Call-bot.ai

Réglementation & confianceMis à jour le 17 min de lecture

AI Act : calendrier et obligations concrètes

L'AI Act (règlement européen 2024/1689) s'applique par paliers, et son calendrier a été modifié le 27 juillet 2026 : les exigences « haut risque » sont reportées à décembre 2027 et août 2028, pas l'article 50. Depuis le 2 août 2026, un chatbot ou un callbot doit être conçu pour informer son interlocuteur qu'il parle à une IA. Cet article fait l'état du droit au 21 octobre 2026, sans valoir avis juridique.

Drapeaux de l'Union européenne flottant devant un immeuble de bureaux en verre

Photo : Marco · Pexels

Corrigé le 22/10/2026 : la première version de cet article (23/09/2026) reprenait les nouvelles échéances fixées par le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026 (haut risque reporté à décembre 2027 et août 2028, article 50 maintenu au 2 août 2026 hors un délai de grâce pour le marquage des contenus de synthèse), sans citer ce règlement et en renvoyant, pour l'article 113, au texte d'origine. Elle contenait aussi des erreurs sur les cas où une entreprise devient fournisseuse d'un système (article 25), sur le classement de la reconnaissance des émotions, sur l'article 4 (réécrit par ce règlement) et sur la citation de l'article 50. Tout est corrigé ci-dessous. Notre politique de corrections.

Ce que l'AI Act couvre

L'AI Act est le règlement (UE) 2024/1689, adopté par le Parlement européen et le Conseil et entré en vigueur le 1er août 2024. En tant que règlement — et non directive —, il s'applique directement dans tous les États membres, sans loi nationale de transposition : une entreprise française, belge ou luxembourgeoise y est soumise telle quelle. Les États membres doivent en revanche fixer le régime des sanctions (article 99, paragraphe 1) et désigner les autorités de surveillance du marché. Il a été modifié le 27 juillet 2026 par le règlement (UE) 2026/1744 ; cet article s'appuie sur le texte consolidé publié par EUR-Lex à cette date, qui est un outil de documentation sans effet juridique.

Le texte ne réglemente pas « l'intelligence artificielle » de façon générale. Il distingue deux objets juridiques précis : le système d'IA (une application concrète — un callbot, un chatbot, un outil de tri de CV) et le modèle d'IA à usage général (le moteur sous-jacent, par exemple un grand modèle de langage). Les obligations diffèrent selon l'objet, et un même produit combine souvent les deux : un callbot est un système d'IA qui peut s'appuyer sur un modèle développé par un tiers.

Il distingue aussi deux rôles, définis à l'article 3. Le fournisseur développe un système, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque ; le déployeur l'utilise sous sa propre autorité dans un cadre professionnel. Une entreprise qui achète la solution d'un éditeur de callbot et la configure pour son service client est, en général, déployeuse. Elle devient fournisseuse si elle développe ou fait développer un système et le met en service sous son propre nom ou sa propre marque (article 3, point 3) : les lignes directrices de la Commission citent l'exemple d'une organisation qui développe un chatbot en interne et le met en service pour son propre usage, sous son nom ou sa marque, et celui d'une entreprise qui modifie un système existant (par exemple avec de nouvelles données d'entraînement) puis le met en service sous son propre nom. Pour un système à haut risque, apposer sa marque ou le modifier substantiellement suffit aussi (article 25).

Cet article traite de ce que ce cadre change pour une entreprise qui déploie un outil conversationnel. Les systèmes capables d'agir au-delà de la conversation, présentés dans qu'est-ce qu'un agent IA, soulèvent des questions voisines non traitées ici.

Un stylo tenu près d'une date entourée en rouge sur un calendrier de bureau
Photo : Towfiqu barbhuiya · Pexels

Le calendrier d'application

L'article 113 échelonne l'application du règlement, et ce calendrier a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus on AI » : publié au Journal officiel de l'Union le 24 juillet 2026, il est entré en vigueur le 27 juillet. Le Parlement européen et le Conseil l'ont adopté sur proposition de la Commission du 19 novembre 2025. Le tableau distingue ce qui est applicable de ce qui est adopté mais pas encore applicable.

Date Ce qui devient applicable Statut au 21 octobre 2026
1er août 2024 Entrée en vigueur du règlement En vigueur
2 février 2025 Chapitres I et II : dispositions générales, maîtrise de l'IA (article 4), pratiques interdites (article 5) Applicable
2 août 2025 Gouvernance (autorités nationales, AI Office), obligations des fournisseurs de modèles à usage général, régime des sanctions Applicable
27 juillet 2026 Entrée en vigueur du règlement 2026/1744 (calendrier, article 4 modifié) En vigueur
2 août 2026 Application générale du règlement, dont l'article 50 (transparence) Applicable
2 décembre 2026 Deux nouveaux points de l'article 5 (contenus sexuels intimes non consentis, matériel d'abus sexuels sur mineurs générés par IA), que la Commission présente comme une seule interdiction, la neuvième ; fin du délai de grâce pour le marquage des contenus de synthèse des systèmes déjà sur le marché avant le 2 août 2026 (article 50, paragraphe 2) Adopté, pas encore applicable
2 décembre 2027 Exigences des systèmes à haut risque de l'annexe III Adopté, pas encore applicable
2 août 2028 Exigences des systèmes à haut risque de l'annexe I (produits réglementés : dispositifs médicaux, jouets, ascenseurs...) Adopté, pas encore applicable

Le report des échéances « haut risque » (initialement le 2 août 2026 pour l'annexe III et le 2 août 2027 pour l'annexe I) ne concerne pas l'article 50 : la Commission le confirme, l'article 50 s'applique depuis le 2 août 2026, avec un seul délai de grâce, pour le marquage des contenus de synthèse (article 111, paragraphe 4). Reste à l'état de proposition le volet données du même paquet omnibus (RGPD, directive ePrivacy) : sa procédure (2025/0360(COD)) en est, sur l'Observatoire législatif du Parlement européen, au stade « Awaiting committee decision ».

Classer son usage par niveau de risque

Le règlement organise ses obligations autour de quatre niveaux de risque, la grille que la Commission utilise elle-même. Le niveau dépend du contexte d'usage précis, pas de la technologie.

Niveau Ce que ça couvre Obligation principale
Inacceptable Pratiques de l'article 5 : manipulation nuisible, exploitation de vulnérabilités, notation sociale, certains usages biométriques, reconnaissance des émotions au travail et dans l'éducation ; huit pratiques depuis le 2 février 2025, une neuvième à partir du 2 décembre 2026 (décompte de la Commission) Interdiction
Élevé Systèmes de l'annexe III (huit domaines) ou composants de sécurité de produits réglementés (annexe I) Conformité lourde : 2 décembre 2027 (annexe III), 2 août 2028 (annexe I)
Transparence Systèmes qui interagissent avec une personne, génèrent du contenu de synthèse, reconnaissent des émotions ou catégorisent selon des données biométriques Information (article 50), depuis le 2 août 2026
Minimal Tout le reste Pas d'obligation propre au niveau, hors maîtrise de l'IA (article 4)

Les huit domaines de l'annexe III couvrent la biométrie (dont la reconnaissance des émotions), les infrastructures critiques, l'éducation, l'emploi, l'accès aux services essentiels privés et publics, la police, la migration et la justice ou les processus démocratiques. Aucun ne nomme un chatbot ou un callbot de service client : ce qui déclenche le haut risque, c'est la finalité du système. Un standard augmenté, une prise de rendez-vous ou une qualification de leads ne correspondent, en l'état de cette liste, à aucun des huit domaines.

Trois situations demandent un examen au cas par cas : un callbot qui évalue ou présélectionne des candidats (annexe III, point 4) ; un système qui évalue la solvabilité d'une personne, tarife une assurance vie ou santé, évalue l'éligibilité à des prestations publiques ou classe des appels d'urgence (point 5) ; un système qui infère des émotions à partir de données biométriques (point 1, c). L'article 6, paragraphe 3, permet de ne pas classer à haut risque un système de l'annexe III qui ne présente pas de risque important, par exemple parce qu'il exécute une tâche procédurale étroite, mais jamais s'il effectue du profilage de personnes physiques.

Le troisième cas concerne les callbots qui analysent la voix. L'article 5 interdit l'inférence d'émotions au travail et dans l'enseignement, sauf motif médical ou de sécurité. Les lignes directrices de la Commission sur les pratiques interdites précisent que suivre par la voix les émotions de ses clients dans un centre d'appels n'est pas interdit par cet article, mais que les systèmes de reconnaissance des émotions utilisés hors travail et éducation sont considérés comme à haut risque ; le même système appliqué aux salariés est interdit. Il faut que le système déduise les émotions sur la base de données biométriques (article 3, point 39) : les lignes directrices y rangent la voix, pas l'analyse de sentiment d'un texte. Ce guide ne tranche pas la classification d'un système précis : à confronter au texte et, en cas de doute, à un juriste.

Obligations concrètes pour le conversationnel

Pour une entreprise qui déploie un callbot ou un chatbot hors haut risque, l'AI Act se traduit surtout par deux points : l'information de l'interlocuteur sur le fait qu'il échange avec une IA (article 50, paragraphe 1), obligation de conception qui pèse sur le fournisseur, et les mesures de maîtrise de l'IA de ses équipes (article 4), qui s'imposent à elle comme déployeuse. S'y ajoute une vérification par contrat que l'éditeur a mis en œuvre la première.

Informer l'interlocuteur. L'article 50, paragraphe 1, impose aux fournisseurs de concevoir les systèmes destinés à interagir directement avec des personnes physiques de manière que celles-ci soient informées qu'elles interagissent avec une IA, « sauf si cela ressort clairement du point de vue d'une personne physique normalement informée et raisonnablement attentive et avisée, compte tenu des circonstances et du contexte d'utilisation ». Le paragraphe 5 précise que l'information est donnée « de manière claire et reconnaissable au plus tard au moment de la première interaction ». L'article ne distingue pas les canaux, voix ou texte (voir chatbot ou callbot).

Les lignes directrices de la Commission, dont la Commission a approuvé le contenu le 20 juillet 2026 (C(2026) 5054) en annonçant leur adoption formelle une fois toutes les versions linguistiques disponibles, en tirent des consignes précises. Les assistants vocaux et les chatbots de service client y figurent parmi les exemples de systèmes concernés. Par téléphone, elles citent comme technique appropriée une déclaration orale explicite au début de l'échange, avec des rappels dans les échanges longs ; des sons ou des tonalités ne suffisent pas seuls. Ne suffisent pas non plus une mention dans les conditions générales, un libellé vague comme « assistant » ou un bandeau générique indiquant que les services du site utilisent l'IA. L'exception de l'évidence doit être interprétée de façon restrictive : la Commission range les chatbots de centre d'aide parmi les cas où elle ne joue pas, et cite comme cas d'évidence un assistant interne destiné à du personnel formé.

Qui doit faire quoi. L'obligation de l'article 50, paragraphe 1, pèse sur le fournisseur, qui doit concevoir le système pour qu'il délivre cette information. Le déployeur a intérêt à vérifier que la fonction existe dans l'outil acheté, qu'une configuration ne la masque pas, et à l'exiger au contrat plutôt qu'à la présumer. Pour les contenus de synthèse (audio, texte), l'article 50, paragraphe 2, impose aux fournisseurs de marquer les sorties dans un format lisible par machine. Les systèmes déjà commercialisés avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour ce seul marquage ; la Commission précise qu'un système à la fois interactif et génératif doit informer l'interlocuteur dès le 2 août 2026. Les paragraphes 3 et 4 visent les déployeurs : information des personnes exposées à une reconnaissance des émotions, étiquetage des hypertrucages et de certains textes publiés pour informer le public.

Maîtrise de l'IA. Applicable depuis le 2 février 2025, l'obligation a été assouplie le 27 juillet 2026. L'article 4 dit désormais que fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel » et les autres personnes qui s'occupent du système, et que cette obligation « ne contraint pas [...] à garantir un niveau spécifique de maîtrise de l'IA par un individu ». Concrètement : une notice interne, une formation minimale pour ceux qui paramètrent ou supervisent l'outil, une procédure de remontée des cas hors périmètre.

Si le callbot s'appuie sur un modèle tiers, les obligations du chapitre V sur les modèles à usage général pèsent sur l'éditeur du modèle, pas sur l'entreprise qui déploie le callbot bâti au-dessus ; l'usage qu'elle en fait reste de sa responsabilité.

Sanctions. Selon l'article 99, un manquement aux obligations de transparence de l'article 50 peut être sanctionné d'une amende administrative allant jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu ; le plafond pour les pratiques interdites est de 35 000 000 € ou 7 %. Pour une PME, c'est le montant le plus bas qui s'applique (paragraphe 6), et depuis le 27 juillet 2026 la même règle vaut pour les petites entreprises à moyenne capitalisation, pour les amendes des paragraphes 4 et 5 (paragraphe 6 bis). Selon la Commission, l'application de l'article 50 relève principalement des autorités nationales de surveillance du marché. En France, la répartition des autorités relève d'un projet de loi d'adaptation au droit de l'Union (n° 118), adopté par le Sénat le 18 février 2026 : transmis à l'Assemblée nationale le 20 février 2026 (texte n° 2518), il y était encore en première lecture au 21 octobre 2026, d'après le dossier législatif de l'Assemblée.

Ce qu'il faut préparer dès maintenant

  • Faire l'inventaire des callbots, chatbots et assistants conversationnels en service ou en projet, en identifiant pour chacun le fournisseur et le déployeur.
  • Vérifier par contrat que le fournisseur a implémenté l'information de l'article 50, qu'elle n'est pas désactivable sans que l'entreprise le sache, et connaître sa position sur le marquage des contenus de synthèse.
  • Annoncer l'IA dès la première seconde : phrase d'ouverture d'un callbot, premier message d'un chatbot, avec une formulation explicite.
  • Soutenir la maîtrise de l'IA des équipes qui paramètrent ou supervisent ces outils, et garder trace des mesures prises.
  • Documenter la classification du risque de chaque usage, y compris quand la conclusion est « hors annexe III » : un même outil change de qualification si son usage évolue, par exemple un chatbot RH qui commence à trier des candidatures ou un callbot qui infère des émotions.
  • Articuler avec le RGPD : les deux textes s'appliquent en parallèle, voir RGPD et callbot. Pour un callbot sortant, le cadre du démarchage s'y ajoute : loi sur le démarchage téléphonique 2026 et callbot entrant ou sortant.
  • Suivre les évolutions plutôt que figer une feuille de route : le calendrier a déjà été modifié une fois, et le reste du paquet omnibus (RGPD, ePrivacy) est encore en discussion. Pour choisir un outil conforme, voir chatbot IA pour l'entreprise ; pour un premier cadrage, une demande de devis.

Questions fréquentes

AI Act et chatbot : faut-il informer l'utilisateur ?

Oui, en règle générale : depuis le 2 août 2026, l'article 50 impose aux fournisseurs de concevoir les systèmes d'IA qui interagissent avec des personnes de façon qu'elles sachent qu'elles parlent à une IA, au plus tard au premier échange, sauf si c'est évident pour une personne normalement informée et attentive. Selon la Commission, cette exception est d'interprétation restrictive et ne joue pas pour un chatbot de centre d'aide.

AI Act et callbot : quelle obligation de transparence ?

La même, sous une forme adaptée à la voix : les lignes directrices citent comme technique appropriée une déclaration orale explicite au début de l'appel, avec des rappels dans les échanges longs, et jugent insuffisants les seuls sons ou une mention dans les conditions générales. Pour un callbot sortant, elle s'ajoute à l'identification de l'appelant exigée par le droit du démarchage téléphonique.

Mon callbot ou chatbot de service client est-il à haut risque ?

En principe non : aucun des huit domaines de l'annexe III ne nomme le service client. Le haut risque se joue sur la finalité : recrutement, solvabilité, tarification d'une assurance vie ou santé, prestations publiques, appels d'urgence, ou inférence d'émotions à partir de données biométriques comme la voix. Ces exigences s'appliquent à partir du 2 décembre 2027.

Quel calendrier pour une PME ?

Le règlement ne prévoit pas de calendrier distinct pour les PME : les dates de l'article 113 s'appliquent à tous. Pour un chatbot ou un callbot, l'article 4 s'applique depuis le 2 février 2025 et l'article 50 depuis le 2 août 2026 ; le haut risque de l'annexe III, le 2 décembre 2027. Les PME bénéficient de plafonds d'amende plus bas et d'un soutien prévu à l'article 4, paragraphe 2.

Quelles sanctions l'AI Act prévoit-il ?

Jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial pour un manquement à l'article 50, le montant le plus élevé étant retenu, et jusqu'à 35 000 000 € ou 7 % pour une pratique interdite. Pour une PME, c'est le montant le plus bas qui s'applique.

Qui est responsable : l'éditeur du callbot ou l'entreprise qui l'utilise ?

Le fournisseur conçoit le système et doit y intégrer l'information de l'article 50 ; le déployeur l'utilise sous sa propre autorité. Une entreprise qui achète un callbot est en général déployeuse, mais devient fournisseuse si elle met en service sous sa propre marque un système qu'elle a fait développer ou développé elle-même.

En résumé

L'AI Act s'applique par paliers entre 2025 et 2028 et a été modifié une fois : le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté les exigences à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), sans reporter l'article 50, hors un délai de grâce pour le marquage des contenus de synthèse. Pour un callbot ou un chatbot d'entreprise, ce qui s'applique déjà est l'information de l'interlocuteur sur la nature IA du système, depuis le 2 août 2026, et la maîtrise de l'IA des équipes, depuis le 2 février 2025. Un callbot ou un chatbot de service client relève en général de ce seul régime de transparence ; les usages touchant l'emploi, le crédit, l'assurance, les services essentiels ou l'inférence d'émotions se vérifient au cas par cas. Ce texte ne remplace ni la lecture du règlement ni un avis juridique sur votre usage ; parlons-en si vous préparez un projet.

Sources

Parler de votre projet