En bref : en France, vous êtes protégé par des règles européennes et françaises qui n'ont pas été écrites pour les compagnons IA, mais qui s'y appliquent. Elles pèsent peu sur les prix. Elles changent surtout ce que l'application doit vous dire, comment elle traite vos données et comment elle protège les mineurs.
Un empilement de textes, pas une loi unique
Le RGPD est le socle. Vos conversations, vos images et votre moyen de paiement sont des données personnelles, et l'autorité compétente en France est la CNIL.
La loi SREN (loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique) confie à l'Arcom le contrôle de la vérification d'âge sur les sites pornographiques. Elle a aussi créé l'article 226-8-1 du Code pénal sur les deepfakes à caractère sexuel. L'Arcom a publié son référentiel technique au Journal officiel le 22 octobre 2024, après avis de la CNIL, avec un principe de « double anonymat » : le site apprend seulement que vous êtes majeur, et le vérificateur ne sait pas quel site vous visitez.
L'AI Act (règlement européen sur l'IA) avance par paliers. Ses pratiques interdites s'appliquent depuis le 2 février 2025. Son article 50, qui oblige à dire qu'on parle à une IA, s'applique depuis le 2 août 2026.
À l'échelle de l'Europe, c'est par le droit des données personnelles que les premières sanctions sont tombées. L'autorité italienne de protection des données (le Garante) a infligé à Luka Inc., l'éditeur de Replika, une amende de 5 millions d'euros, annoncée en mai 2025. Elle a relevé l'absence de base légale valable pour le traitement, une politique de confidentialité pas assez transparente et aucune vérification d'âge efficace sur un service réservé aux adultes. C'est le même régulateur dont l'injonction de février 2023 avait précédé la suppression soudaine du jeu de rôle érotique de Replika, une histoire racontée dans quand votre compagnon IA change du jour au lendemain.
Les principales dates, d'après les textes et les annonces des autorités.
Ce que les règles exigent aujourd'hui
Ces textes viennent de législateurs différents, mais ils se recoupent sur quatre idées.
- Dire que c'est une IA. L'article 50 de l'AI Act impose cette transparence depuis le 2 août 2026. Dans le même esprit, le guide sur l'IA publié en février 2026 par la HAS et la CNIL rappelle qu'une personne qui discute avec un chatbot doit être prévenue que c'en est un.
- Écarter les pratiques interdites. L'article 5 de l'AI Act, applicable depuis le 2 février 2025, interdit notamment les techniques manipulatrices et celles qui exploitent la vulnérabilité d'une personne, par exemple à cause de son âge.
- Protéger les mineurs. Les lignes directrices de la Commission européenne sur le règlement sur les services numériques (DSA), publiées le 14 juillet 2025, précisent qu'une simple déclaration d'âge (« j'ai plus de 18 ans ») n'est pas une vérification d'âge. En France, l'Arcom met en demeure les sites pornographiques qui ne vérifient pas l'âge. Rien dans ce que j'ai trouvé ne dit que la loi SREN vise les applications de compagnon IA en tant que telles.
- Réprimer les images intimes truquées. L'article 226-8-1 du Code pénal vise les deepfakes à caractère sexuel. Je ne cite pas ici les peines : consultez le texte sur Légifrance.
Ce qui arrive ensuite
Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », a été adopté en juin 2026 et est entré en vigueur en juillet 2026. D'après les cabinets d'avocats qui l'ont analysé, il ajoute le 2 décembre 2026 deux nouvelles interdictions, dont celle des outils qui produisent des images sexuelles ou intimes de personnes réelles sans leur accord. Il repousse aussi les obligations des systèmes « à haut risque » au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). L'obligation d'informer l'utilisateur de l'article 50 n'a pas bougé.
Qui fait respecter les règles
C'est la partie qui compte le plus pour les entreprises, et donc, indirectement, pour vous.
| Texte | Référence | Applicable depuis | Ce qui compte |
|---|---|---|---|
| RGPD | Règlement (UE) 2016/679 | 2018 | Droits d'accès et d'effacement ; réclamation auprès de la CNIL |
| Loi SREN | Loi n° 2024-449 | 21 mai 2024 | Vérification d'âge contrôlée par l'Arcom ; deepfakes sexuels (art. 226-8-1) |
| Référentiel Arcom | Journal officiel | 22 oct. 2024 | Vérification d'âge en « double anonymat » |
| AI Act, art. 5 | Règlement (UE) 2024/1689 | 2 févr. 2025 | Pratiques interdites |
| AI Act, art. 50 | Règlement (UE) 2024/1689 | 2 août 2026 | Prévenir qu'on parle à une IA |
| Omnibus IA | Règlement (UE) 2026/1744 | 2 déc. 2026 | Nouvelles interdictions (images intimes sans accord) |
Le tableau reflète les textes à la date d'octobre 2026. À ma dernière vérification, la France n'avait pas encore formellement désigné les autorités chargées de l'AI Act : un projet de désignation a été publié par la DGE et la DGCCRF le 9 septembre 2025, mais le texte qui doit le fixer n'était pas définitif. Le RGPD, lui, relève de la CNIL, et les litiges de consommation de la DGCCRF.
Les recommandations de la CNIL sur l'IA et le RGPD, sur le site de l'autorité.
Ce que vous allez réellement remarquer
- Une bannière ou un premier message vous disant que vous parlez à une IA. Sur certaines applications, il revient pendant les longues sessions. Cela ne veut pas dire que l'application vous croit perdu : c'est un plancher légal appliqué à tout le monde.
- Le personnage qui sort de son rôle quand une phrase ressemble à de l'automutilation. La détection automatique ne distingue pas de façon fiable une scène sombre d'une vraie confidence, et l'éditeur préfère se tromper dans le doute. Attendez-vous à de faux positifs. Si cela arrive en pleine fiction, une courte note hors personnage permet en général de reprendre la scène.
- Davantage de contrôles d'âge. Character.AI a supprimé le chat libre pour les moins de 18 ans en novembre 2025 et s'appuie désormais sur des signaux de comportement, une vérification par un tiers et, en dernier recours, une pièce d'identité. D'autres applications vont dans le même sens.
- Moins de « je suis réelle, je te le jure ». Aux États-Unis, les lois du Nebraska et de l'Idaho visent les IA qui prétendent être humaines ou conscientes. Un personnage qui l'affirme devient un risque de conformité, et les bonnes applications le corrigent.
Ce qui compte pour le droit européen, c'est où vous vivez, pas où l'entreprise est immatriculée : une application exploitée depuis Chypre qui s'adresse à des utilisateurs en France doit respecter le RGPD.
Ce que ces règles ne règlent pas
Vos conversations. Le RGPD s'applique, mais il ne dit pas combien de temps une application garde un chat ni si elle s'en sert pour entraîner un modèle : cela dépend de sa politique de confidentialité. Vous pouvez demander l'accès à vos données et leur effacement ; l'organisme a un mois pour répondre, prolongeable en cas de demande complexe. En cas de silence ou de refus, vous pouvez saisir la CNIL. Voir comment demander vos données à une application. Nos quatre vérifications sur la confidentialité restent votre meilleur outil.
La facturation. Elle relève du droit de la consommation. Vous disposez en principe de 14 jours pour vous rétracter d'un achat à distance, mais le Code de la consommation prévoit une exception pour le contenu numérique dont l'exécution a commencé avec votre accord exprès et votre renonciation. Un abonnement vendu en ligne doit aussi pouvoir être résilié en ligne aussi simplement qu'il a été souscrit (la « résiliation en trois clics », en vigueur depuis le 1er juin 2023). En cas de problème, SignalConso (signal.conso.gouv.fr) permet de signaler une entreprise à la DGCCRF. Voir remboursements et résiliations.
Les choix de contenu des adultes. Rien de ce qui précède ne restreint ce que des adultes consentants font avec un compagnon. Les règles de contenu concernent les mineurs et les images de personnes réelles.
Pour mémoire : les États-Unis
Les États-Unis ont pris une autre route, celle de lois dédiées aux compagnons. New York a ouvert la voie, avec une loi en vigueur depuis le 5 novembre 2025, suivie par la loi californienne SB 243 depuis le 1er janvier 2026. Au niveau fédéral, il n'y a pas de loi, mais en septembre 2025 la Federal Trade Commission a demandé à sept entreprises, dont Character.AI, Meta, OpenAI, Snap et xAI, d'expliquer comment elles testent leurs chatbots pour protéger les enfants et les adolescents. Ces lois américaines expliquent en partie pourquoi les applications affichent partout les mêmes rappels.
Ce qu'il faut retenir
Ces règles protègent surtout dans les pires moments : les mineurs, et toute personne en détresse. Pour un adulte qui utilise un compagnon IA pour la compagnie ou le plaisir, les changements visibles sont modestes : un avertissement, un rappel de temps en temps, un numéro d'aide quand une histoire prend un tour sombre. Le changement invisible est plus grand : les éditeurs portent désormais un risque juridique sur la conduite de leurs personnages, ce qui rend les applications sérieuses plus prudentes et repère plus vite les négligentes.