IA Act et droit français de l’intelligence artificielle : ce que tout dirigeant, infopreneur ou marque doit maîtriser en 2026
Résumé — IA Act, RGPD, loi Influenceurs, propriété intellectuelle. Le cadre juridique de l’IA expliqué aux entrepreneurs, infopreneurs et marques, à jour de l’omnibus 2026.
INTRODUCTION
Un infopreneur automatise sa relation client avec un agent conversationnel.
Une marque de compléments alimentaires illustre ses campagnes avec des visuels générés par intelligence artificielle.
Un coach entraîne un modèle sur les messages de ses clients pour affiner ses réponses.
Trois usages banals, trois profils de risque juridique très différents, et une même illusion partagée : celle d’un vide juridique.
Pourtant, ce vide n’existe pas. L’intelligence artificielle n’est pas une zone de non‑droit, elle est au contraire l’un des espaces les plus régulés du numérique européen.
La difficulté tient à ce que ce cadre n’est pas contenu dans un texte unique.
Il résulte de la superposition d’un règlement européen dédié : le règlement (UE) 2024/1689 dit « IA Act » ; et d’un ensemble de textes français préexistants qui continuent de s’appliquer pleinement : le RGPD, la loi Informatique et Libertés, la loi encadrant l’influence commerciale, le Code de la consommation et le Code de la propriété intellectuelle.
L’année 2026 est charnière. Certaines obligations sont déjà applicables, une échéance majeure tombe le 2 août 2026, et un texte de simplification récent, le « Digital Omnibus », vient de redessiner le calendrier.
Voici ce qu’un entrepreneur ou une entreprise doit comprendre pour sécuriser son activité.
UNE MULTITUDE DE SOURCES JURIDIQUES
La première erreur consiste à chercher « la loi sur l’IA ». En pratique, votre activité est encadrée par plusieurs corps de règles qui s’additionnent.
L’IA Act, règlement (UE) 2024/1689 du 13 juin 2024, constitue le socle horizontal.
Directement applicable en France, sans transposition, il classe les systèmes d’IA selon quatre niveaux de risque : inacceptable (pratiques interdites), haut risque, risque limité (obligations de transparence), et risque minimal (libre usage).
À côté de ce socle, le droit français continue de produire ses effets.
Le RGPD et la loi n° 78‑17 du 6 janvier 1978 gouvernent tout traitement de données personnelles réalisé au moyen d’une IA.
La loi n° 2023‑451 du 9 juin 2023 encadrant l’influence commerciale impose des mentions de transparence sur certains contenus.
Le Code de la consommation sanctionne les pratiques commerciales trompeuses.
Le Code de la propriété intellectuelle détermine ce qui peut, ou non, être protégé.
Une distinction commande toute votre analyse : celle du rôle que vous jouez.
L’IA Act oppose principalement le fournisseur, qui développe un système d’IA et le met sur le marché, au déployeur, qui utilise un tel système sous sa propre autorité dans un cadre professionnel.
La grande majorité des entrepreneurs, infopreneurs et marques sont des déployeurs : ils utilisent des outils tiers.
Leurs obligations sont plus légères que celles des fournisseurs, mais elles existent.
Attention toutefois à une bascule : selon les lignes directrices de la Commission, un déployeur qui modifie substantiellement un modèle, ou qui appose son nom sur un système à haut risque, peut être requalifié en fournisseur et récupérer les obligations correspondantes.
LE CALENDRIER 2026 : CE QUI S’APPLIQUE DÉJÀ, CE QUI ARRIVE, CE QUI A ÉTÉ REPORTÉ
L’IA Act est entré en vigueur le 1er août 2024, mais ses obligations se déploient par paliers.
Depuis le 2 février 2025 : s’appliquent l’interdiction des pratiques à risque inacceptable, prévues à l’article 5 (notation sociale, manipulation subliminale, exploitation des vulnérabilités, certaines identifications biométriques), ainsi que l’obligation de « maîtrise de l’IA » de l’article 4, qui impose aux fournisseurs comme aux déployeurs de veiller à un niveau suffisant de littératie de leur personnel.
Depuis le 2 août 2025 : s’appliquent les règles propres aux modèles d’IA à usage général et la gouvernance européenne.
L’échéance suivante est décisive pour votre business : le 2 août 2026, les obligations de transparence de l’article 50 deviennent applicables, de même que le régime de sanctions de l’article 99.
C’est ici qu’intervient le Digital Omnibus.
Le 29 juin 2026, le Conseil de l’Union européenne a définitivement adopté ce paquet de simplification, après le vote du Parlement européen du 16 juin 2026.
Sa publication au Journal officiel de l’Union européenne est imminente, l’entrée en vigueur intervenant le troisième jour suivant cette publication.
Ce texte reporte l’essentiel des obligations lourdes sur les systèmes à haut risque : l’annexe III (biométrie, emploi, éducation, crédit, services essentiels) passe du 2 août 2026 au 2 décembre 2027, et les systèmes intégrés à des produits réglementés de l’annexe I glissent au 2 août 2028.
Il faut toutefois éviter le contresens qui circule beaucoup : ce report ne concerne pas la transparence de l’article 50, qui reste applicable au 2 août 2026.
Le Digital Omnibus introduit par ailleurs deux nouvelles interdictions à compter du 2 décembre 2026, visant les contenus intimes non consentis et les contenus pédocriminels générés par IA, et aménage un délai de grâce, jusqu’au 2 décembre 2026, pour le marquage des contenus produits par des systèmes génératifs déjà présents sur le marché.
Autrement dit, le calendrier a été assoupli sur le haut risque, mais l’obligation la plus susceptible de vous concerner, la transparence, n’a pas bougé.
REPÈRE PRATIQUE — FOURNISSEUR OU DÉPLOYEUR ?
Vous êtes déployeur si vous utilisez un outil d’IA tiers (assistant de rédaction, générateur d’images, chatbot du commerce) dans votre activité.
Vos obligations principales : littératie de vos équipes (art. 4, déjà applicable), et, à compter du 2 août 2026, transparence lorsque vous exposez le public à un chatbot ou à un contenu généré (art. 50).
Vous pouvez devenir fournisseur si vous entraînez ou modifiez substantiellement un modèle, ou si vous commercialisez un système sous votre marque.
Dans ce cas, le régime se durcit nettement.
Qualifiez votre rôle par écrit avant tout déploiement : c’est la première pièce de votre dossier de conformité.
LA TRANSPARENCE : LA RÈGLE QUI TOUCHE DIRECTEMENT VOTRE COMMUNICATION
L’article 50 de l’IA Act est celui qui concerne le plus grand nombre d’entrepreneurs, parce qu’il ne dépend pas du niveau de risque du système mais de ce qu’il fait.
Trois obligations méritent votre attention.
D’abord, lorsque vous exposez le public à un système conversationnel, vous devez informer les personnes qu’elles interagissent avec une IA, sauf si cela est manifeste.
Ensuite, les fournisseurs de systèmes génératifs doivent marquer, dans un format lisible par machine, les contenus synthétiques qu’ils produisent, texte, image, audio ou vidéo.
Enfin, le déployeur qui diffuse un « deepfake », c’est‑à‑dire un contenu imitant des personnes ou des événements réels de façon trompeuse, doit indiquer clairement son caractère artificiel ; il en va de même pour un texte publié afin d’informer le public sur des questions d’intérêt général, sauf contrôle éditorial humain assumé.
Cette obligation européenne ne remplace pas les règles françaises préexistantes, elle s’y ajoute.
La loi n° 2023‑451 du 9 juin 2023, modifiée par l’ordonnance n° 2024‑978 du 6 novembre 2024, impose déjà que les images produites par un procédé d’intelligence artificielle et visant à représenter un visage ou une silhouette soient accompagnées de la mention « Images virtuelles », claire, lisible et compréhensible sur tout support.
Pour une marque fitness, un coach ou un créateur qui publie des visuels corporels retouchés ou générés, cette obligation est déjà pleinement applicable, indépendamment du calendrier de l’IA Act.
RGPD ET CNIL : UTILISER UNE IA SUR DES DONNÉES, C’EST UN TRAITEMENT
Dès que votre usage de l’IA implique des données personnelles, prospects, clients, abonnés à votre newsletter, participants à votre formation, vous réalisez un traitement soumis au RGPD, et la CNIL en est le régulateur.
La CNIL a publié une série de recommandations et de fiches pratiques dédiées au développement des systèmes d’IA.
Trois enseignements en ressortent pour un usage professionnel courant.
Le premier tient à la base légale : tout traitement doit reposer sur l’un des fondements de l’article 6 du RGPD. Pour un usage privé, l’intérêt légitime de l’article 6, paragraphe 1, sous f, est le fondement le plus fréquemment mobilisé, mais il n’est valide qu’au terme d’un test en trois temps, légitimité, nécessité et mise en balance, qui doit être documenté.
Le deuxième concerne les données sensibles : les informations relatives à la santé, aux objectifs physiques, aux mensurations ou aux pathologies bénéficient de la protection renforcée de l’article 9, dont le traitement est en principe interdit sauf exception applicable.
Le troisième porte sur la confidentialité de vos saisies : coller des données personnelles, un secret d’affaires ou un fichier client dans un outil d’IA grand public revient souvent à transférer ces informations à un tiers, ce qui suppose une base légale, une information des personnes et, selon le risque, une analyse d’impact au titre de l’article 35.
À mon sens, ce volet est celui que les créateurs et infopreneurs sous‑estiment le plus, précisément parce qu’il ne se voit pas. La conformité se joue en amont, dans la politique de confidentialité et dans le choix des outils, pas après un contrôle.
PROPRIÉTÉ INTELLECTUELLE : À QUI APPARTIENT CE QUE L’IA PRODUIT ?
La question de la titularité est mal comprise, et cette incompréhension coûte cher lorsqu’un actif est en jeu.
En droit français, une création n’est protégée par le droit d’auteur que si elle est originale, l’originalité s’entendant de l’empreinte de la personnalité de son auteur, personne physique, au sens de l’article L. 112‑1 du Code de la propriété intellectuelle.
Selon l’analyse aujourd’hui dominante, une production entièrement générée par une IA, sans intervention créative humaine caractérisée, ne remplit pas cette condition et n’est donc pas protégeable : vous ne pourrez pas empêcher un concurrent de reprendre un visuel purement automatique.
Cette lecture n’a toutefois pas encore été tranchée de façon définitive par la Cour de cassation sur le cas spécifique de l’IA générative.
En revanche, un travail humain significatif de sélection, d’agencement et de reprise du résultat peut ouvrir la protection sur la contribution originale ainsi apportée.
Deux risques complètent le tableau.
D’une part, un contenu généré par IA peut reproduire, en tout ou partie, une œuvre protégée présente dans les données d’entraînement, et exposer son utilisateur à une action en contrefaçon.
D’autre part, les droits que vous détenez réellement sur les sorties d’un outil dépendent des conditions générales de la plateforme utilisée, qui varient fortement d’un service à l’autre. Avant tout usage commercial, lisez ces conditions et conservez‑en la trace.
PRATIQUES COMMERCIALES ET RESPONSABILITÉ : NE PAS TROMPER, BIEN CONTRACTER
L’usage de l’IA ne suspend pas le droit commun de la loyauté commerciale.
Une communication commerciale doit demeurer identifiable comme telle, et un contenu généré par IA présenté comme authentique afin d’influencer la décision du consommateur peut constituer une pratique commerciale trompeuse, sanctionnée par les articles L. 121‑2 et suivants du Code de la consommation.
La responsabilité se partage alors entre l’annonceur et, le cas échéant, le créateur qui diffuse.
Sur le terrain contractuel, dès que vous déléguez la production de contenus à un prestataire, votre contrat doit prévoir la déclaration des outils d’IA employés, la garantie d’absence d’atteinte aux droits de tiers, et la répartition claire des responsabilités en cas de réclamation.
Ces clauses, souvent absentes des prestations digitales, sont pourtant celles qui vous protègent en cas de litige.
Un mot sur la gouvernance française, encore en cours de structuration.
Il n’existe pas d’autorité unique : la CNIL occupe une place centrale sur le volet données, tandis qu’un schéma présenté le 9 septembre 2025 confie une coordination stratégique et opérationnelle à plusieurs administrations, avec le concours de l’ANSSI.
L’architecture de surveillance de l’IA Act en France se précisera dans les prochains mois.
ERREURS FRÉQUENTES
1. Publier des visuels corporels générés ou retouchés par IA sans la mention « Images virtuelles » imposée depuis 2023.
2. Coller des données clients dans un outil d’IA grand public sans base légale ni information des personnes.
3. Supposer que vous détenez un droit d’auteur sur tout contenu produit par une IA, et pouvoir ainsi en interdire la reprise.
CHECKLIST DE CONFORMITÉ
1. Qualifier votre rôle par écrit pour chaque usage : déployeur ou fournisseur.
2. Recenser vos usages d’IA et identifier ceux qui exposent le public (chatbot, contenus générés, deepfakes).
3. Préparer, pour le 2 août 2026, l’information des utilisateurs interagissant avec une IA et le signalement des contenus artificiels.
4. Appliquer dès à présent la mention « Images virtuelles » sur tout visage ou silhouette produit par IA.
5. Documenter la base légale RGPD de chaque traitement et proscrire la saisie de données sensibles ou confidentielles dans les outils grand public.
6. Vérifier les conditions générales de chaque plateforme d’IA quant aux droits sur les sorties.
7. Insérer dans vos contrats de prestation les clauses de déclaration d’usage de l’IA et de garantie contre la contrefaçon.
8. Engager, si vous n’êtes pas concerné par le haut risque, une simple mise à niveau de la littératie IA de vos équipes.
CONCLUSION
Le cadre juridique de l’intelligence artificielle n’est ni un mur ni un mirage. C’est un ensemble d’obligations lisibles, dont la plupart se satisfont d’une organisation en amont et d’une documentation soignée. Pour un dirigeant, un infopreneur ou une marque, la vraie question n’est pas de savoir si le droit s’applique, il s’applique déjà, mais de savoir quelle échéance vous concerne, à quel titre, et ce qui doit être en place avant le 2 août 2026. Cet arbitrage se prépare maintenant.
Sécurisons votre usage de l’IA
Cartographie de vos usages, transparence, RGPD, propriété intellectuelle et contrats : faisons le point avant l’échéance du 2 août 2026.
Romain BRIERE
Avocat au barreau de Grasse
romain.briere@avocat.fr
Prendre rendez‑vous : consultation.avocat.fr
SOURCES ET RÉFÉRENCES
◆ Règlement (UE) 2024/1689 du 13 juin 2024 (IA Act) : cadre horizontal fondé sur les risques, applicable par paliers de 2025 à 2028. Texte sur EUR‑Lex
◆ IA Act, article 4 : obligation de maîtrise et de littératie de l’IA, applicable depuis le 2 février 2025.
◆ IA Act, article 5 : pratiques d’IA interdites, applicables depuis le 2 février 2025 ; deux nouvelles interdictions ajoutées par le Digital Omnibus à compter du 2 décembre 2026.
◆ IA Act, article 50 : obligations de transparence (information sur l’interaction avec une IA, marquage des contenus générés, signalement des deepfakes), applicables au 2 août 2026.
◆ IA Act, article 99 : sanctions administratives, jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 M€ ou 3 % pour les autres manquements.
◆ Digital Omnibus (règlement de simplification de l’IA Act) : adopté par le Conseil le 29 juin 2026 ; report des systèmes à haut risque de l’annexe III au 2 décembre 2027 et de l’annexe I au 2 août 2028.
◆ Règlement (UE) 2016/679 (RGPD) et loi n° 78‑17 du 6 janvier 1978 : encadrement de tout traitement de données personnelles réalisé au moyen d’une IA.
◆ CNIL, recommandations sur le développement des systèmes d’IA et le respect du RGPD. Recommandations CNIL · Fiches pratiques IA
◆ Loi n° 2023‑451 du 9 juin 2023 encadrant l’influence commerciale, modifiée par l’ordonnance n° 2024‑978 du 6 novembre 2024 : mention « Images virtuelles » pour les images produites par IA représentant un visage ou une silhouette.
◆ Code de la consommation, articles L. 121‑2 et suivants : pratiques commerciales trompeuses.
◆ Code de la propriété intellectuelle, article L. 112‑1 : protection des œuvres originales ; condition d’originalité entendue comme l’empreinte de la personnalité de l’auteur.
Contenu informatif général, à jour au 3 juillet 2026. Ne constitue pas un conseil juridique personnalisé.
Pas de contribution, soyez le premier