Prenez une feuille et tracez six cases : chatbot, images, textes publics, support client, documents internes, données.
Si votre entreprise utilise l’IA générative, même ponctuellement, les usages réels se trouvent probablement dans deux ou trois de ces cases. Le problème n’est pas forcément l’outil. C’est souvent l’absence d’une vue d’ensemble : un chatbot ajouté au site par un prestataire, des visuels produits par le marketing, des réponses clients préparées dans un assistant, des comptes rendus résumés sans règle commune.
Le 2 août 2026 marque l’application des obligations de transparence de l’article 50 du règlement européen sur l’IA. Pour une PME française, la bonne préparation ne consiste ni à coller un avertissement sur chaque texte, ni à lancer un grand chantier de conformité à l’aveugle. Elle commence par un inventaire court, usage par usage.
Voici comment le mener.
1. Commencer par les points de contact, pas par la liste des outils
Une liste de licences ne raconte pas comment l’IA intervient dans l’entreprise. Un même assistant peut servir à écrire une fiche produit, résumer un document interne et préparer une réponse au support. Ces trois usages n’ont ni le même public, ni les mêmes données, ni le même niveau de contrôle.
Pour chaque usage, notez cinq informations :
- qui lance l’outil ;
- quelles données lui sont confiées ;
- ce qu’il produit ;
- qui voit le résultat ;
- qui le vérifie avant utilisation.
Cette carte permet déjà de séparer les expériences internes des contenus ou interactions exposés aux clients. Elle évite aussi un raccourci fréquent : croire que « nous utilisons ChatGPT » suffit à décrire le risque ou l’obligation.
Un audit des usages et opportunités IA devrait partir de cette réalité opérationnelle, puis seulement examiner les outils, les réglages et les processus.
2. Un chatbot doit-il dire qu’il est une IA ?
L’article 50 prévoit que les personnes soient informées lorsqu’elles interagissent directement avec un système d’IA, sauf si cela est évident pour une personne raisonnablement informée et attentive, compte tenu du contexte.
Pour un site de PME, mieux vaut ne pas bâtir toute la décision sur l’idée que « le visiteur le comprendra ». Si une bulle répond automatiquement à des questions, collecte une demande ou oriente vers une offre, une indication simple et immédiate réduit l’ambiguïté :
Assistant automatisé — ses réponses peuvent être vérifiées par notre équipe.
L’information doit apparaître au plus tard lors de la première interaction et rester claire et accessible. Elle ne remplace pas les autres informations nécessaires : finalité du formulaire, traitement des données, possibilité de joindre une personne, limites de la réponse.
Test pratique : ouvrez le site sur mobile, comme un nouveau visiteur. Avant le premier message, comprend-on qui — ou quoi — répond ? Sait-on comment basculer vers un humain ?
3. Images, voix et vidéos : distinguer création visuelle et faux vraisemblable
Toutes les images générées ne se traitent pas de la même façon. L’article 50 vise notamment la divulgation des images, sons ou vidéos constituant des « deepfakes », c’est-à-dire des contenus qui ressemblent à des personnes, objets, lieux, entités ou événements existants et pourraient sembler authentiques.
Une illustration abstraite pour un article de blog n’a pas le même enjeu qu’une fausse photo de chantier, un faux témoignage vidéo ou la voix synthétique d’un dirigeant. Pour la PME, le contrôle utile tient en trois questions :
- le contenu représente-t-il comme réel quelque chose qui ne l’est pas ?
- une personne pourrait-elle être trompée sur son origine ou son authenticité ?
- l’indication de génération ou de manipulation est-elle visible au moment de l’exposition ?
Évitez surtout d’utiliser une image synthétique comme preuve d’un produit, d’une réalisation, d’un client ou d’un résultat. La transparence n’efface pas une promesse commerciale trompeuse.
4. Textes publics : la relecture humaine change la situation, mais elle doit être réelle
Le règlement traite spécifiquement les textes générés ou manipulés par IA publiés pour informer le public sur des sujets d’intérêt public. Il prévoit une exception lorsque le contenu a fait l’objet d’une revue humaine ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale.
Cela ne veut pas dire qu’un simple clic sur « approuver » transforme automatiquement un texte brut en contenu maîtrisé. Une revue crédible vérifie au minimum :
- les faits, chiffres, dates et sources ;
- les affirmations commerciales ;
- la cohérence avec l’offre réelle ;
- les informations personnelles ou confidentielles ;
- le ton, les biais et les erreurs manifestes ;
- le nom de la personne ou de l’entreprise qui assume la publication.
Pour une fiche service, un article ou une publication sociale, consignez un circuit très court : brouillon IA éventuel, relecture métier, validation éditoriale, publication. L’enjeu n’est pas de produire de la paperasse ; c’est de savoir qui a vérifié quoi.
5. Support client : une aide à la rédaction n’est pas un pilote automatique
Un assistant peut faire gagner du temps en préparant une réponse. Il ne devrait pas décider seul d’un remboursement, inventer un délai, interpréter une garantie ou envoyer des données d’un client à un autre.
Le contrôle à mettre en place dépend de l’effet de la réponse :
- faible enjeu : reformulation d’un message déjà validé ;
- enjeu commercial : disponibilité, prix, délai ou engagement ;
- enjeu individuel : réclamation, remboursement, litige ou situation personnelle.
Plus l’effet est important, plus la validation humaine doit être explicite. Ajoutez une liste de sujets que l’assistant ne doit jamais trancher et un chemin d’escalade vers une personne identifiée.
6. Données : le règlement IA ne remplace pas le RGPD
La transparence sur l’IA ne règle pas la question des données personnelles. La CNIL rappelle que le règlement IA et le RGPD ont vocation à s’appliquer ensemble lorsque des données personnelles sont traitées.
Avant de copier un document dans un outil génératif, demandez : contient-il des coordonnées, un historique client, des données RH, des informations de santé, un contrat, un tarif confidentiel ou un secret métier ? Où part la donnée ? Combien de temps est-elle conservée ? Sert-elle à améliorer le service ? Qui peut y accéder ?
Une règle interne utile tient sur une page :
- données autorisées ;
- données interdites ;
- outils approuvés ;
- réglages de conservation ;
- personne à consulter en cas de doute.
Le diagnostic IA appliqué au site et à l’entreprise peut relier ces règles aux formulaires, au CRM, au support et aux contenus réellement produits.
La matrice à remplir cette semaine
| Usage | Visible par qui ? | Transparence à vérifier | Contrôle humain | Données à surveiller |
|---|---|---|---|---|
| Chatbot du site | Prospects et clients | Information dès la première interaction | Escalade et validation des réponses sensibles | Coordonnées, demandes, historique |
| Image marketing | Public | Origine à évaluer, surtout si elle paraît authentique | Validation de la représentation et des droits | Visages, marques, éléments clients |
| Texte public | Public | Cas et contexte de publication à qualifier | Revue factuelle et responsabilité éditoriale | Sources, données citées, informations internes |
| Brouillon de support | Un client | Ne pas laisser croire à une expertise inexistante | Validation avant envoi selon l’enjeu | Dossier client, commande, réclamation |
| Résumé interne | Équipe | Usage généralement non public, à documenter | Vérification du résumé avant décision | RH, contrats, stratégie, données sensibles |
| Fiche produit | Acheteurs | Allégations et authenticité à contrôler | Validation métier, prix et caractéristiques | Données fournisseur, claims, droits |
Cette matrice n’est pas une qualification juridique définitive. Elle révèle les zones qui demandent une décision, un réglage ou un avis spécialisé.
Un plan de sept jours, sans comité disproportionné
Jour 1 — inventorier. Demandez à chaque responsable quels usages existent réellement, y compris les comptes individuels.
Jour 2 — classer. Séparez interactions directes, contenus publics, aide interne et décisions à effet sur une personne.
Jour 3 — examiner les données. Identifiez ce qui entre dans chaque outil et les règles du fournisseur.
Jour 4 — écrire les mentions utiles. Préparez l’indication du chatbot ou du contenu lorsque le contexte l’exige, dans un langage compréhensible.
Jour 5 — installer la validation. Nommez un responsable pour les contenus, le support et les usages sensibles.
Jour 6 — tester le site. Vérifiez sur mobile le chatbot, les formulaires, les notices et l’accès à un humain. Profitez-en pour contrôler que la création du site n’a pas dispersé ces informations dans des composants invisibles ou obsolètes.
Jour 7 — conserver une preuve simple. Gardez la matrice, la date du contrôle, les décisions prises et les points à faire qualifier.
Ce que le 2 août ne doit pas provoquer
Ne supprimez pas un usage utile uniquement parce qu’il contient de l’IA. Ne publiez pas non plus une mention générique sur toutes les pages pour considérer le sujet réglé.
La meilleure préparation relie trois choses : ce que l’outil fait vraiment, ce que voit la personne concernée et qui garde la responsabilité du résultat.
1Design peut réaliser un audit court de ces points de contact : chatbot, formulaires, contenus, support, circulation des données et validation humaine. Le livrable attendu n’est pas une promesse de conformité juridique, mais une carte exploitable des usages, des corrections web et des questions à transmettre, si nécessaire, à votre conseil juridique ou DPO.
Pour faire ce contrôle avant le 2 août, contactez 1Design avec la liste, même incomplète, des outils déjà utilisés. Nous commencerons par les usages visibles et les données les plus sensibles.
Vous voulez un site plus clair, plus crédible ou mieux pensé pour convertir ?