IA Act et RGPD :
ce que ton entreprise
doit savoir en 2026

Depuis le 2 février 2025, les premières obligations de l'IA Act européen (règlement UE 2024/1689) s'appliquent. Le 2 août 2026, ce sera au tour des obligations sur les IA à haut risque et la gouvernance IA en entreprise. Beaucoup d'entreprises françaises découvrent ces règles, et découvrent surtout qu'elles s'articulent avec le RGPD, pas en remplacement. Voici ce que tu dois vraiment savoir pour rester conforme sans paralyser tes projets IA.

En résumé : l'IA Act et le RGPD sont deux règlements européens complémentaires : le RGPD protège les données personnelles, l'IA Act encadre les systèmes d'IA selon 4 niveaux de risque (inacceptable, élevé, limité, minimal). L'obligation de formation (« AI literacy ») s'applique déjà depuis février 2025 ; l'échéance majeure pour les IA à haut risque est le 2 août 2026. La quasi-totalité des PME sont des déployeurs (elles utilisent des outils d'IA sans les concevoir) et relèvent d'obligations allégées. Les sanctions montent jusqu'à 35 M€ ou 7 % du CA mondial.

IA Act et RGPD : deux règlements, un même objectif

L'IA Act et le RGPD sont deux règlements européens complémentaires : ils ne se concurrencent pas, ils se cumulent. Le RGPD (Règlement général sur la protection des données, applicable depuis 2018) protège les données personnelles : comment on les collecte, traite, conserve, transmet. L'IA Act est le règlement européen sur l'intelligence artificielle, entré en vigueur en août 2024 ; il encadre les systèmes d'IA eux-mêmes : leur niveau de risque, leur transparence, leur contrôle humain.

• RGPD (2018) : protège les données personnelles : comment on les collecte, traite, conserve, transmet.
• IA Act (entré en vigueur en août 2024, obligations déployées en 3 phases jusqu'en 2027) : encadre les systèmes d'IA eux-mêmes : leur niveau de risque, leur transparence, leur contrôle humain.

En pratique : si ton IA traite de la donnée personnelle (ce qui est presque toujours le cas), les deux règlements s'appliquent en même temps, pas l'un ou l'autre.

Règle mnémotechnique : le RGPD te dit ce que tu as le droit de faire avec les données. L'IA Act te dit ce que tu as le droit de faire avec les systèmes qui les traitent.

Es-tu fournisseur ou déployeur ?

La quasi-totalité des PME sont des déployeurs, pas des fournisseurs, et leurs obligations sont nettement allégées. L'IA Act distingue deux rôles, et le tien détermine ce que tu dois faire.

• Fournisseur : tu conçois ou développes un système d'IA et le mets sur le marché sous ton nom (un éditeur de logiciel, une équipe qui entraîne et commercialise son propre modèle). C'est lui qui porte le gros des obligations de documentation et d'évaluation de conformité.
• Déployeur : tu utilises sous ta propre autorité un système d'IA conçu par un tiers (ChatGPT, un module IA de ton CRM, un outil de tri de candidatures). Définition reprise du règlement, à l'exclusion d'un usage personnel non professionnel.

Concrètement, si tu achètes et fais tourner des outils d'IA sans les fabriquer, tu es déployeur. Tes obligations principales : utiliser le système conformément à sa notice, garder une supervision humaine sur les usages à haut risque, et informer tes salariés concernés. Tu ne récupères les obligations lourdes d'un fournisseur que si tu modifies substantiellement un système ou le rebadges sous ta marque.

Quels sont les 4 niveaux de risque de l'IA Act ?

L'IA Act classe tous les systèmes d'IA en 4 niveaux de risque : inacceptable (interdit), élevé (obligations strictes), limité (transparence) et minimal (pas d'obligation). Identifier la catégorie de ton système est la première étape.

1. Risque inacceptable (interdit)

Interdit en Europe depuis février 2025. Inclut : notation sociale généralisée, identification biométrique en temps réel dans l'espace public (sauf exceptions), manipulation comportementale subliminale, reconnaissance d'émotion sur le lieu de travail ou en milieu scolaire.

2. Risque élevé (obligations strictes)

C'est la catégorie qui concerne le plus d'entreprises. Sont classés à haut risque :

• Systèmes de recrutement et tri de CV
• Évaluation de performance et promotion
• Octroi de crédit
• Gestion d'infrastructures critiques (énergie, transport, santé)
• Éducation (examens, accès à l'enseignement)
• Justice et forces de l'ordre

Obligations : documentation technique complète, système de gestion des risques, supervision humaine obligatoire, qualité des données, robustesse, cybersécurité, transparence vers les personnes concernées, enregistrement dans la base européenne.

3. Risque limité (transparence)

Chatbots, générateurs de contenu, systèmes d'IA conversationnels « grand public ». Obligation principale : indiquer à l'utilisateur qu'il interagit avec une IA (ou que le contenu a été généré / manipulé par IA). Pour bien choisir tes outils et comprendre leurs garanties de confidentialité, consulte notre comparatif des LLM.

4. Risque minimal (pas d'obligation)

Filtres anti-spam, recommandation de produits, jeux vidéo. Aucune obligation au titre de l'IA Act, mais le RGPD s'applique toujours si des données personnelles sont traitées.

Quel est le calendrier d'application de l'IA Act (2025-2027) ?

L'IA Act s'applique par phases : interdictions et formation IA depuis le 2 février 2025, obligations sur les modèles de fondation généraux au 2 août 2025, IA à haut risque « autonomes » au 2 août 2026 (l'échéance majeure pour les entreprises), et IA à haut risque intégrées à des produits régulés au 2 août 2027.

• 2 février 2025 : interdiction des IA à risque inacceptable + obligations de formation IA (« AI literacy ») pour les entreprises qui développent ou déploient de l'IA.
• 2 août 2025 : obligations sur les modèles de fondation généraux (GPAI, pour OpenAI, Anthropic, Google, etc.).
• 2 août 2026 : entrée en vigueur générale des obligations sur les IA à haut risque « autonomes ». C'est l'échéance majeure pour les entreprises.
• 2 août 2027 : dernière phase, couvrant les IA à haut risque intégrées à des produits régulés (dispositifs médicaux, jouets, véhicules…).

Ce que la plupart des entreprises oublient

Trois obligations passent souvent sous le radar et sont pourtant déjà actionnables : l'obligation de formation IA (« AI literacy »), la classification des systèmes d'IA utilisés et la supervision humaine systématique pour les IA à haut risque.

L'obligation de formation (déjà en vigueur)

L'AI literacy désigne la maîtrise de l'IA imposée par l'article 4 de l'IA Act : depuis février 2025, toute entreprise qui utilise de l'IA doit s'assurer que ses collaborateurs concernés ont un niveau suffisant de maîtrise IA. Cette obligation vaut aussi pour les déployeurs. Au-delà du plan de formation symbolique, il faut pouvoir démontrer que les utilisateurs comprennent comment l'IA fonctionne, quelles sont ses limites, et comment garder le contrôle.

En pratique : un plan de formation documenté, des supports datés, des attestations de suivi. C'est exactement ce que nos formations parcours IA PRO et IA Vente, certifiées Qualiopi, permettent de mettre en place de manière conforme.

La classification des systèmes d'IA utilisés

Tu dois savoir quels systèmes d'IA sont utilisés dans ton entreprise, leur niveau de risque, et qui en est responsable. Un registre des IA, tenu à jour, devient l'équivalent de ton registre RGPD. Si tu n'as pas commencé, c'est le premier chantier à lancer.

À quoi ressemble ce registre ? Une ligne par système, avec les colonnes utiles pour croiser IA Act et RGPD :

Les niveaux de risque et bases légales ci-dessus sont indicatifs : à chaque entreprise de qualifier ses propres usages, au cas par cas.

La supervision humaine systématique

Pour les IA à haut risque, l'article 14 impose une supervision humaine effective : les utilisateurs doivent comprendre le système, pouvoir intervenir, pouvoir désactiver, pouvoir contester les sorties. Un humain dans la boucle, pas seulement dans la documentation.

Quelles sont les sanctions de l'IA Act ?

Les sanctions de l'IA Act sont massives et dépassent celles du RGPD : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les violations d'obligations, et 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités.

• Jusqu'à 35 M€ ou 7 % du CA mondial pour les pratiques interdites.
• Jusqu'à 15 M€ ou 3 % du CA mondial pour les violations d'obligations (haut risque, transparence).
• Jusqu'à 7,5 M€ ou 1 % du CA mondial pour fourniture d'informations inexactes aux autorités.

À titre de comparaison, les sanctions RGPD plafonnent à 4 % du CA. L'IA Act pique plus fort. À noter : les plafonds les plus élevés visent surtout les pratiques interdites et les manquements des fournisseurs, pas l'usage quotidien d'un outil par un déployeur de bonne foi.

Comment se mettre en conformité avec l'IA Act ? Le plan en 6 étapes

Pour se mettre en conformité, une entreprise suit 6 étapes : cartographier ses systèmes d'IA, les classifier dans un registre, former les équipes, structurer une gouvernance, mettre en conformité technique les systèmes à haut risque, puis revoir le tout régulièrement.

Étape 1 · Cartographie (2-4 semaines)

Recense tous les systèmes d'IA utilisés : abonnements ChatGPT, agents internes, outils SaaS qui embarquent de l'IA (HubSpot, Salesforce, Notion), intégrations sur-mesure. Sur le terrain, le recensement passe presque toujours à côté des fonctions IA noyées dans des outils déjà en place : la fonction IA de Notion, les résumés de réunion de Teams ou Meet, les assistants des CRM. Ce ne sont pas des « projets IA », donc personne ne pense à les déclarer.

Étape 2 · Classification (2 semaines)

Pour chacun, identifie : niveau de risque IA Act, type de données traitées, base légale RGPD, fournisseur, responsable interne. C'est ce qui alimente ton registre IA (voir le modèle de tableau plus haut).

Étape 3 · Formation (en continu)

Mets en place un plan de formation IA pour les équipes utilisatrices. Attention : la sensibilisation d'une heure ne suffit pas. Il faut du concret, adapté aux cas d'usage métier, avec des supports et des attestations.

Étape 4 · Gouvernance (1-2 mois)

Désigne un référent IA (souvent DPO — délégué à la protection des données — avec DSI et juridique en comité). Formalise une charte d'usage, un process de validation des nouveaux outils, un canal de remontée des incidents.

Étape 5 · Mise en conformité technique (selon systèmes à haut risque)

Pour les systèmes classés haut risque : documentation technique, analyse d'impact, intégration de la supervision humaine, tests de robustesse. C'est le chantier long. En tant que déployeur, tu t'appuies largement sur la documentation fournie par l'éditeur, mais tu restes responsable de l'usage que tu en fais.

Étape 6 · Revue continue

Le secteur de l'IA évolue vite. Prévois une revue semestrielle du registre et des pratiques. Ce n'est pas une conformité ponctuelle.

ChatGPT en entreprise : est-ce conforme ?

Un usage courant de ChatGPT, Claude ou Gemini est conforme à condition de respecter 5 règles : passer à une offre Entreprise, anonymiser les données personnelles, signaler les contenus générés, ne jamais laisser l'IA décider seule sur une personne, et former les utilisateurs. Voici le détail :

1. Offre Entreprise : passer à une offre ChatGPT Team/Enterprise, Claude Team/Enterprise ou Gemini Business/Enterprise qui désactive l'entraînement sur tes données et fournit un DPA conforme RGPD.
2. Données personnelles : anonymiser avant saisie, ou restreindre les cas d'usage autorisés.
3. Transparence : si un contenu diffusé à des tiers est généré par IA, l'indiquer (surtout emails clients, contenus marketing).
4. Décision automatisée : aucune décision affectant de manière significative une personne (recrutement, notation, refus) ne doit être prise par l'IA seule (article 22 RGPD).
5. Formation : former les utilisateurs et documenter la formation (AI literacy).

Pour aller plus loin

Cette mise en conformité est aussi une opportunité de structurer une vraie politique IA qui accélère tes projets au lieu de les freiner. Notre offre pour former tes équipes à l'IA combine un volet formation Qualiopi (AI literacy conforme) et un volet gouvernance pour la mise en conformité globale. Si tu automatises des décisions via des agents, garde le cadre haut risque en tête : notre tutoriel pour construire un agent IA avec n8n rappelle les bons réflexes de supervision et de journalisation.

Côté sources officielles, deux références à garder sous la main : le texte complet du règlement (UE) 2024/1689 sur EUR-Lex et les recommandations de la CNIL sur les systèmes d'IA, qui détaillent l'articulation entre RGPD et systèmes d'IA (rôles fournisseur/déployeur, base légale, AIPD).