Marquage lisible par machine selon l'article 50, paragraphe 2 : la check-list technique de mise en œuvre

Depuis le 2 août 2026, les fournisseurs de systèmes d'IA générative doivent veiller à ce que leurs sorties soient marquées dans un format lisible par machine et détectables comme générées ou manipulées par IA — article 50, paragraphe 2, du règlement (UE) 2024/1689. Les systèmes déjà sur le marché avant cette date disposent d'une fenêtre supplémentaire, jusqu'au 2 décembre 2026 (FAQ de la Commission européenne sur l'article 50; voir le compte à rebours en direct). Ce guide adopte le point de vue de l'ingénieur : ce que la loi exige réellement, comment les trois familles de techniques se comparent, et une check-list à remettre à votre équipe. Pas sûr que l'article 50, paragraphe 2, s'applique à vous ? Commencez par le test gratuit de 3 minutes.

Ce que la loi exige réellement

L'article 50, paragraphe 2, fixe une obligation de résultat, pas une technologie nommée. Les marques doivent être efficaces, fiables, robustes et interopérables — « dans la mesure où cela est techniquement possible », compte tenu des spécificités et limites du type de contenu, des coûts de mise en œuvre et de l'état de la technique généralement reconnu. Les lignes directrices de la Commission sur la transparence des contenus générés par IA (juillet 2026) précisent tout cela, et le code de bonnes pratiques sur la transparence des contenus générés par IA (section 1) est la voie reconnue par la Commission pour démontrer la conformité. Deux conséquences pour les ingénieurs :

• Une légende visible ne suffit pas.« Généré par IA » incrusté dans un coin d'image est lisible par l'humain. L'article 50, paragraphe 2, veut un marquage détectable par un logiciel. (Les mentions visibles relèvent de l'obligation distincte des déployeurs au titre de l'article 50, paragraphe 4 — voir comment étiqueter les contenus IA.)
• La perfection n'est pas exigée — une technique défendable, si. Les réserves de faisabilité et d'état de la technique reconnaissent qu'aucune marque ne survit à toutes les transformations. Ce que vous devez pouvoir montrer : avoir choisi une technique établie, adaptée au type de contenu, et déployée de manière cohérente.

Les trois familles de techniques comparées

1. Métadonnées de provenance — C2PA Content Credentials

La Coalition for Content Provenance and Authenticity (C2PA) publie une spécification ouverte pour des manifestes de provenance signés cryptographiquement et intégrés au fichier. Un manifeste peut déclarer le contenu généré par IA, nommer le générateur, et il est inviolable : toute modification après signature casse la signature.

• Interopérabilité : la plus forte des trois.Un standard ouvert et neutre, avec un modèle de confiance public et des outils de vérification gratuits — exactement la propriété « interopérable » que nomme l'article 50, paragraphe 2.
• Faiblesse : la suppression.Les métadonnées peuvent être retirées par réencodage ou par les plateformes qui les suppriment à l'upload. La spécification C2PA y répond par des liaisons durables (manifestes liés à un filigrane) ; l'usage courant est de les coupler à un filigrane invisible.
• Effort : faible. Des outils open source matures existent (c2patool et SDK), ou vous signez via une API hébergée — une requête POST par image, avec un playground gratuit pour essayer.

2. Filigranes invisibles

Le filigrane intègre un signal statistique imperceptible dans les pixels, la forme d'onde ou la distribution des tokens. Comme la marque vit dans le contenu et non à côté, elle survit à la suppression des métadonnées et, selon le procédé, à un recadrage, une compression ou un réenregistrement modérés.

• Robustesse : la plus forte — mais propriétaire.La détection exige généralement le détecteur du fournisseur du filigrane ; l'interopérabilité est donc plus faible que C2PA. La plupart des grands fournisseurs de modèles filigranent images et audio ; plusieurs publient des API de détection.
• Faiblesse : pas encore de standard ouvert inter-fournisseurs. Si vous ne comptez que sur le filigrane, documentez le procédé, l'accès au détecteur et les caractéristiques de faux positifs — cette documentation est votre preuve.
• Effort : variable.Si vous construisez sur une API de modèle de fondation qui filigrane déjà les sorties, vérifiez-le et consignez-le. Si vous hébergez vous-même des modèles ouverts, vous devez ajouter vous-même l'étape de filigrane ou de signature.

3. Métadonnées de fichier simples (EXIF/XMP/IPTC)

Écrire « généré par IA » dans les champs de métadonnées standard (p. ex. la valeur IPTC trainedAlgorithmicMedia du champ DigitalSourceType) est lisible par machine et quasiment gratuit — mais non signé et perdu au premier réencodage.

• À utiliser en complément, pas comme socle. Des champs non signés peuvent être modifiés ou supprimés sans trace : faibles sur les critères « fiable et robuste ». Ils coûtent quelques minutes et améliorent la détection par les plateformes qui les lisent.

Quoi utiliser par type de contenu

• Images :manifeste C2PA à la génération (+ champs IPTC), plus le filigrane du fournisseur quand il existe. La modalité la mieux servie — notre guide C2PA couvre le standard en profondeur.
• Vidéo :C2PA prend en charge les manifestes vidéo ; à coupler au filigrane du générateur. Marquez au rendu final, pas par lot d'images.
• Audio :manifestes C2PA dans les conteneurs pris en charge plus filigrane audio ; pour la voix en streaming (p. ex. agents vocaux), la divulgation en début d'interaction engage aussi l'article 50, paragraphes 1 et 4 — voir le guide des agents vocaux.
• Texte :le cas le plus difficile, et la loi le sait. Le filigrane statistique de texte existe mais est moins mature et facilement affaibli par la paraphrase ; il n'existe pas de standard de métadonnées intégrées pour le texte brut. Approche pratique : filigranez là où votre stack le permet, marquez de manière lisible par machine à la couche de livraison que vous contrôlez (métadonnées HTML, en-têtes HTTP, champs de réponse API) et documentez pourquoi une robustesse totale n'est pas encore faisable — c'est exactement le rôle de la réserve d'état de la technique. Notez les exemptions ci-dessous et l'obligation distincte du déployeurpour les textes d'intérêt public publiés (article 50, paragraphe 4).

Ce que vous n'avez pas à marquer

Selon la FAQ et les lignes directrices de la Commission, l'obligation de marquage ne couvre pas, entre autres :

• les sorties communiquées exclusivement de machine à machine et traitées automatiquement sans exposition humaine ;
• l'IA remplissant une fonction d'assistance / d'édition standard(les lignes directrices donnent des exemples pratiques d'où s'arrête l'édition standard) ;
• les courtes séquences de chiffres, symboles ou lettres, et le code source ;
• les sorties utilisées uniquement dans des environnements industriels ou de développement produit en boucle fermée (sauf s'il s'agit du résultat final), et une exemption étroite pour les contextes B2B / industriels sous les conditions des lignes directrices.

La check-list de mise en œuvre

1. Inventoriez les sorties génératives.Chaque surface où votre produit émet de l'audio, des images, de la vidéo ou du texte synthétiques pouvant atteindre des utilisateurs de l'UE — y compris les sorties en marque blanche et via API.
2. Classez chaque surface au regard des exemptions ci-dessus et consignez le raisonnement.
3. Vérifiez vos fournisseurs de modèles. Si vous construisez sur des API de génération tierces, établissez quel marquage elles appliquent déjà (filigrane ? C2PA ? aucun ?) et obtenez-le par écrit — le guide de due diligence fournisseurs contient les questions exactes.
4. Ajoutez la signature à votre frontière.Pour les images, l'étape robuste la moins chère est d'intégrer un manifeste C2PA avant livraison — via un appel d'API ou en auto-hébergé.
5. Vérifiez que les marques survivent à votre pipeline. Miniatures, réencodages CDN et conversions de format sont là où meurent les manifestes. Testez de bout en bout.
6. Alignez-vous sur le code de bonnes pratiques (section 1) ou documentez vos mesures équivalentes — les fournisseurs qui n'adhèrent pas au code doivent démontrer leur conformité par d'autres moyens adéquats équivalents.
7. Conservez des preuves datées.Un marquage que vous ne pouvez pas prouver n'existe pas pour un auditeur. Lancez le test gratuitpour obtenir un rapport d'obligations daté, voyez ce que doit contenir un dossier de preuves — les offres automatisent la partie récurrente.

Ce que coûte la non-conformité

Les manquements aux obligations de l'article 50 sont passibles d'amendes pouvant atteindre 15 000 000 EUR ou 3 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 4, point g) — appliquées par les autorités nationales de surveillance du marché depuis le 2 août 2026 (Commission : cadre d'application du règlement sur l'IA). Voir qui applique le règlement dans chaque pays et votre exposition maximale théorique.