Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle (AI Act) — chapitre IV, obligations de transparence.Art. 50 § 1 AI Act — obligation d'informer toute personne qu'elle interagit avec un système d'IA (chatbots), sauf évidence du contraire.Art. 50 § 2 AI Act — obligation, pour le fournisseur, de marquer en format lisible par machine les contenus de synthèse (audio, image, vidéo, texte) générés par IA.Art. 50 § 4 AI Act — obligation, pour le déployeur, de signaler explicitement qu'un contenu constitue un deepfake artificiellement généré ou manipulé.Art. 99 § 4 g) AI Act — non-respect de l'article 50 : amendes administratives jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel.Depuis janvier 2025, le parquet de Paris enquête sur X pour des soupçons de manipulation algorithmique ; l'enquête s'est élargie au chatbot Grok, que les procureurs soupçonnent d'avoir diffusé des contenus négationnistes et des deepfakes sexuellement explicites. Le 3 février 2026, la police française a perquisitionné les bureaux parisiens de X. Le parquet a convoqué Elon Musk, patron de X et xAI, ainsi que l'ex-directrice générale Linda Yaccarino, à des auditions libres le 20 avril 2026 ; les charges envisagées contre X incluent la détention et la diffusion d'images pédopornographiques, l'atteinte aux droits des personnes par la création de deepfakes à caractère sexuel, et l'apologie de crimes contre l'humanité. La Commission européenne, ainsi que des autorités britannique, australienne, canadienne et indienne, ont depuis ouvert leurs propres enquêtes sur les capacités de génération d'images de Grok.
L'article 50 de l'AI Act n'a jamais eu vocation à trancher la légalité d'un contenu : il impose seulement de le signaler comme généré par IA, pour lutter contre la tromperie et la manipulation informationnelle. L'affaire Grok illustre en creux la limite de cet exercice : un deepfake sexuel non consenti reste pénalement interdit — en France notamment sur le fondement du délit de montage à caractère sexuel sans consentement — qu'il soit étiqueté « généré par IA » ou non, et une simple étiquette n'immunise ni le fournisseur ni le déployeur des autres régimes de responsabilité (droit pénal, RGPD, DSA). Pour un auditeur ou un consultant en sécurité offensive, le 2 août 2026 marque donc surtout l'entrée en vigueur d'un nouveau point de contrôle de conformité technique (marquage machine-readable, message de divulgation) qui vient s'ajouter — et non se substituer — aux obligations de modération de contenu et de sécurité déjà en vigueur.