Conformité au Digital Services Act pour l'IA

Qu'est-ce que le DSA ?

Le Digital Services Act (Règlement 2022/2065) est le cadre de l'UE pour la responsabilité des plateformes en ligne. Il est entré en vigueur en novembre 2022 et est pleinement applicable depuis le 17 février 2024. Les obligations VLOP/VLOSE s'appliquent depuis août 2023.

Le DSA couvre les services intermédiaires — les plateformes qui hébergent, transmettent ou mettent en cache du contenu tiers. Amendes maximales : jusqu'à 6 % du chiffre d'affaires annuel mondial.

Obligations de transparence Article 14 du DSA

L'Article 14 exige de chaque fournisseur d'un service intermédiaire qu'il expose, dans un langage clair et non ambigu, toutes les restrictions qu'il impose au contenu généré par les utilisateurs — y compris les politiques, procédures, outils et revue humaine de modération de contenu appliqués. Pour les fournisseurs utilisant la prise de décision algorithmique ou la modération basée sur l'IA, les conditions doivent décrire explicitement les paramètres de ces systèmes. Les informations doivent être publiquement disponibles, lisibles par machine et mises à jour à chaque modification des règles.

En pratique, l'Article 14 élève la barre probatoire pour toute stack de modération IA : les entreprises doivent pouvoir montrer, après coup, quelle politique était en vigueur, quels étaient les paramètres du modèle, et comment les décisions contestées ont été traitées. Les journaux ancrés cryptographiquement deviennent rapidement le standard de facto pour satisfaire cette charge.

VLOP vs PME sous le Digital Services Act

Le DSA applique un régime proportionnel. Les micro et petites entreprises (moins de 50 employés et €10M de chiffre d'affaires) sont exemptées des obligations les plus lourdes, y compris l'obligation de publier des rapports de transparence et de se conformer au processus de signaleur de confiance. Les plateformes en ligne qui dépassent ces seuils doivent satisfaire aux obligations de notification et d'action, de traitement des plaintes internes et de déclaration des motifs. Les très grandes plateformes en ligne — celles avec 45 millions ou plus de destinataires mensuels actifs dans l'UE — font face au régime complet : évaluations annuelles des risques systémiques, audits indépendants, accès des chercheurs aux données, protocoles de crise et une fonction de conformité dédiée.

De manière cruciale, l'exemption PME ne s'étend pas à la transparence de l'EU AI Act : une PME exemptée exploitant un chatbot orienté client doit toujours la divulgation de l'Article 50. À l'inverse, une VLOP doit traiter le contenu généré par IA sous les deux le cadre de risque DSA et l'EU AI Act — les deux régimes s'empilent, ils ne se substituent pas.

DSA vs EU AI Act — distinction clé

Une idée reçue courante : le DSA ne pas contient d'article spécifique sur la divulgation des chatbots. L'obligation d'informer les utilisateurs qu'ils interagissent avec une IA vient de l'EU AI Act Article 50 (en vigueur le 2 août 2026).

Les deux règlements sont complémentaires :

• EU AI Act Article 50 = divulgation chatbot (« vous parlez à une IA ») — s'applique à tous les déployeurs
• DSA = transparence de plateforme, modération de contenu, risque systémique — s'applique aux services intermédiaires et aux plateformes

La conformité à l'un ne pas couvre l'autre.

VLOP — Très grandes plateformes en ligne

La Commission européenne a désigné plusieurs VLOP incluant :

• WhatsApp (désigné comme VLOP)
• Facebook, Instagram, YouTube, TikTok, X/Twitter
• LinkedIn, Snapchat, Amazon, Apple App Store
• Google Play, Google Maps, Google Shopping
• Booking.com, Pinterest, Zalando, Temu, Shein

ChatGPT N'EST PAS désigné comme VLOP — la Commission délibère encore, malgré 120M+ d'utilisateurs mensuels UE de ChatGPT (bien au-dessus du seuil de 45M).

Ce que cela signifie pour les déployeurs IA

Si vous déployez un chatbot IA sur votre propre site web générant son propre contenu, le DSA ne s'applique probablement pas directement à vous (vous n'êtes pas un intermédiaire hébergeant du contenu tiers). Votre obligation vient de l'EU AI Act.

Si vous déployez un chatbot IA sur une VLOP (WhatsApp, Instagram, Facebook Messenger), la plateforme supporte les obligations VLOP (évaluations des risques systémiques, rapports de transparence). Vous devez vous conformer aux conditions de la plateforme et à toute réglementation sectorielle applicable.

Application DSA et pouvoirs des coordinateurs

L'application sous le DSA est bifurquée. La Commission européenne dispose de pouvoirs de supervision exclusifs sur les VLOP et VLOSE désignés, avec la capacité de lancer des enquêtes d'initiative, de procéder à des inspections, d'exiger des documents internes, d'interroger le personnel, d'imposer des mesures provisoires et d'amender finalement jusqu'à 6 % du chiffre d'affaires annuel mondial. Des pénalités périodiques jusqu'à 5 % du chiffre d'affaires quotidien moyen mondial peuvent être imposées pour non-conformité continue.

Chaque État membre a nommé un coordinateur national des services numériques (aux Pays-Bas : l'ACM ; en Irlande : Coimisiún na Meán) pour surveiller tous les autres intermédiaires établis sur son territoire. Les CSN peuvent ordonner la suppression de contenu, suspendre les récidivistes, certifier les signaleurs de confiance et référer les affaires transfrontalières au Conseil européen des services numériques. Les déployeurs IA doivent cartographier leur pays d'établissement et identifier le CSN concerné avant qu'une lettre d'application n'arrive.

Application DSA en action

• X/Twitter sanctionné pour violations de transparence sous le DSA (2025)
• Incident chatbot Grok (fin 2025) : l'IA a généré des images illégales, déclenchant les premières procédures importantes d'application DSA liées aux chatbots
• La Commission a ordonné à X de conserver toutes les données liées à Grok jusqu'à fin 2026

Comment Audact aide

• Conformité EU AI Act Article 50 : Audact applique la divulgation des chatbots sur tous les canaux — l'obligation principale de transparence pour les déployeurs IA
• Gouvernance médiée par plateforme : Lorsque votre IA opère sur des VLOP (WhatsApp, Messenger), Audact valide la conformité avec les politiques de contenu spécifiques à la plateforme (Brevet P32)
• Preuves de modération de contenu : Piste de preuves cryptographiques pour chaque interaction IA, soutenant les exigences de transparence DSA
• Vérification des filigranes : Vérification que le contenu généré par IA est correctement filigrane selon les exigences du code de bonnes pratiques (Brevet P39)

Questions fréquemment posées

Comparer les lois de conformité IA UE

Ressources de conformité connexes

• Aperçu de la conformité EU AI Act Article 50
• Conformité RGPD IA avec Audact
• Conformité des communications IA ePrivacy
• Tarifs de la plateforme de conformité Audact