
1. Inventorier tous les systèmes d'IA du périmètre, Shadow AI compris.
2. Classer chacun sous les trois régimes, et identifier votre rôle : fournisseur ou déployeur.
3. Rendre transparent : mentions, marquage, signalement.
4. Sécuriser la base légale du profilage et retirer les schémas trompeurs.
5. Garder l'humain dans la boucle sur les décisions automatisées significatives.
6. Tracer usages, versions, mentions affichées, contenus marqués.
7. Gouverner : politique d'usage, comité, tableau de bord.
L'ordre n'est pas négociable : tout dépend de la première étape.
Qui fait quoi
- CMO : propriétaire du risque d'usage, arbitre les outils autorisés.
- Directeur relation client : agents conversationnels — mention, qualité, non-manipulation.
- DPO : licéité des traitements, AIPD quand nécessaire.
- RSSI : sécurité des outils, Shadow AI, journalisation.
- Juridique : deepfakes, droit à l'image, articulation DSA/DMA.
Les sanctions, et le vrai risque
15 M€ ou 3 % (art. 50). 35 M€ ou 7 % (art. 5). 20 M€ ou 4 % (RGPD).
Le risque réel n'est pas le plafond, c'est le cumul : un même incident peut déclencher plusieurs procédures — autorité de surveillance du marché et CNIL — dont chacune peut retenir l'autre comme circonstance aggravante.
Le prérequis que personne n'anticipe
Marquer, divulguer, tracer, prouver — chacune de ces obligations suppose de savoir ce qui tourne. Or, dans la plupart des entreprises, personne au marketing ne peut lister à jour les systèmes d'IA utilisés. Les outils arrivent par abonnement individuel, par extension, par fonction activée dans une mise à jour.
La conformité marketing 2026 n'est donc pas d'abord un problème juridique. C'est un problème de visibilité. La première brique est un registre des usages tenu à jour, classant chaque système sous les trois verrous et rattaché à ses preuves.