Ce que dit l'AI Act sur le système de recommandation du commerce électronique

Avez-vous intégré Claude ou GPT dans votre boutique de vêtements pour recommander les bons produits ? Bonne nouvelle : vous ne courez pas de risque élevé. La moins bonne : vous avez encore trois obligations à respecter d’ici le 2 août 2026.

Elles sont ici expliquées avec des exemples concrets issus du monde de la mode.

Le chatbot recommande une chemise (et ment). Ce que dit l’AI Act à propos de votre moteur de recommandation e-commerce

Imaginez cette scène. Un client entre sur votre site e-commerce de vêtements, recherche « chemise blanche homme » et un petit assistant IA apparaît en haut à droite et dit : «Bonjour Marco, j’ai sélectionné pour vous trois modèles en fonction de vos achats précédents. Voulez-vous les voir ?». Sous le capot, un système d’IA – peut-être basé sur l’API Claude, GPT-4 ou un moteur propriétaire – croise l’historique des commandes, le comportement de navigation, les tailles achetées et certains signaux de sentiment issus des avis laissés. Résultat : trois recommandations personnalisées.

Il s’agit d’un scénario de plus en plus courant et un nombre croissant d’entreprises italiennes de commerce électronique expérimentent des moteurs de recommandation basés sur l’IA, notamment dans le secteur de la mode. Ils travaillent, ils convertissent, ils augmentent la valeur moyenne des commandes. Mais à partir d’août 2026, ils entrent dans le champ d’application de la loi IA, et pour les responsables numériques qui les gèrent, il est temps de commencer à comprendre ce qui change.

La question des responsables e-commerce est souvent la même : «Alors, sommes-nous à haut risque ? Devons-nous tout arrêter ?». Réponse courte : non… mais réponse longue : « Cela dépend de ce que fait exactement votre système, et dans de nombreux cas, les obligations sont plus légères que vous ne le pensez. »

>>Obtenir et certifier des compétences spécialisées en Intelligence Artificielle avec l’Executive Master en collaboration avec l’Institut Universitaire IUSVE<<

À quelle catégorie de risque appartient un système de recommandation ?

L’AI Act – Règlement UE 2024/1689 – classe les systèmes d’intelligence artificielle en quatre catégories de risques : inacceptable, élevé, limité, minime. Chaque catégorie active des obligations différentes. Le moteur de recommandation de produits entre, dans la grande majorité des cas, dans la catégorie « risque limité ». Voyons pourquoi, en excluant une à une les catégories supérieures.

Ce n’est pas un « risque inacceptable »

La catégorie la plus grave (art. 5 de la loi IA) regroupe des pratiques toujours interdites : manipulation subliminale, exploitation de vulnérabilités, score social, identification biométrique en temps réel à des fins répressives. Un moteur de recommandation de produits, en soi, n’entre pas ici. Il y a cependant une problématique qu’il convient de connaître : si le système utilisait des signaux émotionnels détectés de manière subtile (anxiété, urgence, fragilité économique) pour pousser des achats causant des dégâts importants, cela pourrait rentrer dans le champ de l’art. 5. Il s’agit d’une zone grise qui concerne davantage la tarification dynamique agressive que la recommandation classique, mais il convient de la garder à l’esprit lorsque l’on parle de personnalisation approfondie.

Ce n’est pas un « risque élevé »

La catégorie « risque élevé » (articles 6 et 7, avec l’annexe III comme liste de référence) comprend les systèmes utilisés dans des domaines tels que la sélection du personnel, la notation de crédit, l’éducation, les soins de santé, les infrastructures critiques, l’application de la loi. Heureusement, la vente de chemises et de pulls n’est pas considérée comme un domaine à haut risque par le législateur européen. Votre moteur ne relève pas de l’annexe III.

Mais attention… une précision utile : si la même technologie d’IA était utilisée pour évaluer la solvabilité d’un client demandant un paiement échelonné (ex : « Achetez maintenant, payez plus tard » avec un scoring algorithmique), la classification changerait radicalement. Le système deviendrait à haut risque non pas pour le modèle, mais pour son utilisation. C’est une distinction qui sera utile plus tard.

C’est un « risque limité »

Ici, nous sommes dans la bonne catégorie. Le « risque limité » (art. 50 du Règlement) regroupe les systèmes qui interagissent avec des personnes physiques, génèrent des contenus ou produisent des effets qui nécessitent de la transparence, mais ne sont pas suffisamment critiques pour justifier le régime à haut risque. Ils sont soumis avant tout à des obligations de transparence, non à une documentation technique complexe, ni à une évaluation de la conformité, ni au marquage CE.

Un système de recommandation de produits trouve ici sa place lorsqu’il revêt des caractéristiques conversationnelles (le chatbot classique « puis-je vous aider à choisir ? »), lorsqu’il se présente comme un assistant personnel, ou lorsqu’il interagit activement avec le client. Si toutefois le système affiche simplement « produits recommandés pour vous » sous forme de bannière non interactive, ce sont les obligations de l’art. 50 s’atténuent de manière significative.

« La loi sur l’IA ne classe pas les modèles, elle classe les utilisations. Le même Claude ou GPT lui-même peut présenter un faible risque s’il génère des projets de newsletters, et un risque élevé s’il évalue la solvabilité d’une personne. »

Les trois obligations concrètes pour celui qui gère un moteur de recommandation IA

Venons-en au point opérationnel. Si vous êtes responsable du numérique ou responsable du commerce électronique, ce sont les trois choses que vous devez avoir à votre agenda avant le 2 août 2026, date à laquelle l’art. 50 devient entièrement payable.

Obligation 1 _ Transparence envers l’utilisateur (Art. 50 al. 1)

Lorsque le système interagit directement avec le client – donc lorsqu’il prend la forme d’un chatbot, d’un assistant conversationnel ou d’une présentation explicite personnalisée – le client doit savoir qu’il interagit avec un système d’intelligence artificielle. Vous n’avez pas besoin d’une clause de non-responsabilité de trois pages. Une formulation claire, dans un langage compréhensible, suffit.

Exemples de formulations déjà conformes qui fonctionnent dans la mode :

«Je m’appelle Lia, l’assistante virtuelle (de Brand). Je peux vous aider à trouver le style qui vous convient.»
«Recommandations personnalisées, générées par notre système d’intelligence artificielle.»
«L’assistant qui vous guide dans vos achats est alimenté par l’IA. Voulez-vous toujours parler à l’un de nos personal shoppers humains ? Cliquez ici. »

Trois principes directeurs : la divulgation doit être au début de l’interaction (et non à la fin du panier), dans la langue du client, et suffisamment visible pour ne pas être considérée comme « cachée » dans un pied de page microscopique. Le ballon classique qui s’ouvre avec la première phrase de la conversation est parfait.

Nous entrons ici sur le territoire du RGPD, qui se combine avec la loi sur l’IA pour créer une double couche d’obligations. Si le moteur de recommandation utilise des données personnelles – et il les utilise pratiquement toujours, car elles croisent historique d’achats, comportement de navigation, profil client – la politique de confidentialité du site doit spécifiquement mentionner le profilage algorithmique.

Ce qui doit être inclus dans les informations, en pratique :

Le fait que les données de navigation soient traitées pour produire des recommandations personnalisées
La logique générale du traitement (le détail technique du modèle n’est pas nécessaire, mais la description compréhensible du mécanisme)
Les conséquences attendues (ce qui change pour l’utilisateur en termes d’expérience)
Le droit de demander une intervention humaine et de s’opposer au profilage (art. 22 RGPD)

Sur ce point, il convient de ne pas improviser. La révision de la politique de confidentialité doit être effectuée avec le DPO ou un avocat spécialisé.

Obligation 3 _ Transparence interne sur les choix algorithmiques (Responsabilité)

La troisième obligation est celle qui est le plus souvent négligée car elle n’est pas écrite dans un article spécifique : il s’agit du principe de responsabilité qui traverse aussi bien la loi IA que le RGPD. Cela signifie qu’en cas de demande d’une autorité ou d’un client, vous devez être en mesure de démontrer :

Quels critères le système utilise-t-il pour recommander (même si ce n’est qu’en termes généraux)
Quelles données traite-t-il et combien de temps les stocke-t-il
Comment le système est surveillé et à quelle fréquence des sorties anormales se produisent
Qui est le fournisseur du modèle sous-jacent (Claude, GPT, Mistral, système propriétaire)

Pour de nombreuses entreprises, un document interne de 3 à 5 pages suffit – appelez-le par exemple « AI Recommendation Engine – System Documentation » – pour être mis à jour tous les six mois. La complexité de la documentation technique pour les systèmes à haut risque n’est pas nécessaire (art. 11 + Annexe IV), mais un minimum d’organisation documentaire est nécessaire.

Ce que vous ne devriez PAS faire

Une erreur fréquente ces derniers mois consiste à surdimensionner la réponse. J’ai vu des entreprises de commerce électronique de taille moyenne lancer des projets de conformité de 50 000 euros pour des moteurs de recommandation qui nécessitent en réalité une révision de la politique de confidentialité, un ballon d’ouverture et une liste de contrôle interne de 5 pages. Trois choses qui s’appliquent à tout le monde :

Ne confondez pas « risque limité » avec « risque élevé ». Vous n’avez pas besoin du marquage CE, vous n’avez pas besoin d’un enregistrement dans la base de données de l’UE, vous n’avez pas besoin d’un organisme notifié. Toutes ces procédures système sont à haut risque, et votre moteur de recommandation de mode ne l’est pas.
Ne réécrivez pas tout le système du jour au lendemain. Vous avez jusqu’au 2 août 2026 pour vous conformer à l’art. 50. Une planification sur six mois suffit, à condition de commencer avant la fin de 2025.

Ne déléguez pas uniquement au service informatique ou au service juridique. La conformité à l’AI Act est transversale : un dialogue s’impose entre responsable numérique, DPO et fournisseur de technologie. Un consultant peut être nécessaire. Si votre agence digitale ou votre fournisseur de moteur n’a pas encore de position structurée sur l’IA Act, il est temps de la lui demander par écrit.

Une checklist opérationnelle pour les 12 prochains mois

Nous résumons sous forme pratique les étapes recommandées pour un site de commerce électronique de taille moyenne qui utilise actuellement un moteur de recommandation IA. Calendrier idéal : réaliser au cours du premier trimestre 2026, pour atteindre le 2 août 2026 avec une marge de rodage.

Action	Qui s’en occupe
Cartographier les systèmes d’IA utilisés (moteur de recommandation, chatbots, générateurs de contenu, cart scoring)	Responsable numérique/e-commerce
Classer chaque système dans la catégorie de risque AI Act	Consultant conformité + DPO
Vérifier et mettre à jour la politique de confidentialité en référence au profilage algorithmique	DPO ou confidentialité légale
Mettre en œuvre une divulgation visible au début de l’interaction (ballon, bannière, microcopie)	Responsable UX/UI + Digital
Produire un document interne du système (3 à 5 pages : ce qu’il fait, comment, avec quelles données)	Responsable Digital + fournisseur technologique
Insérez les systèmes dans le registre des traitements RGPD conformément à l’art. 30	DPD
Définir une procédure de surveillance des sorties anormales et un mécanisme de rétroaction humaine	Responsable numérique
Formation d’équipe sur l’alphabétisation en IA (obligation art. 4 déjà due à partir de février 2025)	RH + consultante

Si vous gérez un e-commerce avec un moteur de recommandation IA, la nouvelle est bonne : vous faites partie du groupe le moins contraignant du Règlement. Vous n’avez pas besoin du marquage CE, vous n’avez pas besoin d’une documentation technique complexe, vous n’avez pas besoin de vous conformer à une bureaucratie à haut risque. Cependant, vous avez besoin de trois choses, ni plus ni moins : une transparence claire envers l’utilisateur, des informations de confidentialité mises à jour et un minimum de documentation interne.

Cependant, le véritable atout construit va au-delà de la conformité réglementaire. Un e-commerce qui dit aujourd’hui ouvertement « nous utilisons l’IA pour vous conseiller, voici comment » construit un pacte de confiance qui vaut comme différentiel de marque. L’étude « Trust Through Transparency » menée par Yahoo avec Publicis Media en 2024 – auprès de 1 200 consommateurs américains – montre que les publicités générées par l’IA accompagnées d’une divulgation visible produisent + 47 % d’attrait publicitaire, + 73 % de perception de fiabilité et + 96 % de confiance globale dans la marque.

Il faut dire honnêtement que le débat universitaire est plus nuancé que ne le suggèrent les discours du marché. Une étude de Schilke et Reimann réalisée en 2025, basée sur 13 expériences et plus de 3 000 participants, a identifié un « dilemme de transparence » : dans certains contextes – notamment professionnels, comme l’évaluation d’un emploi ou le milieu universitaire – la déclaration d’utilisation de l’IA peut réduire la confiance perçue plutôt que de l’augmenter. Toutefois, dans le marketing direct auprès du consommateur final, la tendance dominante des preuves pointe vers le premier scénario : déclarer des coûts bien inférieurs à ceux découverts ultérieurement. La transparence, dans ces cas-là, est également un bon marketing.