Aller au contenu
Cadre & conformité

RGPD et AI Act

Le RGPD encadre les données personnelles que vous placez dans un prompt ; l'AI Act encadre les systèmes d'IA selon leur niveau de risque, avec des obligations applicables par étapes depuis 2025.

  • rgpd
  • ai act
  • règlement ia
  • conformité
  • données personnelles
  • cnil
  • haut risque
  • transparence

Syntaxe

Modèle
RGPD (applicable depuis mai 2018), dès qu'un prompt contient des données personnelles :  base légale · finalité déterminée · minimisation · information des personnes  · contrat de sous-traitance avec le fournisseur · transferts hors UE encadrés · AIPD si risque élevéAI Act, règlement (UE) 2024/1689, en vigueur depuis le 1er août 2024, appliqué par étapes :  2 février 2025 : pratiques interdites + obligation de maîtrise de l'IA pour les personnels concernés  2 août 2025    : obligations des fournisseurs de modèles d'IA à usage général  2 août 2026    : majeure partie du règlement, dont les obligations de transparence  Systèmes à haut risque : échéances 2026-2027, visées par des propositions de report

Exemple

Exemple concret
Une PME veut résumer les entretiens annuels avec un assistant IA.RGPD : données de salariés → base légale documentée, minimisation (noms remplacés),       information des salariés, contrat avec le fournisseur, hébergement et absence       de réutilisation pour l'entraînement vérifiés.AI Act : un outil qui sert à évaluer les salariés ou à décider de leur évolution         relève des usages à haut risque (emploi) ; un simple résumé relu par         le manager se qualifie au cas par cas.Personnels qui utilisent l'outil : formés, au titre de la maîtrise de l'IA.Résultat attendu : le traitement inscrit au registre, une AIPD si l'outil évalue les personnes,et une note d'usage interne.

À retenir

  1. Le calendrier évolue : fin 2025, la Commission européenne a proposé, dans un paquet « omnibus numérique », de reporter certaines obligations, notamment pour les systèmes à haut risque. Vérifiez l'état du texte sur EUR-Lex et le site de la Commission avant de vous engager sur une date.
  2. Les obligations dépendent de votre rôle : fournisseur (vous développez ou mettez sur le marché un système) ou déployeur (vous l'utilisez sous votre autorité). La plupart des entreprises utilisatrices sont déployeurs.
  3. La transparence prévue par l'AI Act vise notamment à informer une personne qu'elle échange avec une IA et à signaler les contenus générés ou manipulés, comme les hypertrucages.
  4. En France, les recommandations de la CNIL sur l'IA et le RGPD sont le point d'entrée le plus concret.
  5. Piège : croire les données anonymes parce que le nom a été retiré. Un poste, une date et un site suffisent souvent à réidentifier quelqu'un : il s'agit alors de pseudonymisation, et le RGPD continue de s'appliquer.

Voir aussi