IA et conformité Depuis le 2 août 2026, les règles de transparence de l’AI Act s’appliquent. Concrètement, votre chatbot doit annoncer qu’il est une intelligence artificielle, vos visuels générés par IA doivent rester identifiables et vos deepfakes publicitaires doivent être étiquetés. Au Luxembourg, la CNPD est l’autorité de surveillance par défaut. Au sommaire Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024 et est devenu globalement applicable le 2 août 2026. À cette date, la Commission européenne a annoncé le démarrage du contrôle, via son Bureau de l’IA et les autorités nationales. Pour un dirigeant de PME luxembourgeoise, l’essentiel tient en une phrase : ce sont les obligations de transparence qui vous concernent aujourd’hui, pas les obligations lourdes sur les systèmes dits à haut risque. Ces dernières ont été décalées par le règlement omnibus sur l’IA, entré en vigueur le 27 juillet 2026. Autrement dit, la vague de conformité documentaire attendra. Ce qui est exigible maintenant se voit depuis l’extérieur, sur vos pages publiques. C’est ce qui rend le sujet urgent : personne n’a besoin d’un audit interne pour constater qu’un chatbot ne dit pas qu’il est une machine. Le règlement distingue deux rôles, souvent mélangés. La distinction change pourtant toute la liste de vos devoirs. Le fournisseur développe un système d’IA, ou le met sur le marché sous son propre nom. Un éditeur de chatbot, un outil de génération d’images. Le déployeur utilise ce système sous sa propre autorité, dans le cadre de son activité. Votre PME, quand elle installe un chatbot du commerce sur son site ou publie un visuel produit avec un générateur d’images. La grande majorité des PME sont déployeurs. Cela allège la charge sans l’annuler : les obligations d’affichage vers vos clients pèsent sur vous, pas sur votre prestataire. Deux situations vous font basculer dans le rôle de fournisseur, avec des devoirs nettement plus lourds. La première : vous apposez votre marque sur un système d’IA acheté ailleurs et vous le proposez comme votre produit. La seconde : vous modifiez substantiellement sa finalité. Le cas fréquent au Luxembourg : une PME rebaptise un agent conversationnel du commerce « l’assistant Maison X » et le commercialise auprès de ses propres clients. Elle vient de devenir fournisseur. La question mérite deux minutes avec votre conseil juridique avant le lancement. C’est l’obligation la plus visible et la plus simple à corriger. Un système conçu pour interagir directement avec des personnes doit les informer qu’elles échangent avec une machine, sauf si cela saute aux yeux. L’information doit arriver au plus tard au premier échange, pas dans les mentions légales. En pratique, une mention claire dans le message d’accueil suffit. « Je suis un assistant automatique. Pour joindre un conseiller, tapez conseiller. » Vérifiez le rendu sur mobile, où beaucoup de widgets tronquent le premier message. Les contenus synthétiques, images, audio, vidéo ou texte, doivent porter un marquage lisible par machine permettant de les détecter comme artificiels. Cette obligation technique repose sur le fournisseur de l’outil de génération. Votre travail consiste donc à choisir des outils qui l’implémentent et à ne pas casser ce marquage. Le piège se situe dans la chaîne de production : recadrer ou réexporter une image dans un éditeur ancien efface souvent les métadonnées. Testez votre chaîne d’export avant de la généraliser. Une image, un son ou une vidéo générés ou manipulés par IA qui ressemblent à des personnes, des lieux ou des événements réels, et qui pourraient passer pour authentiques, doivent être signalés comme artificiels. La mention doit être visible par le public, pas cachée dans un fichier. Cela vise directement les campagnes qui utilisent des mannequins de synthèse, des voix clonées ou des décors reconstitués. Une ligne du type « visuel généré par intelligence artificielle » sur la créative ou dans la légende règle le sujet. Si vous confiez vos campagnes à un prestataire, cette clause doit figurer au contrat. Les textes publiés dans le but d’informer le public sur des questions d’intérêt public doivent indiquer qu’ils ont été générés par IA. Bonne nouvelle pour la plupart des entreprises : cette obligation tombe lorsqu’un humain a relu et validé le contenu, et qu’une personne physique ou morale en assume la responsabilité éditoriale. C’est un argument de plus en faveur d’un circuit de relecture formalisé sur votre blog. Un article rédigé avec l’aide de l’IA, relu et signé par une personne identifiée, sort du champ de l’obligation. Si vous utilisez un système de reconnaissance des émotions ou de catégorisation biométrique, vous devez en informer les personnes exposées. Attention : la reconnaissance des émotions sur le lieu de travail figure parmi les pratiques purement interdites depuis février 2025. Un outil de mesure de l’attention en boutique ou de tri automatisé de candidatures mérite un examen sérieux avant de rester en service. Le Luxembourg a désigné ses autorités tôt. Dès novembre 2024, le gouvernement a approuvé le projet de loi confiant à la Commission nationale pour la protection des données le rôle de point de contact unique, de coordination nationale et d’autorité de surveillance du marché par défaut. Les autorités sectorielles gardent leur périmètre : la CSSF pour la finance, le Commissariat aux Assurances pour l’assurance, l’ILNAS pour l’accréditation et l’évaluation de la conformité. Pour une PME du commerce, de l’artisanat, du conseil ou de la santé, l’interlocuteur est donc la CNPD, déjà votre interlocuteur en matière de données personnelles. Continuité utile : les entreprises qui ont sérieusement traité leur conformité au RGPD partent avec une longueur d’avance. Côté sanctions, le règlement prévoit pour les manquements aux obligations des fournisseurs et des déployeurs des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond est calibré pour les grands groupes. Le texte prévoit un plafond spécifique et plus favorable pour les PME et les jeunes entreprises, à vérifier au cas par cas avec un conseil juridique. Le risque réel pour une PME luxembourgeoise n’est pas l’amende maximale. C’est la plainte d’un client ou d’un concurrent via l’outil de plainte ouvert par la Commission, et le temps perdu à y répondre. Corriger un message d’accueil de chatbot coûte une heure. Répondre à une autorité en coûte beaucoup plus. Voici la méthode que nous appliquons pour ouvrir ce chantier. Elle tient en une demi journée sur un site standard. Ce chantier croise deux autres sujets déjà sur la table des dirigeants luxembourgeois : la directive NIS 2 sur la cybersécurité et les obligations d’accessibilité numérique. Les trois se traitent efficacement en une seule revue de site, plutôt qu’en trois passages séparés. Nous passons en revue votre site, vos outils et vos campagnes, et nous vous remettons la liste des corrections à faire, classées par urgence. Sans jargon. Probablement, oui. Dès que vous publiez des visuels, des vidéos ou des voix produits avec un outil d’IA générative, les règles de marquage et d’étiquetage vous concernent. Le chatbot est le cas le plus visible, pas le seul. Non, dans la très grande majorité des cas. L’obligation de divulgation vise les textes publiés pour informer le public sur des questions d’intérêt public, et elle tombe dès lors qu’un humain a relu le texte et en assume la responsabilité éditoriale. Un article commercial relu et signé ne pose pas de difficulté. Les deux, à des titres différents. La conception du système relève du fournisseur. L’affichage effectif vers vos visiteurs relève de vous, puisque c’est vous qui exploitez l’outil sur votre site. Ne comptez pas sur un réglage par défaut, vérifiez ce que voit réellement un visiteur. Non. Les systèmes à haut risque de l’annexe III, qui couvrent notamment le tri de candidatures et l’évaluation de crédit, s’appliqueront à partir du 2 décembre 2027 après le report décidé par le règlement omnibus sur l’IA. En revanche, la reconnaissance des émotions au travail est interdite depuis février 2025. Le dispositif luxembourgeois cible des projets de digitalisation et d’intelligence artificielle, pas une prestation de conformité isolée. En revanche, une mise en conformité intégrée à un projet plus large, comme la refonte d’un site ou le déploiement d’un assistant, entre souvent dans le périmètre. La question se tranche au moment du montage du dossier, sur notre page consacrée aux SME Packages AI. Oui. L’obligation de culture de l’IA s’applique depuis le 2 février 2025 : les personnes qui utilisent des systèmes d’IA pour le compte de l’entreprise doivent disposer d’un niveau de compétence suffisant. Une formation IA en entreprise couvre à la fois cette exigence et le gain de productivité recherché. Pour un site vitrine avec un chatbot et des visuels générés, comptez une demi journée de revue et quelques heures de correction technique. Les délais s’allongent dès qu’un outil maison est en jeu, ou que le rôle de fournisseur est en question. Sources
AI Act au Luxembourg : les 5 points à vérifier sur le site de votre PME depuis le 2 août 2026
Ce qui est entré en application, et ce qui a été repoussé
Ce qui s’applique
Depuis quand
Qui est visé en pratique
Pratiques interdites et culture de l’IA dans l’entreprise
2 février 2025
Toute organisation qui utilise l’IA
Règles sur les modèles d’IA à usage général
2 août 2025
Éditeurs de modèles, rarement une PME
Obligations de transparence (article 50)
2 août 2026
Sites, chatbots, contenus marketing générés par IA
Systèmes à haut risque de l’annexe III (recrutement, crédit, biométrie)
2 décembre 2027
Reporté par l’omnibus IA
IA intégrée dans des produits réglementés
2 août 2028
Reporté par l’omnibus IA
Fournisseur ou déployeur : la question qui décide de tout
Les deux rôles à ne pas confondre
Les 5 points à vérifier sur votre site
1. Votre chatbot annonce qu’il est une IA
2. Vos contenus générés par IA sont marqués
3. Vos deepfakes publicitaires sont étiquetés
4. Vos textes d’intérêt public sont déclarés
5. Vos outils d’analyse comportementale sont déclarés, ou retirés
Qui contrôle au Luxembourg et ce que vous risquez
Le plan d’action réaliste pour une PME
Un diagnostic de conformité IA de votre site
Questions fréquentes
Mon site n’a pas de chatbot. Suis je concerné ?
Utiliser ChatGPT pour rédiger mes articles de blog est il un problème ?
Qui doit afficher la mention : moi ou l’éditeur du chatbot ?
Les règles sur le recrutement automatisé s’appliquent elles déjà ?
Est ce que le SME Packages peut financer cette mise en conformité ?
Nos équipes doivent elles être formées, au sens du règlement ?
Combien de temps faut il pour se mettre en règle ?
Radu Ulea est un expert en marketing digital, fort de plus de 10 ans d’expérience dans le domaine. En 2017, il a fondé AR Digital, une agence de marketing 360 basée au Luxembourg, qui accompagne des clients à travers l’Europe. Sous sa direction, l’agence a développé une expertise approfondie en SEO, SEA et génération de contenu, offrant des solutions sur mesure pour optimiser la visibilité en ligne et la performance des entreprises. Avant de créer AR Digital, Radu a occupé des postes clés dans diverses entreprises, où il a affiné ses compétences en stratégie digitale et en gestion de projets complexes. Son approche centrée sur le client et sa capacité à anticiper les tendances du marché font de lui un leader reconnu dans le secteur du marketing digital.
