Depuis le 2 août 2026, une nouvelle échéance de l’AI Act est entrée en application. Pour les TPE, PME et grands groupes qui utilisent des outils d’intelligence artificielle au quotidien, l’heure n’est plus à la veille : c’est le moment de passer à l’action. Voici ce qui change concrètement et comment vous mettre en conformité, entre RGPD et AI Act.
L’urgence immédiate : les obligations de transparence de l’AI Act
L’article 50 de l’AI Act, applicable depuis le 2 août 2026, impose deux obligations directes aux entreprises qui utilisent des outils d’IA, appelées « déployeurs » dans le texte.
Informer les utilisateurs
Toute personne qui interagit avec une intelligence artificielle, qu’il s’agisse d’un client sur un chatbot, d’un salarié ou d’un utilisateur final, doit être clairement informée qu’elle échange avec une IA. Cette information ne peut plus être implicite ou noyée dans des conditions générales.
Marquer les contenus générés
Textes, images, contenus audio ou vidéo produits ou manipulés par une IA doivent désormais comporter une mention lisible ou des métadonnées techniques indiquant leur nature synthétique. Cela concerne directement les entreprises qui produisent du contenu marketing, des visuels ou des vidéos avec des outils génératifs.
Le double filtre RGPD et AI Act
L’utilisation d’une IA implique presque toujours, de près ou de loin, le traitement de données personnelles. Quatre points méritent une attention particulière.
La légalité des données collectées
Récolter massivement des données sur le web pour entraîner ou affiner un modèle, sans base légale claire comme le consentement ou l’intérêt légitime, reste sanctionné lourdement par le RGPD.
Minimisation et anonymisation
Il est essentiel de ne pas réinjecter de données identifiantes ou confidentielles, fichiers clients, données de santé, secrets industriels, dans des IA génératives publiques ou tierces.
Le droit d’opposition et de rectification
Le RGPD garantit un droit à l’effacement. Or supprimer une donnée personnelle une fois intégrée dans un modèle de langage reste techniquement complexe. Les entreprises doivent anticiper cette contrainte dès la conception de leurs usages.
Les cas d’usage à haut risque : RH, scoring, recrutement
Certains usages de l’IA ne sont pas neutres et affectent directement les droits des personnes concernées.
- Ressources humaines : tri automatique de CV, scoring de candidats, évaluation des salariés
- Services financiers : scoring de crédit, évaluation des risques d’assurance
Pour ces usages, la réglementation impose trois exigences.
- Garder un contrôle humain sur toute décision importante concernant une personne, aucune décision ne peut être entièrement automatisée
- Réaliser une évaluation d’impact préalable sur les droits fondamentaux et la vie privée
- S’assurer que les jeux de données ne reproduisent pas de biais liés à l’âge, au genre ou à l’origine
La gouvernance et le piège de l’IA fantôme
Le plus grand risque pour les entreprises en 2026, c’est le Shadow AI : des fonctionnalités IA déjà intégrées dans des logiciels SaaS existants (CRM, ERP, outils marketing, messageries) ou des comptes personnels utilisés par les équipes sans validation.
Depuis février 2025, l’AI Act impose une obligation de formation, dite « culture IA », qui oblige les employeurs à sensibiliser leurs équipes à un usage éclairé et sécurisé de ces outils. Il est également indispensable de vérifier les conditions générales des prestataires SaaS : garantissent-ils que vos données ne servent pas à réentraîner leurs modèles publics ? Sont-ils eux-mêmes conformes à l’AI Act ?
Checklist pragmatique pour se mettre en conformité
- Réaliser l’inventaire de tous les outils IA utilisés en interne ou intégrés à vos produits et services
- Classifier le niveau de risque de chaque outil : minimal, limité (transparence requise) ou élevé
- Auditer les flux de données personnelles pour vérifier que vos prompts et bases associées respectent le RGPD
- Mettre en place une charte IA interne définissant les usages autorisés et interdits
- Former vos équipes aux bonnes pratiques et aux risques du Shadow AI
Les sanctions ne se cumulent pas mais restent massives : jusqu’à 4 % du chiffre d’affaires mondial pour le RGPD, et jusqu’à 7 % pour certaines infractions graves à l’AI Act. Pour une TPE ou une PME, la meilleure protection reste la même que pour n’importe quel risque réglementaire : cartographier ses outils, documenter ses usages, et former ses équipes avant que le contrôle n’arrive.
Besoin d’information d’Audit IA :
Contactez-nous
Zone d’activité de notre agence : Clermont-Ferrand, Chamalières, Cournon d’Auvergne, Cébazat, Beaumont, Sayat, Gerzat, Super Besse, Saint-Nectaire, Sancy, Puy-de-Dôme, Moulins, Montluçon, Vichy, Allier, Aurillac, Saint-Flour, Cantal, Le Puy-en-Velay, Yssingeaux, Haute-Loire, Lyon, Auvergne Rhône-Alpes, Toulouse, Bordeaux, Paris, France.