Conformité RGPD et AI Act
Automatisation et IA conformes au RGPD et à l'AI Act
Une automatisation qui fait gagner du temps mais expose vos données, ou un chatbot qui ne dit pas qu'il est une IA, finit par coûter plus cher qu'elle ne rapporte. On vérifie la conformité au RGPD et à l'AI Act au cadrage, avant d'écrire le premier flux, et on vous laisse la documentation.
Méthode
Six vérifications avant de brancher quoi que ce soit
Elles font partie du cadrage, pas d'une option. Si l'une d'elles bloque, le flux attend.
Une base légale par traitement
Chaque flux qui touche des données personnelles a une finalité et une base légale écrites. On complète votre registre des traitements avec vous.
Le minimum de données
Le flux ne lit que les champs dont il a besoin. Le reste ne transite pas, et rien n'est envoyé à un modèle d'IA sans raison.
On sait où vont les données
Flux hébergés en France, modèle d'IA choisi selon la sensibilité des données, transferts hors de l'Union européenne identifiés et encadrés.
Des durées de conservation tenues
Chaque donnée a une durée, et sa suppression est automatisée elle aussi. La conservation ne dépend plus de la mémoire de quelqu'un.
Des personnes informées
Clients, candidats et salariés savent qu'un traitement automatisé existe, et ils savent quand c'est une IA qui leur répond.
Un humain sur les décisions qui comptent
Aucune décision qui produit un effet important sur une personne (refus, sanction, prix) n'est prise par la machine seule.
RGPD
RGPD : ce qu'une automatisation change, et ce qu'elle ne change pas
Automatiser ne change pas qui est responsable : vous restez responsable du traitement, et nous intervenons comme sous-traitant, avec un contrat qui le dit (article 28 du RGPD). Ce qui change, c’est que les règles deviennent mécaniques : une durée de conservation programmée est mieux tenue qu’une durée notée dans une procédure.
- Registre des traitements : chaque flux y figure, avec sa finalité, ses données et ses destinataires.
- Analyse d’impact : quand le traitement le justifie (données sensibles, profilage, suivi de salariés), on vous aide à la mener avant la mise en service, pas après.
- Décision automatisée : le RGPD encadre les décisions fondées exclusivement sur un traitement automatisé (article 22). Nos flux préparent et classent, un humain décide.
- Sécurité : accès limités au strict nécessaire, journal de chaque exécution, sauvegardes, alerte en cas d’échec.
- Droits des personnes : une demande d’accès ou d’effacement se traite en retrouvant la donnée partout où le flux l’a déposée.
AI Act
AI Act : où se situent vos projets d'IA
Le règlement européen sur l’intelligence artificielle (AI Act) classe les usages de l’IA par niveau de risque. La grande majorité des automatisations de PME sont en risque minimal ; quelques-unes demandent des précautions précises.
- Risque minimal : lecture de factures, rédaction de devis, tri d’e-mails, synthèse de documents. Pas d’obligation propre à l’AI Act au-delà du RGPD, mais on documente quand même.
- Obligation de transparence : chatbot, agent conversationnel, agent vocal. Vos interlocuteurs doivent savoir qu’ils échangent avec une IA. Les nôtres l’annoncent dès le premier message.
- Haut risque : recrutement et gestion du personnel (tri de candidatures, évaluation). Contrôle humain, information des personnes, traçabilité et documentation sont exigés. On construit ces flux avec ces garde-fous dès le départ.
- Interdit : notation sociale, reconnaissance des émotions au travail, techniques de manipulation. On ne les construit pas, quel que soit le budget.
L’AI Act attend aussi des entreprises que leurs équipes comprennent les outils d’IA qu’elles utilisent : on explique chaque flux à ceux qui s’en servent. Ses obligations entrent en application par étapes depuis 2025, et le calendrier de certaines est encore ajusté par l’Union européenne : on vous dit, projet par projet, ce qui s’applique à la date de mise en service.
Questions
Ce qu'on nous demande sur la conformité
Oui, à condition de respecter les règles du RGPD : une finalité claire, une base légale, des personnes informées, le minimum de données, une durée de conservation et une sécurité adaptée. Une automatisation bien construite les applique plus régulièrement qu'un traitement à la main.
Ça dépend de l'offre utilisée, pas du modèle. On n'utilise pas les versions grand public pour vos données : on passe par des offres professionnelles qui s'engagent par contrat à ne pas entraîner leurs modèles sur vos contenus, et on choisit un hébergement européen ou un modèle français quand la sensibilité l'exige.
Oui. L'AI Act impose que les personnes sachent qu'elles échangent avec un système d'IA. Nos chatbots et agents vocaux l'annoncent dès le premier message, et proposent toujours de joindre un humain.
Oui, mais l'AI Act le classe parmi les usages à haut risque, et le RGPD encadre les décisions automatisées. Concrètement : critères relus avec vous pour écarter toute discrimination, candidats informés, sélection faite par un humain, et traçabilité de chaque étape.
Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir leurs factures sous forme électronique via une plateforme agréée ; l'obligation d'émettre suit pour les PME en septembre 2027. Nos flux de factures se branchent sur la plateforme que vous avez choisie : ils ne la remplacent pas.
Oui, pour chaque projet qui traite des données personnelles. Il précise les données concernées, les durées, les sous-traitants ultérieurs (hébergeur, fournisseur du modèle d'IA) et les mesures de sécurité.
Collecter des informations publiques et non personnelles est possible en respectant les conditions d'utilisation des sites, le droit des bases de données et un rythme raisonnable. Aspirer des données personnelles pour constituer des fichiers est sanctionné par la CNIL : on ne le fait pas.
Oui, si le message concerne le métier du destinataire, que l'expéditeur est identifié et que la désinscription est simple. Vers des particuliers, il faut leur consentement préalable. On n'utilise ni fichiers achetés sans base légale, ni contacts aspirés.
Non. Elle décrit notre façon de travailler et les règles qu'on applique. Pour un traitement sensible, on travaille avec votre DPO ou votre conseil, et on leur fournit la documentation technique du flux.
Un doute sur un projet ?
On regarde aussi ce qui est légal, pas seulement ce qui est possible.
L'audit gratuit inclut une lecture conformité : ce qui peut être automatisé tel quel, ce qui demande des précautions, et ce qu'on vous déconseille.