ARCOM et IA générative : pourquoi la régulation des contenus change d'échelle
L'Arcom est née le 1er janvier 2022 de la fusion du CSA et de la Hadopi. Ce changement dépasse le simple sigle : le régulateur de l'audiovisuel a vu son périmètre s'étendre au numérique et aux plateformes. La loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (SREN) en a aussi fait le coordinateur français du DSA, le Règlement (UE) 2022/2065 sur les services numériques.
Le projet stratégique 2026-2028 de l'Arcom, présenté le 19 mai 2026, mentionne explicitement les services d'intelligence artificielle, les manipulations de l'information, les élections et la souveraineté. Il signale une priorité, mais il ne crée pas à lui seul une compétence générale sur tous les systèmes d'IA.
Trois objets de régulation à ne pas confondre
| Objet régulé | Texte principal | Acteurs concernés |
|---|---|---|
| La technologie | AI Act | Fournisseurs, déployeurs, Commission, AI Office, autorités de surveillance du marché |
| La diffusion | DSA | Plateformes, Commission, coordinateurs nationaux |
| Le contenu et ses effets | Droit des médias, de la presse, droit pénal, RGPD | Éditeurs, Arcom, juridictions, CNIL |
Cette grille évite une erreur fréquente : chercher un interlocuteur unique pour un problème qui en implique plusieurs. Une vidéo synthétique diffusée sur un réseau social peut ainsi soulever, au même moment, une question de marquage, de gestion des risques par la plateforme, de droit à l'image et de traitement de données personnelles.
La répartition française des compétences de surveillance au titre de l'AI Act doit être vérifiée dans les textes nationaux en vigueur à la date de votre analyse. Je déconseille donc de bâtir une procédure sur l'hypothèse d'un guichet unique. L'angle que je propose est plus robuste : la conformité ne repose pas sur un pictogramme, mais sur une chaîne de responsabilité documentée, de la sélection de l'outil jusqu'au retrait éventuel du contenu. Le hub AI Act d'IAPRO rassemble les repères utiles pour situer votre organisation.
Article 50 de l'AI Act : quelles obligations pour les fournisseurs et les déployeurs ?
Le texte de l'Article 50 répartit la transparence selon le rôle de chacun. Le fournisseur conçoit un système qui informe la personne d'une interaction avec une IA, sauf évidence, et marque les sorties synthétiques. Le déployeur informe les personnes exposées à certains systèmes biométriques et signale les deepfakes ainsi que certains textes d'intérêt public. Pour replacer ces règles dans l'ensemble du règlement, consultez ce guide Regulia destiné aux PME françaises.
Une lecture opérationnelle
| Situation | Responsable | Point d'attention |
|---|---|---|
| Chatbot ou avatar conversationnel | Fournisseur | Information au plus tard lors de la première interaction, sauf évidence |
| Sorties audio, image, vidéo, texte | Fournisseur | Marquage lisible par machine, dans la mesure du techniquement faisable |
| Reconnaissance des émotions, catégorisation biométrique | Déployeur | Information des personnes et respect du RGPD |
| Deepfake publié | Déployeur | Divulgation claire, allégée pour une œuvre manifestement créative |
| Texte d'intérêt public | Déployeur | Divulgation, sauf revue humaine et responsabilité éditoriale |
Qui est réellement déployeur ?
La FAQ de la Commission apporte trois précisions utiles :
- Le salarié agissant sous les instructions et le contrôle de son employeur n'est pas un déployeur distinct, car l'obligation repose alors sur la personne morale qui l'emploie.
- Le prestataire intervenant pour le compte d'une organisation, sous sa responsabilité et son contrôle, ne fait pas disparaître la qualité de déployeur de cette organisation.
- L'usage personnel sort du champ, mais une activité procurant régulièrement un avantage économique est considérée comme professionnelle, ce qui peut faire d'un indépendant un déployeur.
Les lignes directrices écartent aussi du marquage certaines sorties, comme le code source ou les échanges exclusivement entre machines. Elles encadrent en outre les environnements fermés de production, sauf pour le résultat final, ainsi qu'une exemption étroite pour certains usages interentreprises ou industriels. Ces exceptions doivent être interprétées prudemment et analysées avec le texte consolidé, notamment pour les systèmes déjà présents sur le marché.
Deepfakes, information et plateformes : le rôle concret de l'Arcom
L'AI Act définit le deepfake comme un contenu image, audio ou vidéo, généré ou manipulé par IA, qui ressemble à une personne, un objet, un lieu, une entité ou un événement existants et pourrait être pris pour authentique. Cette définition dépasse donc la seule imitation d'un visage : une fausse image d'événement peut aussi être concernée.
Des risques qui dépassent l'étiquette
Les scénarios à surveiller sont connus : voix usurpée d'un dirigeant, fausse déclaration publique, campagne coordonnée de manipulation, contenu visant des mineurs ou désinformation pendant une période électorale. En France, l'article 226-8 du Code pénal, modifié par la loi SREN, réprime également certains montages et contenus générés sans consentement, indépendamment de l'Article 50.
Une mention ne règle pas tout. Lorsqu'un contenu étiqueté est recommandé, monétisé ou rendu viral, le risque tient aussi à son amplification. C'est là que le DSA complète l'AI Act : ses articles 34 et 35 imposent aux très grandes plateformes, celles qui comptent au moins 45 millions d'utilisateurs actifs mensuels dans l'UE, d'évaluer et d'atténuer leurs risques systémiques. L'article 35 cite même le signalement visible de certains contenus synthétiques parmi les mesures possibles.
Ce qu'on peut attribuer à l'Arcom, et ce qu'on ne peut pas
Le rôle de l'Arcom doit être décrit avec précision, sans lui prêter des pouvoirs non établis :
- Coordination : elle coordonne en France l'application du DSA et coopère avec ses homologues européens et la Commission, compétente au premier chef pour les très grandes plateformes.
- Protection des publics : elle agit sur la protection des mineurs et sur le respect des règles applicables aux services relevant de sa supervision, selon les cadres en vigueur.
- Information fiable : elle veille au pluralisme et suit les manipulations de l'information, en particulier à l'approche des échéances électorales et dans les médias qu'elle régule.
La liberté d'expression demeure une limite structurante. L'Article 50 le reconnaît : pour une œuvre manifestement artistique, créative, satirique ou fictionnelle, la divulgation se limite à signaler l'existence du contenu généré, sans gêner l'affichage ni la jouissance de l'œuvre. Une parodie annoncée dans son générique n'a pas à être recouverte d'un bandeau permanent.
Marquage, détection et preuve : comment rendre un contenu IA identifiable ?
Aucune technique n'apporte seule une garantie complète. Le fournisseur doit rendre les sorties détectables par des moyens techniques, alors que le déployeur doit informer clairement le public. Ces deux niveaux sont complémentaires.
| Mécanisme | Utilité | Limite principale | |---|---|---|---| | Métadonnées et standards de provenance | Décrivent l'origine et l'historique du fichier | Retrait à l'export ou lors du partage | | Filigrane visible | Compréhensible immédiatement par le public | Recadrage, masquage | | Filigrane imperceptible | Résiste mieux à certains usages | Recompression, montage, méthode propriétaire | | Signature cryptographique | Atteste l'intégrité d'un fichier signé | Disparaît en cas de capture d'écran | | Empreinte de contenu | Retrouve un contenu déjà enregistré | Sensible aux transformations importantes | | Détection automatisée | Aide au tri à grande échelle | Faux positifs, générateurs en évolution | | Mention contextuelle | Informe clairement le public | Ne prouve pas l'origine du fichier |
Le Code de bonnes pratiques : un outil, pas une obligation
Le Code de bonnes pratiques sur la transparence des contenus générés par IA comporte une section pour les fournisseurs et une autre pour les déployeurs. Son adhésion reste volontaire, contrairement à l'Article 50. La Commission et le Comité IA l'ont jugé adéquat pour démontrer la conformité, et environ 190 organisations l'avaient signé fin juillet 2026. Une organisation non signataire peut choisir d'autres moyens, mais elle devra prouver leur adéquation devant les autorités de surveillance du marché.
Une architecture de preuve en six éléments
Je propose de conserver, pour chaque contenu sensible, un dossier court et consultable :
- Le registre des modèles : outil utilisé, fournisseur, version, paramètres utiles et conditions contractuelles applicables à la date de production du contenu.
- La validation humaine : nom du relecteur, date, périmètre réellement contrôlé et décision prise avant la publication du contenu concerné.
- Les fichiers sources : original, métadonnées conservées et version publiée, stockés sur un espace dont les droits d'accès sont maîtrisés.
- La capture de publication : mention affichée, emplacement, date et canal, afin de prouver ce que le public a effectivement vu.
- La procédure de retrait : responsable, délai interne fixé par l'organisation et circuit de décision en cas de signalement ou de contestation.
- Le journal d'incident : faits constatés, personnes prévenues, mesures correctives et enseignements intégrés ensuite à la procédure éditoriale.
Cas pratique : déployer une chaîne éditoriale IA conforme dans une organisation française
Prenons un exemple fictif : une agence de communication de 25 salariés rédige, illustre et double des contenus pour des collectivités et des entreprises. L'agence utilise ces outils sous son autorité : elle est donc déployeur pour ses usages professionnels, sous réserve de l'analyse de ses contrats. Si elle développait un système et le mettait en service sous sa propre marque, elle pourrait aussi devenir fournisseur.
Un parcours en huit étapes
Le processus suit cet ordre : cartographie des usages, qualification du contenu, vérification du rôle et des contrats, production, revue humaine, marquage et mention, publication et archivage, puis gestion des signalements.
Cinq scénarios à trancher
| Contenu | Qualification probable | Action proposée |
|---|---|---|
| Image entièrement générée, sans apparence trompeuse | Pas nécessairement un deepfake | Conserver le marquage et appliquer la politique interne |
| Retouche standard d'une photographie | Fonction d'assistance possible | Vérifier l'absence d'altération substantielle et archiver l'original |
| Vidéo synthétique d'une personne réelle | Deepfake probable | Obtenir l'accord écrit, divulguer et faire valider par un responsable |
| Article d'intérêt public assisté par IA | Texte visé par l'Article 50 | Assurer revue et responsabilité éditoriale, sinon divulguer |
| Fiction explicitement annoncée | Œuvre créative | Prévoir une mention adaptée qui ne gêne pas l'œuvre |
La revue humaine ne dispense que de la divulgation prévue pour les textes. Elle ne supprime ni l'étiquetage d'un deepfake, ni le droit à l'image, ni les autres règles applicables. Elle doit aussi être réelle : une validation automatique en un clic ne démontrera pas grand-chose.
Matrice d'escalade
- Réputation et droit à l'image : toute personne identifiable impose la vérification de son accord et une validation par le responsable éditorial avant toute diffusion.
- Mineurs et santé : ces contenus exigent un contrôle renforcé par un référent désigné, assorti d'une vérification des sources et d'un avis juridique en cas de doute.
- Élections et fraude : toute imitation d'un candidat, d'un dirigeant ou d'une institution déclenche un blocage de publication et une décision de la direction.
- Droits d'auteur : l'utilisation d'une œuvre ou d'un style identifiable suppose de contrôler les licences, les conditions de l'outil et l'origine des éléments fournis.
Chaque ligne doit nommer un responsable et un suppléant. C'est ce qui transforme une règle juridique en procédure reproductible et auditable. Les organisations réglementées peuvent adapter cette grille à leurs contraintes grâce aux repères de notre hub IA par métier.
Conformité IA générative, souveraineté et ROI : passer de la contrainte à l'avantage compétitif
Le non-respect de l'Article 50 expose à une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, selon l'article 99 du Règlement (UE) 2024/1689. Pour les PME, le montant le plus faible des deux s'applique. Ce risque justifie un socle proportionné, sans bureaucratie inutile.
Le socle minimal que je recommande
- Cadrer les usages : rédiger une politique interne, tenir l'inventaire des systèmes et classer les contenus selon leur sensibilité et leur exposition au public.
- Contrôler les fournisseurs : vérifier le marquage proposé, les conditions d'utilisation, la localisation des données, la conservation et les engagements de réversibilité dans chaque contrat.
- Former et valider : former les équipes conformément à l'article 4, applicable depuis février 2025, et imposer une validation humaine sur les sujets sensibles.
- Contrôler dans la durée : ouvrir un canal de signalement, tester la procédure de retrait et auditer périodiquement un échantillon de contenus réellement publiés.
Ce que la souveraineté apporte, et ce qu'elle n'apporte pas
Un modèle Mistral ou Llama exécuté avec Ollama et OpenWebUI sur une infrastructure maîtrisée améliore la confidentialité, la continuité de service et la disponibilité des journaux. Cette architecture facilite les réponses aux demandes de partenaires ou d'autorités. Elle ne dispense toutefois pas de l'Article 50 et peut même modifier le rôle de l'organisation : si elle met un système en service sous son propre nom, sa qualification doit être réexaminée.
Mesurer le retour sur investissement
Je ne donnerai pas de gain moyen sans données comparables. Mesurez plutôt votre propre situation avant et après déploiement : temps de validation, taux de contenus correctement signalés, délai de retrait, incidents détectés, actifs réutilisés et clauses contractuelles satisfaites. La confiance des audiences peut compléter ces mesures par des enquêtes ou des retours qualitatifs. Le calculateur de ROI IA aide à structurer le volet économique, et notre glossaire IA à harmoniser le vocabulaire des équipes.
FAQ — ARCOM, IA générative et contenus
L'Arcom est-elle l'autorité française chargée de contrôler tous les contenus générés par IA ?
Non. L'Arcom régule notamment l'audiovisuel, certaines plateformes et agit comme coordinateur français du DSA, mais elle ne contrôle pas seule tous les contenus générés par IA. La Commission européenne, l'AI Office, les autorités de surveillance du marché et la CNIL interviennent aussi, selon l'acteur concerné, le service utilisé, la nature du manquement et les données traitées.
À partir de quelle date les obligations de transparence de l'Article 50 de l'AI Act s'appliquent-elles ?
Les obligations de transparence de l'Article 50 du Règlement (UE) 2024/1689 s'appliquent depuis le 2 août 2026, selon la Commission européenne. Elles couvrent l'information sur les interactions avec une IA, le marquage des sorties synthétiques, certains systèmes biométriques, les deepfakes et certains textes d'intérêt public. Une organisation doit donc vérifier dès maintenant ses usages en production.
Quelle différence existe-t-il entre un fournisseur et un déployeur d'IA générative ?
Le fournisseur développe un système d'IA, ou le fait développer, puis le met sur le marché ou en service sous son nom ou sa marque. Le déployeur l'utilise sous son autorité dans un cadre professionnel. Un salarié agissant sous les instructions de son employeur n'est pas un déployeur distinct : l'obligation repose alors sur la personne morale.
Quels contenus générés par IA doivent être signalés au public ?
Doivent être signalés au public les deepfakes image, audio ou vidéo, ainsi que les textes générés ou manipulés publiés pour informer sur des sujets d'intérêt public, sauf revue humaine et responsabilité éditoriale. Les œuvres manifestement artistiques, satiriques ou fictionnelles bénéficient d'une divulgation allégée. D'autres règles sectorielles, nationales ou contractuelles peuvent aussi imposer une information complémentaire.
Un texte rédigé avec l'aide d'une IA doit-il toujours être étiqueté ?
Non. L'Article 50 vise les textes publiés pour informer le public sur des sujets d'intérêt public. Même dans ce cas, l'étiquette n'est pas requise lorsque le contenu a fait l'objet d'une revue humaine ou d'un contrôle éditorial et qu'une personne assume la responsabilité de publication. Cette revue doit être réelle et pouvoir être démontrée par des preuves.
Le Code européen de bonnes pratiques sur la transparence est-il obligatoire ?
Non. L'adhésion au Code est volontaire, alors que l'Article 50 reste une obligation légale. Le Code offre aux signataires un cadre reconnu pour démontrer leur conformité. Les organisations qui choisissent d'autres moyens doivent prouver l'adéquation de leurs mesures, appréciée individuellement par les autorités de surveillance du marché. Il ne remplace ni le règlement ni les lignes directrices.
Une simple mention visible suffit-elle à prouver l'origine artificielle d'un contenu ?
Non. Une mention informe le public, mais elle ne prouve ni l'origine du fichier ni son processus de production. La preuve repose sur un ensemble : marquage lisible par machine, métadonnées conservées, version du modèle, validation humaine horodatée et capture de la publication. Chaque élément a ses limites, d'où l'intérêt de les combiner dans un registre.
Comment une entreprise peut-elle se préparer concrètement à la régulation des contenus IA ?
Commencez par inventorier les outils et les contenus publiés, puis qualifiez chaque usage : fournisseur ou déployeur, deepfake, texte d'intérêt public, exception possible. Définissez ensuite les responsables, la revue humaine, les mentions, l'archivage et la procédure de retrait. Un audit périodique permet enfin de contrôler l'application réelle de ces règles sur un échantillon de publications.
Pour aller plus loin avec IAPRO
Les obligations de l'Article 50 s'appliquent déjà : le diagnostic doit donc porter sur vos usages réels. IAPRO peut vous aider à auditer ces usages, établir une feuille de route, structurer la gouvernance, sélectionner des solutions et sécuriser leur déploiement, sans se substituer à votre conseil juridique. Découvrez notre accompagnement AI Act ou contactez-nous pour cadrer un diagnostic.
Vérifiez vos aides en 2 minutes
Chaque dispositif (Bpifrance, France Num, aides régionales, OPCO) a ses propres critères d'éligibilité et ses propres délais. Notre simulateur croise votre profil avec les dispositifs actifs, ou échangez directement avec un expert IAPRO.
Vérifier mon éligibilité Demander un diagnostic gratuit de 30 min