Le RGPD et l’IA Act peuvent s’appliquer au même système dès qu’il traite des données personnelles. L’article détaille les niveaux de risque, les obligations de documentation et les erreurs fréquentes.
En 2026, deux règlements européens s'appliquent simultanément à tout déploiement d'IA en entreprise : le RGPD, en vigueur depuis 2018, et l'IA Act, entré en application par étapes depuis août 2024. Voici ce que ça signifie concrètement pour vous.
Ce que le règlement IA Act introduit de neuf
Le règlement (UE) 2024/1689 — dit IA Act — est entré en vigueur le 1er août 2024. Il s'applique à toute organisation qui développe, importe ou utilise des systèmes d'IA sur le marché européen. Pas uniquement les éditeurs de logiciels : les entreprises utilisatrices sont aussi dans le périmètre.
Son architecture repose sur une classification par niveau de risque :
- Risque inacceptable : pratiques interdites. Exemples : notation sociale des citoyens par l'État, manipulation psychologique exploitant des vulnérabilités, identification biométrique en temps réel dans les espaces publics (avec des exceptions encadrées strictement).
- Risque élevé : obligations lourdes de conformité. Sont concernés notamment certains systèmes utilisés pour décider de l'accès à un emploi, au crédit ou à des services essentiels, ainsi que certains usages dans la justice ou l'éducation. La classification exacte dépend de la finalité et doit être vérifiée avant le déploiement.
- Risque limité : obligations de transparence. Vous devez informer l'utilisateur qu'il interagit avec une IA — chatbot, deepfake, voix synthétique.
- Risque minimal : pas d'obligation spécifique. La majorité des filtres anti-spam ou des systèmes de recommandation de contenu.
Si vous utilisez un outil d'aide au recrutement, un chatbot de relation client ou un système de notation commerciale, qualifiez son usage exact avec votre DPO ou conseil avant de déployer. Le niveau de risque ne se déduit pas du seul nom de l'outil.
Calendrier d'application : état au 16 juillet 2026
L'IA Act ne s'applique pas d'un seul bloc et son calendrier continue d'évoluer. Il faut distinguer les règles déjà applicables de la nouvelle échéance issue de l'accord politique sur l'AI Omnibus :
- 2 février 2025 : les dispositions sur les pratiques interdites et la culture de l'IA sont entrées dans leur phase d'application.
- 2 août 2025 : des obligations spécifiques pour les fournisseurs de modèles d'IA à usage général (GPAI), les grands modèles de langage en particulier, ont commencé à s'appliquer.
- 2 décembre 2027 : selon l'accord politique annoncé le 7 mai 2026 entre le Parlement européen et le Conseil sur l'AI Omnibus, les règles visant certains systèmes à haut risque, notamment dans l'emploi, doivent s'appliquer à cette date. Cette échéance reste à vérifier dans le texte final adopté et publié avant de fonder une décision de conformité dessus.
Au 16 juillet 2026, l'ancienne référence générale à août 2026 ne doit donc plus être utilisée pour les systèmes à haut risque liés à l'emploi. Préparez la documentation et les contrôles dès maintenant, puis vérifiez le calendrier applicable sur la page officielle de la Commission européenne avant chaque décision de mise en conformité.
Quand RGPD et IA Act s'appliquent en même temps
Le RGPD ne disparaît pas avec l'IA Act. Les deux règlements coexistent, et la quasi-totalité des déploiements d'IA traitent des données personnelles — donc les deux s'appliquent simultanément. C'est le point que beaucoup de directions juridiques n'ont pas encore intégré.
Ce que ça change concrètement :
- Base légale pour les données d'entraînement : si vous entraînez ou affinez un modèle sur des données clients ou collaborateurs, vous avez besoin d'une base légale au sens du RGPD (consentement, intérêt légitime, exécution d'un contrat). L'intérêt légitime n'est pas automatiquement valable — une balance des intérêts documentée est nécessaire.
- Décisions automatisées (article 22 du RGPD) : toute décision prise uniquement par traitement automatisé, ayant un effet significatif sur une personne, lui donne le droit de demander une intervention humaine et de contester le résultat. Une décision défavorable sur l'accès au crédit ou à un emploi prise exclusivement par un algorithme peut relever de ce cadre ; les exceptions et garanties doivent être vérifiées.
- Double évaluation pour les systèmes à risque élevé : vous devrez souvent mener à la fois une Analyse d'Impact relative à la Protection des Données (AIPD) au titre du RGPD et une évaluation de conformité au titre de l'IA Act. Ce ne sont pas les mêmes périmètres, mais les deux sont obligatoires.
- Droits des personnes sur les données d'entraînement : droit d'accès, rectification, effacement — ces droits RGPD s'appliquent aussi aux données utilisées pour former ou alimenter un système d'IA. La CNIL a déjà examiné plusieurs fournisseurs sur ce point.
Les erreurs qu'on voit régulièrement dans les entreprises
Sans liste exhaustive, voici les problèmes qui reviennent le plus souvent chez les organisations qui déploient des outils d'IA sans avoir fait le travail de mise en conformité :
- Utiliser un LLM (ChatGPT, Gemini, Claude) pour traiter des données clients sans vérifier la localisation des données ni les conditions contractuelles du fournisseur.
- Attribuer automatiquement une note à des prospects ou à des dossiers de recrutement sans documenter la base légale, informer les personnes ni prévoir d'intervention humaine lorsque le cadre l'exige.
- Ne pas mettre à jour les mentions d'information et politiques de confidentialité pour y intégrer les nouveaux traitements IA.
- Confondre "le fournisseur est conforme" avec "mon usage est conforme" : la conformité de Microsoft ou d'OpenAI ne couvre pas votre déploiement spécifique ni vos propres traitements de données.
- Supposer que les décisions "assistées" par IA échappent à l'article 22 du RGPD. Si l'humain valide sans analyser réellement, la décision reste de facto automatisée aux yeux de la réglementation.
Ce que la CNIL suit de près en 2026
La CNIL a ouvert des procédures d'investigation sur des fournisseurs de modèles génératifs depuis 2023, portant sur la collecte de données d'entraînement et le respect des droits des personnes. Elle a également publié plusieurs recommandations sur l'usage de l'IA en entreprise.
Ses axes de contrôle prioritaires en 2026 portent sur :
- La légalité du traitement des données personnelles dans les systèmes d'IA — notamment la question de la base légale pour l'entraînement des modèles.
- L'obligation d'information des personnes : elles doivent savoir qu'elles interagissent avec une IA, et comprendre comment leurs données sont utilisées.
- Le respect des droits d'accès et d'effacement appliqués aux données intégrées dans des modèles.
Ces contrôles touchent directement les entreprises françaises qui utilisent des outils IA sur des données professionnelles ou clients, même via des fournisseurs tiers.
Se former pour appliquer le cadre RGPD IA concrètement
Lire le texte réglementaire, c'est une étape. Savoir comment l'appliquer à votre secteur, vos outils, vos processus RH ou commerciaux — c'est ce qui manque dans la plupart des équipes. Les profils concernés sont larges : juristes, DRH, responsables IT, chefs de projet digital, commerciaux qui utilisent des outils IA au quotidien.
Chez BGB Formation, nos formations IA BGB Formation est certifié Qualiopi pour ses actions de formation. L’éligibilité CPF ou OPCO dépend de l’offre exacte, de la certification éventuelle, de l’habilitation et de l’accord du financeur ; vérifiez ces éléments avant inscription.
Contactez-nous pour un programme adapté à votre secteur ou votre équipe.
À lire aussi :