GuidesIA et conformité
IA, RGPD et AI Act : ce qu’une entreprise doit vérifier
Deux textes, deux logiques
Le RGPD protège les données personnelles. Il s’applique dès qu’un système d’IA traite des informations sur des personnes : clients, salariés, candidats.
Le règlement européen sur l’IA (AI Act) encadre les systèmes eux-mêmes, selon leur niveau de risque. Son application est progressive et son calendrier a été ajusté en cours de route. Les obligations de transparence pour les chatbots et les contenus générés s’appliquent depuis août 2026 ; les règles les plus lourdes, pour les systèmes à haut risque, ont été repoussées. Vérifiez les dates en vigueur au moment de votre projet.
Ce guide n’est pas un avis juridique. Il liste ce qu’on vérifie en pratique.
Quelles données partent vers le modèle
C’est la première question, et la plus concrète.
- Minimiser. N’envoyer que ce qui sert à la tâche. Un résumé de ticket n’a pas besoin du numéro de carte.
- Anonymiser ou masquer quand c’est possible.
- Exclure les catégories sensibles sans nécessité : santé, opinions, données de mineurs.
- Savoir où c’est traité : pays, fournisseur, sous-traitants.
Le contrat avec le fournisseur du modèle
À lire avant de brancher quoi que ce soit :
| Point | Ce qu’on cherche |
|---|---|
| Entraînement | Vos données ne servent pas à entraîner le modèle |
| Conservation | Durée de rétention courte, ou nulle |
| Localisation | Traitement dans l’Union européenne si nécessaire |
| Sous-traitance | Un accord de traitement des données signé |
| Sécurité | Chiffrement, contrôle d’accès, certifications |
Les offres professionnelles des fournisseurs diffèrent souvent des offres grand public sur ces points.
La transparence
- Un chatbot s’annonce comme une IA.
- Un contenu généré qui pourrait tromper est signalé comme tel.
- Les personnes sont informées quand une IA intervient dans une décision qui les concerne.
Le contrôle humain
Aucune décision importante pour une personne ne devrait reposer sur une IA seule : recrutement, crédit, sanction, résiliation. Un humain décide, avec la capacité réelle de contredire la machine.
Classer ses usages par risque
La plupart des usages d’une PME sont à risque faible : rédaction, résumé, tri, assistance. Certains domaines sont classés à haut risque et entraînent des obligations lourdes, notamment l’emploi, l’éducation, l’accès au crédit et aux services essentiels. Quelques pratiques sont interdites. Si votre projet touche à ces domaines, consultez un juriste avant de construire.
La neutralité et les biais
Sur Votons, un comparateur de programmes politiques, la neutralité est appliquée par le code : positions anonymisées, parité gauche-droite, et chaque carte préparée par un agent est relue par un agent vérificateur puis par un humain. Quand un sujet est sensible, les règles ne se confient pas à une consigne.
La liste de contrôle
- Un registre des usages de l’IA : quoi, avec quelles données, quel fournisseur.
- Une règle interne sur ce qu’on peut donner à un modèle.
- Des contrats de sous-traitance à jour.
- La mention d’IA sur les chatbots et les contenus concernés.
- Une relecture humaine avant toute sortie engageante.
- Un journal des actions des agents.
- Un responsable nommé.
Pour la mise en œuvre, voir Intégrer l’IA dans une PME et Chatbot IA.
Questions fréquentes
- A-t-on le droit d’envoyer des données clients à un modèle d’IA ?
- Le RGPD s’applique comme pour tout sous-traitant : il faut une base légale, un contrat de sous-traitance, des données limitées au nécessaire et une information des personnes. Vérifiez aussi où les données sont traitées et si elles servent à entraîner le modèle.
- Un chatbot doit-il dire qu’il est une IA ?
- Oui. Le règlement européen sur l’IA prévoit une obligation de transparence : une personne doit savoir qu’elle échange avec un système d’IA. C’est aussi une question de confiance.
- Ce guide remplace-t-il un avis juridique ?
- Non. Il donne les points de contrôle pratiques. Le calendrier d’application du règlement européen a évolué, et les cas sensibles demandent l’avis d’un juriste ou de votre délégué à la protection des données.
