Vos préférences en matière de cookies

Lignes directrices CEPD · art. 7 RGPD

Nous utilisons des cookies techniques essentiels au fonctionnement de la plateforme (connexion, sécurité, sessions). Nous souhaiterions aussi utiliser des cookies analytiques pour comprendre comment l'améliorer.

Vous pouvez tout accepter, tout refuser, ou choisir les catégories à activer.Votre consentement est valable 6 mois et vous pouvez le retirer à tout moment depuis le pied de page.

Vous trouverez tout dans notre politique de confidentialité.

DPO WorkspaceEssai gratuit

Règlement européen sur l'IA

Logiciel IA Act : obligations pour les entreprises et documents prêts à l'emploi

L'IA Act (règlement européen sur l'intelligence artificielle) ne concerne pas seulement les entreprises qui développent leurs propres systèmes d'IA. Toute entreprise qui utilise des outils d'IA — de simples assistants jusqu'aux systèmes d'aide à la décision — est considérée comme déployeur et devra remplir un nombre croissant d'obligations à partir de 2026. Un logiciel IA Act permet de garder trace de quel système est utilisé pour quoi, avec quelle classe de risque et avec quelles preuves.

Pour les délégués à la protection des données qui connaissent déjà le registre des traitements et la pratique de l'AIPD de leurs clients, l'IA Act se rapproche d'un terrain familier : il s'agit là aussi d'évaluation des risques, de documentation et de traçabilité vis-à-vis d'une autorité — mais avec son propre corpus de règles et ses propres échéances.

La compétence en IA n'est pas optionnelle (art. 4 de l'IA Act)

Fournisseurs et déployeurs doivent veiller à ce que leur personnel et les autres personnes impliquées dans le fonctionnement des systèmes d'IA disposent d'une compétence suffisante en IA. Cette obligation vaut indépendamment de la taille de l'entreprise et que le système utilisé soit classé à haut risque ou non.

Mise à jour : le paquet Digital Omnibus a déplacé les échéances

Pendant deux ans, le 2 août 2026 a été présenté comme le début des obligations pour les systèmes à haut risque. Ce n'est plus le cas : l'annexe III a été reportée au 2 décembre 2027 et l'annexe I au 2 août 2028. Les obligations de transparence de l'article 50 restent en revanche confirmées au 2 août 2026. De nombreux articles en circulation reprennent encore l'ancien calendrier.

Quelles preuves un logiciel IA Act doit tenir

  • Inventaire des systèmes d'IA par client, avec classe de risque
  • Preuve de compétence en IA (art. 4 de l'IA Act) avec registre de formation
  • Notices de transparence pour les utilisateurs de systèmes d'IA
  • Analyse d'impact sur les droits fondamentaux (art. 27) reliée à l'AIPD
  • Documentation des exceptions et de la décision de classification

IA Act et RGPD dans le même dossier client

Dans DPO Workspace, l'inventaire des systèmes d'IA se trouve à côté du registre, de l'AIPD et des violations de données de chaque client — même structure, même traçabilité. Essai gratuit de 30 jours, sans carte bancaire.

Essayer gratuitement

Questions fréquentes

L'IA Act s'applique-t-il aussi aux entreprises qui utilisent seulement ChatGPT ou des outils similaires ?

Oui : toute entreprise qui utilise un système d'IA est considérée comme déployeur au sens de l'IA Act, que le système soit développé en interne ou fourni par un tiers. Les obligations des déployeurs sont plus légères que celles des fournisseurs, mais elles existent indépendamment de la taille de l'entreprise.

Qu'est-ce qui entre en vigueur le 2 août 2026 ?

Les obligations de transparence de l'article 50 : signaler les chatbots, les contenus générés par l'IA et les deepfakes. Plus les obligations relatives aux systèmes à haut risque : le paquet Digital Omnibus les a reportées au 2 décembre 2027 (annexe III, systèmes autonomes) et au 2 août 2028 (annexe I, IA intégrée dans des produits réglementés). L'interdiction de certaines pratiques et l'obligation de compétence en IA de l'article 4 s'appliquent déjà depuis le 2 février 2025.

Le paquet Digital Omnibus a-t-il supprimé des obligations ?

Non. Il a déplacé les échéances, pas le contenu : évaluation de la conformité, documentation technique, système de gestion de la qualité, marquage CE, enregistrement dans la base de données de l'UE, contrôle humain et analyse d'impact sur les droits fondamentaux restent identiques. Prendre le report comme une raison de ne pas commencer, c'est retrouver le même travail avec moins de temps.

Que signifie concrètement la compétence en IA (art. 4 de l'IA Act) ?

Les fournisseurs et déployeurs doivent veiller à ce que leur personnel et toute autre personne s'occupant du fonctionnement et de l'utilisation des systèmes d'IA disposent d'un niveau suffisant de compétence en IA, tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d'utilisation.

Quelles pratiques sont interdites par l'IA Act ?

Notamment les systèmes de manipulation subliminale susceptibles de causer un préjudice, l'exploitation de vulnérabilités, certaines formes de notation sociale (social scoring) et certains systèmes d'identification biométrique à distance en temps réel dans l'espace public, sous réserve des exceptions prévues par le règlement.

Quel est le lien entre l'IA Act et le RGPD ?

Les deux textes se recoupent dès qu'un système d'IA traite des données à caractère personnel : une AIPD déjà réalisée fournit des éléments factuels sur lesquels l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'IA Act peut s'appuyer, plutôt que de refaire les deux évaluations séparément.

Prêt pour les obligations à partir de 2026

Inventaire des systèmes d'IA, preuve de compétence et analyse d'impact, reliés à la documentation RGPD de chaque client.

Essai gratuit