IA et obligations : RGPD et règlement européen sur l'IA (AI Act), ce qu'une PME doit savoir

Deux textes complémentaires

Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689 souvent appelé AI Act, encadre les systèmes d'IA selon le niveau de risque qu'ils présentent. Il ne remplace pas le RGPD : selon la CNIL, il vise à en compléter les exigences, et le RGPD continue de s'appliquer à tout traitement de données personnelles, lors du développement comme du déploiement d'un système d'IA.

Le règlement distingue notamment deux rôles. Le fournisseur développe un système d'IA et le met sur le marché. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Une PME qui utilise un assistant d'IA du commerce, ou un chatbot fourni par un prestataire, est en général déployeur.

Un calendrier révisé en juillet 2026

Le règlement s'applique par étapes. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA », publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a reporté plusieurs échéances, en particulier pour les systèmes à haut risque. Voici le calendrier tel que le présente la CNIL dans sa page mise à jour le 17 août 2026 :

L'obligation de maîtrise de l'IA (article 4), décrite ci-dessous, figure parmi les premières dispositions applicables du règlement.

Ce qui concerne le plus souvent une PME

1. La maîtrise de l'IA par votre personnel

L'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel, en tenant compte de leurs connaissances, de leur expérience et du contexte d'utilisation. Dans sa rédaction issue de l'omnibus de juillet 2026, le texte n'impose pas un niveau précis de maîtrise à chaque personne. Il prévoit aussi que la Commission et les États membres soutiennent ces efforts, notamment ceux des PME.

Pour une petite structure, une règle d'usage écrite, une courte sensibilisation aux limites des outils et aux données à ne pas saisir, et une personne référente sont des premières mesures concrètes et proportionnées.

2. La transparence, depuis le 2 août 2026

L'article 50 prévoit plusieurs obligations de transparence :

• les fournisseurs de systèmes destinés à interagir directement avec des personnes, comme un chatbot, doivent les concevoir de façon que ces personnes sachent qu'elles échangent avec une IA, sauf si c'est évident pour une personne normalement informée et attentive ;
• les fournisseurs de systèmes qui génèrent du texte, des images, du son ou de la vidéo doivent marquer ces contenus dans un format lisible par machine ;
• les déployeurs qui diffusent un hypertrucage, c'est-à-dire une image, un son ou une vidéo générés ou manipulés par IA, doivent indiquer que le contenu a été généré ou manipulé artificiellement ;
• les déployeurs qui publient un texte généré par IA pour informer le public sur des questions d'intérêt public doivent le signaler, sauf si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial et qu'une personne en assume la responsabilité éditoriale.

Pour une PME, le cas le plus fréquent est le chatbot sur un site. Même lorsque l'obligation pèse d'abord sur le fournisseur de l'outil, l'annoncer clairement (« Assistant virtuel », « Réponses générées par une IA ») est une bonne pratique simple. Signalez de même les visuels réalistes créés par IA dans vos communications.

3. Les usages à haut risque

Certains usages sont classés à haut risque et soumis à des obligations nettement plus lourdes. L'annexe III du règlement vise par exemple l'emploi et le recrutement, l'accès à certains services essentiels comme le crédit, ou l'éducation. Si vous envisagez un outil qui trie des candidatures ou évalue des salariés, renseignez-vous avant de l'adopter : ces règles s'appliqueront à partir du 2 décembre 2027. Les usages courants d'une petite entreprise, comme la rédaction, le résumé ou la recherche documentaire, ne figurent pas dans cette liste.

Le RGPD reste la base

Dès qu'un outil d'IA traite des données personnelles (le message d'un client, un CV, une fiche d'intervention), le RGPD s'applique comme pour tout autre traitement :

• finalité et minimisation : n'utilisez que les données nécessaires à un objectif défini ;
• information des personnes : vos clients et vos salariés doivent savoir comment leurs données sont utilisées, y compris par les prestataires qui les traitent pour vous ;
• contrat avec le prestataire : un fournisseur qui traite des données pour votre compte agit comme sous-traitant et doit s'engager par contrat, notamment sur la sécurité et la réutilisation des données ;
• hébergement et transferts : vérifiez où les données sont hébergées et, si elles quittent l'Union européenne, sur quel fondement ;
• décisions automatisées : le RGPD encadre strictement les décisions entièrement automatisées qui produisent des effets juridiques ou significatifs pour une personne. Gardez une intervention humaine.

Pour le déploiement d'une IA générative, la CNIL recommande en outre de partir d'un besoin identifié, d'encadrer les usages autorisés et interdits, de choisir un mode de déploiement sécurisé, de former et sensibiliser les utilisateurs, et de mettre en place une gouvernance adaptée.

Votre plan d'action en six points

1. Faites l'inventaire des outils d'IA utilisés dans l'entreprise, y compris ceux adoptés spontanément par l'équipe.
2. Identifiez votre rôle pour chacun : déployeur dans la plupart des cas, fournisseur si vous développez un outil que vous proposez à d'autres.
3. Repérez les données personnelles qui passent par ces outils, et relisez les conditions d'utilisation et les contrats.
4. Rédigez une règle d'usage et organisez une courte formation : c'est le socle de la maîtrise de l'IA.
5. Soyez transparent : chatbot identifié comme tel, contenus réalistes générés par IA signalés.
6. Suivez le calendrier, surtout si vous envisagez un usage à haut risque, et consultez régulièrement les pages de la CNIL.