Guide

Protection des données et conformité IA et l'EU AI Act : obligation d'identification

Depuis août 2026 s'appliquent les obligations de transparence de l'EU AI Act. Ce que cela signifie concrètement pour la conformité IA, qui est concerné et ce qu'il faut réellement faire dans la mise en œuvre.

Demander une évaluation ↗Protection des données et conformité IA

Offre sur demande3 à 5 semainesÉtat 2026

En bref

Depuis août 2026 s'appliquent les obligations de transparence de l'article 50 de l'EU AI Act : qui communique directement avec un système d'IA doit pouvoir le reconnaître. Nous intégrons l'identification de manière standard. Pour la conformité IA, cela signifie : l'identification est obligatoire, non optionnelle, et s'applique indépendamment de la taille de l'entreprise — une entreprise individuelle est tout autant concernée qu'un groupe. Ce qui compte, c'est la finalité d'utilisation et le risque, non le nombre de collaborateurs.

01 — Situation juridique

EU AI Act : ce qui s'applique

Depuis août 2026, les obligations de transparence de l'article 50 de l'EU AI Act s'appliquent : quiconque communique directement avec un système IA doit pouvoir le reconnaître. Nous intégrons l'identification par défaut.

L'AI Act ne fait pas de distinction selon la taille de l'entreprise : une entreprise individuelle avec un système IA au contact client est concernée au même titre qu'un groupe. Ce qui compte, ce sont l'objectif d'utilisation et le risque, pas le nombre d'employés.

S'ajoute l'obligation de garantir une compétence IA suffisante des personnes concernées. Ce n'est pas une obligation d'examen, mais cela devrait être documenté — une formation avec liste des participants est la preuve la plus simple.

02 — Protection des données

Ce qu'exige le RGPD

Dès que des données à caractère personnel sont traitées — et cela arrive plus vite qu'on ne le pense, par exemple dès que quelqu'un saisit un nom ou un numéro de téléphone — les obligations habituelles s'appliquent : indiquer la base juridique, définir la finalité, respecter la minimisation des données, définir les délais de suppression, informer les personnes concernées.

Concrètement, cela signifie pour la protection des données et la conformité IA : un contrat de sous-traitance avec chaque prestataire impliqué, la vérification du lieu de traitement, un délai de suppression documenté et un passage compréhensible dans la déclaration de protection des données. Trois éléments manquent presque toujours en pratique : le délai de suppression défini, la mention à l'endroit où les données sont collectées et la clarification de la question de savoir si le fournisseur utilise les données pour son propre entraînement.

Une analyse d'impact relative à la protection des données n'est nécessaire qu'en cas de risque élevé probable — ce qui n'est pas le cas pour la plupart des projets de ce type. L'examen lui-même devrait néanmoins être documenté, afin qu'il soit possible de justifier a posteriori pourquoi il a été écarté.

03 — Risques

Ce qui peut mal tourner

Le système répond faux. Limitez cela en le faisant travailler exclusivement à partir de contenus vérifiés et en le configurant pour qu'il transfère en cas d'incertitude au lieu de deviner. C'est une décision de configuration, pas une propriété de la technologie.
L'effort est sous-estimé. Raison la plus fréquente : situation de départ floue. Un état des lieux honnête avant l'offre l'évite plus sûrement que n'importe quelle marge de sécurité.
Personne ne le maintient. Le plus grand risque de tous — et le plus facile à éviter.
Failles dans la protection des données. Elles proviennent presque toujours de délais de suppression manquants et de responsabilités floues, rarement de la technologie elle-même.
Dépendance vis-à-vis du fournisseur. Évitable si les accès, données et documentation appartiennent contractuellement au donneur d'ordre.

04 — Questions

Questions fréquentes

Cela s'applique-t-il aussi aux entreprises individuelles ?

Oui. L'AI Act ne fait pas de distinction selon la taille de l'entreprise, mais selon la finalité d'utilisation et le risque. Qui a un chatbot sur son site web est concerné — indépendamment du fait qu'une ou cent personnes travaillent dans l'entreprise.

Un accord verbal dans l'équipe suffit-il au lieu d'une directive écrite ?

Non, en cas de litige ou de contrôle, seul compte ce qui est documenté. Une brève directive écrite protège en outre les nouveaux collaborateurs qui n'ont jamais entendu l'accord verbal.

À quelle fréquence l'inventaire doit-il être actualisé ?

Toujours lorsqu'un nouvel outil est introduit ou que la finalité d'utilisation d'un outil existant change. Une vérification annuelle comme intervalle minimum est judicieuse, même sans raison concrète.

Avons-nous besoin d'une analyse d'impact relative à la protection des données ?

Pas de manière générale. Elle devient nécessaire si le traitement représente probablement un risque élevé pour les personnes concernées — par exemple lors d'un profilage approfondi. Pour un chatbot FAQ sur le site web, elle n'est généralement pas requise. Nous l'examinons au cas par cas et consignons le résultat par écrit.

Et si nous utilisons plusieurs outils d'IA de différents fournisseurs ?

Chaque outil est évalué individuellement — fournisseur, traitement des données et classe de risque diffèrent. La directive d'utilisation résume les résultats, afin que personne n'ait à consulter chaque outil individuellement.

Que nous demande concrètement l'EU AI Act ?

Pour la plupart des entreprises, il s'agit de deux choses : transparence et compétence. Transparence signifie que les personnes doivent reconnaître quand elles communiquent avec un système d'IA ou voient des contenus générés par IA — cela s'applique depuis août 2026. Compétence signifie que les personnes qui déploient de tels systèmes sont suffisamment formées pour cela. Les deux sont documentables et réalisables avec un effort raisonnable.

Les textes générés par IA doivent-ils être identifiés ?

Pour les contenus qui sont publiés et générés synthétiquement ou modifiés de manière substantielle, oui. L'utilisation purement interne — recherche, ébauches, résumés — ne déclenche généralement pas cette obligation.

05 — Suite

Pages correspondantes

Protection des données et conformité IA par région

Prochaine étape

Envoyez-nous quelques phrases sur votre projet.

Nous lisons chaque demande nous-mêmes et vous répondons personnellement. Pas d'équipe commerciale, pas de formulaire de rappel dans le vide.

Envoyer une demande ↗ office@pipeline-solutions.at OU +43 681 207 64 203