AI Act à partir du 2 août : pourquoi un QR code ne remplace pas l’étiquetage de l’IA

La Commission européenne a publié le 20 juillet 2026 ses lignes directrices sur les obligations de transparence prévues à l’article 50 de l’AI Act ; la page récapitulative correspondante a été mise à jour pour la dernière fois le 29 juillet 2026. Les obligations s’appliquent en principe à partir du 2 août 2026. Pour les équipes qui publient des images, vidéos, fichiers audio ou textes générés par l’IA, une distinction technique est essentielle : le marquage lisible par machine du contenu, sa détectabilité et l’indication visible destinée aux personnes constituent des niveaux distincts. Un QR code peut ajouter un quatrième niveau consacré à la provenance et aux explications. Il ne remplace toutefois pas automatiquement les autres niveaux.

L’article 50 distingue fournisseurs et déployeurs

Le texte de l’article 50 impose des obligations différentes à des rôles différents.

Les fournisseurs de systèmes qui génèrent des contenus audio, visuels, vidéo ou textuels synthétiques doivent veiller à ce que les sorties soient marquées de manière lisible par machine et détectables comme étant générées ou modifiées artificiellement. La solution technique doit être, dans la mesure où cela est techniquement possible, efficace, interopérable, robuste et fiable. L’article ne prescrit donc pas un format de code-barres particulier. Il exige une caractéristique du contenu produit ainsi qu’un moyen de détection approprié.

Les déployeurs, en revanche, doivent informer les personnes dans certaines situations d’utilisation : par exemple en cas de reconnaissance des émotions et de catégorisation biométrique, de deepfakes, ainsi que pour certains textes générés ou manipulés par l’IA portant sur des questions d’intérêt public. Cette information doit être claire, distincte et accessible au plus tard lors de la première interaction ou exposition. Les exigences applicables en matière d’accessibilité s’appliquent également.

Une entreprise peut exercer les deux rôles simultanément. Toute organisation qui exploite son propre système de génération et publie elle-même ses résultats doit donc examiner à la fois les obligations du fournisseur et celles du déployeur.

Pourquoi « lisible par machine » ne signifie pas simplement « QR code »

Un QR code est lisible par machine. Il ne s’ensuit toutefois pas qu’un QR code placé à côté d’une image générée par l’IA suffise déjà à remplir l’obligation du fournisseur. L’article 50, paragraphe 2, exige que la sortie du système d’IA soit marquée et détectable comme étant générée ou manipulée par l’IA. Un carré placé séparément renvoie généralement uniquement vers une page externe. Si l’image est copiée, recadrée ou diffusée sans sa mise en page d’accompagnement, le renvoi peut disparaître alors que le contenu continue de circuler sans modification.

La conclusion architecturale est donc la suivante : un QR code externe constitue généralement une couche de provenance complémentaire, et non le marquage technique intégré au contenu. La conformité juridique d’une mise en œuvre concrète dépend du système, du format de sortie et du contexte d’utilisation.

Du côté des déployeurs également, imposer un scan ne suffit pas. La FAQ de la Commission précise expressément, pour les deepfakes, que l’information doit être perceptible sans outils particuliers ni action supplémentaire. Les déployeurs ne peuvent pas se reposer uniquement sur un marquage intégré lisible par machine. Une indication qui ne devient visible qu’après le scan d’un QR code arrive donc trop tard pour l’information initiale exigée.

Quatre niveaux pour une mise en œuvre solide

1. Marquage dans le contenu

Le premier niveau doit être intégré au processus de génération ou d’exportation. Selon le support, des métadonnées signées, des filigranes, des attestations cryptographiques de provenance, des empreintes ou des combinaisons de ces techniques peuvent être envisagés. Les lignes directrices de la Commission soulignent deux éléments liés : le marquage et la détectabilité. Un marquage sans procédure de vérification disponible ne suffit pas à atteindre l’objectif décrit.

Le code de conduite volontaire de l’UE pour la transparence de l’IA précise une voie possible de preuve. Pour les contenus conteneurisés diffusés en ligne, il prévoit une approche à plusieurs niveaux avec des métadonnées signées numériquement et un filigrane imperceptible. Le texte libre est soumis à d’autres limites techniques. Le code est volontaire ; les obligations de l’article 50 ne le sont pas.

2. Indication perceptible lors de la première exposition

Le deuxième niveau s’adresse aux personnes. L’indication doit apparaître là où le contenu est perçu pour la première fois, et non uniquement dans une politique générale de confidentialité ou sur une sous-page liée. Selon le support, il peut s’agir d’un étiquetage visible, d’une indication orale ou d’une autre forme claire et accessible.

Pour les textes éditoriaux, l’exception est importante : la FAQ explique que les textes publiés sur des questions d’intérêt public ne sont pas soumis à une obligation d’étiquetage s’ils ont fait l’objet d’un examen humain substantiel ou d’un contrôle éditorial et si une personne physique ou morale assume la responsabilité éditoriale. Une simple vérification orthographique ou de mise en forme ne suffit pas.

3. QR code comme voie vers la provenance et le contexte

Le troisième niveau est facultatif, mais utile sur le plan opérationnel. Un QR code peut diriger, depuis un visuel imprimé, un emballage, une bannière de salon ou une présentation, vers une page de provenance durable. Un QR code dynamique permet de faire évoluer la cible de manière contrôlée sans remplacer le support physique.

La page cible ne devrait pas afficher une affirmation générale de « conformité à l’AI Act ». Il est plus pertinent de présenter des faits vérifiables :

identifiant unique de l’actif et de la version,
organisation responsable et point de contact,
système d’IA utilisé, dans la mesure où sa divulgation est possible,
date de génération et principales étapes de modification,
statut de l’examen humain ou éditorial,
nature du marquage disponible et accès au détecteur,
statut actuel de publication ainsi que les indications de correction ou de retrait.

Les prompts contenant des données personnelles, les paramètres internes des modèles et les données de production confidentielles n’ont pas leur place sur une page de provenance publique. La transparence ne signifie pas qu’il faille divulguer des secrets d’affaires ou des données personnelles.

4. Journal interne des preuves

La page publique ne remplace pas un journal d’audit interne. Pour chaque publication, il devrait être possible de retracer l’objet initial généré, les transformations effectuées, les métadonnées conservées et la personne ayant autorisé la publication. Des identifiants d’actifs immuables, les valeurs de hachage des fichiers approuvés, les horodatages, les relations entre versions et les résultats de vérification consignés sont particulièrement utiles.

Un flux de travail pratique en sept étapes

Déterminer les rôles : documenter, pour chaque système, qui est fournisseur, déployeur ou les deux.
Répertorier les types de sorties : traiter séparément les images, vidéos, fichiers audio, textes libres et textes conteneurisés.
Vérifier le marquage lors de l’exportation : ne pas attendre la fin de la chaîne de publication pour chercher une solution.
Tester les transformations : la compression, le redimensionnement, le recadrage, le transcodage et les téléversements sur les plateformes ne doivent pas détruire subrepticement le marquage et la détection.
Placer l’indication au premier contact : visible ou audible, compréhensible et accessible ; le QR code ne mène qu’aux détails.
Versionner la page de provenance : URL stable, informations à jour, logique claire de modification et de retrait.
Conserver les preuves : consigner ensemble les résultats des tests, les validations, la version du détecteur et la version de l’actif publié.

Le transfert entre les outils est particulièrement critique. Un générateur peut fournir des métadonnées correctement signées qui sont supprimées lors de l’exportation depuis un éditeur d’images ou du téléversement dans un système de gestion de contenu. Il faut donc vérifier non seulement le fichier source, mais aussi le fichier effectivement publié.

Hypothèses erronées courantes

« Le QR code est pourtant lisible par machine. » Oui, mais il marque souvent le support ou la mise en page, et non la sortie d’IA elle-même de façon durable.

« Les métadonnées suffisent toujours. » Pas nécessairement. Les formats et les plateformes peuvent supprimer les métadonnées. Le code volontaire mise donc sur plusieurs couches de marquage pour de nombreux médias courants.

« L’indication visible peut se trouver derrière le QR code. » Pour la première exposition, c’est risqué, car les personnes devraient d’abord effectuer une action supplémentaire.

« Tout texte auquel l’IA a contribué doit être étiqueté. » Non. Le champ d’application, le traitement standard, la finalité d’information publique ainsi que l’examen humain réel et la responsabilité éditoriale doivent être évalués de manière différenciée.

Ce qui devrait être priorisé d’ici au 2 août

La FAQ de la Commission prévoit une période transitoire limitée exclusivement à l’obligation de marquage et de détection applicable à certains systèmes déjà mis sur le marché avant le 2 août 2026 : le 2 décembre 2026 est la date pertinente à cet égard. Pour les autres obligations, il ne s’agit pas d’un report général. Selon la FAQ, les contenus générés avant le 2 août ne doivent pas être étiquetés rétroactivement ; un étiquetage volontaire a toutefois été recommandé.

Pour les prochains jours, une vaste campagne de QR codes ne constitue donc pas la première étape. Il faut donner la priorité à la clarification des rôles, aux tests d’exportation et de détection, aux indications visibles au point réel de diffusion et à un journal interne des preuves solide. Le QR code devient ensuite ce qu’il sait bien faire : offrir un accès stable à des informations de provenance approfondies et actualisables.