Automatisation IA : vos obligations RGPD et AI Act en 2026

Une entreprise qui automatise avec ChatGPT, Claude ou des workflows IA est presque toujours « déployeur » au sens de l'AI Act et responsable de traitement au sens du RGPD. Concrètement, elle doit inscrire chaque usage qui touche des données personnelles à son registre des traitements, mener une analyse d'impact (AIPD) quand le traitement présente un risque élevé, encadrer par contrat ses fournisseurs d'IA et les transferts hors de l'Union, informer les personnes concernées et prendre des mesures pour développer la maîtrise de l'IA de ses équipes (article 4 de l'AI Act). Les obligations lourdes du « haut risque », comme le recrutement assisté par IA, ne s'appliqueront qu'à partir du 2 décembre 2027.

Toutes les dates et citations de cet article ont été vérifiées le 23 septembre 2026 sur EUR-Lex et sur le site de la CNIL. Elles intègrent l'« omnibus numérique sur l'IA » de juillet 2026, qui a décalé une partie du calendrier et réécrit l'article 4.

Ces repères sont pratiques. Ils ne remplacent pas l'avis d'un juriste ou de votre DPO sur votre situation.

Déployeur ou fournisseur : commencez par votre statut

L'AI Act, c'est-à-dire le règlement (UE) 2024/1689, répartit ses obligations selon le rôle que vous jouez. Deux définitions de son article 3 couvrent la situation de la plupart des PME.

• Fournisseur : l'organisme qui développe ou fait développer un système d'IA et le met sur le marché, ou le met en service, sous son propre nom ou sa propre marque. OpenAI, Anthropic ou Mistral sont fournisseurs de leurs modèles et de leurs assistants.
• Déployeur : l'organisme qui utilise un système d'IA sous sa propre autorité, en dehors d'une activité personnelle non professionnelle.

Vous achetez des licences ChatGPT ou Claude pour vos équipes, ou vous utilisez l'assistant IA intégré à votre CRM ? Votre statut : déployeur.

La frontière devient plus floue quand vous construisez votre propre outil : chatbot, agent interne, automatisation sur mesure, bref les projets rangés sous l'étiquette IA en entreprise. La « mise en service » inclut la fourniture d'un système d'IA « pour usage propre » (article 3, point 11) : un chatbot client bâti sur une API et mis en ligne sous votre marque peut faire de vous son fournisseur. Hors haut risque, la conséquence reste limitée, surtout l'obligation de dire aux personnes qu'elles parlent à une IA.

Le vrai piège est ailleurs. L'article 25 prévoit qu'un déployeur devient fournisseur d'un système à haut risque s'il « modifie la destination d'un système d'IA, y compris un système d'IA à usage général », de telle manière qu'il devient à haut risque. Utiliser un assistant généraliste pour classer des candidatures ressemble fort à ce cas de figure : faites qualifier ce type de projet avant de le lancer.

Côté RGPD, la CNIL indique qu'un déployeur qui traite des données personnelles en sera « le plus souvent » responsable de traitement (questions-réponses de la CNIL sur le règlement IA). L'éditeur de l'outil agit en général comme votre sous-traitant. Et l'AI Act s'ajoute au RGPD sans en remplacer aucune exigence.

Le calendrier de l'AI Act, vérifié le 23 septembre 2026

Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », adopté le 8 juillet 2026 et publié au Journal officiel le 24 juillet, est entré en vigueur le 27 juillet 2026. Le tableau reprend l'article 113 ainsi modifié et la page de la CNIL mise à jour le 17 août 2026.

Avant l'omnibus, le haut risque de l'annexe III était attendu au 2 août 2026. Cette date, encore reprise en ligne, n'est plus la bonne.

Deux points restent incertains à la date de vérification : les normes harmonisées du haut risque, que la CNIL présente comme encore en cours de rédaction, et les exemples pratiques que la Commission doit publier pour l'article 4, sans échéance fixée. Si vous lisez ces lignes plusieurs mois plus tard, revérifiez le calendrier sur EUR-Lex.

Ce que l'AI Act exige d'une entreprise utilisatrice

Quatre sujets comptent pour une PME qui utilise des outils existants.

Les pratiques interdites : regardez vos usages RH

Depuis le 2 février 2025, l'article 5 interdit plusieurs pratiques. Pour une entreprise, la plus concrète vise l'utilisation de systèmes d'IA « pour inférer les émotions d'une personne physique sur le lieu de travail », sauf raisons médicales ou de sécurité (article 5, paragraphe 1, point f).

Un module qui note l'humeur de vos commerciaux pendant leurs appels, ou le niveau de stress de vos équipes en visio, entre très probablement dans cette interdiction. Si un éditeur vous vend ce type de fonction, demandez-lui par écrit comment il la justifie.

La transparence de l'article 50, en application depuis le 2 août 2026

L'article 50 distingue ce qui pèse sur les fournisseurs et ce qui pèse sur les déployeurs. Côté déployeur, trois cas vous concernent directement :

• vous générez ou retouchez des images, des sons ou des vidéos qui constituent un hypertrucage : vous devez indiquer que le contenu a été généré ou manipulé par une IA ;
• vous publiez un texte généré par IA pour informer le public sur une question d'intérêt public : même obligation, sauf si le texte a fait l'objet d'une relecture humaine et qu'une personne en assume la responsabilité éditoriale ;
• vous utilisez un système de reconnaissance des émotions ou de catégorisation biométrique : vous devez en informer les personnes exposées.

Côté fournisseur, un système qui dialogue avec des personnes doit leur faire savoir qu'elles parlent à une IA, sauf si c'est évident. Si vous avez construit votre propre chatbot client, cette obligation risque de vous revenir. L'information doit être « claire et reconnaissable au plus tard au moment de la première interaction » (article 50, paragraphe 5) : une phrase d'accueil du type « Vous échangez avec un assistant automatisé » y répond dans la plupart des cas.

Le haut risque : recrutement et RH en première ligne, à partir du 2 décembre 2027

L'annexe III range dans le haut risque les systèmes destinés au recrutement ou à la sélection, « en particulier pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Elle y ajoute les systèmes qui pèsent sur les promotions, les licenciements ou l'évaluation des salariés, et ceux qui notent la solvabilité des personnes (annexe III, points 4 et 5).

Si vous utilisez un tel système en tant que déployeur, l'article 26 vous demandera, à partir du 2 décembre 2027 :

• de l'utiliser conformément à la notice du fournisseur ;
• de confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire ;
• de veiller à la pertinence des données d'entrée que vous maîtrisez ;
• de conserver les journaux du système que vous contrôlez pendant au moins six mois ;
• d'informer les représentants du personnel et les salariés avant la mise en service sur le lieu de travail ;
• d'informer les personnes qui font l'objet de décisions prises ou facilitées par le système ;
• de vous appuyer sur la documentation du fournisseur pour réaliser votre AIPD.

Ces obligations de l'AI Act attendront décembre 2027. Le RGPD, lui, s'applique déjà à ces traitements, et c'est lui qui vous exposera en premier.

L'AI Act n'impose pas de « registre IA » aux utilisateurs

Le texte ne demande pas aux entreprises utilisatrices de recenser leurs systèmes d'IA dans un registre. L'enregistrement dans la base de données de l'Union vise surtout les fournisseurs et, côté déployeurs, les seules autorités publiques (article 49). La CNIL relève d'ailleurs que le règlement IA ne désigne pas de référent interne, là où le RGPD prévoit le délégué à la protection des données.

Un inventaire interne de vos outils d'IA reste une bonne idée : il alimente votre registre RGPD, vos AIPD et votre plan de formation.

Les plafonds d'amende de l'article 99

L'article 99 fixe trois plafonds. Jusqu'à 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites. Jusqu'à 15 000 000 EUR ou 3 % pour les autres manquements listés, dont les obligations des déployeurs (article 26) et la transparence (article 50). Jusqu'à 7 500 000 EUR ou 1 % pour des informations inexactes fournies aux autorités. En principe, le montant le plus élevé des deux est retenu ; pour une PME, c'est le plus faible (article 99, paragraphe 6).

L'article 4 ne figure pas dans ces listes de manquements assortis d'un plafond. Il reste obligatoire, et ce détail situe le risque réel : pour une PME qui utilise des outils existants, les sanctions les plus probables restent celles du RGPD.

RGPD : le registre des traitements, point de départ

Le registre des activités de traitement est prévu par l'article 30 du RGPD. La CNIL rappelle que l'obligation concerne « tous les organismes, publics comme privés et quelle que soit leur taille », dès lors qu'ils traitent des données personnelles (page de la CNIL sur le registre).

La dérogation prévue pour les moins de 250 salariés est étroite : les traitements non occasionnels, risqués ou portant sur des données sensibles doivent figurer au registre. Un workflow IA qui tourne chaque jour sur vos emails clients n'a rien d'occasionnel, et la CNIL recommande, en cas de doute, d'inscrire le traitement.

Prévoyez une fiche par usage : « tri des demandes du support », « compte rendu des rendez-vous commerciaux ». Pour chacune, l'article 30 impose :

• la finalité du traitement ;
• les catégories de personnes et de données concernées ;
• les destinataires, y compris vos sous-traitants : éditeur du modèle, plateforme d'automatisation, hébergeur ;
• les transferts hors de l'Union, avec le pays de destination ;
• les délais d'effacement, dans la mesure du possible ;
• une description générale des mesures de sécurité.

Pour un usage d'IA, ajoutez deux informations propres à ces outils : la durée de conservation des prompts et des historiques chez le fournisseur, et le réglage retenu sur la réutilisation de vos données pour l'entraînement.

À surveiller : la Commission a proposé en 2025 de réserver le registre aux traitements à « risque élevé » et d'étendre la dérogation aux moins de 750 salariés (proposition COM(2025) 501). Le 23 septembre 2026, la fiche EUR-Lex du RGPD ne recense aucune modification adoptée. Les règles actuelles s'appliquent.

AIPD : quand l'analyse d'impact devient obligatoire

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données, avant le traitement, quand celui-ci est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ».

La CNIL précise la règle en deux temps (page de la CNIL sur l'AIPD). L'AIPD est obligatoire si le traitement figure sur sa liste de traitements concernés, ou s'il remplit au moins deux des neuf critères issus des lignes directrices européennes :

• évaluation ou scoring, y compris le profilage ;
• décision automatique avec effet légal ou similaire ;
• surveillance systématique ;
• données sensibles ou à caractère hautement personnel ;
• données collectées à large échelle ;
• croisement de données ;
• personnes vulnérables ;
• usage innovant ;
• exclusion du bénéfice d'un droit ou d'un contrat.

Pour l'IA générative, la CNIL écrit que l'utilisation d'un système d'IA « ne relève pas systématiquement de l'usage innovant » : tout projet IA ne déclenche donc pas d'AIPD. Elle ajoute que, lorsqu'un traitement de sa liste repose sur l'IA, par exemple pour du profilage ou une décision automatisée, l'AIPD est « toujours requise », et qu'elle sera présumée nécessaire pour les systèmes à haut risque au sens de l'AI Act (fiche de la CNIL sur l'AIPD et l'IA).

Sur des cas courants (lecture indicative, à confirmer avec votre DPO) :

• un assistant de rédaction utilisé sans données personnelles : pas d'AIPD, le RGPD n'est même pas en jeu ;
• un résumé automatique de milliers d'échanges avec vos clients : la grande échelle est probablement acquise, cherchez un second critère ;
• un score automatique attribué à chaque lead entrant : critère d'évaluation, et souvent croisement de données, donc AIPD probable ;
• un tri automatique de candidatures : AIPD, sans hésitation.

La CNIL met à disposition le logiciel open source PIA pour conduire et documenter l'analyse.

Dernier garde-fou, l'article 22 du RGPD donne à chacun le droit de ne pas subir une décision « fondée exclusivement sur un traitement automatisé » qui l'affecte de manière significative. Quand une telle décision repose sur un contrat ou sur un consentement explicite, la personne doit au minimum pouvoir obtenir une intervention humaine, exprimer son point de vue et contester la décision.

Hébergement et transferts hors UE : ce que change une API américaine

Envoyer des données personnelles à un modèle hébergé hors de l'Espace économique européen est un transfert. Il est permis si vous l'encadrez : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou, dans des cas particuliers, dérogations de l'article 49 (page de la CNIL sur les transferts).

Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une décision d'adéquation. Elle couvre les organisations américaines inscrites sur la liste des organismes certifiés, qui s'engagent chaque année à respecter le cadre (questions-réponses de la CNIL). Vérifiez que l'entité qui reçoit vos données figure bien sur cette liste.

Si le destinataire n'est pas certifié, vous passez par des clauses contractuelles types, et l'exportateur doit alors réaliser une analyse d'impact des transferts (AITD). La CNIL a publié la version finale de son guide AITD le 9 juillet 2025.

Une décision d'adéquation peut tomber : la Cour de justice de l'Union a invalidé le précédent cadre, le Privacy Shield, le 16 juillet 2020. Documentez votre choix pour pouvoir basculer vite.

Sur le mode de déploiement, la CNIL est claire dans ses questions-réponses sur l'IA générative. Un service grand public peut convenir aux usages non confidentiels, avec des comptes professionnels et la réutilisation des données désactivée ; pour des données de clients ou de salariés, elle privilégie une installation sur site ou un cloud sous contrat de sous-traitance. Et via une API, la maîtrise du système est « quasi exclusivement dans les mains du fournisseur » : évitez autant que possible d'y envoyer des données personnelles.

Les garanties varient selon l'offre (grand public, équipe, entreprise, API) : lisez les conditions de celle que vous payez réellement.

Informer les personnes concernées

Le RGPD vous oblige à informer les personnes au moment où vous collectez leurs données : identité du responsable, finalités, base juridique, destinataires, durée de conservation (articles 13 et 14). En cas de décision automatisée au sens de l'article 22, vous devez aussi donner « des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement ».

L'AI Act ajoute l'information au premier contact (article 50), l'information des personnes visées par un système à haut risque de l'annexe III (article 26) et, pour ces décisions, un droit à des explications « claires et pertinentes » (article 86).

En pratique, relisez votre politique de confidentialité, les mentions sous vos formulaires, l'information des candidats et la note interne aux salariés. Si un agent IA lit les emails de vos clients, ça doit y figurer.

Maîtrise de l'IA : ce que l'article 4 demande depuis l'omnibus

L'article 4 s'applique depuis le 2 février 2025. Dans sa version initiale, il demandait aux fournisseurs et aux déployeurs de prendre des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA » pour leur personnel (texte initial sur EUR-Lex).

L'omnibus a réécrit cette phrase. Depuis le 27 juillet 2026, fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel » et par les autres personnes qui utilisent les systèmes pour leur compte. Le nouveau texte précise : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. »

L'obligation demeure, donc. Ce qui a changé, c'est la mesure du résultat : vous devez agir, sans certifier le niveau de chaque salarié, en tenant compte de l'expérience des personnes et du contexte d'utilisation. Un commercial qui rédige des relances et une chargée RH qui trie des candidatures n'ont pas besoin des mêmes mesures.

Pour la mise en œuvre, la CNIL conseille, dans ses recommandations sur l'IA générative, de familiariser les utilisateurs avec le fonctionnement et les limites des outils, de fixer les usages autorisés et interdits dans une charte, de proposer des « prompts types » et d'apprendre à vérifier les sorties : exactitude, plagiat, biais. Elle cite en exemple des formations obligatoires avant l'utilisation des outils.

Le texte n'exige aucune attestation. Garder une trace des sessions (date, contenu, participants) reste le moyen le plus simple de montrer ce que vous avez fait.

Pour comparer les approches avant de choisir, voyez notre sélection des meilleures formations IA pour les entreprises, et notre article sur le financement d'une formation IA.

Contrats : ce que vous devez obtenir de vos fournisseurs IA

Quand l'éditeur d'un outil traite des données pour votre compte, l'article 28 du RGPD exige des « garanties suffisantes » et un contrat. Le sous-traitant ne traite les données que sur vos instructions documentées et ne peut pas recruter un autre sous-traitant sans votre autorisation écrite.

Pour un outil d'IA, vérifiez au minimum ces points :

• un accord de traitement des données (DPA) signé ou accepté pour l'offre que vous utilisez ;
• la liste des sous-traitants ultérieurs, et la façon dont le fournisseur vous prévient de ses changements ;
• le lieu de traitement et l'outil de transfert retenu ;
• la réutilisation ou non de vos données pour entraîner les modèles ;
• la durée de conservation des prompts, des fichiers et des journaux ;
• l'engagement de vous notifier une violation de données « dans les meilleurs délais » (article 33, paragraphe 2).

Ce dernier point compte : c'est vous, responsable de traitement, qui devez notifier la CNIL « si possible, 72 heures au plus tard » après en avoir pris connaissance (article 33 du RGPD). Un fournisseur qui vous prévient tard mange votre délai.

Une agence ou un indépendant qui construit vos automatisations avec accès à vos données devient en général votre sous-traitant. Demandez-lui la liste des outils de la chaîne, de la boîte mail au modèle.

Checklist avant de lancer une automatisation IA

1. Décrivez le flux de données : ce qui entre, où c'est traité, ce qui est conservé.
2. Qualifiez votre rôle : déployeur ou fournisseur au sens de l'AI Act, responsable de traitement au sens du RGPD.
3. Écartez les pratiques interdites de l'article 5, dont l'inférence des émotions des salariés.
4. Si l'usage relève de l'annexe III (recrutement, gestion des salariés, crédit), faites qualifier le projet.
5. Choisissez la base légale du traitement et inscrivez-le au registre, avec les sous-traitants et les transferts.
6. Passez les neuf critères de la CNIL : deux critères remplis, ou un traitement de sa liste, et l'AIPD s'impose avant le lancement.
7. Encadrez les transferts hors UE : destinataire certifié, ou clauses contractuelles types et AITD.
8. Obtenez un DPA, la liste des sous-traitants ultérieurs et un réglage clair sur la réutilisation de vos données.
9. Mettez à jour l'information des personnes : politique de confidentialité, formulaires, candidats, salariés.
10. Signalez l'IA sur tout chatbot ouvert au public, ainsi que les hypertrucages.
11. Prévoyez une intervention humaine réelle sur toute décision qui affecte une personne de manière significative.
12. Formez les équipes qui utilisent l'outil, avec une charte d'usage, et gardez une trace des sessions (article 4).

Si vous ne savez pas quels outils touchent quelles données dans votre entreprise, commencez par l'étape 1. Si vous hésitez sur les usages à automatiser en priorité, notre audit IA gratuit sert à les identifier, et la question des données s'y pose dès le cadrage. Pour l'étape 12, notre formation IA en entreprise part des cas d'usage de chaque équipe.

Questions fréquentes

Une PME qui utilise ChatGPT ou Claude est-elle concernée par l'AI Act ?

Oui, en tant que déployeur. Pour un usage de bureau courant, ses obligations AI Act restent légères : des mesures de maîtrise de l'IA pour ses équipes (article 4), la transparence de l'article 50 pour les hypertrucages et les chatbots ouverts au public, et aucune pratique interdite. L'essentiel du travail se situe côté RGPD : registre, contrats, information des personnes.

Faut-il une AIPD pour utiliser l'IA générative en entreprise ?

Pas systématiquement. La CNIL indique que l'utilisation d'un système d'IA ne relève pas toujours du critère d'usage innovant. L'AIPD devient obligatoire si le traitement figure sur la liste de la CNIL, s'il remplit au moins deux des neuf critères (scoring, grande échelle, données sensibles, croisement de données…), ou s'il s'agit d'un profilage qui débouche sur des décisions aux effets juridiques (article 35 du RGPD). Un tri de candidatures en exige une.

L'obligation de maîtrise de l'IA de l'article 4 est-elle toujours en vigueur ?

Oui. Elle s'applique depuis le 2 février 2025 et l'omnibus numérique l'a réécrite à compter du 27 juillet 2026. Les entreprises doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans garantir un niveau précis pour chaque salarié. Former les équipes sur leurs usages réels et garder une trace des sessions reste la réponse la plus simple.

Peut-on envoyer des données clients à une IA hébergée aux États-Unis ?

Oui, si le transfert est encadré. Le plus simple : un destinataire inscrit sur la liste des organisations certifiées au titre de la décision d'adéquation du 10 juillet 2023. Sinon, il faut des clauses contractuelles types et une analyse d'impact des transferts. La CNIL recommande aussi de limiter au maximum les données personnelles envoyées à un modèle utilisé par API.

Quand s'appliquent les obligations sur l'IA à haut risque ?

Depuis l'omnibus numérique, le 2 décembre 2027 pour les systèmes de l'annexe III (recrutement, gestion des salariés, crédit, éducation, biométrie) et le 2 août 2028 pour ceux de l'annexe I, intégrés à des produits déjà réglementés. La date du 2 août 2026, encore citée ici ou là, n'est plus la bonne. Dates vérifiées le 23 septembre 2026 sur EUR-Lex et sur le site de la CNIL.

Quelles amendes prévoit l'AI Act ?

L'article 99 fixe des plafonds de 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements listés (dont les obligations des déployeurs et la transparence), et 7,5 millions ou 1 % pour des informations inexactes. Pour une PME, c'est le plus faible des deux montants qui s'applique. Les amendes du RGPD s'y ajoutent.