Automatisation IA, RGPD et AI Act : la checklist 2026

Automatiser avec l'IA en France en 2026 : le cadre juridique a changé

L'automatisation IA RGPD AI Act n'est plus une option. Depuis février 2025, certaines pratiques IA sont interdites. Depuis août 2025, les modèles de fondation (GPT-4, Claude, Gemini) sont régulés. Et en août 2026, ce sont les systèmes IA à haut risque qui entrent dans la moulinette.

Si tu déploies un agent qui trie des CV, un chatbot qui qualifie des leads, ou un workflow n8n qui analyse des appels commerciaux, tu es concerné. Pas demain. Maintenant.

Cet article te donne la vraie checklist conformité : registre IA, DPIA, hébergement EU, transparence algorithmique, sanctions. Tout ce qu'une agence d'automatisation IA sérieuse doit te livrer en 2026.

RGPD + AI Act : deux textes, une logique combinée

Le RGPD (2018) protège les données personnelles. L'AI Act (entré en vigueur août 2024, application progressive jusqu'en 2027) régule les systèmes d'IA selon leur niveau de risque. Les deux s'appliquent en parallèle dès qu'un workflow IA touche à des données identifiables.

Le calendrier AI Act à connaître

Les 4 niveaux de risque AI Act

1. Risque inacceptable : interdit. Scoring social type Chine, manipulation subliminale, exploitation des vulnérabilités.
2. Haut risque : autorisé sous conditions strictes. Tri CV, scoring crédit, IA médicale, accès à l'éducation.
3. Risque limité : obligation de transparence. Chatbots, deepfakes, contenus générés.
4. Risque minimal : pas d'obligation spécifique. Filtres anti-spam, IA dans les jeux vidéo.

La plupart des automatisations B2B que tu vois passer (qualification leads, génération contenu, support client) tombent en risque limité. Mais dès que tu touches au recrutement, à la finance ou à la santé, tu bascules en haut risque. Et là, la facture conformité explose.

Le registre IA : l'équivalent du registre des traitements RGPD

Le RGPD t'oblige à tenir un registre des traitements. L'AI Act t'oblige à documenter chaque système IA déployé. C'est le même réflexe, appliqué à un nouvel objet : le modèle algorithmique.

Ce que doit contenir ton registre IA

• Nom et finalité du système IA
• Catégorie de risque (limité, haut, minimal)
• Fournisseur du modèle (OpenAI, Anthropic, Mistral, modèle interne)
• Données d'entrée et de sortie
• Personnes impactées (clients, salariés, candidats)
• Mesures de transparence mises en place
• Date de mise en service et version du modèle
• Responsable interne du système

Tu peux le tenir dans un simple Notion, un Airtable, ou un tableur partagé. L'important : qu'il soit à jour et présentable en cas de contrôle CNIL. Beaucoup d'entreprises ajoutent une colonne "DPIA réalisée oui/non" pour faire le lien avec la conformité RGPD.

DPIA : quand l'analyse d'impact devient obligatoire

Une DPIA (Data Protection Impact Assessment) est obligatoire dès qu'un traitement présente un risque élevé pour les droits des personnes. Avec l'IA, ce seuil est franchi plus vite qu'on ne le pense.

Cas où la DPIA est non-négociable

• Profilage automatisé qui produit des effets juridiques (refus de crédit, refus de candidature)
• Traitement de données sensibles à grande échelle (santé, opinions, données biométriques)
• Surveillance systématique d'une zone accessible au public
• Combinaison de jeux de données issus de sources différentes
• Utilisation d'une technologie innovante (l'IA générative en fait partie)

La CNIL met à disposition un outil gratuit, PIA, pour structurer ta démarche. Le livrable type fait 15 à 30 pages : description du traitement, nécessité, proportionnalité, risques, mesures. Compte 3 à 5 jours de travail pour un cas standard.

💡 Astuce pro : regroupe les DPIA par famille d'usage. Une DPIA "chatbot client" peut couvrir 3 implémentations métier différentes si l'architecture est identique. Tu gagnes 60% de temps sur la documentation.

Hébergement EU : pourquoi Scaleway et OVH redeviennent stratégiques

Le Cloud Act américain permet aux autorités US d'accéder aux données hébergées par des entreprises américaines, même si les serveurs sont en Europe. Combiné à l'AI Act qui exige une traçabilité forte des données d'entraînement et d'inférence, l'hébergement EU devient un argument commercial majeur.

Comparatif des hébergeurs EU pour workflows IA

Pour un workflow d'intégrer l'IA dans votre entreprise qui manipule des données clients sensibles, le combo Scaleway Inference + base Postgres managée à Paris reste le plus simple à défendre devant un DPO. Tu peux faire tourner Mistral Large ou Llama 3.3 sans jamais sortir de l'UE.

Quand tu utilises OpenAI ou Anthropic quand même

OpenAI propose un "EU Data Residency" sur Azure depuis 2024. Anthropic propose Claude via AWS Bedrock en région Paris (eu-west-3) depuis 2025. Dans les deux cas, les données d'inférence restent dans l'UE, mais la maison-mère reste américaine. C'est un compromis acceptable pour la plupart des usages B2B, à condition de :

• Documenter la base légale du transfert (clauses contractuelles types ou décision d'adéquation)
• Ne jamais envoyer de données identifiantes sensibles (santé, religion, vie sexuelle)
• Activer le "no training" : tes données ne servent pas à entraîner les modèles publics
• Tenir le registre IA à jour avec la mention du sous-traitant US

Data residency : où vivent réellement tes données ?

La data residency, c'est la localisation physique des données. Ce n'est pas la nationalité du fournisseur. Une entreprise US peut héberger en France. Une entreprise française peut héberger en Virginie. Ce qui compte côté RGPD, c'est où sont stockées et traitées les données.

Les trois flux à cartographier

1. Stockage : où vivent tes bases de données ? Tes vectorstores (Pinecone, Qdrant, Weaviate) ? Tes documents bruts (S3, Drive, OneDrive) ?
2. Inférence : où tourne le modèle quand tu fais un appel API ? Beaucoup de SaaS routent automatiquement vers la région la moins chargée.
3. Logs : où sont stockés les prompts et réponses ? C'est souvent l'angle mort. OpenAI conserve 30 jours par défaut, sauf si tu actives le ZDR (Zero Data Retention).

Un audit de data residency complet prend une journée pour une stack IA standard (n8n + Claude + Supabase + vectorstore). Le livrable, c'est un schéma de flux avec les juridictions à chaque étape. C'est exactement ce qu'on déroule dans un audit IA gratuit avant de lancer une mission.

Transparence algorithmique : la nouveauté qui fait mal

L'AI Act impose des obligations de transparence inédites dans le droit européen. Trois niveaux à connaître.

Obligation 1 : informer l'utilisateur qu'il interagit avec une IA

Tout chatbot, assistant vocal ou agent conversationnel doit indiquer clairement à l'utilisateur qu'il discute avec une machine. Un simple "Bonjour, je suis Léa, l'assistante virtuelle de Acme" suffit. Pas besoin de pop-up RGPD. Mais l'oubli pur et simple, ça peut coûter cher.

Obligation 2 : marquer les contenus générés

Les contenus générés par IA (texte, image, audio, vidéo) doivent être identifiables comme tels, soit visuellement, soit via des métadonnées détectables par machine. C2PA (Coalition for Content Provenance and Authenticity) devient le standard de fait. Adobe, Microsoft, OpenAI et Google l'ont adopté.

Obligation 3 : expliquer les décisions automatisées

Si ton système IA prend une décision qui impacte une personne (refus de candidature, scoring crédit, modulation de prix), tu dois pouvoir expliquer la logique. Pas le code source. La logique. Quels critères, quels poids, quel résultat. C'est l'article 22 RGPD doublé de l'article 86 AI Act.

💡 Astuce pro : intègre la transparence dès la conception. Quand tu builds un workflow n8n de scoring leads, ajoute une étape "explication" qui logge les critères ayant déclenché la décision. Tu auras ton justificatif prêt en cas de demande d'accès.

Faire auditer ta stack IA avant que la CNIL ne le fasse

La CNIL a publié en 2024 ses recommandations sur l'IA et a lancé en 2025 son service d'accompagnement des systèmes IA. Les contrôles vont monter en puissance entre 2026 et 2028. Les sanctions AI Act peuvent atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites.

Plutôt que d'attendre, fais-toi auditer. Une agence d'automatisation IA sérieuse intègre la conformité dans chaque livrable : registre IA, DPIA, choix d'hébergement, mécanismes de transparence. Si ton prestataire actuel ne sait pas te répondre sur ces points, c'est un signal d'alarme.

Les sanctions concrètes : combien ça coûte vraiment ?

« L'amende n'est jamais le seul coût. Une décision de la CNIL c'est aussi 6 à 18 mois de remédiation, du temps DSI, du temps juridique et un impact réputationnel mesurable. », Cabinet Mathias Avocats, conférence Tech & Droit 2025

Checklist conformité avant de lancer un workflow IA en production

1. Cartographier le flux de données (entrée, traitement, sortie, logs)
2. Identifier la base légale RGPD (consentement, contrat, intérêt légitime)
3. Classer le système selon les 4 niveaux de risque AI Act
4. Réaliser une DPIA si profilage ou données sensibles
5. Choisir un hébergeur EU pour les données identifiantes
6. Activer le no-training et le ZDR chez les fournisseurs LLM
7. Documenter le système dans le registre IA
8. Mettre en place l'information utilisateur (chatbot, contenu généré)
9. Prévoir un mécanisme d'explication des décisions automatisées
10. Former les équipes opérationnelles (article 4 AI Act sur l'AI literacy)

Cette checklist te prend 2 à 4 semaines à dérouler en autonomie sur une stack standard. Avec une agence rodée, compte 1 à 2 semaines. La différence se joue sur l'expérience des templates de documentation et la connaissance des subtilités CNIL.

AI literacy : l'obligation oubliée de l'article 4

L'article 4 de l'AI Act, entré en vigueur le 2 février 2025, impose aux entreprises de garantir un niveau suffisant de maîtrise de l'IA chez leurs collaborateurs qui utilisent ou supervisent des systèmes IA. C'est peu commenté, mais c'est lourd de conséquences.

Tu dois pouvoir prouver que tes équipes commerciales qui utilisent un agent IA, tes RH qui pilotent un outil de tri CV, ou ton support qui supervise un chatbot ont reçu une formation adaptée. Un simple e-learning de 2 heures avec attestation peut suffire pour les usages simples. Pour les systèmes haut risque, c'est plus structuré.

C'est exactement le moment de structurer un plan de montée en compétences. Beaucoup de DRH demandent à ce stade comment intégrer l'IA dans votre entreprise en parallèle des obligations de formation. Les deux sujets se traitent ensemble.

Sous-traitance IA : le contrat type à exiger

Quand tu fais appel à un prestataire pour déployer une IA, le contrat doit couvrir à la fois le RGPD et l'AI Act. Voici les clauses non négociables :

• Accord de traitement des données (DPA) RGPD signé
• Localisation des données précisée et garantie
• Engagement de no-training sur tes données
• Liste des sous-traitants ultérieurs (OpenAI, Anthropic, hébergeur)
• Engagement de fournir le registre IA partiel à ta charge
• Documentation technique nécessaire à ta conformité AI Act
• Mécanisme de notification d'incident sous 72h
• Clause d'audit : tu peux contrôler les engagements pris

Si ton prestataire refuse une de ces clauses, tu prends un risque qui finira par te retomber dessus. Le régulateur ne fait pas la différence entre toi et ton sous-traitant : c'est toi le responsable de traitement.

Conformité = avantage commercial, pas seulement coût

La conformité IA est souvent perçue comme un centre de coûts. C'est une lecture courte. Sur les appels d'offres B2B, banques, assurance, santé, secteur public, la conformité est devenue un critère de sélection éliminatoire. En 2026, ne pas pouvoir présenter ton registre IA et tes DPIA, c'est se faire sortir avant même la short-list.

Les entreprises qui ont pris le sujet au sérieux en 2025 le transforment en argument commercial : "nos workflows IA sont 100% hébergés EU, conformes AI Act, registre disponible sur demande". C'est un signal de maturité qui rassure les directions juridiques en face.

Pour aller plus loin

Les ressources officielles à garder sous le coude : le portail AI Act de la Commission européenne, les recommandations CNIL sur l'IA (mise à jour 2025), le guide DPIA de la CNIL, et les standards C2PA pour le marquage des contenus générés. Côté agences, vérifie que ton prestataire connaît les références AFNOR SPEC 2314 sur l'IA responsable, et qu'il sait te citer au moins 3 articles de l'AI Act sans hésiter.

La conformité IA, c'est un terrain où on apprend en faisant. Plus tu démarres tôt, moins tu paies cher. Et dans un marché où la majorité des concurrents font l'autruche, c'est un différenciateur dur à copier.

Pour aller plus loin

Article 22 RGPD et décisions automatisées: les garanties concrètes à mettre en place

L'article 22 du RGPD interdit par principe les décisions fondées exclusivement sur un traitement automatisé dès lors qu'elles produisent un effet juridique ou un effet significatif similaire sur la personne. Trois exceptions existent: nécessité contractuelle, autorisation légale, ou consentement explicite. Si tu rentres dans l'une d'elles, tu dois quand même déployer des garanties obligatoires.

Les trois garanties non-négociables

• Droit à l'intervention humaine: un être humain doit pouvoir revoir la décision, pas seulement la valider en cliquant "OK" sur l'interface. La CNIL considère qu'une validation purement formelle ne suffit pas.
• Droit d'exprimer son point de vue: la personne concernée doit pouvoir soumettre des éléments avant que la décision ne soit définitive, ou en demander le réexamen après.
• Droit de contester la décision: prévoir un canal clair (formulaire, email dédié, interlocuteur nommé) avec un délai de traitement documenté.

Ce que l'AI Act ajoute sur ce terrain

Pour les systèmes IA à haut risque (annexe III: RH, crédit, éducation, justice), l'AI Act impose en plus une explicabilité de la logique de décision (art. 13). L'articulation pratique: ton registre IA doit mentionner si le système prend des décisions au sens de l'art. 22, et ta DPIA doit évaluer l'effectivité réelle du contrôle humain, pas seulement son existence formelle. Un système qui décide à 95 % sans que l'opérateur ne comprenne le score n'est pas conforme, même si un bouton "révision" existe.

Documente le processus de contestation, teste-le régulièrement, et conserve les logs des décisions réexaminées: ce sont les premières pièces qu'un inspecteur CNIL demandera.

Minimisation des données et limitation des finalités: deux principes RGPD à réinterpréter pour l'IA

Ces deux principes existent depuis 2018, mais leur application aux workflows IA oblige à les relire entièrement.

Minimisation en phase d'entraînement et d'inférence

Si tu fine-tunes un modèle sur des données clients, chaque champ utilisé doit être nécessaire à l'objectif précis du modèle. En pratique, cela signifie: anonymisation ou pseudonymisation avant injection, suppression des champs identifiants non pertinents (numéro de contrat, nom, adresse), et documentation de pourquoi chaque variable a été retenue. Le même raisonnement s'applique au contexte injecté dans un prompt RAG: tu n'envoies pas l'intégralité d'un dossier client si deux champs suffisent.

Limitation des finalités: le piège du modèle généraliste

Une donnée collectée pour la gestion de contrats ne peut pas être réutilisée pour entraîner un modèle de scoring commercial sans base légale distincte. Les LLM généralistes posent ici un problème structurel: leur polyvalence contredit le principe de finalité déterminée. La solution la plus défendable est de cloisonner les modèles par finalité (un modèle pour le support, un pour la finance) plutôt que d'utiliser un assistant unique sur toutes les données de l'entreprise. Ce cloisonnement doit apparaître dans ton registre IA et dans tes DPA avec les sous-traitants.

Cas pratiques sectoriels: RH, crédit, modération

Trois secteurs concentrent l'essentiel des contrôles CNIL et des litiges art. 22 en 2025-2026. Voici ce qui change concrètement pour chacun.

RH et tri automatisé de candidatures

Un outil qui écarte des CV sans intervention humaine réelle entre dans l'annexe III de l'AI Act (système à haut risque) et active l'art. 22 RGPD. Tu dois: informer les candidats de l'utilisation d'un système IA, leur garantir un droit de recours, et documenter les critères de scoring. Utiliser un ATS avec scoring IA sans ces éléments expose à une double sanction RGPD + AI Act.

Octroi automatisé de crédit

C'est le cas d'école de l'art. 22. Si ton modèle de scoring refuse un crédit sans qu'un analyste valide réellement le dossier, tu es hors conformité. L'AI Act renforce l'exigence d'explicabilité: le client a le droit de savoir quelles variables ont pesé dans la décision, pas seulement d'être informé qu'un modèle a été utilisé.

Modération automatisée de contenus

La modération automatisée (suppression de compte, bannissement) produit un effet significatif. Elle exige un recours humain accessible, un délai de traitement raisonnable, et une documentation des taux d'erreur du modèle. Les plateformes soumises au DSA cumulent ici trois corpus réglementaires: RGPD, AI Act, DSA.

Gestion des incidents IA: obligations de notification et articulation avec le RGPD

L'AI Act introduit un régime de notification d'incident distinct de celui du RGPD, et les deux doivent coexister dans ton plan de réponse.

Ce que l'AI Act impose pour les systèmes à haut risque

L'article 73 de l'AI Act oblige les fournisseurs à notifier les incidents graves (préjudice pour des personnes, dysfonctionnement inattendu) aux autorités de surveillance nationales dans les 15 jours suivant la prise de connaissance. Pour les incidents mettant en danger la vie ou la santé, le délai tombe à 2 jours. Si tu es déployeur (pas fournisseur), tu dois notifier le fournisseur immédiatement et, selon la gravité, l'autorité compétente.

Articulation avec la notification de violation RGPD (art. 33)

Un incident IA peut déclencher les deux obligations en parallèle: si le dysfonctionnement d'un modèle entraîne une fuite ou un accès non autorisé à des données personnelles, tu notifies la CNIL sous 72 heures (art. 33 RGPD) et l'autorité de surveillance IA sous 15 jours (art. 73 AI Act). Documente un arbre de décision dans ton plan de réponse aux incidents: la première question est "y a-t-il des données personnelles impliquées?", la deuxième "le système est-il à haut risque au sens de l'AI Act?". Les deux réponses déterminent les délais et les destinataires de ta notification.

Conserve les logs du système sur une durée cohérente avec le cycle de vie du traitement: c'est la base de toute démonstration de conformité post-incident.

Base légale de l'intérêt légitime: son rôle clé dans les workflows IA

Quand tu déploies un workflow IA en interne, tu dois obligatoirement choisir une base légale au sens de l'article 6 du RGPD. En pratique, deux bases reviennent le plus souvent: le consentement et l'intérêt légitime. Le consentement est difficile à tenir sur la durée pour des traitements B2B ou internes. L'intérêt légitime (article 6.1.f) devient donc la base par défaut pour beaucoup d'organisations.

Le problème: c'est aussi la base la plus contestée par la CNIL et les autorités de contrôle, parce qu'elle exige un test de mise en balance documenté. Tu dois démontrer que ton intérêt à automatiser ne l'emporte pas sur les droits et libertés des personnes concernées.

Ce que doit contenir ton test d'intérêt légitime pour un système IA

• La finalité poursuivie: sois précis. "Améliorer nos processus" ne passe pas. "Réduire le délai de traitement des demandes support de 48 h à 4 h via un tri automatisé" passe mieux.
• La nécessité du traitement: pourquoi l'IA et pas un filtre manuel? Documente l'alternative examinée et écartée.
• La mise en balance: quels droits sont affectés? Quelles mesures réduisent l'impact (minimisation, droit d'opposition, intervention humaine)?

L'AI Act ne crée pas de base légale nouvelle, mais il conditionne la légalité du système IA à la conformité RGPD. Un système à haut risque mal fondé juridiquement côté RGPD ne peut pas être mis sur le marché, même s'il satisfait toutes les exigences techniques de l'AI Act. Les deux textes se verrouillent mutuellement.

Concrètement: documente ton test d'intérêt légitime dans ton registre IA, en annexe de la fiche de traitement concernée. La CNIL a publié des lignes directrices sur ce test en 2020 qui restent valables pour les traitements IA.

Rôle du DPO face à l'AI Act: ce qui change dans sa mission

Si ton organisation a déjà un DPO (désigné au titre de l'article 37 du RGPD), il est l'interlocuteur naturel pour piloter la conformité AI Act. Mais sa mission évolue sur plusieurs points concrets.

Nouvelles responsabilités à intégrer dans la feuille de mission DPO

• Cartographie des systèmes IA: le DPO doit recenser tous les systèmes IA utilisés ou déployés, les classer par niveau de risque AI Act, et s'assurer que cette cartographie est tenue à jour. C'est distinct du registre RGPD, même si les deux se croisent.
• Participation aux évaluations de conformité AI Act: pour les systèmes à haut risque, l'article 9 de l'AI Act impose un système de gestion du risque. Le DPO contribue à la partie protection des données, mais un responsable technique doit piloter le reste.
• Interface avec l'autorité de surveillance AI Act: en France, la CNIL a été désignée coordinatrice. Le DPO devient donc le point de contact principal en cas de contrôle.

Une nuance importante: l'AI Act ne désigne pas explicitement le DPO comme responsable de la conformité IA. Si ton organisation n'a pas de DPO (parce qu'elle n'y est pas obligée), tu peux nommer un "AI compliance officer" distinct. Dans les PME, le rôle est souvent absorbé par le responsable juridique ou le DSI.

Ce qu'il faut éviter: laisser la conformité AI Act flotter sans responsable désigné. En cas de contrôle, l'absence de pilotage interne est un facteur aggravant pour la CNIL.

Impact sur les PME et startups: les obligations proportionnées

L'AI Act prévoit explicitement des aménagements pour les PME et les microentreprises (définies selon les critères européens: moins de 250 salariés, chiffre d'affaires sous 50 M€). Ces aménagements ne suppriment pas les obligations, mais en allègent certaines modalités.

Ce que l'AI Act allège pour les petites structures

• Documentation technique simplifiée: les PME peuvent produire une documentation technique allégée pour les systèmes à haut risque, à condition de justifier cette proportionnalité.
• Accès prioritaire aux bacs à sable réglementaires: l'article 57 de l'AI Act oblige les États membres à créer des regulatory sandboxes. Les PME et startups y ont un accès prioritaire pour tester leurs systèmes avant mise sur le marché.
• Tarification réduite pour l'enregistrement: les frais d'enregistrement dans la base de données EU AI Act sont réduits pour les PME.

Ce qui ne change pas: si ton système entre dans une catégorie à haut risque (recrutement automatisé, scoring crédit, accès à l'éducation), les exigences de fond s'appliquent identiquement quelle que soit la taille de la structure. La DPIA reste obligatoire, la transparence aussi, le registre IA également.

Côté RGPD, les obligations sont déjà proportionnées en pratique: une startup qui traite peu de données sensibles aura une charge documentaire bien inférieure à un opérateur de santé. Mais dès que tu déploies un système IA sur des données RH ou financières, la taille de ta structure ne te protège pas d'un contrôle. Anticipe plutôt tôt que subir tard.

Pour aller plus loin

Transfer Impact Assessment: l'étape obligatoire avant tout transfert hors UE

Ton workflow IA appelle OpenAI, Cohere ou un bucket S3 en us-east-1? Chaque requête constitue un transfert de données personnelles vers un pays tiers. Le RGPD (art. 46) exige une garantie appropriée, souvent les Clauses Contractuelles Types (CCT). Mais les CCT seules ne suffisent plus depuis l'arrêt Schrems II: tu dois produire un Transfer Impact Assessment (TIA).

Ce que le TIA doit documenter

• La nature des données transférées: données brutes, pseudonymisées, ou simples métadonnées de session.
• Le cadre légal du pays destinataire: pour les États-Unis, l'existence du Data Privacy Framework (DPF) réduit le risque si le fournisseur est certifié. Vérifie la liste DPF officielle avant de cocher la case.
• Les mesures techniques supplémentaires: chiffrement côté client avant envoi, tokenisation, appels via un proxy EU.
• La conclusion motivée: le transfert est acceptable, acceptable sous conditions, ou à suspendre.

En pratique, un TIA pour un appel API OpenAI tient en deux à trois pages. Le risque de ne pas le faire: la CNIL peut exiger sa production lors d'un contrôle, et son absence aggrave la sanction en cas d'incident. Certains fournisseurs (Mistral, Scaleway AI) proposent des endpoints EU qui suppriment le besoin de TIA: c'est souvent le chemin le plus simple pour les workflows à fort volume de données personnelles.

Mets à jour ton registre des traitements pour mentionner explicitement chaque transfert, le mécanisme de garantie retenu et la date du TIA. Un TIA n'est pas figé: si le fournisseur change ses conditions ou si sa certification DPF expire, tu dois le réviser.

Choisir la bonne base légale pour chaque finalité IA

L'intérêt légitime n'est pas la base légale universelle de l'IA. Chaque finalité d'un workflow automatisé doit être adossée à une base légale RGPD distincte, choisie avant le démarrage du traitement, pas après.

Quelle base pour quel cas d'usage

• Exécution du contrat (art. 6.1.b): scoring de solvabilité pour une offre souscrite en ligne, génération automatique d'un document contractuel. La condition: le traitement doit être objectivement nécessaire, pas juste pratique.
• Intérêt légitime (art. 6.1.f): détection de fraude interne, personnalisation légère, analytics comportemental. Requiert le test en trois branches (finalité légitime, nécessité, balance des intérêts). Documente-le par écrit.
• Consentement (art. 6.1.a): profilage publicitaire, recommandations non essentielles, entraînement fin sur des données utilisateur. Le consentement doit être granulaire par finalité: un seul bouton "j'accepte tout" ne tient pas.
• Obligation légale (art. 6.1.c): reporting réglementaire automatisé (ex. LCB-FT), archivage légal.

Le piège du modèle généraliste

Un LLM utilisé pour dix finalités différentes ne peut pas reposer sur une seule base légale. Tu dois cartographier chaque finalité séparément dans ton registre IA. La CNIL a sanctionné ce point dans plusieurs mises en demeure 2024: la base légale "fourre-tout" est la première chose qu'un contrôleur cherche à déstabiliser.

Méthode rapide: liste tous les outputs de ton workflow (réponse à l'utilisateur, log, donnée d'entraînement, reporting interne). Chaque output distinct est potentiellement une finalité distincte qui réclame sa propre base légale.

Droit à l'effacement quand la donnée est dans les poids du modèle

Un utilisateur exerce son droit à l'effacement (art. 17 RGPD). Problème: ses données ont servi à affiner un modèle interne. Tu ne peux pas "supprimer" une donnée des poids d'un réseau de neurones comme tu le ferais d'une ligne en base SQL.

Les trois réponses possibles selon la CNIL

• Réentraînement sans la donnée: solution idéale, rarement faisable à la demande pour des modèles lourds. Prévoir un cycle de réentraînement régulier qui intègre les suppressions accumulées.
• Machine unlearning: techniques émergentes (SISA training, gradient-based unlearning) qui permettent de "désapprendre" un sous-ensemble de données sans réentraînement complet. La CNIL les reconnaît comme mesure technique acceptable si leur efficacité est documentée.
• Anonymisation préalable à l'entraînement: si la donnée utilisée pour l'entraînement est réellement anonymisée (test de Schwartz: risque de ré-identification inférieur à un seuil documenté), le RGPD ne s'applique plus à cette copie. C'est la voie préventive la plus robuste.

Dans ta procédure de réponse aux droits, ajoute une ligne spécifique "données utilisées en entraînement" avec le mécanisme retenu et le délai de traitement. Sans cette clause, ta procédure générale est incomplète et le risque juridique reste ouvert.

Qui est responsable en cas d'incident IA: fournisseur, déployeur ou sous-traitant?

L'AI Act introduit deux qualifications clés: le fournisseur (celui qui développe ou met sur le marché le système IA) et le déployeur (celui qui l'utilise dans un contexte professionnel). Ces qualifications ne se superposent pas automatiquement aux catégories RGPD de responsable de traitement et sous-traitant.

La matrice à connaître

• Tu utilises un SaaS IA clé en main (ex. ChatGPT Enterprise, Copilot): tu es déployeur AI Act et responsable de traitement RGPD. Le fournisseur est ton sous-traitant au sens RGPD, mais il reste fournisseur AI Act avec ses propres obligations de documentation.
• Tu développes ton propre modèle sur des données internes: tu cumules les deux qualifications (fournisseur + responsable de traitement). Les obligations sont maximales.
• Tu intègres une API dans ton produit vendu à des clients: tu es fournisseur AI Act vis-à-vis de tes clients, et responsable de traitement pour les données que tu traites toi-même. Ton client devient déployeur.

Qui paie en cas d'incident

En cas d'incident de sécurité sur des données personnelles traitées par un système IA, c'est le responsable de traitement qui notifie la CNIL sous 72 heures (art. 33 RGPD), même si la faille vient du fournisseur. Ton contrat de sous-traitance (art. 28) doit prévoir une clause d'alerte immédiate du fournisseur vers toi. Sans elle, tu découvres l'incident après le délai légal et la sanction est quasi automatique.

L'AI Act ajoute une obligation de notification aux autorités de surveillance pour les incidents graves sur les systèmes à haut risque (art. 73). Cette notification est distincte de la notification RGPD et peut avoir un délai différent: anticipe les deux flux dans ta procédure de gestion de crise.

Questions fréquentes

Quelle est la différence entre le RGPD et l'AI Act pour l'automatisation IA ?

Le RGPD protège les données personnelles depuis 2018, l'AI Act régule les systèmes d'IA selon leur risque depuis 2024-2027. Les deux s'appliquent en parallèle dès qu'un workflow IA touche à des données identifiables. Le RGPD demande une DPIA, l'AI Act demande un registre IA et de la transparence algorithmique.

Est-ce qu'il faut héberger ses workflows IA en Europe pour être conforme ?

Pas obligatoirement, mais c'est fortement recommandé pour les données sensibles. Scaleway, OVHcloud et Outscale proposent des modèles IA hébergés en France. OpenAI et Anthropic offrent une option EU Data Residency via Azure ou AWS Bedrock Paris. Le combo idéal : Mistral ou Llama sur Scaleway pour les données identifiantes.

Quand une DPIA est-elle obligatoire pour un projet IA ?

Une DPIA est obligatoire dès qu'il y a profilage automatisé avec effets juridiques, traitement de données sensibles à grande échelle, surveillance systématique d'une zone publique, ou utilisation d'une technologie innovante comme l'IA générative. Compte 3 à 5 jours de travail pour la rédiger avec l'outil PIA de la CNIL.

Quelles sont les sanctions en cas de non-conformité à l'AI Act ?

Les sanctions vont jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques IA interdites, 15 millions ou 3% pour le non-respect des obligations haut risque, et 7,5 millions ou 1,5% pour des informations fausses aux autorités. Ces sanctions s'ajoutent à celles du RGPD.

C'est quoi le registre IA et qui doit le tenir ?

Le registre IA est l'équivalent du registre des traitements RGPD appliqué aux systèmes d'IA. Il documente chaque IA déployée : finalité, niveau de risque, fournisseur du modèle, données traitées, mesures de transparence. Toute entreprise qui déploie de l'IA en interne ou pour ses clients doit le tenir, généralement sous la responsabilité du DPO.

Comment se mettre en conformité quand on utilise ChatGPT ou Claude en entreprise ?

Active l'option no-training pour que tes données ne servent pas à entraîner les modèles publics, utilise les versions Enterprise ou Team qui offrent une meilleure résidence des données, documente le sous-traitant dans ton registre IA, et signe le DPA proposé par OpenAI ou Anthropic. Évite d'envoyer des données sensibles (santé, opinions, biométrie).

L'AI literacy de l'article 4 AI Act, c'est quoi exactement ?

L'article 4 de l'AI Act, en vigueur depuis février 2025, oblige les entreprises à garantir que leurs collaborateurs qui utilisent ou supervisent des IA aient un niveau suffisant de maîtrise. Concrètement, il faut former les équipes commerciales, RH, support qui manipulent des systèmes IA, et conserver les attestations de formation.

Quel hébergeur EU choisir pour un workflow n8n + LLM conforme ?

Pour une stack standard : Scaleway pour l'inference Mistral ou Llama, Supabase EU ou Postgres managé Scaleway pour la base, et n8n auto-hébergé sur Clever Cloud ou Scaleway. Cette architecture garde toutes les données en France et reste facilement défendable en audit CNIL.

Comment expliquer une décision prise par un système IA à un utilisateur qui la conteste ?

Tu dois pouvoir donner la logique générale, pas le code source. Indique les critères principaux pris en compte, leur poids relatif, et le résultat obtenu. Intègre dès la conception une étape de logging qui enregistre les critères ayant déclenché la décision pour chaque cas individuel. C'est l'article 22 RGPD croisé avec l'article 86 AI Act.