Utiliser un assistant d'IA, installer un chatbot sur son site ou automatiser un tri de candidatures ne relève pas du même cadre. Deux textes européens se combinent, le règlement sur l'intelligence artificielle, souvent appelé AI Act, et le RGPD. Voici ce qu'en disent les sources officielles.
L'AI Act, un règlement fondé sur le risque
Le règlement européen sur l'IA a été publié au Journal officiel de l'Union européenne le 12 juillet 2024. Il s'applique progressivement depuis le 1er août 2024, selon un calendrier échelonné jusqu'en 2028.
Il classe les systèmes d'IA selon le risque qu'ils présentent, avec des obligations proportionnées.
- Le risque inacceptable, pour les pratiques interdites, comme la notation sociale.
- Le haut risque, pour des usages sensibles comme certains outils de recrutement ou les systèmes biométriques, soumis à des exigences renforcées.
- Le risque spécifique en matière de transparence, par exemple les chatbots, qui doivent indiquer à l'utilisateur qu'il échange avec une IA.
- Le risque minimal, qui concerne la plupart des systèmes utilisés aujourd'hui et n'entraîne pas d'obligation particulière.
Le calendrier d'application
Selon le calendrier publié par le service de la Commission européenne consacré à l'AI Act, les étapes sont les suivantes.
- Depuis le 2 février 2025, les pratiques interdites sont prohibées, et les dispositions générales s'appliquent, dont l'obligation de maîtrise de l'IA par les personnes qui l'utilisent.
- Depuis le 2 août 2025, les règles relatives aux modèles d'IA à usage général s'appliquent.
- Depuis le 2 août 2026, la majorité des règles entrent en application, dont les obligations de transparence.
- Le 2 décembre 2027, les règles pour les systèmes à haut risque listés à l'annexe III s'appliqueront.
- Le 2 août 2028, celles pour les systèmes à haut risque intégrés à des produits réglementés, listés à l'annexe I.
AI Act et RGPD, côte à côte
| Critère | AI Act | RGPD |
|---|---|---|
| Ce qu'il encadre | Le développement et l'usage des systèmes d'IA. | Tout traitement de données personnelles. |
| Sa logique | Des obligations selon le niveau de risque du système. | Des principes, base légale, information des personnes, minimisation, sécurité. |
| Quand il s'applique à vous | Dès que vous utilisez ou fournissez un système d'IA concerné. | Dès que l'IA manipule des données sur des personnes. |
Le RGPD ne disparaît pas
La CNIL le rappelle dans ses questions-réponses sur l'entrée en vigueur du règlement, l'AI Act ne remplace pas les exigences du RGPD. Les deux s'appliquent en même temps dès qu'un système d'IA traite des données personnelles.
Pour une PME, cela se traduit par quelques vérifications concrètes.
- Savoir quelles données personnelles l'outil reçoit, et n'envoyer que celles qui sont nécessaires.
- Informer les personnes concernées, clients, candidats ou salariés.
- Vérifier le contrat avec le fournisseur, et le lieu où les données sont traitées.
- Réaliser une analyse d'impact quand le traitement présente un risque élevé pour les personnes.
Par où commencer
Recensez les outils d'IA déjà utilisés dans l'entreprise, y compris ceux adoptés individuellement par les équipes. Pour chacun, notez à quoi il sert, quelles données il reçoit et quel fournisseur le propose. Cet inventaire suffit souvent à repérer les usages à encadrer, et il répond à l'obligation de maîtrise de l'IA en formant les personnes qui s'en servent.
Sources
Cet article s'appuie uniquement sur des sources officielles, consultées le 28 septembre 2026. Il présente la règle générale et ne remplace pas l'avis d'un professionnel sur votre situation.
Pour aller plus loin
Agents IA pour l'entreprise
Des agents encadrés, traçables et soumis à validation humaine.
Nos agents IAUn projet d'IA à cadrer ?
Le choix du modèle, de l'hébergement et des données se fait au cadrage. Nous l'écrivons avec vous avant la première ligne de code.
Appel de 30 min gratuit → Proposition sous 5 jours