RGPD et AI Act : ce qu'une entreprise doit vérifier avant d'utiliser l'IA générative

Une chargée de recrutement colle un CV dans un assistant en ligne pour en tirer une synthèse : en quelques secondes, son entreprise a transmis des données personnelles à un tiers, peut-être hors de l'Union, et utilisé un système d'IA dans un domaine que le droit européen surveille de près. Voici, texte par texte, ce qu'il faut vérifier avant d'en arriver là, dans l'état du droit au 1er octobre 2026.

Deux textes, deux logiques

Deux règlements européens s'appliquent en même temps à l'usage de l'IA générative en entreprise. Le règlement général sur la protection des données, ou RGPD, encadre tout traitement de données personnelles, c'est-à-dire toute information se rapportant à une personne identifiable. Il s'applique dès qu'un nom, un courriel ou un dossier client entre dans une requête. Le règlement sur l'intelligence artificielle, appelé AI Act, encadre les systèmes d'IA eux-mêmes selon le niveau de risque de leur usage, qu'ils traitent ou non des données personnelles.

L'AI Act distingue le fournisseur, qui développe le système ou le met sur le marché, et le déployeur, qui l'utilise sous son autorité dans un cadre professionnel. Une entreprise dont les salariés utilisent un assistant conversationnel pour leur travail est un déployeur, quelle que soit sa taille. Elle n'a pas les obligations d'un éditeur de modèle, mais elle en a.

Le RGPD raisonne en traitements et en finalités. L'AI Act raisonne en systèmes et en usages. Une même action, résumer un CV, relève des deux : du RGPD parce que le CV contient des données personnelles, de l'AI Act parce que le recrutement figure parmi les domaines à haut risque énumérés à l'annexe III du règlement.

Le calendrier de l'AI Act, modifié en juillet 2026

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, avec une application étalée. Les pratiques interdites, comme la notation sociale ou certaines formes de manipulation, et l'obligation de maîtrise de l'IA, sont applicables depuis le 2 février 2025. Les règles visant les modèles d'IA à usage général et l'organisation de la gouvernance s'appliquent depuis le 2 août 2025. La Commission européenne indique que le règlement est devenu applicable le 2 août 2026, à quelques exceptions près, et que les règles de transparence entrent en vigueur à cette date.

Ces exceptions viennent de l'omnibus numérique sur l'IA, un texte de simplification proposé par la Commission le 19 novembre 2025. Après un accord politique le 7 mai 2026, le Parlement européen l'a adopté le 16 juin 2026 et le Conseil le 29 juin. Publié comme règlement (UE) 2026/1744, il est entré en vigueur le 27 juillet 2026. Il reporte les obligations des systèmes à haut risque de l'annexe III, dont ceux utilisés pour le recrutement, l'éducation ou l'accès à certains services, au 2 décembre 2027. Les systèmes à haut risque intégrés à des produits déjà soumis à une législation sectorielle, comme les machines ou les dispositifs médicaux, ont jusqu'au 2 août 2028.

L'omnibus ajoute une interdiction, applicable à partir du 2 décembre 2026 : celle des systèmes qui génèrent des images intimes non consenties ou des contenus pédocriminels. Il accorde aussi aux fournisseurs de systèmes déjà sur le marché un délai jusqu'au 2 décembre 2026 pour marquer de façon détectable les contenus synthétiques qu'ils produisent.

Il réécrit enfin l'article 4 sur la maîtrise de l'IA. L'ancienne formulation demandait aux fournisseurs et aux déployeurs de garantir un niveau suffisant de maîtrise chez leur personnel. La nouvelle leur demande de prendre des mesures pour favoriser cette maîtrise, en tenant compte des connaissances des personnes et du contexte d'usage, sans exiger un niveau déterminé. L'obligation n'a pas été reportée : elle s'applique à toute entreprise qui utilise un système d'IA dans son activité.

Les sanctions restent celles de l'article 99 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour la plupart des autres obligations, dont celles des déployeurs et de transparence. Pour les PME, c'est le plus faible des deux montants qui sert de plafond.

Ce que l'AI Act demande à une entreprise utilisatrice

La plupart des usages bureautiques, rédiger un courriel, résumer une réunion, traduire une notice, ne relèvent pas du haut risque. Pour eux, les obligations du déployeur tiennent en deux points : former et informer le personnel au titre de l'article 4, et respecter les règles de transparence de l'article 50.

L'article 50 vise surtout les contenus diffusés. Un déployeur qui publie une image, un son ou une vidéo truqués de façon réaliste doit signaler qu'ils ont été générés ou manipulés. Un texte produit par IA et publié pour informer le public sur des questions d'intérêt général doit l'être aussi, sauf s'il a fait l'objet d'une relecture humaine sous la responsabilité éditoriale d'une personne identifiée. L'information doit être donnée de façon claire, au plus tard lors du premier contact avec le contenu.

Les obligations s'alourdissent si l'usage entre dans l'annexe III, par exemple le tri de candidatures ou l'évaluation de salariés. L'article 26 impose alors au déployeur de confier la surveillance du système à des personnes compétentes et disposant de l'autorité nécessaire, de conserver les journaux générés automatiquement pendant au moins six mois, d'informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail, et d'utiliser la documentation du fournisseur pour mener l'analyse d'impact prévue par le RGPD. Ces obligations s'appliqueront à partir du 2 décembre 2027, mais un projet lancé aujourd'hui sera en service à cette date.

En France, le gouvernement a présenté le 9 septembre 2025 un schéma de contrôle qui confie la coordination à la DGCCRF et répartit la surveillance entre plusieurs autorités, dont la CNIL pour les systèmes à haut risque liés à l'emploi et à l'éducation et l'Arcom pour les contenus synthétiques. Ce schéma devait être validé par une loi ; il faut vérifier son état d'avancement au moment de lancer un projet.

RGPD : les questions à poser avant la première requête

Le RGPD n'interdit pas d'utiliser l'IA générative. Il impose de répondre, pour chaque usage qui touche des données personnelles, aux questions habituelles : quelle finalité, sur quelle base légale parmi celles de l'article 6, avec quelles données strictement nécessaires, pendant combien de temps, avec quelle information des personnes et comment elles exercent leurs droits. Le traitement doit figurer au registre des activités de traitement.

L'IA générative ajoute une difficulté : ce qui entre dans une requête peut ressortir ailleurs. Le Comité européen de la protection des données, qui réunit les autorités nationales, a rendu le 17 décembre 2024 un avis sur les modèles d'IA. Il y estime qu'un modèle entraîné sur des données personnelles ne peut pas être considéré comme anonyme dans tous les cas : il faut vérifier au cas par cas que la probabilité d'en extraire des données sur les personnes est négligeable. Il admet que l'intérêt légitime peut fonder certains traitements, à condition de passer un test en trois étapes : intérêt identifié, nécessité du traitement, mise en balance avec les droits des personnes.

Pour une entreprise utilisatrice, la conséquence pratique est simple. Il faut savoir si le fournisseur réutilise les requêtes pour entraîner ses modèles, et pouvoir le refuser contractuellement. La CNIL rappelle, dans ses questions-réponses de juillet 2024 sur l'IA générative, que le fait qu'une donnée soit accessible ne suffit pas à autoriser sa réutilisation par le fournisseur.

Le RGPD lui-même pourrait évoluer. La Commission a proposé le 19 novembre 2025 un second volet de l'omnibus numérique qui touche notamment à la définition de la donnée personnelle. Fin septembre 2026, ce volet restait en première lecture, sans mandat de négociation du Conseil. Les règles actuelles s'appliquent donc sans changement.

Le fournisseur : sous-traitant, et sous quel contrat

Lorsqu'un prestataire traite des données personnelles pour le compte d'une entreprise, il est son sous-traitant au sens de l'article 28 du RGPD. Un contrat doit alors fixer l'objet, la durée, la nature et la finalité du traitement, les catégories de données, et engager le prestataire à n'agir que sur instruction, à assurer la sécurité, à ne recourir à d'autres sous-traitants qu'avec autorisation et à supprimer ou restituer les données en fin de contrat.

Les offres grand public des assistants en ligne ne sont généralement pas conçues pour ce cadre. Les offres professionnelles le sont plus souvent, mais les conditions varient. La CNIL distingue trois modes de déploiement. Sur site, l'organisme garde la maîtrise de l'infrastructure. Dans le cloud, il faut un contrat de sous-traitance qui délimite les responsabilités et les accès autorisés aux données. Par API, la CNIL considère le risque comme le plus élevé et recommande d'éviter d'y transmettre des données personnelles, en surveillant les clauses de transfert hors de l'Union.

Un point mérite une lecture attentive : si le fournisseur réutilise les données reçues pour ses propres fins, par exemple pour améliorer ses modèles, il n'agit plus seulement pour le compte de son client. La qualification de chacun change alors, avec ses conséquences en matière de responsabilité. Le contrat doit trancher cette question noir sur blanc.

Données sensibles et secrets d'affaires

L'article 9 du RGPD interdit par principe le traitement de certaines catégories de données : origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques et biométriques, santé, vie et orientation sexuelles. Les exceptions sont limitées et doivent être identifiées avant tout traitement. Un arrêt de travail, une mention de handicap dans un dossier RH ou un compte rendu médical collés dans un assistant en ligne en font partie.

La CNIL recommande de définir, selon le mode de déploiement, les usages autorisés et interdits, et d'interdire la saisie de certaines informations confidentielles, comme celles couvertes par le secret des affaires, lorsque l'outil est hébergé à l'extérieur. Elle recommande aussi de former les utilisateurs au fonctionnement et aux limites du système, et de leur demander de vérifier les résultats avant de les reprendre.

Transferts hors de l'Union et Cloud Act

Le chapitre V du RGPD encadre les transferts de données personnelles hors de l'Union. Vers les États-Unis, la plupart reposent aujourd'hui sur le cadre de protection des données UE-États-Unis, adopté par la Commission en juillet 2023. Le 3 septembre 2025, le Tribunal de l'Union européenne a rejeté le recours du député français Philippe Latombe contre ce cadre, dans l'affaire T-553/23. Le requérant a formé le 31 octobre 2025 un pourvoi devant la Cour de justice, enregistré sous le numéro C-703/25 P. Tant que la Cour ne s'est pas prononcée, la base juridique de ces transferts reste contestée, et son état doit être vérifié au moment de choisir un outil.

Le Cloud Act, loi américaine de 2018, ajoute une autre exposition. Il a inséré dans le code fédéral américain une disposition, la section 2713 du titre 18, qui oblige les fournisseurs de services de communication et de stockage soumis au droit américain à communiquer, sur réquisition, les données en leur possession, sous leur garde ou sous leur contrôle, que ces données soient stockées aux États-Unis ou ailleurs. L'hébergement dans un centre de données européen ne supprime donc pas cette exposition lorsque le prestataire relève du droit américain.

Pour l'entreprise, ces deux éléments relèvent de l'analyse de risque. Il faut identifier, pour chaque outil, le pays du prestataire et de ses propres sous-traitants, l'outil juridique qui encadre le transfert, et ce qui se passerait si ce cadre tombait.

Journaliser sans surveiller

La journalisation consiste à enregistrer qui a fait quoi, et quand, dans un système. Elle sert à détecter les abus, à enquêter après un incident et à démontrer sa conformité. La CNIL a publié le 18 novembre 2021 une recommandation sur le sujet. Elle y préconise de conserver les traces des accès et des actions des utilisateurs habilités pendant six mois à un an, une durée plus longue devant être justifiée et documentée, dans la plupart des cas sans dépasser trois ans.

Avec l'IA générative, la question se double. Les journaux d'un assistant contiennent souvent le texte des requêtes et des réponses, donc des données personnelles et parfois des secrets d'affaires. Ils constituent eux-mêmes un traitement à sécuriser, à limiter dans le temps et à protéger contre une surveillance excessive des salariés. Pour les systèmes à haut risque, l'AI Act fixe un plancher de six mois de conservation des journaux pour le déployeur. Il faut savoir où ces journaux sont stockés, qui peut les lire et s'ils sont accessibles au fournisseur.

L'analyse d'impact, outil de décision

L'analyse d'impact relative à la protection des données, ou AIPD, est obligatoire au titre de l'article 35 du RGPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Les autorités européennes ont retenu neuf critères, parmi lesquels les données sensibles, le traitement à grande échelle, les personnes vulnérables, le croisement de jeux de données et l'usage innovant d'une technologie. Un traitement qui réunit au moins deux critères est présumé devoir faire l'objet d'une analyse.

La CNIL précise que les techniques récentes, dont l'IA générative, relèvent du critère de l'usage innovant, contrairement à des méthodes statistiques éprouvées. Elle liste aussi des risques propres à l'IA à intégrer dans l'analyse : production de contenus faux, biais discriminatoires, attaques visant à extraire des données du modèle. Un assistant utilisé par les ressources humaines sur des dossiers de salariés réunit donc vite deux critères.

L'AIPD n'est pas un formulaire de plus. Bien menée, elle oblige à décrire le flux réel des données, à comparer les options de déploiement et à documenter le choix retenu. C'est souvent à ce stade qu'une entreprise découvre qu'une partie de ses usages ne devrait pas passer par un service externe.

Ce que change un traitement sur site

Faire tourner le modèle sur une machine installée dans les locaux de l'entreprise modifie plusieurs réponses. La CNIL recommande ce mode de déploiement pour les données personnelles ou confidentielles, parce qu'il limite les risques d'extraction par un tiers. Si aucun prestataire n'accède aux requêtes, il n'y a ni transfert hors de l'Union, ni exposition au Cloud Act par ce canal, ni réutilisation des données pour entraîner un modèle tiers. La chaîne de sous-traitance se raccourcit, et les journaux restent sous le contrôle de l'entreprise.

Il ne supprime pas le reste. La base légale, la minimisation, l'information des personnes, la sécurité, les durées de conservation et l'analyse d'impact restent dues. Les obligations de l'AI Act ne dépendent pas de l'endroit où tourne le modèle : un tri de candidatures reste un usage à haut risque, qu'il soit exécuté dans un centre de données américain ou dans un placard serveur. Et si un prestataire assure la maintenance à distance avec un accès aux données, il redevient sous-traitant.

Le traitement sur site déplace aussi une partie de la responsabilité technique vers l'entreprise : mises à jour de sécurité, contrôle des accès, sauvegardes. Le gain juridique suppose une machine correctement administrée.

Avant de signer

La vérification tient en une courte série de points. Une charte écrite distingue les usages autorisés et interdits. Chaque usage est classé selon qu'il touche ou non des données personnelles, et parmi elles des données sensibles. Pour chaque outil, l'entreprise connaît le lieu de traitement des requêtes, le prestataire, le droit auquel il est soumis et l'outil juridique qui encadre un éventuel transfert. Le contrat interdit la réutilisation des données pour l'entraînement, ou l'encadre. Les journaux ont un emplacement, des accès et une durée de conservation définis. Les usages qui relèvent de l'annexe III de l'AI Act sont repérés, l'analyse d'impact est menée lorsqu'elle s'impose, et le personnel a reçu une formation adaptée.

Cet article décrit l'état des textes au 1er octobre 2026. Il ne constitue pas un conseil juridique : chaque cas particulier, en particulier ceux qui touchent aux ressources humaines, à la santé ou aux transferts internationaux, demande l'avis d'un juriste ou du délégué à la protection des données. C'est pour répondre à la question de l'emplacement des données que HOMN conçoit des machines qui traitent les requêtes sur place ; les autres questions de cette liste restent à la charge de chaque entreprise.

Une entreprise qui utilise ChatGPT ou Copilot est-elle concernée par l'AI Act ?

Oui. Elle est déployeur au sens du règlement. Elle doit au minimum prendre des mesures de maîtrise de l'IA pour son personnel (article 4) et respecter les règles de transparence de l'article 50. Des obligations plus lourdes s'ajoutent si l'usage relève du haut risque, comme le recrutement.

Les obligations à haut risque de l'AI Act s'appliquent-elles depuis août 2026 ?

Non. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, les a reportées au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour ceux intégrés à des produits réglementés.

Faut-il une analyse d'impact pour utiliser l'IA générative ?

Pas systématiquement. Elle est obligatoire si le traitement présente un risque élevé, présumé dès que deux des neuf critères européens sont réunis. La CNIL range l'IA générative parmi les usages innovants, ce qui constitue déjà un critère. Elle recommande d'en mener une.

Héberger l'IA en Europe suffit-il à écarter le Cloud Act ?

Non. Le Cloud Act vise les fournisseurs soumis au droit américain, quel que soit le lieu de stockage des données. Seul un traitement par un prestataire non soumis à ce droit, ou sur une machine de l'entreprise sans accès externe, écarte cette exposition.