Checklist de l'article 50 de l'AI Act pour les chatbots, copilotes et agents IA

Ce qu'exige l'article 50, en langage clair¶

L'article 50 crée des obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA. Un fournisseur développe ou met sur le marché un système d'IA ou un modèle d'IA à usage général sous son propre nom ou sa propre marque. Un déployeur utilise un système d'IA sous sa propre autorité, sauf dans le cadre d'une activité personnelle à caractère non professionnel.

Pour les chatbots, les copilotes et les agents, ces obligations se répartissent généralement en cinq catégories pratiques. Le contrôle doit être clair et reconnaissable, intervenir au plus tard lors de la première interaction ou exposition, et respecter les exigences d'accessibilité applicables.

Pourquoi les chatbots, copilotes et agents exigent des contrôles différents¶

Un chatbot basique peut souvent satisfaire à l'article 50 avec une mention visible lors de la première interaction, un texte accessible et la preuve que la mention a bien été affichée. Un copilote est plus complexe, car il peut résumer des dossiers, rédiger des messages clients, préparer des notes de sinistre, générer du code, recommander les actions suivantes ou créer des contenus qu'un humain publiera ensuite.

Un agent IA est encore plus difficile à traiter. Les agents ne se contentent pas de répondre. Ils planifient, appellent des outils, créent des tickets, mettent à jour des systèmes, déclenchent des Processus, envoient des messages et transmettent du travail à d'autres systèmes. Une mention affichée une seule fois dans une visite guidée du produit ne prouvera pas que chaque interaction médiée par l'IA, chaque sortie générée, chaque message public ou chaque chemin de publication a été traité correctement.

Commencez par recenser chaque surface d'interaction avec l'IA¶

La mise en œuvre de l'article 50 commence par un inventaire. Listez chaque endroit où une personne physique peut interagir avec le système d'IA ou être exposée à ses sorties. Ne vous arrêtez pas au chatbot du site web, le cas le plus évident.

Pour chaque surface, consignez le responsable, l'audience, la zone géographique, le modèle ou le système utilisé, si le système interagit directement avec des personnes, s'il génère des contenus, si les contenus générés peuvent quitter l'organisation, et si le Processus concerne des clients, des salariés, des patients, des candidats, des citoyens ou d'autres groupes protégés.

• Chatbot de site web, assistant de support intégré à l'application, chat de service client, assistant vocal et bot de helpdesk IA.
• Copilote interne pour les salariés, barre latérale CRM, assistant de ticketing, copilote achats, assistant RH et assistant sinistres.
• Slack, Teams, e-mail, extensions de navigateur, widgets intégrés, API et messages d'escalade de l'agent vers un humain.
• Rapports, PDF, images, audio, vidéos, communications clients, brouillons de base de connaissances et commentaires publics générés par IA.
• Agents de Processus qui demandent une approbation, déclenchent des appels d'outils, orientent des dossiers ou préparent des communications sortantes.

Qualifiez le déclencheur de l'article 50 avant de choisir la formulation¶

Ne rédigez pas une mention générique unique en considérant le problème réglé. Le bon contrôle dépend du déclencheur. Une mention d'interaction directe, une relecture de texte d'intérêt public, un signalement de deepfake et une stratégie de provenance lisible par machine ne sont pas la même chose.

Une évaluation pratique doit être assez courte pour que les équipes produit l'utilisent lors de la revue de release, mais assez structurée pour que les fonctions juridique, risques et audit comprennent pourquoi un Processus entrait ou non dans le champ d'application.

Distinguez les obligations du fournisseur de celles du déployeur¶

Ne partez pas du principe que la même équipe porte toutes les obligations de l'article 50. Un éditeur de logiciels proposant une plateforme de chatbot peut être le fournisseur pour la fonctionnalité de mention. Une entreprise utilisant ce chatbot dans son parcours client peut être le déployeur responsable de l'emplacement de la mention, de la manière dont le Processus publie des contenus et des preuves à conserver.

Pour les systèmes agentiques, la répartition peut être encore moins évidente. Un fournisseur de modèle, un éditeur de solution d'orchestration, un éditeur d'outils, un déployeur en entreprise et l'organisation qui publie en aval peuvent chacun contrôler des parties différentes de l'expérience finale de l'utilisateur.

• Attribuez la responsabilité de la mention à la première interaction, de sa formulation, de son emplacement dans l'interface, de sa localisation et des tests d'accessibilité.
• Attribuez la responsabilité de la provenance des contenus générés, du marquage lisible par machine, du comportement à l'export et de la revue de publication.
• Attribuez la responsabilité du signalement de deepfake, des contrôles sur les textes d'intérêt public, des mentions relatives à la biométrie et aux émotions, et de l'approbation des exceptions.
• Tenez à jour une matrice RACI, les conditions contractuelles des fournisseurs et un dossier d'architecture, et désignez un responsable de la mention, un responsable de l'approbation et un responsable du contrôle.

Placez la mention IA au point d'interaction¶

L'article 50 ne prévoit pas d'enfouir la mention dans les conditions générales d'utilisation. La personne doit être informée de manière claire et reconnaissable, au plus tard au moment de la première interaction ou exposition.

Pour les chatbots, la mention doit apparaître avant ou pendant le premier échange. Pour les copilotes, elle doit apparaître là où l'utilisateur sollicite la fonctionnalité IA. Pour les agents, elle doit apparaître partout où une personne est exposée à l'action de l'agent : chat, e-mail, Slack, Teams, notification de portail, boîte de réception des approbations, rapport généré ou message client sortant.

Rendez la mention suffisamment persistante pour le Processus¶

Une mention à la première interaction peut suffire pour certaines sessions simples de chatbot. Elle ne suffit généralement pas pour des copilotes et des agents complexes.

Pour les Processus à plus fort impact, maintenez un indicateur IA visible pendant l'utilisation. Il n'a pas besoin d'être intrusif, mais il doit lever toute ambiguïté sur le fait que la personne a affaire à un humain, à un workflow déterministe ou à un système d'IA. Pour les agents, signalez aussi les transitions d'état : rédaction, recommandation, en attente d'approbation, exécution, terminé ou bloqué.

• Utilisez une mention persistante lorsque l'IA rédige des communications externes, recommande des actions, appelle des outils, fait remonter des dossiers ou oriente des décisions.
• Utilisez une mention persistante lorsqu'un humain pourrait attribuer par erreur la sortie à un autre humain.
• Utilisez une mention renforcée lorsque les Processus touchent aux droits, à l'éligibilité, à la tarification, à l'accès, à la santé, à l'emploi, aux sinistres, au crédit ou aux services publics.
• Conservez les preuves des états de l'interface, des libellés d'état, des états d'approbation, de la télémétrie des interactions et des notes de tests utilisateurs.

Étiquetez les contenus générés par IA avant qu'ils ne quittent les systèmes contrôlés¶

L'article 50 impose aux fournisseurs de systèmes d'IA qui génèrent des contenus audio, image, vidéo ou texte synthétiques de veiller à ce que les sorties soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées artificiellement, dans la mesure où cela est techniquement possible.

Ne promettez pas plus que ce que vous pouvez tenir. Le marquage lisible par machine des images, des vidéos et des fichiers structurés peut être plus simple qu'un marquage robuste de texte libre après copier-coller, modification, capture d'écran ou conversion de format. Une mise en œuvre pratique combine généralement des métadonnées, des enregistrements de provenance, des empreintes de contenu, des journaux de sortie, des contrôles du Processus de publication et un marquage détectable lorsque cela est techniquement possible.

Traitez les exceptions et les médias particuliers avec méthode¶

L'article 50 prévoit une exception pour les systèmes d'IA qui remplissent une fonction d'assistance pour la mise en forme standard ou qui ne modifient pas de manière substantielle les données d'entrée fournies par le déployeur ou la sémantique de ces données. Traitez cette exception avec prudence.

La mise en forme standard à faible risque peut inclure la correction orthographique, les suggestions grammaticales, le formatage, le redimensionnement, la compression ou d'autres transformations limitées qui ne modifient pas le sens de manière substantielle. De nombreuses fonctionnalités de copilote vont plus loin : le résumé, la réécriture, la transformation du ton, la génération de recommandations, la classification automatisée, la notation du risque, les messages clients synthétiques et la rédaction agentique peuvent modifier le sens, l'accent, le contexte ou les décisions en aval.

Rendez les mentions accessibles et localisées¶

La mention IA ne doit pas exister uniquement sous la forme d'un petit texte gris, d'une infobulle au survol ou d'une image sans prise en charge par les lecteurs d'écran. L'article 50 exige que l'information respecte les exigences d'accessibilité applicables.

Pour les agents vocaux, la mention doit être énoncée suffisamment tôt pour que la personne comprenne qu'elle interagit avec une IA avant de fournir des informations sensibles ou de se fier au système. Pour les outils internes, ne supposez pas que les salariés ont besoin de moins de clarté. Les salariés sont aussi des personnes physiques, et les copilotes internes peuvent créer une dépendance excessive, un biais d'automatisation, des risques pour la vie privée et des lacunes de responsabilité.

• Vérifiez la compatibilité avec les lecteurs d'écran, la navigation au clavier, le contraste, la mise en page mobile, la mention dans les interfaces vocales et la lisibilité.
• Préparez des mentions traduites pour les langues prises en charge et testez le moment d'affichage de la mention dans les Processus rapides.
• Rendez les étiquettes de contenus générés accessibles dans les PDF exportés, les documents, les e-mails et les vues intégrées.
• Conservez les résultats des tests d'accessibilité, la revue de localisation, les transcriptions vocales, les preuves relatives aux lecteurs d'écran et la validation du design.

Capturez la preuve que la mention a réellement été affichée¶

Une politique indiquant « nous signalons l'utilisation de l'IA » ne prouve pas qu'une mention a été affichée. Capturez un événement léger lorsqu'une mention au titre de l'article 50 est présentée, acquittée par la personne le cas échéant, ou attachée à un contenu généré.

C'est là que l'article 50 rejoint la gouvernance à l'exécution. Le contrôle doit se déclencher lorsque le système fonctionne, et pas seulement lorsque quelqu'un remplit un tableur pendant la phase d'achat. KLA est construit autour de ce modèle opérationnel : contrôles de politique à l'exécution, routage des approbations humaines et journaux de preuve prêts pour l'audit entre les agents IA et les systèmes critiques.

Ajoutez des portes d'approbation pour les chemins à fort impact¶

Tous les événements de l'article 50 ne nécessitent pas une approbation humaine. Certains Processus ne doivent pas se poursuivre sans relecture. L'approbation doit inclure le contenu, la sortie du système, l'état de la mention, la politique applicable, l'identité du relecteur et la décision finale.

Utilisez des portes d'approbation là où un défaut de transparence serait difficile à corriger après publication, envoi, exécution ou exposition auprès du client.

• Exigez une approbation avant de publier un texte d'intérêt public généré par IA.
• Exigez une approbation avant d'envoyer des messages juridiques, financiers, de santé, d'assurance, d'emploi ou réglementaires générés par IA.
• Exigez une approbation avant de publier des images, contenus audio ou vidéos synthétiques qui pourraient être pris pour des contenus authentiques.
• Exigez une approbation avant de supprimer ou d'affaiblir une mention IA, de modifier la classification au titre de l'article 50, de contourner la relecture des contenus générés ou de modifier le comportement de marquage.
• Exigez une approbation avant de transformer un chatbot en agent utilisant des outils ou de lancer le système dans un nouveau pays, une nouvelle langue ou un nouveau domaine réglementé.

Testez les contrôles de l'article 50 comme des fonctionnalités produit¶

Les contrôles de l'article 50 peuvent défaillir comme n'importe quelle autre fonctionnalité en production. Testez-les sur les nouvelles sessions et les sessions récurrentes, les utilisateurs anonymes et connectés, mobile et desktop, les widgets intégrés, les réponses d'API, les bots Slack ou Teams, les Processus par e-mail, les workflows vocaux, les exports, les PDF, les flux de copier-coller, la localisation, les modes d'accessibilité, le transfert à un humain, l'escalade de l'agent, la publication publique et les workflows de suppression ou de caviardage.

Le test d'acceptation doit prouver ce que l'utilisateur a vu et ce que le système a journalisé, et pas simplement qu'un composant existe quelque part dans la base de code.

• La mention IA apparaît avant ou lors de la première interaction et n'est pas dissimulée derrière un élément replié.
• La mention survit aux refontes, aux tests A/B et aux déploiements intégrés, et reste présente dans toutes les langues prises en charge.
• Les étiquettes de contenus générés apparaissent avant la publication et les métadonnées lisibles par machine sont présentes là où elles sont attendues.
• L'état de la relecture humaine est enregistré et l'export de preuves reconstitue ce qui s'est passé.
• Les exceptions nécessitent une approbation et une mention défaillante bloque le lancement ou oriente vers une relecture.

Surveillez la dérive de transparence après le lancement¶

La conformité à l'article 50 peut dériver à mesure que les systèmes évoluent. Le chatbot acquiert des outils, mais la mention décrit toujours un simple assistant. Le copilote commence à rédiger des communications externes sans étiquetage des contenus. L'agent passe de la recommandation à l'exécution. Un nouveau canal est lancé sans la mention IA. Un export de contenu généré supprime les métadonnées.

Mettez en place des vérifications récurrentes. L'article 50 doit faire partie de la revue de release, de la revue de changement de modèle, de l'extension du Processus, de la revue de changement de fournisseur et de la réponse aux incidents.

Adoptez un modèle de mise en œuvre en cinq couches¶

Une mise en œuvre solide de l'article 50 ne se résume pas à un bandeau. C'est une pile de contrôles qui commence par la politique et se termine par la preuve. Le changement clé consiste à passer de « nous avons une politique de transparence IA » à « nous pouvons prouver que le bon contrôle s'est déclenché pendant le workflow IA réel ».

Posez ces questions avant la prochaine release¶

Utilisez ces questions de préparation avant de mettre en production un chatbot, un copilote ou un agent. Si la réponse à l'une d'elles n'est pas claire, le système n'est pas prêt pour la revue de production.

• Une personne physique interagit-elle directement avec le système d'IA, et cela est-il signalé clairement avant ou lors de la première interaction ?
• La mention reste-t-elle visible, compréhensible, accessible et exacte si le système appelle des outils ou exécute des actions ?
• Le système génère-t-il du texte, des images, de l'audio ou de la vidéo synthétiques, et les sorties sont-elles marquées de manière lisible par machine lorsque cela est techniquement possible ?
• Les contenus générés peuvent-ils être exportés, copiés, publiés, envoyés par e-mail ou joints à un dossier client ?
• Le Processus crée-t-il des contenus de type deepfake, publie-t-il des textes d'intérêt public, ou implique-t-il une reconnaissance des émotions ou une catégorisation biométrique ?
• Existe-t-il une relecture humaine et une responsabilité éditoriale là où l'équipe s'appuie sur cette exception ?
• Les événements de mention sont-ils journalisés, les preuves peuvent-elles être reconstituées ultérieurement, et qui est responsable du contrôle après le lancement ?
• Que se passe-t-il si la mention fait défaut ?