Dans presque toutes les entreprises que nous accompagnons, le constat est le même : ChatGPT, Claude ou Mistral sont déjà utilisés au quotidien.
Pour résumer un compte rendu, rédiger un email, trier des candidatures, analyser un tableau. Souvent sans cadre, parfois sans que la direction le sache vraiment. Et pendant que les usages explosent, deux réglementations, elles, se sont mises en place.
Le sujet devient d'autant plus concret qu'une échéance approche : à partir du 2 août 2026, une partie du régime de sanction de l'AI Act devient applicable. Autant s'y préparer maintenant, calmement, plutôt que dans l'urgence.
Voici, sans jargon inutile, ce qu'une entreprise qui utilise l'IA générative doit vraiment savoir.
Première chose à poser clairement, parce que c'est la source de beaucoup de confusions : utiliser ChatGPT au travail vous place sous deux régimes juridiques distincts et cumulables.
Le RGPD s'applique dès que vous traitez des données personnelles, et donc dès que vous en saisissez dans un outil d'IA. C'est le texte que vous connaissez déjà.
L'AI Act, le règlement européen sur l'intelligence artificielle (règlement UE 2024/1689), est le texte nouveau. Il encadre la mise sur le marché et l'utilisation des systèmes d'IA en Europe, selon une logique de niveaux de risque.
Les deux se superposent. Un même usage de ChatGPT peut donc engager votre responsabilité au titre du RGPD (pour les données) et au titre de l'AI Act (pour l'encadrement du système). Il faut regarder les deux.
C'est le point que la plupart des articles zappent, et c'est pourtant celui qui détermine vos obligations.
L'AI Act distingue le fournisseur (celui qui développe et met sur le marché le modèle : OpenAI, Anthropic, Mistral) et le déployeur (l'organisation qui utilise le système pour son compte). Si vous vous contentez d'utiliser ChatGPT en entreprise, vous êtes un déployeur, pas un fournisseur.
Pourquoi c'est capital ?
Parce que les obligations les plus lourdes, notamment toute la documentation technique des modèles d'IA à usage général (les « GPAI », dont font partie ChatGPT, Claude et Mistral), pèsent sur les fournisseurs, pas sur vous. Vous n'avez pas à produire la documentation d'un modèle que vous n'avez pas conçu.
En revanche, en tant que déployeur, vous avez vos propres obligations : former vos équipes, encadrer les usages, informer les personnes le cas échéant, et surtout rester conforme au RGPD sur tout ce que vous injectez dans l'outil.
Concrètement, le premier danger d'un point de vue conformité n'est pas l'outil en lui-même, c'est la donnée que vos équipes y déposent.
Quand un collaborateur colle un fichier client, un CV, un contrat ou un document interne dans une IA générative, il réalise un traitement de données. Et selon l'offre utilisée, les conséquences diffèrent radicalement.
Sur les versions grand public (les offres gratuites ou individuelles), les données saisies peuvent être réutilisées pour améliorer le modèle, et vous ne disposez d'aucun contrat de sous-traitance encadrant ce traitement. Dans ce cas, il faut considérer que la donnée vous échappe : perte de confidentialité, perte de maîtrise, et à la clé un risque réel de violation de données.
Sur les offres entreprise ou l'API (ChatGPT Enterprise, Claude for Work, Le Chat Enterprise, etc.), le fournisseur s'engage contractuellement à ne pas entraîner ses modèles sur vos données et vous propose un accord de traitement (DPA). Le niveau de protection n'a rien à voir.
La règle à retenir est donc simple : aucune donnée personnelle ou confidentielle sur une version grand public. Si l'entreprise veut utiliser ces outils, elle passe par une offre professionnelle avec DPA, ou par une solution hébergée en interne. Héberger en Europe, par exemple avec une solution comme Mistral, limite en plus les transferts de données hors Union européenne, ce qui est un vrai plus.
Attention toutefois : cela ne vous dispense pas des autres obligations RGPD (base légale, minimisation, information des personnes).
À cela s'ajoutent les exigences classiques de la CNIL, qui a précisé dans ses recommandations comment le RGPD s'applique à l'IA : définir une base légale, minimiser les données, informer les personnes concernées, et encadrer les réutilisations.
Côté AI Act, trois points concernent directement les déployeurs.
La formation des équipes est une obligation, pas une option. L'article 4 impose aux fournisseurs comme aux déployeurs d'assurer un niveau suffisant de « littératie IA » auprès des personnes qui utilisent ces outils. Cette obligation est en vigueur depuis le 2 février 2025, et son régime de sanction devient applicable le 2 août 2026. Autrement dit, laisser vos équipes utiliser l'IA sans les former devient un manquement sanctionnable.
La transparence, si vous exposez un chatbot au public. L'article 50 impose d'informer les personnes lorsqu'elles interagissent avec une IA, et de signaler les contenus générés artificiellement. Si vous déployez un agent conversationnel sur votre site, vos utilisateurs doivent savoir qu'ils parlent à une machine.
En revanche, pas de déclaration générale pour utiliser ChatGPT. Contrairement à une idée répandue, il n'existe pas d'obligation d'enregistrer ChatGPT « avant de l'utiliser ». L'enregistrement dans la base européenne ne vise que les systèmes à haut risque, ce qui n'est en principe pas le cas d'un usage bureautique interne.
Ce que vous devez documenter, c'est votre propre gouvernance, pas le modèle du fournisseur.
L'AI Act prévoit trois paliers d'amendes (article 99) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 M€ ou 3 % pour les manquements aux obligations (documentation, transparence, gouvernance), et jusqu'à 7,5 M€ ou 1 % pour les informations inexactes fournies aux autorités.
Et n'oubliez pas que le RGPD conserve son propre régime, avec des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires. Un même incident (une fuite de données via une IA mal encadrée) peut donc être regardé sous les deux angles.
Le risque le plus fréquent que je rencontre n'est pas théorique, c'est le shadow IA : des salariés qui utilisent leur compte personnel ChatGPT, avec des données de l'entreprise, en dehors de tout cadre. Personne ne l'a autorisé, personne ne le mesure, et pourtant la donnée sort chaque jour.
On ne règle pas ce problème par la seule interdiction. On le règle en offrant une alternative validée et sécurisée, pour que le collaborateur n'ait plus besoin de contourner les règles pour faire son travail.
Voici la feuille de route que je déroule avec mes clients.
1. Former les équipes. C'est l'obligation de l'article 4, sanctionnable dès le 2 août 2026. L'objectif est simple : que chacun sache ce qu'il peut et ne peut pas mettre dans un outil d'IA, et pourquoi.
2. Encadrer par écrit. Mettre à jour la charte informatique et y ajouter une annexe dédiée à l'IA : outils autorisés, données interdites, cas d'usage permis, responsabilités de chacun. C'est ce qui rend les règles opposables à un salarié.
3. Verrouiller les données. Interdire les données personnelles et confidentielles sur les versions grand public. Basculer vers une offre entreprise avec DPA, ou un environnement interne cloisonné, éventuellement une solution européenne pour éviter les transferts hors UE.
4. Cartographier et documenter. Recenser qui utilise quoi et pour quelle finalité, tenir un registre des systèmes d'IA, et réaliser une analyse d'impact (AIPD) lorsque le traitement le justifie.
5. Traiter le shadow IA. Rendre visibles les usages réels, puis proposer l'outil validé qui rend l'alternative sauvage inutile.
6. Gouverner dans la durée. Nommer un référent IA, revoir les usages régulièrement, tracer les décisions. La conformité IA n'est pas un projet ponctuel, c'est un cycle.
Utiliser l'IA générative en entreprise n'est ni interdit ni risqué en soi. Ce qui l'est, c'est de le faire sans cadre.
Deux réglementations se superposent désormais, le RGPD pour les données et l'AI Act pour le système, et la bonne nouvelle, c'est qu'une gouvernance claire répond aux deux en même temps. Former, encadrer, verrouiller les données, documenter : ce sont les mêmes réflexes qui vous protègent sur les deux tableaux.
L'échéance du 2 août 2026 est un bon prétexte pour s'y mettre. Mais le vrai bénéfice n'est pas d'éviter une amende, c'est de laisser vos équipes utiliser ces outils formidables sans mettre l'entreprise en danger.
Chez DataTreat, nous réalisons un audit de vos usages d'IA : cartographie des outils et du shadow IA, rédaction de votre charte et de son annexe IA, plan de formation conforme à l'article 4, et mise en place de votre gouvernance. En quelques jours, vous savez où vous en êtes et par quoi commencer.
Prenons rendez-vous sur datatreat.fr.
Lisez nos derniers articles et restez informés sur l'IA.
.png){kind=icon}