L'AI Act européen pour les équipes social media : ce qui s'applique vraiment

L'AI Act européen classe les systèmes d'IA par niveau de risque et fait peser l'écrasante majorité de ses obligations sur les entreprises qui construisent ces systèmes, pas sur les équipes marketing qui les utilisent. Pour une équipe social media, l'essentiel du texte ne s'adresse tout simplement pas à toi — les parties qui mordent, c'est un article de transparence couvrant les deepfakes et certains contenus synthétiques, plus un devoir de compétence des équipes en vigueur depuis début 2025. Sa date d'application générale est le 2 août 2026, demain au moment où cet article paraît : autant savoir quelles lignes touchent ton travail avant que quelqu'un annonce sur le Slack de l'équipe que chaque légende assistée par IA doit désormais porter une étiquette.

C'est une lecture de praticien, pas un avis juridique. Si ton travail est proche de la publicité de recrutement, des services financiers, des allégations de santé ou de la biométrie, fais examiner ton dispositif par un conseil qualifié.

Déployeur, pas fournisseur — la distinction qui décide de presque tout

Le règlement répartit les obligations entre deux rôles. Un fournisseur développe un système ou un modèle d'IA et le met sur le marché européen sous son propre nom. Un déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel.

Si tu donnes des instructions à un modèle conversationnel pour rédiger des légendes, si tu génères des images dans un outil de design ou si tu utilises un générateur de vidéo, tu es un déployeur. La quasi-totalité des obligations lourdes du règlement — documentation technique, évaluation de la conformité, marquage CE, système de gestion de la qualité, enregistrement en base de données, marquage lisible par machine des contenus produits — pèse sur le fournisseur. L'exception à surveiller : si tu cesses d'utiliser l'outil de quelqu'un d'autre pour construire et marquer ton propre assistant IA, tu peux glisser vers le statut de fournisseur. Prends conseil plutôt que de présumer que tu restes sur la voie du déployeur.

Où en est le calendrier en août 2026

Le règlement est entré en vigueur le 1er août 2024 et s'active par étapes :

Une mise en garde honnête : en août 2026, le calendrier et le périmètre du chapitre du règlement sur le haut risque font l'objet de discussions d'amendement actives au niveau européen. Si ton travail touche plausiblement une catégorie à haut risque, fais confirmer les dates en vigueur par un conseil plutôt que par un article de blog.

Ce qui s'applique vraiment à une équipe social media normale

1. Divulgation des deepfakes

C'est le gros morceau. Si tu déploies un système d'IA pour générer ou manipuler une image, un son ou une vidéo qui ressemble à des personnes, objets, lieux ou événements réels et pourrait plausiblement passer pour authentique, tu dois indiquer que le contenu a été généré ou manipulé artificiellement. La définition du deepfake dans le règlement repose exactement sur ce test de ressemblance plus crédibilité. En pratique :

• Dans le périmètre : un avatar IA photoréaliste qui présente ton produit comme porte-parole ; une voix off clonée ; une vidéo de « témoignage client » générée ; une scène photoréaliste montrant ton produit dans un lieu qui n'a jamais existé.
• Hors périmètre : un visuel manifestement illustré ou stylisé ; un fond abstrait ; tout ce qu'aucun spectateur raisonnable ne prendrait pour une vraie photo ou un vrai enregistrement.

Il existe une exception pour les œuvres manifestement artistiques, satiriques ou fictionnelles : l'obligation d'information demeure, mais elle peut être traitée d'une manière qui ne ruine pas l'œuvre. Un sketch parodique n'a pas besoin d'un avertissement tamponné sur la première image.

Si les visuels IA font partie de ta routine, c'est l'obligation à intégrer dans ton processus — nos guides sur la génération d'images par IA et la vidéo IA pour les réseaux sociaux couvrent le même terrain.

2. Maîtrise de l'IA — déjà en vigueur, peu coûteuse à satisfaire

Depuis février 2025, les déployeurs ont l'obligation de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent des systèmes d'IA pour leur compte, proportionné à leur rôle et à leur contexte. Aucun programme imposé, aucune certification, aucun dépôt de dossier.

Ce qui suffit dans une petite équipe n'a rien de glamour : une note listant les outils approuvés et pour quels usages, une courte session sur le risque d'hallucination et les règles relatives aux données confidentielles, et une trace datée attestant que ça a bien eu lieu. Si tu maintiens déjà une politique d'utilisation de l'IA pour ton équipe social, ajoute un registre de formation et le nom d'un responsable : tu as quelque chose de concret à présenter dans le questionnaire achats d'un client.

3. Les textes générés par IA sur des sujets d'intérêt public

L'obligation d'information sur les textes est plus étroite que la plupart des gens ne le supposent. Elle s'applique aux textes générés ou manipulés par IA publiés dans le but d'informer le public sur des questions d'intérêt public — et elle disparaît entièrement lorsque le contenu a fait l'objet d'une relecture humaine ou d'un contrôle éditorial et qu'une personne ou une entreprise en assume la responsabilité éditoriale.

Une légende de lancement produit n'est pas une question d'intérêt public. Un jeu de hashtags non plus. Un fil de newsroom de marque qui explique un sujet de santé publique ou commente un débat de politique publique, peut-être — et même dans ce cas, un humain nommé qui relit et assume le texte règle la question. La relecture humaine à l'intérieur de ton flux de publication est le mécanisme de conformité, pas un simple bonus.

4. Des pratiques auxquelles il ne faut tout simplement jamais toucher

Une poignée d'usages de l'IA sont interdits purement et simplement depuis février 2025. Ceux qui dérivent parfois près du marketing :

• Le moissonnage non ciblé d'images faciales sur Internet ou depuis des systèmes de vidéosurveillance pour constituer des bases de reconnaissance faciale.
• L'inférence des émotions des salariés sur le lieu de travail (hors cas médicaux ou de sécurité étroitement définis).
• La catégorisation biométrique utilisée pour déduire l'origine ethnique, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou l'orientation sexuelle.
• Les techniques manipulatrices ou subliminales qui altèrent substantiellement le comportement et causent un préjudice important.

Si un prestataire te vend un outil qui lit les visages dans un live pour scorer le sentiment, ou qui promet de construire une audience à partir de données faciales récoltées, c'est un non ferme, aussi belle que soit la démo.

5. L'IA conversationnelle

Les systèmes qui interagissent directement avec des personnes doivent indiquer clairement qu'il s'agit d'une IA, sauf si c'est évident. L'obligation pèse sur les fournisseurs, mais le résultat est le même : ne laisse pas un bot passer pour une personne. Si tu fais tourner de l'automatisation de DM assistée par IA, identifie l'assistant dès son premier message.

La liste de ce qu'il n'exige pas

L'angoisse est en général plus bruyante que l'obligation. En tant que déployeur qui fait du social organique ordinaire, le règlement ne t'oblige pas à :

• Étiqueter les légendes, accroches, jeux de hashtags ou premiers brouillons assistés par IA.
• Étiqueter l'aide à la grammaire, au ton, à la traduction ou à l'édition standard — les contenus produits qui ne modifient pas substantiellement le sens de ce que tu as fourni sont explicitement exclus de l'obligation de marquage.
• Intégrer toi-même des filigranes lisibles par machine. Ça revient au fournisseur de l'outil ; ne pas supprimer les métadonnées que tes outils attachent relève de la bonne pratique plutôt que d'une obligation explicite du déployeur.
• Nommer un responsable IA. Ce rôle n'existe pas dans le règlement.
• Enregistrer tes outils auprès d'une autorité nationale ou dans une base de données européenne.
• Réaliser une évaluation de la conformité, maintenir un système de gestion de la qualité ou produire une documentation technique.
• Réaliser une analyse d'impact sur les droits fondamentaux — ça vise les déploiements à haut risque par des organismes publics et quelques services réglementés, pas la rédaction de légendes.
• Étiqueter les suggestions de programmation issues de l'IA, les recommandations de meilleur moment de publication ou les résumés d'analytics.

Est-ce que ça s'applique si tu n'es pas dans l'UE ?

Souvent, oui. Le règlement atteint les déployeurs établis ou situés dans l'Union, mais aussi ceux de pays tiers lorsque le résultat produit par le système d'IA est utilisé dans l'Union. Une agence britannique ou américaine qui produit de la vidéo générée par IA pour l'audience allemande d'un client devrait considérer qu'elle est dans le périmètre. Pour les agences qui font du social assisté par IA sur des zones géographiques mêlées, un seul standard — le plus strict — vaut mieux que deux processus de contenu.

Les sanctions, remises en proportion

Les chiffres qui font les titres sont élevés : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements, y compris les obligations de transparence. Deux choses tempèrent la panique. Pour les PME et les start-up, le plafond est le montant le plus bas entre la somme fixe et le pourcentage, pas le plus élevé. Et une petite agence qui étiquette ses avatars IA et tient un registre de formation n'est pas la cible.

L'AI Act n'est pas ton seul règlement

Les politiques des plateformes sont distinctes, contractuelles et mondiales. Meta, TikTok et YouTube font chacun tourner leur propre système d'étiquetage des contenus IA, et leurs seuils ne se superposent pas proprement à ceux du règlement. L'étiquette IA native d'une plateforme est en général le moyen le plus propre de satisfaire les deux d'un coup — vérifie les mécanismes de chaque réseau où tu publies sur notre page plateformes prises en charge.

Le RGPD continue de régir toutes les données personnelles que tu fournis à un modèle, et le droit de la consommation continue d'interdire les pratiques commerciales trompeuses — sans doute un risque réel plus important pour quiconque génère des témoignages qui ont l'air faux. Les questions éthiques autour de l'IA en marketing social ne se résolvent pas parce qu'une réglementation a tracé une ligne quelque part. La conformité, c'est le plancher.

Intégrer tout ça à ta SOP de publication

Des règles qui vivent dans un document de politique interne et nulle part ailleurs ne survivent pas à une semaine chargée. Trois gestes pratiques :

Ajoute un champ de provenance IA à ton brief de contenu. Une ligne par asset : ce qui a été généré par IA, avec quel outil, et si ça représente quelque chose de réel. C'est ta piste de preuves. Intègre-le à ta SOP réseaux sociaux pour que ça devienne un réflexe plutôt qu'une corvée de conformité à part.

Mets un humain nommé avant la publication. Un workflow d'approbation de contenu structuré transforme « on relit les choses » en affirmation défendable. Dans SocialKit, les workflows d'approbation sont disponibles sur les plans Team et Enterprise, si bien que la validation se joue à l'intérieur de la file de programmation plutôt que dans un tableur parallèle, et le calendrier visuel montre ce qui attend encore une relecture.

Traite la divulgation plateforme par plateforme, pas globalement. Les mécanismes d'étiquetage diffèrent selon le réseau : certains veulent un réglage natif, d'autres attendent une ligne dans la légende. Composer une fois puis personnaliser la légende par plateforme te permet d'attacher la bonne mention à chaque destination sans maintenir onze brouillons. Notre guide sur ce qu'il faut divulguer et comment couvre la formulation ; traite le placement comme faisant partie de tes garde-fous d'automatisation.

Ta checklist d'une page

1. Classe-toi. Déployeur pour chaque outil IA du commerce. Signale pour revue juridique tout ce que tu construis et marques toi-même.
2. Liste tes outils IA. Ce pour quoi chacun est approuvé, et les données qui ne doivent jamais y être collées.
3. Consigne la formation à la maîtrise de l'IA. Une session datée avec la liste des participants. À refaire quand la liste d'outils change sensiblement.
4. Filtre les pratiques interdites. Pas de moissonnage de visages, pas d'inférence d'émotions sur le personnel, pas de catégorisation biométrique. Pose la question directement aux prestataires.
5. Fixe une règle deepfake. Tout média photoréaliste généré ou modifié par IA qui pourrait passer pour réel est divulgué. Rédige la formulation standard une fois pour toutes.
6. Enregistre la provenance de chaque asset. Outil utilisé, ce qui a été généré, et si ça représente quelque chose de réel.
7. Exige une validation humaine nommée avant publication. Le plus de poids pour le moins d'effort.
8. Étiquette l'IA conversationnelle. Tout bot qui répond aux DM ou aux commentaires s'identifie d'emblée.
9. Vérifie les étiquettes des plateformes séparément. Les réglages natifs là où ils existent ; une divulgation dans la légende là où ils n'existent pas.
10. Intègre le tout à ta politique réseaux sociaux écrite plutôt que de garder un document IA séparé que personne n'ouvre.
11. Nomme un responsable et une date de revue. Une politique que personne ne pilote pourrit en deux trimestres.

La plupart des équipes découvriront qu'elles satisfont déjà sept ou huit de ces points et qu'elles ne les ont simplement jamais écrits. L'écart porte sur la documentation, pas sur le comportement — et le rattrapage prend un après-midi, pas un projet.

Si tu veux que l'étape de relecture et la divulgation par plateforme vivent à côté de ton calendrier, SocialKit couvre les 11 réseaux sur toutes les formules, à partir de €29/mois en Solo (€17.40/mois en facturation annuelle, en date d'août 2026) avec un essai gratuit de 7 jours. Commence par la page tarifs et installe l'étape de relecture avant qu'elle ne devienne urgente.