Cartographier le paysage réglementaire de l'IA dans la mode

Une cliente ouvre votre application, pointe la caméra sur elle-même, et un modèle de scan corporel estime ses mesures pour recommander une taille. En un seul geste, vous venez de déclencher trois corpus juridiques européens distincts : les règles sur les données biométriques, les règles sur l'IA à haut risque, et les règles sur la façon dont vous personnalisez ce qu'elle verra ensuite. La plupart des équipes mode déploient ce genre de fonctionnalité sans réaliser le volume de réglementation qu'elles viennent d'activer.

Cette leçon cartographie ce paysage. Nous nous concentrons sur trois cas d'usage de l'IA qui dominent la mode aujourd'hui : les essais virtuels par scan corporel, la tarification personnalisée et les labels de durabilité automatisés. Pour chacun, nous nommons la loi, le régulateur et le garde-fou à mettre en place avant le lancement.

Les trois lois qui mordent

Trois régimes comptent avant tout pour l'IA dans la mode en 2026.

L'AI Act européen. La première loi complète sur l'IA au monde. Elle classe les systèmes d'IA par niveau de risque : inacceptable (interdit), haut risque (fortement réglementé), risque limité (obligations de transparence) et minimal. Entrée en vigueur en août 2024, elle s'applique progressivement sur plusieurs années. Les interdictions de certaines pratiques se sont appliquées en premier (à partir de février 2025), les obligations pour les systèmes à usage général et à haut risque suivant selon un calendrier échelonné. Le texte officiel mérite d'être mis en favori : l'explorateur de l'AI Act permet une recherche article par article.

Le RGPD (Règlement général sur la protection des données). La loi européenne de protection des données, en vigueur depuis 2018. Elle encadre tout traitement de données personnelles et traite les « données biométriques » et le profilage avec une attention particulière. Appliquée par les autorités nationales de protection des données (DPA) comme la CNIL en France ou la DPC en Irlande.

Les règles sur les allégations environnementales. Deux choses ici. La directive européenne sur les pratiques commerciales déloyales interdit déjà les allégations environnementales trompeuses. Par-dessus, l'UE a adopté en 2024 une directive (souvent appelée directive « Donner aux consommateurs les moyens d'agir en faveur de la transition verte ») qui durcit les règles sur les termes vagues du type « écologique » et sur les labels de durabilité. Une directive Green Claims distincte et plus détaillée était encore en cours de processus européen début 2026 : considérez donc que sa forme finale n'est pas figée.

Le fil conducteur : si votre IA touche à un corps, à un prix ou à une allégation environnementale, au moins l'un de ces textes s'applique.

Cas d'usage 1 : essais virtuels par scan corporel

Un essai virtuel qui applique un vêtement sur un flux caméra en direct peut ne traiter les données d'image que de manière transitoire. Mais dès que vous estimez des mesures pour identifier ou singulariser une personne, vous manipulez peut-être des données biométriques au sens du RGPD.

Distinction clé : le RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → encadre les données biométriques utilisées « aux fins d'identifier une personne physique de manière unique ». Un modèle qui estime une taille à partir de la morphologie relève d'une zone grise. **Un modèle qui reconnaît *qui* est la personne basculle clairement dans les données biométriques de catégorie particulière, qui exigent une base légale solide** (en général le consentement explicite).

L'AI Act ajoute une seconde couche. **Il interdit l'*identification* biométrique à distance en temps réel dans les espaces publics (avec des exceptions étroites pour les forces de l'ordre) et encadre la reconnaissance des émotions**. Un miroir d'essayage dans votre magasin phare qui devine l'humeur d'une cliente pour pousser un produit se situerait en terrain dangereux.

Garde-fousGarde-fousRègles et contrôles qui maintiennent un système d'IA dans des limites sûres, légales et conformes à la marque, en bloquant les sorties et actions hors cadre.Voir la définition complète → avant le lancement :

• Traitez sur l'appareil quand c'est possible, pour que les images corporelles brutes n'atteignent jamais vos serveurs.
• Obtenez un consentement explicite et non groupé pour le scan. Une case pré-cochée n'est pas un consentement au sens du RGPD.
• Menez une AIPD (analyse d'impact relative à la protection des données), l'analyse de risque documentée que le RGPD exige pour les traitements à haut risque comme la biométrie.
• Fixez une durée de conservation courte. Supprimez les données de scan après la session, sauf si l'utilisatrice enregistre un profil.

Cas d'usage 2 : tarification personnalisée

Afficher des prix différents selon les utilisateurs en fonction d'une disposition à payer inférée est légal sous des formes étroites, mais fortement encadré.

Le RGPD donne aux utilisateurs le droit de ne pas faire l'objet de décisions « fondées exclusivement sur un traitement automatisé » qui les affectent significativement, plus des obligations de transparence : vous devez dire aux personnes que le prix est personnalisé et selon quelle logique. La directive sur les droits des consommateurs impose déjà une information lorsqu'un prix est personnalisé au moyen d'une prise de décision automatisée.

Le piège le plus important est la discrimination par proxy. Si votre modèle de prix utilise des variables corrélées à des caractéristiques protégées (le code postal comme substitut de l'origine ethnique, le type d'appareil pour le revenu), vous pouvez produire des résultats discriminatoires sans l'avoir voulu. Cela vous expose au droit de la non-discrimination, et pas seulement au droit des données.

Une vérification simple que toute équipe peut mener : auditer la dispersion des prix entre groupes protégés.

# Fairness check: do price offers differ across a protected attribute?
import pandas as pd

df = offers[["user_id", "price_offered", "group"]]  # group = étiquette sans proxy
summary = df.groupby("group")["price_offered"].agg(["mean", "count"])
summary["gap_vs_baseline"] = summary["mean"] - summary["mean"].min()
print(summary)
# Signaler pour examen tout groupe dont l'écart dépasse un seuil que vous fixez (ex. 3 %).

Cela ne prouve pas l'équité à soi seul, mais un écart persistant est un signal d'alerte qui exige une explication documentée avant la mise en production.

Cas d'usage 3 : labels de durabilité automatisés

Supposons que vous entraîniez un modèle pour générer un « score de durabilité » pour chaque produit, puis que vous l'affichiez sous forme de badge. C'est là que le risque IA rencontre de plein fouet le risque lié aux allégations environnementales.

Si le modèle produit « écologique » ou une icône feuille à partir de données incomplètes ou invérifiables, vous avez émis une allégation environnementale trompeuse. Selon la directive consommateurs européenne de 2024, les allégations vertes génériques sans preuve reconnue sont encadrées, et les labels de durabilité doivent reposer sur un système de certification ou être fixés par les autorités publiques.

Deux dangers propres à l'IA :

La justification hallucinée. Un modèle génératif qui rédige le texte d'un label (« fabriqué à partir de fibres récupérées en mer ») sans source de données vérifiée est un incident de conformité en germe. Ne laissez jamais un modèle de langage affirmer une allégation environnementale factuelle qu'il ne peut pas rattacher à une source.

L'opacité du modèle. Si un régulateur ou un consommateur demande « pourquoi cette robe obtient-elle 8 sur 10 », vous devez pouvoir répondre. Un score que personne ne peut expliquer n'est pas défendable.

Garde-fous :

• Rattachez chaque allégation à une source de données. Si la source manque, le modèle produit « données insuffisantes », pas une supposition.
• Tenez un journal allégation-preuve pour chaque SKU.
• Faites relire par un humain les nouveaux *types* d'allégations avant leur apparition en boutique.

TransformerTransformerUn Transformer est une architecture de réseau de neurones qui utilise le self-attention pour traiter des séquences en parallèle. Elle est au cœur de la plupart des modèles de langage et d'IA générative actuels.Voir la définition complète → les lois en workflow de gouvernance

La réglementation ne vous protège que si elle devient un processus reproductible. Les équipes mode qui déploient bien l'IA font généralement quatre vérifications dans l'ordre.

1. Classer le système

Avant de construire, demandez : quel niveau de risque l'AI Act attribue-t-il à ceci ? La plupart des fonctionnalités mode (recommandations, essais virtuels, chatbots) relèvent du risque limité, c'est-à-dire d'obligations de transparence : dire aux utilisateurs qu'ils interagissent avec une IA. Certaines (certains usages biométriques) montent plus haut. Notez la classification par écrit.

2. Cartographier les données

Listez chaque champ de données personnelles que le système touche. Signalez les données biométriques et de catégorie particulière. C'est ce qui détermine si vous avez besoin d'une AIPD et d'un consentement explicite.

3. Tester les principaux risques IA

L'IA dans la mode échoue de façon reconnaissable :

• Biais : des modèles de taille entraînés majoritairement sur un seul type de morphologie recommandent mal pour les autres.
• Drift : un modèle de demande calibré sur la saison passée se dégrade à mesure que les tendances évoluent.
• HallucinationHallucinationUne hallucination, c'est lorsqu'un modèle d'IA produit une réponse fluide et assurée mais factuellement fausse, inventée, ou non étayée par ses données sources.Voir la définition complète → : le texte généré invente des matières ou des certifications.
• Opacité : personne ne peut expliquer un prix ou un score.

Menez la vérification d'équité, un test de précision sur jeu de validation et une revue de traçabilité des allégations avant le lancement, puis à intervalles réguliers ensuite.

4. Attribuer la responsabilité

Nommez un responsable humain pour chaque modèle. Selon l'AI Act, les systèmes à haut risque exigent une supervision humaine par conception, c'est-à-dire une personne capable d'intervenir ou d'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êter le système. Même pour les fonctionnalités à risque plus faible, un responsable nommé vaut mieux qu'une responsabilité diffuse.

Le rapport de force

L'application est réelle. Les DPA européennes ont prononcé de lourdes amendes RGPD, et les autorités de consommation de plusieurs États membres ont ouvert des enquêtes pour greenwashing contre des marques d'habillement. Les autorités nationales de surveillance du marché veilleront à l'application de l'AI Act. Le schémamaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → à anticiper : une action coordonnée, où une même fonctionnalité attire l'attention d'un régulateur des données et d'un régulateur de la consommation en même temps. Votre essai virtuel par scan corporel peut attirer une DPA ; votre badge vert peut attirer une autorité de consommation. Même produit, deux portes d'entrée.

Le tableau américain diffère. Il n'existe pas, début 2026, de loi fédérale unique sur l'IA comparable à l'AI Act européen. À la place, vous avez la FTC (Federal Trade Commission) qui surveille les allégations trompeuses et les pratiques déloyales, plus des lois d'État comme celles de l'Illinois sur les données biométriques et de la Californie sur la vie privée. Si vous vendez de part et d'autre de l'Atlantique, le régime européen est généralement la barre la plus haute : construire pour lui tend à vous couvrir largement.

Points clés

• Une fonctionnalité, plusieurs lois. Un scan corporel peut déclencher l'AI Act européen et le RGPD en même temps ; un badge vert peut déclencher les règles IA et celles sur les allégations environnementales. Cartographiez-les toutes avant le lancement, pas après.
• Les fonctionnalités biométriques et de tarification portent l'exposition la plus forte. Obtenez un consentement explicite, menez une AIPD, gardez une conservation courte et auditez les prix pour détecter la discrimination par proxy.
• Ne laissez jamais un modèle affirmer une allégation environnementale sans source. Rattachez chaque affirmation de durabilité à une preuve vérifiable, ou affichez « données insuffisantes ».
• La gouvernance est un workflow : classer, cartographier les données, tester biais/drift/hallucination/opacité, désigner un responsable humain. À répéter à intervalles réguliers, pas seulement au lancement.
• Construisez pour la barre européenne. Elle est généralement plus stricte que les règles américaines actuelles, donc s'y conformer tend à couvrir les deux marchés.