Depuis le 2 août 2026, publier un texte généré par IA sur un sujet d’intérêt public sans le signaler expose une entreprise européenne à une amende pouvant atteindre 15 millions d’euros, ou 3 % de son chiffre d’affaires mondial. C’est l’article 50 de l’AI Act qui entre en application ce jour-là, sans exemption de taille d’entreprise. Après l’arrivée programmée d’AI Overviews en France, la rentrée 2026 aligne une nouvelle échéance réglementaire liée à l’IA. Sa portée réelle est pourtant plus étroite que ce qu’on répète en général, et au même moment, la seule clause qui aurait pu encadrer le comportement de vos agents IA marketing vient de perdre seize mois.
Les deux obligations partagent le même mois de naissance mais suivent des trajectoires opposées. Pour un dirigeant qui publie du contenu assisté par IA et qui, en parallèle, confie une partie de son marketing à des outils d’automatisation, comprendre cet écart change concrètement ce sur quoi porter son attention en priorité.
Une obligation d’étiquetage plus étroite qu’elle n’y paraît
L’article 50 ne s’applique pas à tout contenu marketing assisté par IA. Il cible une catégorie précise : un texte publié, informant le public, sur une question d’intérêt général (politique, santé publique, sécurité des consommateurs). La Commission européenne le précise dans sa foire aux questions officielle : dès qu’un contenu a fait l’objet d’une revue humaine et d’un contrôle éditorial réel, capable d’en approuver, modifier ou rejeter le fond, l’obligation d’étiquetage tombe. Une relecture orthographique ne suffit pas à activer cette exemption ; une vraie validation éditoriale, si.
Concrètement, la majorité du contenu marketing B2B (pages produit, newsletters, publicités) sort du périmètre strict de cette obligation, à condition qu’un humain en assume réellement la responsabilité éditoriale. Ce qui reste couvert, quel que soit le sujet traité : les systèmes conversationnels doivent signaler qu’ils sont des IA, et les contenus synthétiques (image, audio, vidéo) doivent porter un marquage, deepfakes compris. Un article de blog rédigé avec un assistant IA puis relu et validé par une personne de votre équipe, sur un sujet purement produit, n’entre donc pas dans le champ de l’article 50 : ni l’exemption ni l’obligation ne s’activent, faute de sujet d’intérêt public.
La clause qui régule vos agents IA vient de reculer de seize mois
Là où l’article 50 encadre un contenu, l’article 14 encadre un comportement : c’est la clause de supervision humaine, la seule disposition de l’AI Act qui impose de garder un humain capable de comprendre, corriger ou arrêter un système autonome. Elle faisait partie du bloc d’obligations « haut risque » prévu pour le 2 août 2026, au même moment que l’étiquetage, avant d’en être retirée par le Digital Omnibus.
Ce règlement (Règlement UE 2026/1744), entré en vigueur le 27 juillet 2026 à quelques jours de l’échéance initiale, reporte l’application des obligations « haut risque », dont l’article 14, au 2 décembre 2027 pour les systèmes autonomes visés par l’annexe III. Seize mois de plus pendant lesquels aucune règle européenne n’impose de garder un humain dans la boucle d’un agent IA autonome, y compris ceux qui gèrent vos campagnes publicitaires, votre emailing ou vos échanges avec le CRM. Le report ne dit rien de la dangerosité réelle de ces agents : il reflète surtout la difficulté qu’ont eue les États membres à s’accorder sur des règles d’application pour une catégorie de systèmes encore jeune.
Ce que ça change si vous déployez des agents d’automatisation
Une enquête menée en janvier 2026 par la Cloud Security Alliance auprès de 418 professionnels IT et sécurité, commanditée par Token Security, trouve que 82 % des organisations ont découvert au moins un agent IA dont elles ignoraient l’existence sur leur réseau, et 65 % ont subi au moins un incident lié à un agent IA au cours des douze derniers mois (exposition de données pour 61 % des cas, disruption opérationnelle pour 43 %, pertes financières pour 35 %). Seules 21 % des organisations interrogées disposent d’un processus formel pour mettre hors service un agent devenu inutile ou incontrôlé.
Le point de contrôle le plus révélateur porte sur ce qui se passe quand un agent dépasse le périmètre pour lequel il a été autorisé. 11 % seulement des organisations le bloquent alors automatiquement, 38 % exigent une validation humaine avant de le laisser continuer, et 24 % se contentent de logger l’incident sans intervenir. Autrement dit, dans la majorité des cas, un agent qui sort de son couloir continue de fonctionner le temps qu’un humain s’en aperçoive.
La même enquête distingue les modèles d’autonomie effectivement en place : 53 % des organisations laissent leurs agents opérer seuls sur les tâches à faible risque, avec une revue humaine réservée aux actions plus sensibles, 24 % gardent un humain dans la boucle sur la plupart des tâches, et 13 % font tourner des agents entièrement autonomes, sans point de contrôle humain systématique. Un agent marketing qui envoie des emails ou ajuste des enchères publicitaires est rarement classé « haut risque » à titre individuel : c’est précisément le type de tâche qu’on laisse le plus volontiers en autonomie, ce qui rend la question du périmètre d’autant plus concrète.
Ces chiffres concernent la sécurité informatique au sens large, mais ils se transposent directement au marketing. Un agent d’automatisation marketing qui envoie des emails en votre nom, gère vos enchères publicitaires ou interroge votre CRM pour qualifier des prospects, accède à des données clients et agit publiquement en votre nom, avec les mêmes enjeux de sécurité que n’importe quel autre accès non supervisé. Tant que l’article 14 reste suspendu, la seule supervision qui s’exerce sur cet agent est celle que vous avez vous-même mise en place.
Cette absence de garde-fou légal ne se limite pas à la supervision d’un agent en action : la directive européenne censée fixer qui indemnise en cas de dommage causé par une IA (l’AI Liability Directive) a été retirée par la Commission en 2025, faute d’accord entre États membres. Avant décembre 2027 au plus tôt, un dirigeant qui déploie des agents IA dans son marketing n’a donc ni obligation légale de supervision, ni cadre de responsabilité en cas de dérapage.
Trois questions de gouvernance, faute de cadre légal
Construire cette gouvernance ne demande pas d’attendre 2027. Trois questions suffisent à cadrer un premier tour de table avec votre équipe ou votre prestataire technique : quels agents ont accès à quelles données client, qui relit ou valide une action avant qu’elle ne parte (un email, une enchère, une réponse automatisée), et qui, concrètement, peut arrêter l’agent si quelque chose part de travers, faute de réponse imposée de l’extérieur avant 2027.
Si vous voulez creuser cette grille de gouvernance sur vos propres outils d’automatisation, on peut en parler.
Crédit photo : Pixabay/RonaldCandonga, Pixabay/Pexels.
