Repères AI Act et RGPD

Guide pratique pour les développeurs qui construisent un produit avec de l’IA ou des données personnelles : ce que disent les textes, les dates, les chiffres et ce que cela change dans le code.

Ce guide sert à poser les bonnes questions. Il ne remplace pas l’avis d’un juriste ou du DPO sur un projet réel. Les numéros d’articles renvoient au règlement IA (RIA) sauf mention « RGPD ».

L’essentiel en dix points

1. Le RIA encadre un système d’IA selon son usage et ses risques. Le RGPD encadre tout traitement de données personnelles. Les deux s’appliquent souvent au même projet.
2. Le droit classe un usage, pas un modèle. Le même LLM peut corriger l’orthographe (risque minimal) ou trier des CV (haut risque).
3. Si votre entreprise vend un produit construit sur l’API d’un modèle, elle est fournisseur de ce système. Les obligations du fournisseur du modèle ne couvrent pas les vôtres.
4. Les pratiques interdites s’appliquent depuis le 2 février 2025. Celle que l’on croise le plus dans un produit : la reconnaissance des émotions au travail ou à l’école.
5. Depuis le 2 août 2026, une personne doit savoir qu’elle échange avec une IA. Les contenus générés doivent porter un marquage lisible par machine.
6. Les règles haut risque s’appliquent le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I. L’Omnibus de juillet 2026 a fixé ces dates. Les supports plus anciens affichent encore 2026 et 2027.
7. Un système de l’annexe III peut sortir du haut risque s’il ne pèse pas sur la décision. Il y reste s’il profile des personnes, et le fournisseur doit documenter son analyse.
8. Le RGPD s’applique dès la première donnée personnelle : dans le prompt, le contexte d’un RAG, les journaux ou la réponse. Retirer le nom ne suffit pas à anonymiser.
9. Une bonne partie de la conformité se code : mention IA dans l’interface, prompt minimal, purge planifiée, export et suppression de compte, journaux.
10. Vérifiez la date de chaque source. Le RIA a déjà été modifié une fois, et la Commission peut modifier l’annexe III par acte délégué.

Deux textes, deux questions

Le RIA pose la question du produit : ce système d’IA présente-t-il un risque pour la santé, la sécurité ou les droits fondamentaux ? Le RGPD pose la question des données : traite-t-on des informations sur une personne identifiable, et avec quelles garanties ? Répondez aux deux séparément. La CNIL illustre les quatre combinaisons possibles.

Votre rôle

Chaque texte a son vocabulaire. Le cas typique d’un développeur : l’entreprise appelle l’API d’un modèle et vend un chatbot, un RAG ou un agent à des clients. La même chaîne reçoit alors deux séries de noms.

Faire défiler vers la droite →

Si votre entreprise utilise l’outil pour elle-même, elle est déployeur et responsable du traitement. Elle devient fournisseur si elle met son nom sur un système, le modifie de façon substantielle ou le détourne vers un usage à haut risque (article 25).

Système d'IA

Système automatisé qui, à partir des entrées qu'il reçoit, déduit comment produire des prédictions, du contenu, des recommandations ou des décisions (article 3.1). Un script à règles fixes n'en est pas un.

Modèle d'IA à usage général

Un modèle capable de nombreuses tâches, comme un LLM. Son fournisseur publie une documentation technique, une politique de respect du droit d'auteur et un résumé des données d'entraînement. Au-delà de 10²⁵ opérations de calcul pour l'entraînement, le modèle est présumé à risque systémique (article 51).

Fournisseur

Développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom, gratuitement ou non.

Déployeur

Utilise un système d'IA sous son autorité, dans un cadre professionnel.

Responsable du traitement

Décide pourquoi et comment les données sont traitées. Il porte la responsabilité RGPD, même avec un prestataire.

Sous-traitant

Traite les données pour le compte du responsable et sur ses instructions, avec un contrat conforme à l'article 28 du RGPD.

Donnée personnelle

Toute information sur une personne identifiable, directement ou en croisant des éléments : un identifiant, une adresse IP, un parcours professionnel daté.

Pseudonymisation

Remplacer l'identité par un code. La donnée reste personnelle et le RGPD s'applique. Seule une anonymisation qui empêche toute réidentification fait sortir du RGPD.

Les niveaux de risque

Le RIA ne régule pas l’IA en bloc. Il classe les usages en niveaux et attache des obligations à chacun. Les modèles à usage général forment une catégorie à part, sous la pyramide, parce qu’ils alimentent des systèmes de tous niveaux.

Classer un usage

Partez de l’usage prévu, pas du nom du modèle. Posez les questions dans l’ordre. Un système peut cumuler haut risque et transparence. La question des données personnelles se pose en parallèle, quelle que soit la réponse.

Ce schéma aide à se repérer. Les exceptions de chaque article restent à lire dans le texte.

Exemple : un assistant de révision pour lycéens

Un RAG répond aux questions des élèves à partir des cours certifiés par l’enseignant, avec citations. L’annexe III, point 3, vise en éducation quatre usages : décider de l’admission (a), évaluer les acquis d’apprentissage, y compris pour orienter le parcours (b), évaluer le niveau d’enseignement accessible (c), surveiller les examens (d). L’assistant n’en fait aucun. Il relève de la transparence : mention IA et marquage des réponses.

La ligne se franchit avec des fonctions qui semblent anodines dans un backlog : un quiz qui juge si l’élève a compris, un parcours adapté à ses erreurs, un score de maîtrise par élève pour l’enseignant. Chacune évalue les acquis ou oriente l’apprentissage, donc tombe dans le point 3 b. Une détection de la frustration ou de l’ennui tomberait, elle, dans l’interdit. Côté RGPD, l’élève est mineur : AIPD quasi certaine, et c’est l’établissement qui est responsable du traitement.

Les dates

Le RIA est entré en vigueur le 1^er août 2024 et s’applique par étapes. L’Omnibus numérique sur l’IA (règlement 2026/1744, en vigueur le 27 juillet 2026) a repoussé les règles haut risque de seize mois pour l’annexe III et d’un an pour l’annexe I.

Le RGPD pour un dev

Le RGPD s’applique à chaque étape où passe une donnée personnelle : données d’entraînement, prompt, contexte injecté par un RAG, journaux, sortie du modèle, sauvegardes. Le responsable du traitement doit pouvoir prouver sa conformité. En pratique, c’est souvent le développeur qui fournit les éléments de cette preuve.

Les principes RGPD, article 5

Finalité

Un objectif précis, fixé avant de choisir l'outil. Réutiliser les données pour un autre objectif demande une analyse de compatibilité.

Minimisation

N'envoyer au modèle que ce dont la tâche a besoin.

Exactitude

Une sortie d'IA fausse sur une personne est une donnée inexacte à corriger.

Conservation limitée

Une durée par type de donnée, puis suppression effective.

Sécurité

Chiffrement, contrôle d'accès, journalisation, gestion des incidents (article 32).

Transparence et loyauté

Informer les personnes de façon claire, avant le traitement.

Les six bases légales RGPD, article 6

Consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime. Un organisme public, comme un collège, s’appuie sur sa mission d’intérêt public. Une entreprise invoque souvent l’intérêt légitime, à condition de mettre en balance les droits des personnes.

Les droits des personnes RGPD, articles 12 à 22

Accès, rectification, effacement, limitation, portabilité, opposition. L’article 22 donne le droit de ne pas faire l’objet d’une décision entièrement automatisée qui produit un effet juridique ou similaire, comme un refus d’embauche sans intervention humaine.

Quand faire une AIPD RGPD, article 35

L’analyse d’impact est obligatoire si le traitement figure sur la liste publiée par la CNIL, ou s’il remplit au moins deux des neuf critères du CEPD : personnes vulnérables (mineurs, salariés), usage innovant comme l’IA, évaluation ou notation, décision automatisée, données sensibles, grande échelle, croisement de données, surveillance systématique, exclusion d’un droit ou d’un service. Un produit d’IA destiné à des élèves ou à des salariés remplit presque toujours deux critères.

Les transferts hors de l’UE RGPD, chapitre V

Appeler l’API d’un fournisseur américain transfère les données du prompt hors de l’UE. Vérifiez sur quoi le transfert repose : certification du fournisseur au Data Privacy Framework UE-États-Unis, clauses contractuelles types, ou traitement en région UE garanti par contrat. Un paramètre « zéro conservation » dans l’API ne dit rien du lieu de traitement.

Les chiffres

Les pourcentages portent sur le chiffre d’affaires annuel mondial. Le montant le plus élevé s’applique, sauf pour les PME et jeunes pousses, où le RIA retient le plus faible. Une amende maximale se prononce rarement, mais les deux textes permettent aussi d’ordonner l’arrêt d’un traitement ou le retrait d’un produit.

Dans le code

Une liste à relire avant la mise en production d’un produit qui utilise un modèle. Chaque ligne peut devenir un ticket.

Documents à vérifier

Ouvrez le texte officiel quand une décision en dépend. Les articles de blog et les outils de vulgarisation datent vite : en septembre 2026, plusieurs affichent encore les dates d’avant l’Omnibus.

Suivre les changements

• Créez un compte « Mon EUR-Lex » et une alerte sur le numéro CELEX 32024R1689. Chaque modification et chaque acte délégué y apparaîtra.
• L’article 7 permet à la Commission d’ajouter ou de modifier des usages de l’annexe III par acte délégué, sans nouveau règlement.
• L’article 6.5 prévoit des lignes directrices avec des exemples d’usages classés à haut risque ou non. Elles aident plus que le texte pour qualifier un produit.
• Les normes harmonisées préparées par le CEN et le CENELEC donneront la façon technique de prouver la conformité d’un système à haut risque.