Commençons par rétablir un calendrier que beaucoup de communications commerciales continuent de présenter faussement. Le règlement européen sur l’intelligence artificielle prévoyait une bascule majeure au 2 août 2026. Un texte d’ajustement, proposé par la Commission européenne en novembre 2025 et adopté définitivement fin juin 2026 après un vote du Parlement européen et un feu vert du Conseil le 29 juin, en a modifié une partie. Les obligations applicables aux systèmes à haut risque dits autonomes, ceux de l’annexe III, passent au 2 décembre 2027. Celles applicables à l’intelligence artificielle intégrée dans des produits déjà réglementés par ailleurs, l’annexe I, qui couvre notamment les dispositifs médicaux, passent au 2 août 2028. L’obligation faite aux États membres de créer des bacs à sable réglementaires glisse au 2 août 2027. Voilà pour ce qui a changé, et c’est considérable pour les projets cliniques. Voilà maintenant ce qui n’a pas changé : les obligations de transparence prévues à l’article 50 du règlement s’appliquent bien à compter du 2 août 2026. Elles n’ont fait l’objet d’aucun report. Et comme elles ne portent pas sur les algorithmes de diagnostic mais sur les interactions et les contenus, elles concernent une population d’acteurs bien plus large que celle qui se croit visée. Précision d’usage : cet article propose une lecture opérationnelle, il ne constitue pas un conseil juridique.
Ce que l’article 50 exige, en clair
Trois obligations principales méritent d’être distinguées, car les organisations les confondent. La première impose aux fournisseurs d’informer une personne lorsqu’elle interagit directement avec un système d’intelligence artificielle, sauf lorsque cela ressort clairement du point de vue d’une personne normalement informée, attentive et avisée, compte tenu des circonstances et du contexte d’utilisation. La deuxième impose de signaler les contenus générés ou manipulés par une IA, ce qui recouvre aussi bien du texte publié que des images ou des sons, et comporte un volet technique de marquage lisible par machine. La troisième concerne les systèmes de reconnaissance des émotions et de catégorisation biométrique : les déployeurs doivent informer les personnes physiques exposées du fonctionnement du système, dans le respect des règles de protection des données personnelles. Une nuance technique mérite d’être soulignée parce qu’elle est presque toujours omise et qu’elle crée un piège de calendrier : le marquage lisible par machine bénéficie d’un délai de grâce jusqu’au 2 décembre 2026, mais uniquement pour les systèmes déjà mis sur le marché avant le 2 août. Un outil que votre organisation déploierait à partir du 2 août 2026 ne bénéficie d’aucun sursis et doit satisfaire à cette exigence dès le premier jour. Autrement dit, un projet lancé à la rentrée est plus contraint qu’un projet en service depuis le printemps, ce qui inverse l’intuition habituelle selon laquelle il vaut mieux attendre. Ajoutons que l’obligation de maîtrise de l’intelligence artificielle, c’est-à-dire un niveau minimal de compétence des équipes qui déploient ces outils, demeure au calendrier dans son principe, et que les autorités disposeront à compter du 2 août 2026 de leurs pouvoirs d’enquête et de sanction.
Pourquoi le secteur de la santé est particulièrement exposé à ce contresens
Le report obtenu sur l’annexe I est le plus long de tous, et il concerne précisément les dispositifs médicaux. Cette situation crée dans le secteur une asymétrie de perception dangereuse. Les directions ont retenu, à juste titre, que leurs projets d’intelligence artificielle clinique disposaient de deux années supplémentaires. Elles en déduisent, à tort, que l’ensemble du règlement leur est lointain. Or l’article 50 ne s’intéresse pas au statut du système mais à la nature de l’interaction et du contenu. Un établissement qui n’aura jamais déployé le moindre algorithme diagnostique est concerné dès le 2 août s’il fait dialoguer un patient avec un assistant conversationnel sur son site, s’il publie des contenus de prévention rédigés avec une aide générative, s’il diffuse des visuels de campagne produits par une IA, ou s’il utilise un outil de synthèse dans sa relation avec le public. Ajoutons une considération propre à ce secteur : la santé est le domaine où la confiance dans la source détermine le comportement, et où un contenu perçu comme trompeur produit des dommages disproportionnés. Un établissement qui aura négligé de signaler l’origine d’un contenu ne s’expose pas seulement à une question réglementaire, il s’expose à ce que la découverte de cette origine par un tiers devienne un sujet en soi. Nous avons documenté ailleurs comment une organisation dont les informations sont incohérentes ou opaques devient vulnérable à un récit qu’elle ne contrôle pas. En santé, ce risque est amplifié par l’attention publique et par la sensibilité des sujets.
La grille d’application par usage
Voici la traduction opérationnelle qui manque partout, présentée par usage plutôt que par catégorie juridique. L’assistant conversationnel destiné aux patients ou aux usagers relève directement de l’obligation d’information sur l’interaction, et c’est l’usage le plus manifestement concerné. Les contenus de prévention et d’éducation à la santé produits avec une aide générative, textes, visuels, vidéos, relèvent de l’obligation de signalement des contenus générés, obligation d’autant plus sensible que ces contenus circulent et sont repris. Les communiqués, réponses publiques et publications institutionnelles rédigés ou assistés par IA relèvent de la même logique, et concernent au premier chef les directions de la communication. Les outils de synthèse et de compte rendu exigent une analyse plus fine selon qu’ils produisent un document interne ou un document remis au patient. Les supports de recrutement et de gestion des ressources humaines méritent une vigilance particulière : leur volet haut risque est reporté au 2 décembre 2027, mais leur volet transparence, lui, ne l’est pas. Les contenus manipulés représentant des personnes réelles, enfin, appellent la plus grande prudence, la fabrication de faux propos attribués à un professionnel de santé étant l’un des usages malveillants les mieux attestés dans le secteur. Pour chacun de ces usages, la question à trancher tient en quatre points : qui déploie, quelle obligation s’applique, à quelle date, et quelle preuve conserver. Ce dernier point est le plus négligé et le plus décisif, car en matière de conformité, ce qui n’est pas documenté n’a pas eu lieu.
Trois gestes à poser avant le 2 août
Geste 1 : inventorier les usages, pas les outils
La plupart des organisations commencent par lister leurs logiciels, ce qui les égare. Il faut lister les points de contact où une IA interagit avec une personne ou produit un contenu diffusé, en incluant les usages non déclarés que les équipes ont adoptés d’elles-mêmes. Cet inventaire prend une demi-journée et révèle presque toujours des usages que la direction ignorait.
Geste 2 : rédiger les mentions, une fois, correctement
L’obligation d’information ne suppose pas un dispositif complexe : une mention claire, visible et compréhensible, placée là où l’interaction se produit. Le piège est la formulation, souvent trop juridique pour être comprise ou trop vague pour être opposable. Écrivez-les une fois, faites-les valider, et déployez-les partout de façon homogène.
Geste 3 : constituer la preuve dès maintenant
Conservez, pour chaque usage, la date de mise en service, la description du système, les mentions déployées et leur date de déploiement. Ce dossier ne sert à rien tant qu’il ne sert pas, et il sert énormément le jour où une autorité, un journaliste ou un patient pose la question. Il est aussi ce qui distingue une organisation qui s’est conformée d’une organisation qui affirme s’être conformée.
ELMARQ accompagne les organisations de santé sur la traduction opérationnelle de leurs obligations de transparence, de l’inventaire des usages à la rédaction des mentions et à la constitution des preuves, en stratégie et en exécution, aux côtés de vos conseils juridiques. Trente minutes de diagnostic suffisent à identifier vos usages concernés avant l’échéance.
Un mot pour finir sur le climat de ces dernières semaines. Le report des obligations haut risque a été accueilli, dans une partie du secteur, avec un soulagement compréhensible et une conclusion hâtive. Certaines sources sectorielles relèvent que des prestataires et médias continuent de vendre une mise en conformité urgente fondée sur l’ancien calendrier, tandis que d’autres acteurs, à l’inverse, en concluent qu’il n’y a plus rien à faire. Ces deux erreurs symétriques procèdent de la même cause : personne n’a pris le temps de distinguer ce qui a bougé de ce qui n’a pas bougé. Pour un directeur d’établissement ou une direction de la communication en santé, la synthèse tient en une phrase : vos algorithmes cliniques ont gagné deux ans, vos contenus et vos interactions n’ont rien gagné du tout. Le premier risque de l’AI Act pour votre organisation n’est pas clinique, il est informationnel, documentaire et réputationnel. C’est aussi celui qui se traite le plus vite, et pour un coût dérisoire, à condition de s’y mettre avant que la question ne soit posée par quelqu’un d’autre.
