Le RGPD s’applique à l’IA dès lors qu’un système d’IA traite des données personnelles, que vous entraîniez un modèle, que vous en affiniez un ou que votre équipe se contente de coller des fiches clients dans un assistant. Il vous faut une finalité documentée, une base légale pour chaque étape, une analyse d’impact relative à la protection des données lorsque le risque est élevé, et un moyen pour les personnes d’obtenir une décision humaine lorsqu’une décision automatisée les concerne. L’EU AI Act vient s’ajouter à ce cadre et impose ses propres obligations, notamment en matière de transparence. Ce guide explique comment les deux textes s’articulent pour une entreprise SaaS B2B, et par où commencer.

Il s’agit d’informations générales, et non d’un avis juridique. Votre délégué à la protection des données ou votre conseil juridique doit confirmer comment chacun de ces points s’applique à votre entreprise.

En bref

Sommaire

Comment le RGPD s’applique à l’IA

Le RGPD encadre les données personnelles, pas la technologie. Une analyse du texte relève que l’IA n’y est pas mentionnée explicitement, et que l’article 22 sur la prise de décision automatisée constitue un contrôle indirect de l’IA. Tout le reste découle des principes généraux : licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, sécurité et responsabilité.

Pour une entreprise SaaS, la question pratique est simple. L’IA voit-elle des noms, des e-mails, des journaux d’utilisation liés à un utilisateur, des tickets de support, des factures ou toute autre information identifiant une personne ? Si oui, le RGPD s’applique, même si l’IA est un outil que vous avez acheté et non développé.

Finalité et base légale, étape par étape

Selon les orientations de l’autorité britannique de protection des données, pour chaque opération de traitement distincte dans le développement et le déploiement de l’IA, vous devez identifier et documenter sa finalité ainsi qu’une base légale appropriée avant de traiter quoi que ce soit. Elles précisent aussi que les catégories particulières de données exigent une condition distincte. Ces orientations portent sur le UK GDPR, qui reprend de près les règles de l’UE, et constituent une référence utile pour comprendre la logique.

Les mêmes orientations indiquent que l’entraînement et le déploiement sont des étapes différentes, qui peuvent reposer sur des bases légales différentes. Une base qui convient pour construire un modèle ne couvre pas automatiquement son utilisation sur des données clients en production.

En pratique, rédigez une ligne par cas d’usage de l’IA :

  1. Quelle est la finalité (par exemple, résumer des tickets de support) ?
  2. Quelles données personnelles lit-elle ?
  3. Quelle est la base légale (contrat, intérêt légitime, consentement, obligation légale) ?
  4. Qui est le responsable du traitement, et qui est le sous-traitant ?
  5. Où les données sont-elles stockées et traitées ?

Si vous souhaitez un exposé en langage clair sur la manière de choisir et de documenter une base légale et d’appliquer les principes fondamentaux, cet article sur les principes fondamentaux de protection des données du RGPD montre le même raisonnement appliqué à un système de réservation, et cette logique se transpose aux projets d’IA.

Limitation des finalités, minimisation et exactitude

L’autorité néerlandaise de protection des données cite la limitation des finalités, la minimisation des données et l’exactitude parmi les exigences essentielles du RGPD pour l’IA. Chacune a un effet direct sur la façon dont vous construisez.

Les mêmes orientations néerlandaises renvoient à l’article 32 : vous devez mettre en œuvre des mesures techniques et organisationnelles appropriées, compte tenu de l’état de l’art, du contexte du traitement et des risques pour les personnes.

Ce que le CEPD a dit des modèles d’IA

En décembre 2024, le Comité européen de la protection des données a publié l’avis 28/2024 sur les modèles d’IA. Une synthèse universitaire de l’avis explique que les modèles entraînés sur des données personnelles peuvent conserver ou déduire des informations sur des personnes identifiables, et qu’on ne peut donc pas les supposer anonymes. Elle précise aussi comment l’intérêt légitime peut être justifié une fois l’entraînement terminé. Ce qu’il faut retenir pour les acheteurs : n’acceptez pas d’un fournisseur l’affirmation « le modèle est anonyme » sans demander comment cela a été évalué.

Ce que l’EU AI Act ajoute au RGPD

Les deux textes ont des origines différentes. Selon une étude du Parlement européen, l’AI Act s’inspire d’un modèle de sécurité des produits, tandis que le RGPD protège les données personnelles par des droits et des principes. La même étude note que les obligations peuvent se chevaucher : une analyse d’impact sur les droits fondamentaux (FRIA) et une analyse d’impact relative à la protection des données (AIPD) peuvent faire double emploi, et les obligations de transparence et de journalisation peuvent être redondantes.

Les rôles diffèrent aussi. Le RGPD parle de responsables du traitement et de sous-traitants. L’AI Act parle de fournisseur, importateur, distributeur et déployeur. Une entreprise SaaS peut être à la fois fournisseur de ses propres fonctionnalités d’IA et déployeur du modèle d’un tiers, et responsable du traitement ou sous-traitant pour les données personnelles concernées. Cartographiez chaque rôle pour chaque cas d’usage.

GDPR Règlement européen sur l’IA
Point de départ Données personnelles et droits des personnes Le système d’IA et son niveau de risque
Rôles clés Responsable du traitement, sous-traitant Fournisseur, déployeur, importateur, distributeur
Documents types Registres des activités de traitement, AIPD Documentation technique, journaux, FRIA pour certains usages à haut risque
Intervention humaine Droit de ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques Contrôle humain pour les systèmes à haut risque

Certaines autorités nationales ont souligné qu’un système peut respecter l’une des lois tout en enfreignant l’autre, d’où la nécessité d’une approche au cas par cas. L’autorité belge ajoute que le règlement sur l’IA s’appuie sur la responsabilité prévue par le RGPD, avec une notification formelle des incidents et une gouvernance avec intervention humaine.

NIS2 en est le troisième volet : elle porte sur la cybersécurité et la gestion des risques des entités concernées, et non sur l’IA en particulier. Si votre entreprise entre dans son champ d’application, les mesures de sécurité que vous mettez en place autour des systèmes d’IA relèvent du même processus de gestion des risques. Savoir si vous êtes concerné est une question à poser à votre conseil juridique.

Obligations de transparence lorsque l’IA est en contact avec des personnes

La transparence apparaît dans les deux textes, et on les confond souvent.

Le calendrier compte. Le AI Act Service Desk de la Commission indique que les obligations de l’article 50 sont devenues applicables le 2 août 2026, et que les fournisseurs de systèmes mis sur le marché avant cette date ont jusqu’au 2 décembre 2026 pour satisfaire à certaines exigences de marquage et de détection.

Pour une entreprise SaaS, les cas courants sont un chatbot dans votre produit ou votre widget de support, et les textes ou images générés que vous publiez. Indiquez clairement que le chatbot est une IA et vérifiez comment vos outils marquent les contenus générés. Pour approfondir les articles 4 et 50, consultez notre guide Les articles 4 et 50 du règlement européen sur l’IA pour les SaaS.

Spécialiste du support testant un chatbot produit

Analyses d’impact, supervision humaine et décisions automatisées

Trois garanties reviennent le plus souvent.

AIPD. L’autorité belge explique qu’une AIPD est requise dans certains cas, notamment pour les traitements à haut risque et le recours à de nouvelles technologies. L’autorité néerlandaise indique de même qu’il en faut une lorsque des systèmes algorithmiques traitent des données personnelles et que les risques pour la vie privée sont élevés. En cas de doute, réalisez-en une. C’est moins coûteux que d’avoir à expliquer plus tard pourquoi vous ne l’avez pas fait.

Contrôle humain. Le règlement sur l’IA exige un contrôle humain pour les systèmes à haut risque tout au long du développement, du déploiement et de l’utilisation, et la même source belge le mentionne en parallèle de l’exigence de FRIA.

Décisions automatisées. En vertu du RGPD, les personnes ont le droit de ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques les concernant. Si un agent IA pouvait décider qui obtient un contrat, une limite de crédit ou l’accès à un service, intégrez une étape d’approbation humaine dans le processus.

Une checklist AI Act pour les équipes SaaS

Selon la présentation du règlement sur l’IA par la Commission, les systèmes à haut risque doivent couvrir l’évaluation et l’atténuation des risques, la qualité des jeux de données, la journalisation, la documentation technique, l’information des déployeurs, le contrôle humain, la robustesse, la cybersécurité et l’exactitude. La plupart des produits SaaS ne sont pas à haut risque, mais cette liste constitue une bonne référence pour toute IA qui touche aux données de personnes.

Les échéances pour les systèmes à haut risque sont plus tardives que beaucoup ne le pensent. La FAQ du Service Desk indique que les systèmes relevant de domaines sensibles comme l’emploi (annexe III) doivent être conformes d’ici le 2 décembre 2027, et ceux intégrés dans des produits réglementés (annexe I) d’ici le 2 août 2028. Consultez la page officielle pour connaître la situation actuelle, car les calendriers peuvent évoluer.

Une liste de contrôle opérationnelle :

  1. Recensez chaque usage de l’IA. Incluez les outils adoptés individuellement.
  2. Classez chacun d’eux. S’agit-il d’un chatbot, d’un assistant interne, d’un modèle de scoring ou d’un système qui prend des décisions concernant des personnes ? Demandez à votre conseil juridique si un usage est à haut risque.
  3. Cartographiez les rôles. Fournisseur, déployeur, responsable du traitement, sous-traitant.
  4. Documentez la finalité et la base juridique pour chaque étape.
  5. Réalisez une AIPD lorsque le risque est élevé.
  6. Définissez les autorisations. L’IA ne doit lire et modifier que ce que l’utilisateur pourrait lire et modifier.
  7. Ajoutez des étapes d’approbation pour les actions aux conséquences réelles.
  8. Conservez des journaux de ce que l’IA a lu, écrit et déclenché.
  9. Signalez les interactions avec l’IA et les contenus générés.
  10. Formez les équipes. L’article 4 demande une maîtrise de l’IA.
  11. Vérifiez les fournisseurs. Où les données sont-elles traitées, et servent-elles à entraîner leurs modèles ?
  12. Désignez un responsable. Une personne nommément identifiée doit en répondre.

Notre cadre de gouvernance de l’IA pour les entreprises SaaS B2B en fait une structure opérationnelle.

Là où l'IA n'a pas sa place

Une bonne conformité consiste aussi à décider ce que l’IA ne doit pas faire. Nous tiendrions l’IA à l’écart des domaines suivants :

Construire d’abord le socle de données

La plupart des difficultés liées au RGPD avec l’IA commencent dans les données, pas dans le modèle. Si vous ne pouvez pas dire où se trouvent les données d’un client, quel système fait foi et qui peut les lire, vous ne pouvez pas répondre aux demandes d’accès ou de suppression, ni contrôler ce que lit une IA.

C’est pourquoi nous travaillons dans un ordre précis :

  1. Socle de données. Vos données CRM et financières deviennent la source de référence, et les systèmes qui les entourent sont réconciliés en une seule version validée.
  2. Couche IA. L’assistant que votre équipe utilise déjà est connecté à ces données via MCP, dans le cadre des autorisations.
  3. Agents par département. Des agents conçus sur mesure pour la Finance, les Ventes et le Customer Success, afin que chacun puisse interroger, produire des rapports et rechercher des informations dans l’ensemble des systèmes, et mettre à jour des enregistrements ou déclencher des processus avec validation lorsque nécessaire et une piste d’audit.

Le développement, le pilote et les tests s’exécutent sur une infrastructure européenne auto-hébergée en Allemagne, et le RGPD, NIS2 et l’EU AI Act sont traités comme des exigences de conception dès le départ. Aucune conception ne garantit la conformité, et cette appréciation vous revient, ainsi qu’à votre conseil juridique. Mais un système doté d’autorisations, de validations et de journaux rend les questions des autorités de contrôle beaucoup plus faciles à traiter. Vous pouvez voir comment cela fonctionne en pratique sur notre page consacrée aux agents IA pour la Finance, les Ventes et le Customer Success, et le portail d’administration montre comment les accès et les validations sont gérés en un seul endroit.

Notre point de vue

Nous observons le même schéma dans les entreprises SaaS en croissance. Les équipes utilisent déjà l’IA, dans le CRM, au support, en finance, et personne n’en est responsable. Personne n’a décidé quelles données elle peut lire, personne ne conserve de trace de ce qu’elle a fait, et la notice de confidentialité a été rédigée avant que tout cela n’existe.

Selon nous, la conformité est avant tout un problème d’exploitation. Une politique de confidentialité n’empêche pas un assistant de lire un enregistrement qu’il ne devrait pas lire. Les autorisations, les validations et les journaux, si. C’est pourquoi nous commençons par le socle de données, puis connectons la couche IA, puis construisons des agents par département, et pourquoi nous adoptons l’IA un processus à la fois, en commençant par le plus coûteux.

Il est également utile qu’une seule personne décide où l’IA est rentable et la mette en œuvre, afin que la stratégie et le système opérationnel ne divergent pas. C’est l’idée d’un Chief AI Officer à temps partagé, fort de 25 ans d’expérience dans la direction des opérations. Nous concevons conformément au RGPD, à NIS2 et à l’EU AI Act dès le premier jour, et vous êtes propriétaire du code source, de la documentation et de l’infrastructure à la remise.

Nous ne donnons pas de conseil juridique, et rien de ce que nous construisons ne garantit la conformité. Nous rendons les systèmes plus faciles à gouverner, et nous travaillons aux côtés de votre conseil juridique.

Claus Nielsen

Par où commencer

Si l’IA est déjà utilisée et que personne n’en est responsable, la première étape est un état des lieux honnête. Notre AI Readiness Assessment démarre à partir de €4,500 et examine vos données, vos processus et votre exposition réglementaire, afin que vous sachiez où l’IA est rentable et où elle ne l’est pas. Pour un suivi dans la durée, le contrat de Chief AI Officer à temps partagé comporte trois niveaux : Advisor à partir de €3,000 par mois, Operating à partir de €6,500 par mois et Embedded à partir de €11,000 par mois.

Les réalisations sont facturées soit à 30% de l’économie de la première année, une fois mesurée et prouvée, soit à un prix fixe convenu avant le début des travaux. Vous pouvez aussi réserver un appel de découverte gratuit de 30 minutes via notre site principal.

FAQ

Le RGPD s’applique-t-il si nous utilisons uniquement un outil d’IA tiers ?

Oui, si des données personnelles y sont saisies. Vous êtes en général le responsable du traitement et le fournisseur de l’outil est un sous-traitant ; il vous faut donc un accord, une finalité et une base légale, et vous devez savoir où les données sont traitées. Vérifiez si le fournisseur utilise vos données saisies pour entraîner ses modèles.

L’EU AI Act remplace-t-il le RGPD ?

Non. Les deux s’appliquent en parallèle. Le RGPD protège les données personnelles, tandis que l’AI Act réglemente les systèmes d’IA selon leur niveau de risque. Un même cas d’usage de l’IA peut déclencher des obligations au titre des deux textes, et certains documents, comme les analyses d’impact, peuvent se recouper.

Faut-il une AIPD pour chaque projet d’IA ?

Pas nécessairement. Une AIPD est requise dans certains cas, notamment pour les traitements à haut risque et les nouvelles technologies, selon l’autorité belge. Si un système d’IA traite des données personnelles d’une manière susceptible d’affecter gravement les personnes, réalisez-en une. Interrogez votre délégué à la protection des données en cas de doute.

Que devons-nous dire aux utilisateurs au sujet de l’IA ?

Au titre du RGPD, expliquez quelles données personnelles vous traitez et pourquoi. Au titre de l’article 50 de l’AI Act, applicable depuis le 2 August 2026, les personnes doivent être informées lorsqu’elles interagissent directement avec un système d’IA, et les contenus générés par l’IA doivent être marqués dans un format lisible par machine. Votre conseil juridique peut confirmer quelles parties s’appliquent à vos produits.

Un agent IA peut-il prendre seul des décisions concernant des clients ?

Pour des tâches courantes à faible impact, oui, dans le cadre des autorisations et avec des journaux. Pour les décisions produisant des effets juridiques ou des effets significatifs similaires sur une personne, le RGPD donne aux personnes le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé. Prévoyez-y une révision humaine.

Sources