4.10 — Conformité : repères AI Act et RGPD

Après les garde-fous techniques, voici les garde-fous juridiques. Cette leçon fournit une grille de questions, pas un avis juridique : le classement dépend du système, de son usage, des personnes affectées et du rôle de votre organisation.

🟢 En clair — avant de parler d’obligations, décrivez précisément qui fournit le système, qui le déploie, à quelle fin, avec quelles données et avec quel impact sur les personnes.

Les quatre familles de risque

• Pratiques interdites : certains usages sont prohibés, notamment des formes de manipulation, de notation sociale ou de reconnaissance des émotions au travail et à l’école, avec des exceptions prévues par le texte.
• Systèmes à haut risque : certains usages dans le recrutement, l’éducation, le crédit, les infrastructures ou les services essentiels peuvent imposer gestion des risques, documentation, qualité des données, journalisation et supervision humaine.
• Obligations de transparence : selon le cas, une personne doit savoir qu’elle interagit avec une IA ou qu’un contenu a été généré ou manipulé.
• Autres usages : ils ne sont pas pour autant « sans règle ». Le RGPD, le droit du travail, la consommation, la propriété intellectuelle, les contrats et les règles sectorielles peuvent rester applicables.

Un chatbot n’a pas toujours « une seule obligation »

Le classement dépend de la finalité réelle. Un assistant qui informe sur des horaires n’a pas le même impact qu’un système qui influence un recrutement, un crédit ou l’accès à un service. Ne classez pas un système à partir de son interface : classez son usage.

Calendrier à vérifier avant décision

Au 19 juillet 2026, la Commission européenne indique notamment :

• pratiques interdites et obligations d’acculturation à l’IA applicables depuis février 2025 ;
• règles de gouvernance et obligations liées aux modèles d’IA à usage général applicables depuis août 2025 ;
• à la suite de l’accord politique sur l’AI Omnibus, certaines règles relatives aux systèmes à haut risque sont annoncées pour le 2 décembre 2027 et le 2 août 2028, selon les catégories.

Ces dates peuvent encore évoluer avec les textes d’application. La source de référence est la Commission européenne — cadre réglementaire de l’IA.

Le RGPD en cinq questions

Si l’agent traite des données personnelles, documentez au minimum :

1. la finalité et la base juridique ;
2. les données strictement nécessaires et leur durée de conservation ;
3. les sous-traitants, transferts et engagements contractuels ;
4. la sécurité, les droits d’accès et la gestion des incidents ;
5. la nécessité d’une analyse d’impact lorsque le traitement présente un risque élevé.

La bonne règle n’est pas « ne jamais envoyer de données personnelles à un modèle », mais minimiser, autoriser, protéger, contractualiser et documenter. Pour un usage sensible, impliquez la personne chargée de la protection des données ou un conseil compétent.

À ajouter au carnet de mission

• finalité et personnes affectées ;
• rôle de l’organisation et fournisseurs impliqués ;
• catégories de données et durée de conservation ;
• décision ou action ayant un effet sur une personne ;
• responsable humain et voie de contestation ;
• source officielle vérifiée et date de vérification.

✅ En résumé

• Classez un usage réel, pas une étiquette « chatbot » ou « agent ».
• AI Act et RGPD peuvent s’appliquer ensemble, avec d’autres règles sectorielles.
• Le calendrier évolue : vérifiez la source officielle avant toute décision.
• Cette leçon aide à poser les questions ; elle ne remplace pas un avis juridique.