Marquage des contenus d'IA : les règles s'appliquent déjà, mais aucune loi ne nomme C2PA

Des lois exigent déjà des « marques lisibles par machine » sur les images, sons et vidéos créés par IA. Mais aucune d’elles ne nomme C2PA.

Si vous exploitez un service d’IA qui génère des images, des sons ou des vidéos, des dates sont à retenir. Les obligations de transparence de l’AI Act européen s’appliquent depuis le 2 août, et pour les systèmes déjà sur le marché avant cette date, l’obligation de marquage s’applique à partir du 2 décembre. L’AI Transparency Act de Californie a lui aussi commencé le 2 août.

Ici, une « marque » est une information intégrée à un fichier pour qu’un programme puisse la lire et savoir que le contenu a été créé par une IA. Elle est distincte d’une étiquette visible.

Les règles déjà en vigueur

Région et loi	Exigence	Début	Sanction
AI Act de l’UE, article 50	Les fournisseurs d’IA générative doivent apposer des marques lisibles par machine sur les sorties, et les deepfakes doivent être clairement signalés aux utilisateurs	2 août 2026. Pour les systèmes déjà sur le marché, l’obligation de marquage s’applique à partir du 2 décembre	Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial
Californie, AI Transparency Act	Les fournisseurs d’IA générative de plus d’1 million d’utilisateurs mensuels doivent intégrer dans les images, vidéos et sons des marques cachées (fournisseur, système, heure, identifiant unique) et proposer un outil de détection gratuit	2 août 2026. Grandes plateformes à partir du 1er janvier 2027, appareils de capture en 2028	5 000 dollars (environ 4 500 euros) par infraction
Corée du Sud, AI Basic Act	Les sons, images et vidéos difficiles à distinguer d’une création humaine doivent être signalés comme des sorties d’IA	22 janvier 2026	Jusqu’à 30 millions de wons (environ 20 000 euros), par exemple pour défaut d’information sur l’usage de l’IA. Les amendes devraient être suspendues au moins un an

Un deepfake est une vidéo ou un son d’une personne ou d’un événement créé par IA pour paraître vrai.
La loi californienne ne s’applique pas au texte généré par IA.
La loi coréenne est en vigueur, mais le ministère des Sciences et des TIC a indiqué que les amendes seraient suspendues au moins un an.

Où se situe C2PA

C2PA est une norme de l’industrie qui signe et joint au fichier qui a créé un contenu, quand et comment. Content Credentials 2.3 est sorti le 9 février, et TikTok a rejoint le comité de pilotage le 28 juillet.

Mais les lois ne choisissent pas la technologie. La FAQ officielle de la Commission européenne demande seulement des « marques lisibles par machine efficaces, fiables, robustes et interopérables » et ne mentionne ni filigranes, ni métadonnées, ni C2PA. Le code de bonnes pratiques qui sert de guide (publié le 10 juin, volontaire, environ 190 signataires fin juillet) ne cite pas non plus de techniques précises sur sa page officielle. Certains commentaires disent qu’il demande des métadonnées signées avec des filigranes invisibles, mais nous n’avons pas pu le confirmer sur la page officielle.

Affirmations que nous n’avons pas pu confirmer

« Obligation d’adoption généralisée » : les règles et les dates de début diffèrent selon les régions. Les amendes coréennes sont suspendues, et les obligations des plateformes en Californie ne commencent qu’en 2027.
« Installé comme standard sur les grandes plateformes » : l’adoption de C2PA progresse, mais de nombreux commentaires la jugent inégale, par exemple parce que les métadonnées sont supprimées à l’envoi. Nous n’avons trouvé aucun fondement pour parler d’un standard à l’échelle des plateformes.
« Marques imposées dès l’entraînement du modèle » : toutes les lois examinées exigent des marques sur les sorties. Nous n’avons trouvé aucune exigence concernant l’entraînement.
« Restrictions de diffusion renforcées pour les contenus d’IA » : nous n’avons trouvé aucun fondement pour généraliser. L’obligation des grandes plateformes californiennes (détecter les marques) commence en 2027.

Ce qui pourrait changer pour les développeurs

Ce qui suit est notre estimation et nos conseils à partir des informations et des documents officiels. Ce n’est pas un avis juridique ; il faut vérifier séparément si votre service est concerné.

Commencer par déterminer si l’on est concerné. Si vous avez une fonction qui génère des images, des sons ou des vidéos, et des utilisateurs dans l’UE ou plus d’1 million d’utilisateurs mensuels en Californie, vous pouvez l’être. Un service qui ne génère que du texte n’entre pas dans la loi californienne.
Prendre le 2 décembre comme point de contrôle. Une fonction de génération déjà en service dans l’UE doit porter des marques d’ici là.
Vérifier que les marques survivent au traitement. Les outils qui redimensionnent ou réencodent les images effacent souvent les informations du fichier. Il ne faut pas compter sur une seule méthode ; combiner informations de fichier et filigrane invisible est plus sûr.
Le choix de la norme reste ouvert. Comme aucune loi ne nomme C2PA, d’autres méthodes sont possibles, mais les marques doivent être interopérables. Si vous adoptez une solution nouvelle, la prise en charge de C2PA mérite d’être examinée en premier.

À suivre

Le calendrier des outils de détection et d’interopérabilité des signataires du code de bonnes pratiques de l’UE, les obligations des grandes plateformes californiennes de janvier 2027 et les projets de modification, la fin de la suspension des amendes en Corée et d’éventuelles modifications de la loi, et le traitement des signalements de moyens de contourner les signatures C2PA.

La conversion en euros suit le taux du 14 octobre (1 dollar ≈ 0,89 euro, 1 000 wons ≈ 0,67 euro) et est arrondie.