Conformité
IA et RGPD : deux textes, deux logiques, une seule question à se poser.
Le RGPD protège les personnes dont vous traitez les données. Le règlement européen sur l’intelligence artificielle protège celles qui sont exposées à vos systèmes. Aucun des deux ne prévoit de seuil d’effectif, et les deux s’appliquent déjà.
Par Denis Atlan, fondateur d’ENDKOO, qui mène les missions décrites ici. Publié le . Cet article explique un cadre réglementaire ; il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un avocat sur votre situation.
Ce que chaque texte vous demande
| Critère | RGPD — (UE) 2016/679 | AI Act — (UE) 2024/1689 |
|---|---|---|
| Ce qu’il protège | Les personnes dont vous traitez les données | Les personnes exposées à un système d’intelligence artificielle |
| Depuis quand | 25 mai 2018 | Article 4 applicable depuis le 2 février 2025 |
| Seuil d’effectif | Aucun | Aucun |
| Ce qu’il vous impose en priorité | Savoir quelles données vous traitez, pourquoi, et combien de temps | Assurer un niveau suffisant de maîtrise chez ceux qui utilisent le système |
| Régime de sanctions | En vigueur | Application générale à partir du 2 août 2026 |
Les textes sont consultables intégralement : règlement (UE) 2024/1689 et règlement (UE) 2016/679. La CNIL publie ses recommandations sur l’intelligence artificielle, qui font référence côté données personnelles.
Trois idées fausses qui circulent
« Nous sommes trop petits pour être concernés »
Ni le RGPD ni l’article 4 de l’AI Act ne prévoient de seuil d’effectif. La taille joue sur la proportionnalité des mesures attendues, pas sur l’existence de l’obligation. Une entreprise de dix personnes doit une maîtrise proportionnée à son usage, pas zéro maîtrise.
« Nous n’utilisons pas d’IA »
C’est l’affirmation la plus souvent démentie par les faits. Dans la quasi-totalité des cas, des outils personnels sont déjà employés sur des documents de l’entreprise, sans cadre ni traçabilité. Le sujet n’est donc pas d’autoriser l’intelligence artificielle : c’est de reprendre la main sur un usage qui existe déjà.
« Il suffit d’interdire »
Une interdiction non accompagnée déplace l’usage vers les téléphones personnels, où plus rien n’est visible. C’est le mécanisme du Shadow AI : la donnée sort quand même, mais sans journal ni contrat.
Par quoi commencer, dans l’ordre
- L’inventaire. Quels outils sont réellement utilisés, par qui, sur quels documents. Une demi-journée d’entretiens suffit à en dresser une première version honnête.
- La politique d’usage. Deux pages : ce qui est autorisé, ce qui est encadré, ce qui est exclu, et pourquoi. Un document que personne ne lit ne sert à rien — celui-ci doit tenir en deux pages précisément pour être lu.
- La formation tracée. C’est l’objet direct de l’article 4, et la seule pièce qui démontre que l’obligation a été prise au sérieux.
- La mise à jour du registre des traitements. Un outil d’intelligence artificielle qui reçoit des données clients est un destinataire de plus. Il s’inscrit.
Le point qui fait la différence en cas de contrôle. Ce n’est pas l’absence totale de risque, qui n’existe pas. C’est la capacité à montrer une démarche : un inventaire daté, une politique écrite, des formations tracées. Une entreprise qui ne peut rien montrer se trouve dans une position très différente de celle qui montre un dispositif imparfait mais documenté.
Ce que traite la formation dédiée
Les quatre étapes ci-dessus sont exactement le programme de la formation AI Act et gouvernance de l’IA, qui produit l’inventaire et le projet de politique d’usage pendant la session plutôt qu’après. Elle est certifiée Qualiopi et finançable par votre OPCO.
Questions fréquentes
Un salarié peut-il utiliser son compte personnel pour un document de l'entreprise ?
En pratique il le fait déjà, et juridiquement cela expose l'entreprise : le document sort de son périmètre de responsabilité sans contrat ni traçabilité. La réponse utile n'est pas l'interdiction, qui déplace l'usage hors de vue, mais la mise à disposition d'un outil professionnel encadré.
Faut-il une analyse d'impact avant d'utiliser un assistant conversationnel ?
Pas systématiquement. L'analyse d'impact relative à la protection des données s'impose quand le traitement est susceptible d'engendrer un risque élevé pour les personnes — suivi systématique, données sensibles, décision automatisée produisant des effets juridiques. Un assistant qui aide à rédiger des propositions commerciales n'entre généralement pas dans ce cadre. Un dispositif qui trie automatiquement des candidatures, si.
Une PME de vingt salariés est-elle concernée par l'AI Act ?
Oui, dès lors que ses salariés utilisent un système d'intelligence artificielle dans leur travail. Le règlement (UE) 2024/1689 ne prévoit aucun seuil d'effectif. Une entreprise dont les commerciaux rédigent leurs propositions avec un assistant conversationnel est un déployeur au sens du texte, avec l'obligation de formation qui en découle.
Faut-il un délégué à la protection des données pour utiliser l'IA ?
Pas du fait de l'intelligence artificielle en elle-même. La désignation d'un délégué dépend de critères propres au RGPD — suivi systématique à grande échelle, données sensibles, organisme public. Utiliser un assistant conversationnel ne déclenche pas cette obligation, mais ne dispense d'aucune de celles qui s'appliquaient déjà.
Peut-on envoyer des documents clients dans un outil d'IA ?
Cela dépend de l'outil, de son hébergement et de ce que ses conditions prévoient sur la réutilisation des contenus. La question à se poser n'est pas « est-ce interdit » mais « qui devient destinataire de cette donnée, et l'ai-je documenté ». Un usage non documenté est le vrai risque, pas l'usage lui-même.
Une formation suffit-elle à être en conformité ?
Non, mais elle en est une pièce exigée. L'article 4 porte précisément sur la maîtrise de l'IA par les utilisateurs : une formation tracée est ce qui permet de démontrer que l'obligation a été prise au sérieux. Il y faut aussi un inventaire des systèmes en service et une politique d'usage écrite.
Que risque-t-on concrètement en 2026 ?
Le régime général d'application et de sanctions de l'AI Act s'ouvre le 2 août 2026. Sur le volet RGPD, le risque n'a pas attendu : il est déjà là, et l'usage d'outils d'intelligence artificielle sur des données clients l'augmente mécaniquement en multipliant les destinataires.