RGPD et règlement IA : ce qu’une PME doit vérifier avant de déployer

Deux textes s’appliquent à un projet d’IA en entreprise, et ils ne portent pas sur le même objet. Le RGPD encadre les données personnelles que vous manipulez. Le règlement européen sur l’IA encadre les systèmes eux-mêmes, y compris quand aucune donnée personnelle n’est en jeu. Beaucoup de dirigeants traitent le premier, ignorent le second, et découvrent le trou une fois l’automatisation en production.

RGPD et règlement IA : deux questions différentes

Le RGPD pose des questions sur la donnée : laquelle, pour quelle finalité, sur quelle base légale, conservée combien de temps, accessible à qui. Le règlement sur l’IA pose des questions sur le système : à quoi il sert, quel niveau de risque il présente, et si les personnes qui s’en servent savent ce qu’elles font. Un assistant qui résume de la documentation technique anonyme sort largement du RGPD, mais il reste dans le champ du règlement IA. Un export de fichier clients vers un outil d’IA relève des deux.

Deuxième distinction utile, votre rôle. Au sens du règlement IA, une PME ou une ETI est presque toujours déployeur, donc utilisatrice d’un système fourni par un tiers, et non fournisseur. Les obligations les plus lourdes, documentation technique et évaluation de conformité, pèsent sur le fournisseur. Votre liste est plus courte. Elle n’est pas vide.

L’article 4 : l’obligation est réelle, l’amende ne l’est pas

L’article 4 du règlement (UE) 2024/1689 est applicable depuis le 2 février 2025. Il prévoit que les fournisseurs et les déployeurs de systèmes d’IA prennent les mesures pour assurer un niveau suffisant de maîtrise de l’IA de leur personnel et des personnes qui utilisent ces systèmes en leur nom. Aucun seuil d’effectif n’est prévu : une entreprise de douze personnes est concernée comme une de quatre cents. Les autorités nationales pourront contrôler à partir du 2 août 2026.

L’autre face maintenant, parce que vous avez probablement lu l’inverse. Beaucoup d’articles annoncent une amende de 15 millions d’euros ou 3 % du chiffre d’affaires pour défaut de formation. C’est faux. L’article 99, celui qui fixe les sanctions, énumère les articles concernés : 5, 16, 22, 23, 24, 26, 31, 33, 34 et 50. L’article 4 n’y figure pas. Il n’existe aucune amende propre à l’obligation de maîtrise de l’IA. Ce que cette absence ne dit pas, c’est ce qu’une autorité ou un juge fera d’un manquement à l’article 4 invoqué à l’appui d’un autre grief : le texte est trop récent pour qu’on le sache.

Il existe de toute façon une raison plus solide que la peur du contrôle. Selon l’étude BCG AI at Work 2025, menée auprès de 10 635 salariés dans onze pays, la part d’utilisateurs réguliers de l’IA passe de 18 % chez ceux qui n’ont reçu aucune formation à 63 % après une à cinq heures, puis à 82 % entre cinq et dix heures. Dans l’édition 2026 de la même étude, 72 % des salariés déclarent que l’IA a changé les compétences attendues d’eux, et 36 % seulement s’estiment correctement formés, un taux identique à celui de l’année précédente.

Ce que vous devez pouvoir montrer

En cas de contrôle, ou de question d’un client sur votre chaîne de sous-traitance, l’exercice consiste à produire des documents, pas des intentions. Voici ce qu’on met en place avant la première automatisation.

• L’inventaire des systèmes d’IA réellement utilisés, y compris ceux arrivés par un abonnement d’équipe ou une extension de navigateur.
• Pour chacun : la finalité, les données qu’il voit, le fournisseur, le lieu de traitement.
• La base légale et la durée de conservation dès qu’il y a des données personnelles, et une analyse d’impact quand le traitement le justifie.
• La trace des formations : qui, quand, combien de temps, sur quoi. Une feuille d’émargement et un support daté valent mieux qu’une déclaration de principe.
• Les consignes écrites remises aux équipes : ce qui est autorisé, ce qui ne l’est pas, quoi faire en cas de doute.
• Le point de validation humaine sur les actions qui engagent : un envoi, une écriture dans un outil, une décision concernant une personne.

Rien là-dedans ne réclame un cabinet spécialisé. La difficulté n’est pas de constituer ce dossier, elle est de le tenir à jour quand un nouvel outil entre dans une équipe sans passer par la direction.

Vos données servent-elles à entraîner le modèle ?

C’est la question qui revient dans toutes les réunions, et la réponse ne dépend pas de la technologie mais du contrat. Sur les offres grand public, souvent gratuites, les contenus peuvent servir à améliorer le service, parfois avec une relecture humaine. Sur les offres professionnelles de Google Workspace, de Microsoft 365 ou des interfaces de programmation des fournisseurs de modèles, l’engagement contractuel standard exclut l’entraînement sur les contenus client. Ce n’est pas une propriété du modèle, c’est une clause : elle se vérifie dans le contrat, pas sur une page marketing.

Trois points à contrôler, dans cet ordre : l’entraînement, la rétention, c’est-à-dire combien de temps vos requêtes sont conservées à des fins de sécurité ou de lutte contre les abus, puis le lieu de traitement avec la liste des sous-traitants ultérieurs. Ajoutez l’accord de sous-traitance prévu par l’article 28 du RGPD, signé avec chaque fournisseur.

Méfiez-vous de la couche intermédiaire. Un outil d’automatisation qui appelle un modèle en votre nom ajoute un acteur de plus : l’engagement du fournisseur du modèle ne vous garantit pas celui de l’intermédiaire. C’est souvent là que la chaîne casse, et c’est rarement écrit en gros.

L’usage clandestin : interdire ne fonctionne pas

Toujours selon BCG en 2025, 54 % des salariés déclarent qu’ils utiliseraient des outils d’IA même sans autorisation de leur employeur, avec un écart net entre les moins de 40 ans (62 %) et les autres (43 %). C’est une intention déclarée, pas une mesure d’usage réel, et il faut la lire comme telle. L’ordre de grandeur suffit néanmoins à disqualifier la note de service qui interdit.

Quand vous interdisez, l’usage ne disparaît pas, il sort de votre champ de vision. Un extrait de contrat finit collé dans un outil personnel, sur un compte personnel, sans accord de sous-traitance, sans localisation connue et sans trace. Vous avez gardé tout le risque et perdu la seule chose qui vous protégeait, la visibilité.

La voie praticable est l’inverse : ouvrir un outil autorisé, correctement contracté, et énoncer le petit nombre de choses qui n’y vont pas. Données de santé, dossiers RH nominatifs, éléments couverts par un secret contractuel. Trois ou quatre interdits que tout le monde retient valent mieux qu’une charte de dix pages que personne n’ouvre.

Ce qui, en pratique, ne marche pas

Le document seul ne produit rien. Deloitte AI Institute relevait en 2026 que 37 % des organisations utilisent encore l’IA en surface, sans modifier leurs processus existants. En France, l’Insee indiquait en 2026 que 54 % des entreprises qui n’utilisent pas l’IA invoquent un manque d’expertise, ce qui n’est pas un problème de texte réglementaire. Microsoft, dans son Work Trend Index 2026, chiffre à 67 % le poids des facteurs d’organisation dans l’impact réellement obtenu avec l’IA, contre 32 % pour les facteurs individuels.

Deuxième réserve, avec une conséquence directe sur vos contrôles. Une étude de Harvard Business School, du MIT et de Wharton, conduite sur 758 consultants du Boston Consulting Group et publiée en mars 2026, montre que les participants équipés de GPT-4 ont traité 12,2 % de tâches en plus et 25,1 % plus vite, avec une qualité jugée nettement supérieure. Mais sur une tâche située hors du périmètre où l’outil est fiable, leur taux de bonnes réponses chute par rapport au groupe sans IA. Votre validation humaine doit donc porter en priorité sur les cas atypiques, ceux où la réponse est la plus convaincante et la plus fausse.

L’ordre dans lequel s’y prendre

Une PME de quarante personnes boucle ce cadrage en une demi-journée. Une ETI multi-sites y passera deux à trois jours, surtout en entretiens.

• Recenser ce qui tourne déjà, services métier compris, avant toute décision.
• Choisir un ou deux usages et écrire pour chacun la finalité, les données, le fournisseur, le point de validation.
• Contractualiser : accord de sous-traitance, clause d’entraînement, rétention, lieu de traitement.
• Former une à deux heures par équipe, sur leurs cas réels, et garder la trace.
• Revoir l’inventaire tous les six mois, parce qu’il bougera.

Comparé au coût de reprendre une automatisation déjà en production parce que personne ne sait dire où passent les données, l’investissement est modeste. Et c’est le seul moment où ce travail reste facile : après, il faut démonter.