# Compagnon IA : règles de sécurité 2026 pour les créateurs

> SB 243 de Californie, loi de New York, AI Act et étude de la FTC : dates, sources et liste de contrôle pour les créateurs de compagnons IA en 2026.

Source: https://whasp.ai/fr/blog/compagnon-ia-regles-securite-2026 · 2026-10-20

## L’essentiel

- La SB 243 de Californie (en vigueur depuis le 1er janvier 2026) et l'article 47 de New York (depuis le 5 novembre 2025) exigent tous deux un protocole face aux idées suicidaires et à l'automutilation ; New York impose aussi une mention « pas un humain » au début, puis au moins toutes les trois heures.
- L'article 50(1) de l'AI Act européen impose depuis le 2 août 2026 que les chatbots disent aux gens qu'ils parlent à une IA, au plus tard lors de la première interaction, avec des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
- L'étude de la FTC sur sept entreprises qui proposent des chatbots compagnons, ouverte le 11 septembre 2025, n'est pas une loi, mais ses questions montrent ce qu'un régulateur vous demandera.
- Ces règles suivent votre produit et le lieu où vivent vos utilisateurs, pas le canal de messagerie : un compagnon sur WhatsApp est donc couvert comme un compagnon dans une application.
- Le moyen le moins coûteux de se conformer est un seul jeu d'habitudes communes : dire que c'est une IA, gérer l'automutilation, vérifier l'âge avant le début de la conversation, et garder des traces des deux.

Quatre textes structurent le droit des compagnons IA en octobre 2026. La SB 243 de Californie et la loi new-yorkaise sur les compagnons IA exigent un protocole face à l'automutilation et une mention d'IA. L'AI Act européen impose depuis le 2 août 2026 aux chatbots de dire qu'ils sont une IA. La FTC étudie les chatbots compagnons. Les obligations communes sont courtes : dire que c'est une IA, gérer l'automutilation, protéger les mineurs, respecter les opt-out. Ceci n'est pas un avis juridique.

## Quelles règles sur les compagnons IA sont en vigueur en octobre 2026 ?

Quatre textes juridiques encadrent directement les compagnons IA ou les chatbots qui parlent à des personnes. Chacun a son propre déclencheur : vérifiez donc où vivent vos utilisateurs.

| Règle | En vigueur | Obligation principale pour un compagnon |
| --- | --- | --- |
| SB 243 de Californie (Business and Professions Code, articles 22601 à 22605) | 1er janvier 2026 | Mention d'IA, protocole face à l'automutilation, protections pour les mineurs, rapports annuels à partir du 1er juillet 2027 |
| Article 47 du General Business Law de New York | 5 novembre 2025 | Protocole face à l'automutilation avec orientation vers un service de crise, et mention « pas un humain » au début puis toutes les trois heures |
| AI Act européen, article 50(1) | 2 août 2026 | Concevoir le système pour que les gens soient informés qu'ils interagissent avec une IA |
| Loi italienne 132/2025, article 4 | 10 octobre 2025 | Consentement d'un parent pour l'accès à l'IA des enfants de moins de 14 ans |

L'étude de la FTC n'est pas une règle : elle a donc sa propre section plus bas. D'autres États et d'autres pays bougent aussi ; cet article couvre les textes ci-dessus.

Aucune de ces lois ne se soucie du canal. Un compagnon qui écrit depuis un numéro WhatsApp est couvert comme un compagnon dans une application.

## Qu'exige la SB 243 de Californie ?

La SB 243 de Californie régit les opérateurs de plateformes de chatbots compagnons. Le gouverneur Newsom l'a [signée le 13 octobre 2025](https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202520260SB243), et elle est devenue les articles 22601 à 22605 du Business and Professions Code.

Un chatbot compagnon est un système d'IA doté d'une interface en langage naturel, qui donne des réponses adaptatives proches de celles d'un humain et peut répondre aux besoins sociaux d'un utilisateur. Sont exclus les bots utilisés uniquement pour le service client, les opérations internes, la productivité ou l'aide technique, ainsi que les personnages de jeu limités aux sujets du jeu et les assistants vocaux simples. Un opérateur est toute personne qui met une plateforme de chatbot compagnon à la disposition d'un utilisateur en Californie.

Les obligations :

- **Mention d'IA.** Si une personne raisonnable pouvait être induite en erreur et croire qu'elle parle à un humain, affichez une mention claire et visible indiquant que le chatbot est généré artificiellement et n'est pas humain.
- **Protocole face à l'automutilation.** Ne laissez pas le chatbot dialoguer avec les utilisateurs sans tenir un protocole de prévention des idées suicidaires, du suicide et des contenus d'automutilation. Il comprend une orientation vers des services de crise, et vous devez en publier le détail sur votre site.
- **Mineurs identifiés.** Leur indiquer qu'ils parlent à une IA, leur montrer par défaut un rappel de faire une pause au moins toutes les trois heures, et prendre des mesures raisonnables pour que le chatbot ne produise pas d'images sexuellement explicites et n'incite pas le mineur à des actes sexuels.
- **Avertissement.** Prévenir les utilisateurs, sous n'importe quelle forme, que les chatbots compagnons peuvent ne pas convenir à certains mineurs.
- **Rapports.** À partir du 1er juillet 2027, adresser chaque année à l'Office of Suicide Prevention le nombre de notifications d'orientation vers un service de crise envoyées l'année précédente, ainsi que vos protocoles. Aucune donnée personnelle ne figure dans le rapport.

L'application passe par le privé. Une personne qui a subi un préjudice concret peut demander une injonction, le plus élevé des deux montants entre le dommage réel et $1 000 par violation, et les frais d'avocat.

## Qu'exige la loi de New York sur les compagnons IA ?

L'[article 47 du General Business Law de New York](https://www.nysenate.gov/legislation/laws/GBS/A47), « Artificial Intelligence Companion Models », est arrivé avec le budget de l'État pour 2025, [signé le 9 mai 2025](https://www.nysenate.gov/legislation/bills/2025/S3008). Il est entré en vigueur le 180e jour suivant, soit le 5 novembre 2025.

La définition est plus étroite que celle de la Californie. Un compagnon IA simule une relation humaine ou proche de l'humain dans la durée en faisant trois choses : il conserve des informations sur les interactions passées pour personnaliser la conversation, il pose spontanément des questions fondées sur l'émotion et il entretient un dialogue sur des sujets personnels. Le service client, la recherche, l'aide technique et les outils internes sont exclus. Un persona qui se souvient de la semaine de votre utilisateur et lui demande comment il se sent est concerné.

Deux obligations s'appliquent :

- **Protocole (section 1701).** Il est illégal d'exploiter ou de fournir un compagnon IA sans efforts raisonnables pour détecter et traiter les idées suicidaires et l'automutilation. Quand le compagnon les détecte, il doit en informer l'utilisateur et l'orienter vers un service de crise, comme la ligne 988, une ligne d'écoute par SMS ou un autre service approprié.
- **Mention (section 1702).** Au début de toute interaction, et au moins toutes les trois heures dans une interaction qui se prolonge, le compagnon doit déclarer, oralement ou par écrit, que l'utilisateur ne communique pas avec un humain. La mention de début n'a pas à dépasser une fois par jour.

Le procureur général fait appliquer la loi, avec des sanctions civiles pouvant atteindre $15 000 par jour.

## Qu'exige l'UE d'un compagnon IA ?

L'AI Act européen impose aux fournisseurs de concevoir les systèmes d'IA qui parlent à des personnes de façon que celles-ci sachent qu'elles ont affaire à une IA. C'est l'article 50(1) du [règlement (UE) 2024/1689](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). L'obligation ne tombe que lorsque c'est évident pour une personne raisonnablement bien informée, attentive et avisée. L'article 50(5) précise que l'information doit être claire et fournie au plus tard lors de la première interaction.

L'article 50 [s'applique à partir du 2 août 2026](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai). Le Digital Omnibus on AI, en vigueur depuis le 27 juillet 2026, a laissé aux systèmes déjà sur le marché jusqu'au 2 décembre 2026, mais seulement pour le marquage lisible par machine des contenus générés prévu à l'article 50(2). Il n'a pas touché à l'article 50(1). Un fournisseur est quiconque développe un système d'IA, ou le fait développer, et le met sur le marché sous son propre nom : une marque de compagnon qui appelle une API de modèle est donc très probablement le fournisseur de son produit. Les amendes pour un manquement à la transparence atteignent 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu, et pour les petites entreprises le plus faible des deux.

Un persona avec un prénom et une photo humains, qui écrit depuis un contact comme un ami, est un mauvais candidat à l'exception de l'« évidence ». Faites la mention.

Deux autres règles européennes s'appliquent déjà aux compagnons :

- **Protection des données.** Les conversations avec un compagnon révèlent la santé, les sentiments et la vie sexuelle, des catégories particulières au sens de l'article 9 du RGPD, qui exigent une exception comme le consentement explicite. Le 19 mai 2025, l'autorité italienne de protection des données a annoncé une [amende de 5 millions d'euros](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10132048) contre Luka Inc., l'entreprise derrière Replika, pour absence de base légale identifiée, politique de confidentialité inadaptée et absence de vérification de l'âge (situation de février 2023).
- **Enfants en Italie.** La [loi 132/2025](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg), en vigueur depuis le 10 octobre 2025, exige le consentement d'un parent pour que les enfants de moins de 14 ans accèdent aux technologies d'IA. De 14 à 17 ans, un mineur peut consentir si les informations fournies sont faciles à trouver et à comprendre.

## Que regarde la FTC ?

Le 11 septembre 2025, la Federal Trade Commission a [ordonné à sept entreprises](https://www.ftc.gov/news-events/news/press-releases/2025/09/ftc-launches-inquiry-ai-chatbots-acting-companions) de lui rendre compte de leurs produits de compagnons IA : Alphabet, Character Technologies, Instagram, Meta Platforms, OpenAI, Snap et xAI. La Commission a voté à 3 voix contre 0. Les injonctions reposent sur la section 6(b), qui permet des études de grande ampleur sans objectif répressif précis.

Les questions forment la liste de ce que tout régulateur demandera à un créateur de compagnon :

- comment vous gagnez de l'argent grâce à l'engagement
- comment vous créez et validez les personnages
- comment vous testez et surveillez les effets négatifs, en particulier sur les enfants
- comment vous informez les utilisateurs et les parents des risques et des pratiques en matière de données
- comment vous faites respecter les limites d'âge et vos propres règles
- comment vous utilisez ou partagez les informations personnelles issues des conversations

Au 19 octobre 2026, la page de la FTC consacrée à l'étude montre les injonctions et aucune conclusion. Répondez dès maintenant à ces questions pour votre propre produit, par écrit.

## Quelle est la liste de contrôle pour les créateurs ?

Sept habitudes répondent au socle commun de ces lois. Prenez dans chaque cas la règle la plus stricte et appliquez-la à tous les utilisateurs.

1. **Dites que c'est une IA à trois endroits.** La ligne d'info du profil, le premier message, et un rappel au moins toutes les trois heures dans une conversation qui se prolonge. Sur whasp, le profil (nom jusqu'à 25 caractères, info jusqu'à 139) se règle avec `PATCH /v1/numbers/{number}`, et les rappels tournent dans votre code.
2. **Construisez le parcours face à l'automutilation avant le lancement.** Détectez dans votre pipeline les expressions d'idées suicidaires ou d'automutilation, arrêtez le jeu de rôle, orientez vers le 988 aux États-Unis ou vers un service local ailleurs, et testez avec des formulations réelles.
3. **Comptez et consignez.** Enregistrez chaque orientation vers un service de crise et chaque mention avec l'heure. Le rapport annuel californien exige le nombre d'orientations à partir du 1er juillet 2027, et un journal est votre preuve si quelqu'un porte plainte.
4. **Vérifiez l'âge avant le début de la conversation.** Demandez-le à l'inscription, avant d'afficher le lien qui ouvre la conversation. Un numéro de messagerie ne peut pas vérifier l'âge ; votre inscription, si. Appliquez les protections des mineurs à toute personne que vous savez de moins de 18 ans, et le consentement d'un parent là où la loi le demande.
5. **Affichez l'avertissement sur les mineurs** selon lequel les chatbots compagnons peuvent ne pas convenir à certains mineurs, sur la page d'inscription.
6. **Publiez votre protocole** sur votre site. La Californie l'exige.
7. **Respectez les opt-out et les demandes de suppression.** [Opt-out et consentement pour les agents IA](https://whasp.ai/fr/blog/whatsapp-rgpd-opt-out-consentement-agent-ia) traite de STOP, des registres et de la conservation.

Sur whasp, le profil du numéro porte la première mention et tout le reste vit dans votre webhook, car whasp fait transiter les messages et n'en conserve aucun sur ses serveurs. Votre base garde l'historique : [la mémoire de conversation](https://whasp.ai/fr/blog/agent-ia-whatsapp-memoire-conversation) est donc aussi l'endroit où se fait la suppression. Mettez aussi la ligne « je suis une IA » dans votre system prompt, comme l'explique [écrire pour WhatsApp](https://whasp.ai/fr/blog/prompt-agent-ia-whatsapp).

## Que faire ensuite ?

Notez quelles règles vos utilisateurs déclenchent : Californie, New York, UE, enfants. Mettez en place les sept habitudes avant votre premier utilisateur. Les règles propres à WhatsApp sur l'IA dans sa Business Platform sont une autre question, traitée dans [votre bot IA est-il autorisé sur l'API WhatsApp Business](https://whasp.ai/fr/blog/bot-ia-autorise-api-whatsapp-business). Pour tout le chemin jusqu'au lancement, voyez [comment lancer un compagnon IA sur WhatsApp](https://whasp.ai/fr/blog/compagnon-ia-whatsapp).

Cet article décrit le texte des lois au 19 octobre 2026. Il ne constitue pas un avis juridique, et les lois changent. Faites relire votre produit par un juriste avant de l'ouvrir au public.

## Questions

### La SB 243 de Californie s'applique-t-elle à un compagnon IA sur WhatsApp ?

Oui, s'il s'agit d'un chatbot compagnon proposé à des utilisateurs en Californie. La loi couvre tout opérateur qui met une plateforme de chatbot compagnon à la disposition d'un utilisateur en Californie et ne dit rien du canal. Les bots utilisés uniquement pour le service client, les opérations internes ou la productivité sont exclus.

### Dois-je dire aux utilisateurs que mon compagnon IA est une IA ?

Dans l'UE, oui, sauf si c'est évident, depuis le 2 août 2026. À New York, au début de toute interaction et au moins toutes les trois heures. En Californie, quand une personne raisonnable pourrait croire qu'il est humain, et toujours pour les utilisateurs que vous savez mineurs. Le dire partout est plus simple.

### Quelles sont les sanctions en cas de non-respect de ces lois ?

En Californie, une personne lésée peut intenter une action pour obtenir le plus élevé des deux montants entre le dommage réel et $1 000 par violation, plus les frais d'avocat. À New York, le procureur général peut demander jusqu'à $15 000 par jour. Selon l'AI Act, un manquement à la transparence peut atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

### L'enquête de la FTC sur les compagnons IA est-elle une loi ?

Non. C'est une étude fondée sur la section 6(b) du FTC Act, lancée le 11 septembre 2025 par des injonctions adressées à sept entreprises. Elle n'a pas de visée répressive en soi, mais elle montre les questions qui intéressent les régulateurs : engagement, tests de nocivité, limites d'âge et données de conversation.

### Les adolescents ont-ils besoin du consentement de leurs parents pour utiliser un compagnon IA ?

Cela dépend du pays. La loi italienne 132/2025 exige le consentement d'un parent en dessous de 14 ans. Le RGPD fixe 16 ans comme âge par défaut du consentement aux services en ligne, et chaque pays de l'UE peut l'abaisser à 13 ans. La SB 243 de Californie ajoute des protections pour les mineurs connus, au lieu d'une règle de consentement.