AI Act et RGPD : obligations de l'IA en entreprise

L'AI Act en deux mots : quatre niveaux de risque

Le règlement européen sur l'intelligence artificielle, dit AI Act, est entré en vigueur le 1er août 2024. Il s'applique par étapes jusqu'en 2027. Son principe est simple : plus un usage de l'IA présente de risques pour les personnes, plus les obligations sont lourdes.

La loi distingue quatre catégories. Le risque inacceptable est interdit : notation sociale des citoyens, manipulation des comportements, reconnaissance des émotions au travail. Le haut risque concerne le tri de CV, le scoring de crédit ou l'évaluation des salariés : obligations strictes de documentation, de supervision humaine et de qualité des données. Le risque limité impose la transparence : un chatbot doit se présenter comme une IA. Le risque minimal couvre tout le reste, sans obligation particulière.

Bonne nouvelle pour votre PME : la grande majorité des usages courants, tri d'e-mails, aide à la rédaction, extraction de données de factures, relève du risque minimal ou limité. Mais dès que l'IA touche au recrutement ou à la solvabilité, vous changez de catégorie, et d'exigences.

Quelles obligations concrètes pour votre PME ?

Première obligation, la transparence : si vos clients dialoguent avec un chatbot, ils doivent savoir qu'il s'agit d'une IA. Les contenus générés artificiellement, images ou voix, doivent être signalés comme tels quand ils peuvent induire en erreur. Ces règles s'appliquent à partir d'août 2026, autant dire maintenant.

Deuxième obligation, souvent ignorée : la « maîtrise de l'IA ». Depuis février 2025, les entreprises doivent s'assurer que les équipes qui utilisent des systèmes d'IA sont formées à leurs limites et à leurs risques. Cela commence par une cartographie honnête des usages, y compris le « shadow AI » : le salarié qui colle un fichier client dans un chatbot grand public sans en parler à personne.

Les sanctions maximales montent à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Elles restent proportionnées à la taille de l'entreprise, mais le message est clair : le sujet ne s'improvise pas.

RGPD et IA : vos données clients restent encadrées

L'AI Act ne remplace pas le RGPD : les deux s'additionnent. Dès qu'un prompt contient un nom, un e-mail ou un historique d'achat, vous traitez des données personnelles. Les règles habituelles s'appliquent : base légale, information des personnes, durée de conservation, registre des traitements.

Pour les usages sensibles, une analyse d'impact (AIPD) peut être requise. La CNIL publie des recommandations dédiées à l'IA, utiles pour cadrer un projet. Point de vigilance : les transferts hors Union européenne. Vérifiez où votre fournisseur héberge et traite les données ; plusieurs proposent désormais un traitement localisé dans l'UE.

Le DPA avec votre fournisseur d'API : le réflexe numéro un

Quand votre logiciel appelle une API d'IA. OpenAI, Anthropic, Google, ce fournisseur devient un sous-traitant au sens du RGPD. Vous devez donc signer avec lui un DPA, l'accord de traitement des données, exactement comme avec votre hébergeur ou votre outil d'e-mailing.

Les grands fournisseurs en proposent un en standard pour leurs offres API : engagement de ne pas entraîner leurs modèles sur vos données, durées de rétention définies, mesures de sécurité décrites. Il faut l'accepter, le conserver et le mentionner dans votre registre. Attention à la nuance : les versions grand public gratuites de ces outils n'offrent pas les mêmes garanties que les API professionnelles. C'est souvent là que le bât blesse.

Minimisation et anonymisation : les bons réflexes techniques

La minimisation est le principe le plus rentable : n'envoyer à l'API que les champs strictement nécessaires. Pour classer une demande client, le modèle n'a pas besoin du numéro de téléphone ni de l'adresse postale. Chaque champ en moins est un risque en moins.

La pseudonymisation va plus loin : remplacer les noms et les e-mails par des jetons avant l'appel, puis les réinjecter dans la réponse. Le fournisseur ne voit jamais l'identité réelle. Pour les jeux de test et de démonstration, on travaille sur des données anonymisées ou fictives.

Ajoutez une journalisation des appels et une supervision humaine sur les décisions importantes : le RGPD encadre strictement les décisions entièrement automatisées qui produisent un effet juridique sur une personne.

Combien coûte la mise en conformité IA ?

Intégrée dès la conception, la conformité coûte peu : quelques jours d'architecture et de développement dans le budget global du projet. C'est le rattrapage après coup qui revient cher. À titre de repère marché, une automatisation IA bien conçue démarre autour de 1 500 €, et un logiciel métier intégrant l'IA se situe entre 5 000 et 60 000 € et plus selon le périmètre, les garde-fous décrits ici s'intègrent dans ce budget, pas en supplément.

Prévoyez en revanche un budget distinct pour la validation juridique : mentions d'information, DPA, registre des traitements. Nous ne délivrons pas de conseil juridique, nous préparons la documentation technique et les choix d'architecture, qu'un avocat valide ensuite. Pour un projet standard, quelques heures de conseil suffisent souvent.

Comment un projet IA bien conçu respecte tout ça ?

La conformité ne se rajoute pas à la fin, elle se dessine au départ. Concrètement : cartographier les données qui transitent, choisir un fournisseur avec DPA et hébergement européen si nécessaire, coder la minimisation et la pseudonymisation directement dans l'application, journaliser les appels, garder un humain dans la boucle.

Exemple type : un cabinet de gestion d'Eaubonne qui automatise le tri de ses courriers clients. L'outil pseudonymise les noms avant chaque appel à l'API, ne transmet que le texte utile, conserve les journaux et affiche à l'écran que la proposition de classement vient d'une IA, modifiable en un clic. Résultat : un vrai gain de temps, une solution réversible, sans verrouillage éditeur, et vos données vous appartiennent.

C'est exactement notre façon de travailler chez ZFX AllTech : l'IA utile, avec les garde-fous intégrés dès la première ligne d'architecture. Vous avez un projet IA et vous voulez qu'il démarre proprement ? Écrivez-nous : le devis est gratuit et nous répondons sous 24 heures.