RGPD et IA en entreprise : bases légales, AI Act, obligations CNIL, analyse d'impact et sanctions. Le point sur la réglementation en 2026.
Une entreprise qui utilise un outil d'IA générative pour rédiger des emails, trier des candidatures ou analyser des données clients traite très probablement des données personnelles. Dans ce cas, le RGPD s'applique, que l'IA soit un simple assistant de rédaction ou un système de scoring automatisé. Depuis 2024, un second texte est venu s'ajouter au RGPD : le règlement européen sur l'IA (AI Act), qui impose des obligations propres aux systèmes d'IA, en plus (et non à la place) de la protection des données.
Beaucoup de dirigeants de PME découvrent ce cumul de règles au moment où ils veulent automatiser un processus avec de l'IA, sans savoir par où commencer. Ce guide fait le point sur les obligations RGPD et AI Act qui s'appliquent aux entreprises en 2026 : base légale, calendrier réglementaire, information des personnes, analyse d'impact et sanctions.
Oui, dès qu'un système d'IA traite des données à caractère personnel, c'est-à-dire des informations qui se rapportent à une personne physique identifiée ou identifiable. C'est le cas d'un assistant qui lit des emails clients, d'un outil qui analyse des CV, ou d'un chatbot qui garde en mémoire l'historique d'un échange avec un prospect.
Le Règlement général sur la protection des données (Règlement (UE) 2016/679, texte consolidé sur Légifrance) ne mentionne pas l'IA en tant que telle, mais ses principes fondamentaux (article 5) s'appliquent sans exception : licéité du traitement, finalité déterminée, minimisation des données, exactitude, limitation de la conservation et sécurité. La CNIL le rappelle explicitement dans ses recommandations : un système d'IA n'échappe à aucun de ces principes, que les données servent à entraîner un modèle ou à le faire fonctionner au quotidien (CNIL, développement des systèmes d'IA).
L'AI Act (règlement européen sur l'intelligence artificielle) et le RGPD répondent à deux questions différentes. Le RGPD encadre les données personnelles utilisées par un système, quel qu'il soit. L'AI Act encadre le système d'IA lui-même, en fonction du risque qu'il représente, qu'il traite ou non des données personnelles. Une entreprise qui déploie de l'IA doit donc généralement respecter les deux textes en parallèle.
Le calendrier de l'AI Act s'est étalé progressivement depuis son entrée en vigueur en août 2024 :
| Date | Obligation |
|---|---|
| 2 février 2025 | Interdiction des pratiques d'IA jugées inacceptables et obligation de culture IA ("AI literacy") pour le personnel |
| 2 août 2025 | Obligations applicables aux modèles d'IA à usage général (GPAI) |
| 2 août 2026 | Obligations de transparence (article 50) : signaler qu'un contenu est généré ou manipulé par IA, informer qu'on interagit avec un système d'IA |
| 2 décembre 2027 | Obligations sur les systèmes à haut risque de l'annexe III (reportées) |
| 2 août 2028 | Obligations sur les systèmes à haut risque de l'annexe I (reportées) |
Ce calendrier a été partiellement révisé par le règlement dit "Digital Omnibus" (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026, qui a repoussé les échéances jugées trop rapprochées pour les systèmes à haut risque (synthèse du calendrier AI Act, Naaia). Concrètement, en 2026, la majorité des PME sont surtout concernées par les interdictions déjà en vigueur et par les nouvelles obligations de transparence du 2 août 2026, pas encore par le régime "haut risque" complet.
Comme tout traitement de données personnelles, l'usage d'un outil d'IA doit reposer sur l'une des six bases légales prévues à l'article 6 du RGPD. En pratique, deux bases reviennent le plus souvent en entreprise.
L'intérêt légitime (article 6.1.f) est la base la plus fréquemment mobilisée, notamment pour l'entraînement ou l'amélioration d'un système à partir de données déjà détenues par l'entreprise. La CNIL a précisé, dans une fiche publiée en juin 2025, que cette base reste possible à condition de passer le "triple test" : un intérêt réel et licite, une nécessité du traitement pour l'atteindre, et une mise en balance qui ne porte pas une atteinte disproportionnée aux droits des personnes concernées (CNIL, fiches pratiques IA).
Le consentement (article 6.1.a) reste nécessaire dans les cas où le traitement n'a rien d'évident pour la personne concernée, par exemple l'utilisation de ses échanges avec un service client pour entraîner un modèle destiné à un usage commercial distinct. Le consentement doit alors être libre, spécifique, éclairé et révocable à tout moment.
Dans les deux cas, la base légale doit être documentée avant la mise en production, pas justifiée après coup. C'est l'un des points que la CNIL indique surveiller en priorité lors de ses contrôles.
Deux obligations reviennent systématiquement dans les fiches pratiques de la CNIL sur l'IA : la minimisation des données et l'information des personnes.
La minimisation impose de ne collecter et ne faire traiter par le système que les données strictement nécessaires à la finalité poursuivie. Un outil de tri de CV n'a par exemple aucune raison de conserver ou d'exploiter des données sensibles (origine, religion, santé) qui ne figurent pas explicitement dans le CV.
L'information des personnes (articles 13 et 14 du RGPD) impose d'indiquer clairement qu'un traitement automatisé, potentiellement fondé sur l'IA, est utilisé, dans quel but, et avec quels droits pour la personne concernée. La CNIL a publié en février 2025 des recommandations sur les modalités concrètes de cette information, en admettant des formats adaptés au risque et aux contraintes opérationnelles plutôt qu'un modèle unique (CNIL, information et droits des personnes).
L'article 22 du RGPD encadre spécifiquement les décisions entièrement automatisées qui produisent des effets juridiques ou affectent significativement une personne, par exemple un refus de crédit calculé sans intervention humaine ou une présélection automatique de candidatures. Ce type de décision est interdit par défaut, sauf exceptions limitées (contrat, autorisation légale, consentement explicite), et impose dans tous les cas un droit pour la personne d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision.
En pratique, la plupart des usages d'IA en entreprise (aide à la décision, présélection, scoring indicatif) restent conformes tant qu'une personne garde un pouvoir de révision réel sur le résultat produit par le système, et pas une simple validation de façade.
L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits des personnes. C'est fréquemment le cas des systèmes d'IA qui traitent des données à grande échelle, qui reposent sur un profilage poussé, ou qui interviennent dans des décisions individuelles importantes (recrutement, accès à un service, évaluation).
L'AIPD n'est pas un simple document administratif : elle doit décrire le traitement, évaluer sa nécessité et sa proportionnalité, identifier les risques pour les personnes concernées, et prévoir des mesures pour les réduire. La CNIL recommande de la réaliser avant la mise en production du système, pas a posteriori, et de la tenir à jour à chaque évolution significative du traitement.
Le RGPD et l'AI Act prévoient des régimes de sanctions distincts, qui peuvent s'appliquer en parallèle à une même entreprise pour un même déploiement d'IA défaillant.
Côté RGPD, les sanctions restent celles fixées par l'article 83 : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves (base légale, droits des personnes).
Côté AI Act, le barème est distinct : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 5), jusqu'à 15 millions d'euros ou 3 % pour les manquements aux obligations applicables aux systèmes à haut risque et aux modèles GPAI, et jusqu'à 7,5 millions d'euros ou 1 % pour la transmission d'informations inexactes aux autorités. Pour les PME et jeunes entreprises, c'est le montant le plus favorable entre le forfait et le pourcentage qui s'applique (synthèse des sanctions AI Act, reglementation-ia.fr).
Un risque concret pour beaucoup d'entreprises en 2026 n'est pas l'IA qu'elles ont officiellement déployée, mais celle que des salariés utilisent de leur propre initiative, par exemple en collant des données clients dans un chatbot grand public pour gagner du temps. Ce phénomène, parfois appelé "shadow AI", expose l'entreprise à un risque RGPD réel : elle reste responsable de traitement même si l'outil n'a jamais été validé en interne.
La CNIL recommande de traiter ce sujet par la formation plutôt que par la seule interdiction : sensibiliser les équipes aux risques (fuite de données vers un tiers, absence de contrôle sur la conservation), et proposer des alternatives encadrées quand un besoin réel existe.
Oui, dès lors qu'il traite des messages contenant des données personnelles (nom, email, historique d'achat). La base légale, la durée de conservation et l'information des utilisateurs doivent être définies comme pour tout autre traitement.
Non. Les deux textes se cumulent. Le RGPD s'applique dès qu'il y a des données personnelles, indépendamment du niveau de risque du système d'IA au sens de l'AI Act, et inversement.
Non, il n'existe pas d'autorisation préalable systématique. L'entreprise reste responsable de documenter elle-même sa conformité (base légale, minimisation, AIPD si nécessaire) et de pouvoir la démontrer en cas de contrôle.
Le RGPD reste la référence pour toute donnée personnelle traitée par un système d'IA, tandis que l'AI Act ajoute des obligations propres au système lui-même, avec un calendrier qui continue de se préciser en 2026. Pour une entreprise, la meilleure approche reste de documenter la base légale et la finalité avant le déploiement, plutôt que de tenter une mise en conformité après coup.
Pour les projets d'automatisation spécifiquement, notamment lorsque des outils comme n8n interviennent sur des données sensibles, les enjeux de conformité recoupent aussi des questions de souveraineté des données. Notre page dédiée détaille les options d'hébergement conformes pour ce type de projet : IA souveraine et RGPD pour l'automatisation.