En 2026, déployer une IA dans une PME française sans cadre RGPD documenté n'est plus une option. La CNIL a publié plusieurs guidelines spécifiques à l'IA depuis 2024, l'AI Act 2024/1689 entre progressivement en application, et les contrôles montent en puissance. Pour autant, la conformité n'est ni hors de portée ni paralysante : elle se résume à 6 obligations claires, une check-list reproductible, et une discipline opérationnelle. Voici le guide complet pour qu'un dirigeant non-juriste sache exactement ce qu'il doit faire avant de mettre une IA en production.
Pourquoi la conformité IA est devenue un sujet de comité de direction
Trois facteurs convergent en 2026.
Premier facteur : sanctions CNIL en hausse. Sur la période 2023-2025, la CNIL a sanctionné plusieurs entreprises pour des défauts spécifiques à l'IA (absence d'analyse d'impact, transferts hors UE non maîtrisés, opacité décisionnelle). Les amendes vont de 30 K€ pour des PME à plusieurs millions pour des grands comptes. Les contrôles ciblés IA deviennent une priorité 2026.
Deuxième facteur : AI Act 2024/1689. Le règlement européen impose des obligations différenciées selon le niveau de risque du système IA (inacceptable, haut, limité, minimal). Les obligations pour les systèmes à risque limité (la majorité des cas d'usage PME) sont modérées mais réelles : transparence vis-à-vis des utilisateurs, mention IA dans les communications, registre des systèmes utilisés.
Troisième facteur : exigence des clients B2B. Les grands comptes intègrent désormais dans leurs RFP des questionnaires de conformité IA. Une PME qui ne peut pas répondre par écrit perd des appels d'offres. La conformité devient un critère commercial.
Obligation #1 : qualifier le niveau de risque AI Act
Avant tout déploiement, classer le système IA selon les 4 catégories de l'AI Act.
- Risque inacceptable : systèmes interdits (notation sociale, manipulation, identification biométrique en temps réel). Ne pas déployer.
- Risque haut : recrutement automatisé, scoring crédit, dispositifs médicaux IA, etc. Obligations lourdes (analyse de risque approfondie, documentation, supervision humaine, traçabilité). À éviter en PME sans accompagnement spécialisé.
- Risque limité : chatbots, voicebots, agents conversationnels, assistants IA non-décisionnels. Majorité des cas PME. Obligation principale : transparence (l'utilisateur doit savoir qu'il interagit avec une IA).
- Risque minimal : assistants de productivité interne (génération de texte, traduction, résumé) sans impact direct sur des tiers. Obligations très limitées.
Document attendu : une note de qualification de 1-2 pages par système IA déployé, signée par le dirigeant ou le DPO. Pas besoin de blockbuster, mais cette note existe et est datée.
Obligation #2 : analyse d'impact (DPIA) si traitement à risque élevé
Le RGPD article 35 impose une DPIA (Data Protection Impact Assessment) pour les traitements présentant un risque élevé pour les droits et libertés des personnes. La CNIL a publié en 2025 une liste de cas d'usage IA pour lesquels la DPIA est obligatoire :
- Systèmes de scoring ou de recommandation impactant l'accès à un service.
- Traitement de données sensibles (santé, biométrie, opinions, données pénales).
- Surveillance ou profilage à grande échelle.
- IA déployée sur mineurs ou personnes vulnérables.
Pour les autres cas d'usage IA (chatbot service client B2C, assistant interne, RAG sur base documentaire), la DPIA n'est pas obligatoire mais une analyse d'impact simplifiée (1-3 pages) est fortement recommandée. Elle protège l'entreprise en cas de contrôle et clarifie les arbitrages internes.
Trame minimale : description du traitement, données concernées, finalité, base légale, durée de conservation, mesures de sécurité, transferts éventuels, risques identifiés, mesures de mitigation.
Obligation #3 : maîtriser les transferts de données hors UE
C'est le sujet RGPD le plus complexe en 2026 pour les déploiements IA. Quand vous utilisez ChatGPT, Claude, ou tout LLM hébergé chez un fournisseur américain, vous transférez potentiellement des données personnelles vers les États-Unis. Ce transfert doit être encadré.
Trois mécanismes possibles :
- Clauses contractuelles types (CCT) — solution principale post-Schrems II. Le DPA signé avec OpenAI, Anthropic, Mistral inclut ces clauses. Vérifier qu'elles sont à jour (modèles 2021).
- Hébergement UE explicite — Azure OpenAI Service en datacenter UE, AWS Bedrock UE, Mistral en France. Solution la plus simple et la plus défendable. À privilégier dès que possible.
- Anonymisation préalable — supprimer les données personnelles avant envoi au LLM. Peu compatible avec un RAG fonctionnel mais utile pour certains cas (génération de contenu sans contexte client).
Notre recommandation pour la majorité des cas PME : privilégier l'hébergement UE (Mistral pour le souverain français, Azure OpenAI ou Bedrock pour la flexibilité). Réserver les transferts hors UE aux cas d'usage strictement non-personnels (génération de contenu marketing générique, traduction technique sans données client).
Obligation #4 : informer les personnes concernées
Le RGPD article 13-14 et l'AI Act article 50 imposent une information claire des personnes dont les données sont traitées par l'IA, ou qui interagissent avec un système IA.
Pour un chatbot/voicebot client : message d'ouverture explicite (« Je suis un assistant virtuel propulsé par IA ») + mention dans la politique de confidentialité (finalité, base légale, durées, droits des personnes).
Pour un assistant interne traitant des données collaborateurs : information écrite des salariés (charte informatique mise à jour, note de service, ou avenant), consultation préalable du CSE si effectif > 11 personnes, registre des traitements à jour.
Pour un système d'analyse documentaire : mention dans les CGV, lettres de mission ou contrats clients de l'usage d'outils d'IA dans la production.
Obligation #5 : gérer les droits des personnes
Toute personne dont les données sont traitées par votre IA dispose de droits (accès, rectification, effacement, opposition, portabilité). Vous devez pouvoir y répondre dans les délais légaux (1 mois prorogeable de 2 mois si justifié).
Pour les architectures RAG, cela implique :
- Pouvoir lister les documents indexés contenant des données personnelles d'une personne donnée (recherche par nom, identifiant).
- Pouvoir supprimer ou rectifier les documents dans la base vectorielle, et invalider les caches LLM contenant ces données.
- Documenter le processus de traitement des demandes (procédure écrite, formulaire dédié sur le site, adresse email contact RGPD).
Ce point est souvent ignoré au moment du cadrage et coûte cher à corriger après livraison. Il doit figurer dans le cahier des charges initial.
Obligation #6 : documenter et tracer
La conformité ne se prouve pas oralement. Elle se prouve par des documents datés, signés, archivés. Pour chaque système IA déployé, le dossier minimal contient :
- Note de qualification AI Act (obligation #1).
- Analyse d'impact ou DPIA (obligation #2).
- DPA / contrat avec le fournisseur LLM, mention dans le registre des sous-traitants.
- Cartographie des transferts internationaux (obligation #3).
- Politique de confidentialité à jour, charte IA interne, supports d'information utilisateurs (obligation #4).
- Procédure de gestion des droits + procédure de réponse aux demandes CNIL (obligation #5).
- Journal des évolutions, des incidents et des audits trimestriels.
Ce dossier prend 3-5 jours de travail à constituer initialement et 1-2 jours par trimestre à maintenir. C'est l'investissement minimum pour qu'une PME puisse répondre sereinement à un contrôle CNIL ou à une exigence client B2B.
Check-list avant mise en production
Cette check-list est celle que nous appliquons systématiquement avant de mettre une IA en production chez un client. Elle a 11 points, à valider tous avant le go-live.
- Niveau de risque AI Act qualifié et documenté ?
- Analyse d'impact réalisée (simplifiée ou DPIA selon obligation) ?
- DPA signé avec tous les fournisseurs LLM, vector store, observabilité ?
- Hébergement des données : UE par défaut, transferts hors UE encadrés et justifiés ?
- Information utilisateurs intégrée à l'interface (ChatBot disclaimer + politique confidentialité à jour) ?
- Procédure de gestion des droits écrite et testée (test à blanc d'une demande d'effacement) ?
- Sécurité technique : chiffrement en transit et au repos, contrôle d'accès, logs d'audit ?
- Mesures contre le prompt injection et les fuites de données (cf. notre article dédié) ?
- Plan de réponse à incident défini (qui fait quoi en cas de fuite ou comportement anormal) ?
- Formation des collaborateurs effectuée (au moins 2 heures, signée individuellement) ?
- Registre des traitements et registre des activités de l'IA mis à jour ?
Si un point sur 11 manque, le go-live est repoussé. C'est strict, mais c'est la seule façon de tenir un cap de conformité dans la durée.
L'erreur fréquente : sous-traiter la conformité à l'agence IA
L'agence IA peut accompagner techniquement (mesures de sécurité, hébergement souverain, design des prompts), mais la responsabilité du responsable de traitement reste celle du dirigeant ou du DPO interne. Une agence sérieuse fournit le cadre, mais ne peut pas signer les DPIA à votre place ni assumer le risque CNIL.
La bonne répartition est : agence = expertise technique et architecturale, DPO ou avocat RGPD = qualification juridique et procédures, dirigeant = arbitrage final et signature. Si un seul acteur prétend tout faire, c'est suspect.
Pour aller plus loin
- Notre expertise RGPD et IA — méthodologie complète
- AI Act 2026 : ce que la PME doit faire concrètement avant 2027
- OWASP LLM Top 10 2026 : les vulnérabilités à connaître
- Prompt injection : 7 lignes de défense pratiques
- Audit conformité IA gratuit 30 minutes — diagnostic personnalisé
Cet article fait partie du cluster « sécurité et conformité IA ». Si vous prévoyez un déploiement et souhaitez sécuriser le cadre RGPD avant le go-live, réservez un audit gratuit. Discussion sans engagement.