Le règlement européen sur l'intelligence artificielle (AI Act) encadre désormais la conception et l'utilisation des systèmes d'IA. Mais le premier risque n'est pas réglementaire : il est dans les données que vos équipes confient chaque jour à des outils que personne n'a validés. Nous sécurisons d'abord vos usages réels, puis nous bâtissons la gouvernance qui va avec, sans freiner l'innovation.
L'AI Act s'applique à toute la chaîne de valeur. La plupart des organisations sont concernées en tant qu'utilisatrices (« déployeurs » dans le texte) d'outils d'IA achetés sur le marché.
Assistant d'IA générative, tri de candidatures, chatbot client, analyse de documents… Vous utilisez un système d'IA dans le cadre de vos activités professionnelles.
Vous développez un système d'IA, ou le faites développer, et le mettez sur le marché ou en service sous votre nom ou votre marque.
Le règlement vient plus bas. Le risque, lui, est déjà là : vos équipes utilisent l'IA aujourd'hui, le plus souvent avec des outils que personne n'a validés. Avant de classer vos systèmes, il faut savoir ce qui sort de chez vous, et par où.
Des collaborateurs qui copient des documents confidentiels ou des données clients dans des outils d'IA non validés : un risque majeur de fuite, souvent invisible.
Base légale, minimisation, information des personnes, transferts hors UE : le RGPD s'applique pleinement aux projets d'IA, souvent avec une analyse d'impact.
Injection de prompt, empoisonnement des données, exfiltration via les réponses, dépendance aux fournisseurs : de nouvelles surfaces d'attaque à intégrer à votre analyse de risques.
Un assistant branché sur vos documents hérite de vos droits d'accès : s'ils sont trop larges, il le devient aussi. Un audit d'infrastructure montre ce que vos outils d'IA peuvent réellement atteindre, et un test applicatif ce qu'on peut leur faire dire.
C'est la question que posent vos équipes, et la seule à laquelle une politique doit répondre clairement. Interdire ne fonctionne pas : les outils sont dans le navigateur et dans le téléphone. Une règle lisible, elle, se respecte.
Documentation publiée, contenus marketing, textes réglementaires, code open source. Reformuler, résumer, traduire : aucun risque de divulgation, et c'est là que le gain de temps est le plus net.
Comptes rendus, procédures, supports de formation, brouillons. Autorisé sur les outils validés par l'entreprise, avec un compte professionnel et l'entraînement sur vos données désactivé — pas sur un compte personnel gratuit.
Données personnelles de clients, de patients ou de salariés, données de santé, pièces d'un dossier RH ou contentieux, identifiants, clés, code source sensible, documents couverts par un accord de confidentialité, secrets industriels.
Un assistant branché sur vos fichiers hérite de vos droits d'accès. S'ils sont trop larges — et ils le sont presque toujours — il devient le moyen le plus rapide de trouver ce qui n'aurait jamais dû être partagé : un tableau de salaires, un dossier de rachat, un export clients oublié dans un espace commun. Avant de déployer ce type d'outil, un audit des droits d'accès coûte moins cher que l'incident qu'il évite.
Les obligations dépendent de l'usage qui est fait du système d'IA, et non de la technologie elle-même. Un même outil peut relever de niveaux différents selon le contexte.
Interdites depuis le 2 février 2025.
Gestion des risques, qualité des données, documentation, contrôle humain, journalisation.
Les personnes doivent savoir quand elles ont affaire à l'IA.
La grande majorité des usages courants.
Modèles d'IA à usage général. Les fournisseurs de modèles d'IA à usage général (comme les grands modèles de langage) ont leurs propres obligations depuis août 2025 : documentation technique, politique de respect du droit d'auteur, résumé des données d'entraînement.
Entré en vigueur le 1er août 2024, le règlement s'applique par étapes. Les premières obligations concernent déjà toutes les organisations qui utilisent l'IA.
Les pratiques à risque inacceptable sont interdites et l'obligation de maîtrise de l'IA (formation) s'applique.
Obligations des fournisseurs de modèles d'IA à usage général ; gouvernance et régime de sanctions en place.
Application de la majorité des dispositions, dont la transparence et les systèmes à haut risque listés à l'annexe III.
Exigences pour les systèmes d'IA à haut risque intégrés à des produits réglementés (dispositifs médicaux, machines…).
Le calendrier des obligations relatives aux systèmes à haut risque fait l'objet de discussions de report au niveau européen. Nous suivons l'évolution des textes : vérifions ensemble les échéances applicables à votre situation.
Nous partons de vos usages réels pour définir un cadre simple, qui sécurise l'IA sans bloquer vos équipes.
Inventaire des systèmes et outils d'IA utilisés ou en projet, y compris les usages non déclarés.
Qualification de votre rôle (fournisseur, déployeur) et du niveau de risque de chaque système.
Politique IA, charte d'utilisation pour les collaborateurs, circuit de validation des nouveaux outils.
Analyses d'impact, bases légales, information des personnes, encadrement des fournisseurs d'IA.
Programmes adaptés aux dirigeants, aux métiers et aux équipes techniques, pour répondre à l'article 4.
Système de management de l'IA, intégrable à votre SMSI ISO 27001, et préparation à la certification.
Un outil d'IA est un sous-traitant comme un autre dès qu'il traite vos données : l'article 28 du RGPD vous impose de vous en assurer. Ces six questions suffisent à trier, et leurs réponses doivent figurer au contrat, pas dans une page commerciale.
La réponse doit être non par défaut sur une offre professionnelle, et être écrite. Attention aux formulations qui réservent le droit d'utiliser les contenus pour « améliorer le service » : c'est la même chose, dite autrement.
Pays d'hébergement, durée de conservation des échanges, possibilité de les désactiver. Hors Union européenne, il faut un mécanisme de transfert valable, et savoir lequel.
Rares sont les fournisseurs qui exploitent leur propre modèle de bout en bout. La liste des sous-traitants ultérieurs doit être accessible, et vous devez être informé de ses changements.
Récupération de l'historique, suppression effective des données, délai et preuve. Un outil dans lequel deux ans de conversations métier sont enfermés devient difficile à quitter, quel qu'en soit le prix.
Journaux des accès et des usages, exportables. Sans eux, vous ne pouvez ni enquêter après un incident, ni démontrer quoi que ce soit à un auditeur, ni mesurer l'usage réel.
Fournisseur d'un système, d'un modèle à usage général, simple intégrateur ? La réponse détermine qui porte quelles obligations, et ce que vous devrez assumer vous-même en tant que déployeur.
Oui, en tant que déployeur. Vous devez au minimum assurer la maîtrise de l'IA de vos équipes, encadrer les usages (quelles données peuvent être partagées, avec quels outils) et respecter le RGPD. Si l'outil sert à un usage à haut risque, comme le tri de candidatures, les obligations sont renforcées.
L'article 4 de l'AI Act impose aux fournisseurs et aux déployeurs de prendre des mesures pour garantir un niveau suffisant de maîtrise de l'IA à leur personnel et aux personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d'utilisation. Concrètement : des formations adaptées à chaque public, et documentées.
Non, les deux textes se cumulent. Dès qu'un système d'IA traite des données personnelles, pour son entraînement comme pour son utilisation, le RGPD s'applique pleinement. Les deux démarches gagnent à être menées ensemble.
C'est la norme certifiable de management de l'IA : politique, rôles, appréciation des risques et des impacts, maîtrise du cycle de vie des systèmes. Elle partage sa structure avec l'ISO 27001, ce qui facilite l'intégration. Elle démontre une démarche structurée et responsable, sans valoir à elle seule conformité à l'AI Act.
Vous pouvez l'écrire, mais cela ne produit pas l'effet attendu. Les outils sont accessibles depuis n'importe quel navigateur et n'importe quel téléphone personnel : une interdiction générale ne supprime pas l'usage, elle le rend invisible. C'est ce qu'on appelle l'IA fantôme, et c'est la pire configuration : les données sortent quand même, sans aucune règle ni aucune trace. Mieux vaut autoriser explicitement un ou deux outils, dire ce qu'on peut y mettre, et prévoir un circuit simple pour en demander un autre.
Cela dépend entièrement de l'offre souscrite. Sur les versions gratuites et grand public, les contenus sont fréquemment réutilisés pour améliorer le service, parfois avec une option de retrait qu'il faut activer soi-même. Sur les offres professionnelles et les versions hébergées, l'absence d'entraînement est généralement contractuelle. C'est le premier point à vérifier, et il justifie à lui seul de fournir des comptes professionnels à vos équipes plutôt que de les laisser utiliser les leurs.
Souvent, oui. Dès qu'un système d'IA traite des données personnelles à grande échelle, évalue des personnes ou automatise une décision les concernant, les critères de l'analyse d'impact du RGPD sont généralement réunis. Le tri de candidatures et l'évaluation des salariés relèvent en outre du haut risque au sens de l'AI Act, ce qui ajoute des obligations propres. Dans les deux cas, l'analyse se mène avant la mise en service, pas après.
Vous. Vis-à-vis de votre client, de votre salarié ou de l'autorité, c'est votre décision qui engage, quel que soit l'outil qui l'a préparée. L'AI Act en tire la conséquence en imposant un contrôle humain effectif sur les usages à haut risque : une personne identifiée, formée, qui peut comprendre la proposition et s'en écarter. En pratique, cela se traduit par une règle simple à écrire dans votre charte : aucune décision produisant un effet sur une personne n'est prise sans relecture humaine.
Cartographie, classification et plan d'action pour utiliser l'IA en confiance.
