IA en entreprise en 2026 : le cadre légal à connaître

Vous utilisez déjà l'intelligence artificielle en entreprise, souvent sans y penser. Un assistant qui rédige vos e-mails, un logiciel qui trie des candidatures, un outil qui score vos prospects : dès qu'un système apprend sur des données pour produire un résultat, deux cadres légaux s'appliquent à vous.

Beaucoup de dirigeants pensent que ces règles ne visent que les géants de la tech. C'est faux : utiliser un outil d'IA du commerce vous soumet à des obligations, même si vous ne l'avez pas conçu. Cet article donne une vue claire du cadre légal de l'IA en entreprise en 2026, à l'intersection du RGPD, qui protège les données personnelles, et de l'AI Act, qui encadre les systèmes selon leur risque.

Définition — Le cadre légal de l'IA en entreprise repose sur deux textes complémentaires. Le RGPD encadre les données personnelles qui alimentent l'IA. L'AI Act (Règlement (UE) 2024/1689) encadre le système d'IA lui-même, avec des obligations proportionnées à son niveau de risque. Les deux s'appliquent en parallèle.

Points clés

• Utiliser l'IA en entreprise engage deux cadres légaux : le RGPD pour les données personnelles et l'AI Act pour les systèmes d'IA.
• Le RGPD s'applique dès que votre IA traite des données de personnes identifiables : clients, salariés, prospects.
• L'AI Act classe les systèmes en quatre niveaux de risque et gradue les obligations selon ce niveau.
• Vous êtes concerné même en tant que simple utilisateur d'un outil du commerce, pas seulement en tant que concepteur.
• La bonne méthode consiste à recenser vos usages d'IA, puis à traiter ensemble les obligations RGPD et AI Act.

Utiliser l'IA en entreprise : de quoi parle-t-on vraiment

Utiliser l'IA en entreprise, c'est employer un système qui apprend sur des données pour produire un résultat : une prédiction, une recommandation, un contenu ou une décision. Cela va bien au-delà des outils étiquetés « IA ».

Un logiciel de recrutement qui classe des CV, un moteur qui recommande des produits, un assistant qui génère du texte : tous entrent dans cette définition. La plupart des entreprises en utilisent déjà plusieurs, parfois intégrés à des logiciels employés depuis des années.

C'est cette diffusion silencieuse qui pose problème. Vous n'adoptez pas toujours l'IA de façon consciente. Elle arrive par une mise à jour ou un service tiers. D'où la première question : où l'IA est-elle présente dans votre organisation, et sur quelles données travaille-t-elle ?

Bon à savoir — Vous n'avez pas besoin de développer votre propre IA pour être concerné par le cadre légal. Utiliser un outil du commerce dans un cadre professionnel suffit à vous soumettre à des obligations. La question n'est pas « avons-nous de l'IA ? » mais « où et sur quelles données ? ».

IA et RGPD : le premier cadre qui s'applique

Le RGPD s'applique dès que votre système d'IA traite des données personnelles, c'est-à-dire des informations sur des personnes identifiables. Or l'IA fonctionne presque toujours à partir de données, et ces données concernent souvent des clients, des salariés ou des prospects.

Trois exigences reviennent en permanence. Une base légale : un motif valable pour traiter ces données. Une finalité claire : les données servent à un objectif précis. Une transparence : les personnes doivent savoir que leurs données alimentent un traitement automatisé.

L'IA ajoute une difficulté propre. Elle peut produire des décisions difficiles à expliquer, ce que le RGPD encadre quand ces décisions automatisées ont un effet sur les personnes. Notre article RGPD, c'est quoi revient sur ces fondamentaux, utiles avant tout projet d'IA.

Attention — Alimenter un outil d'IA générative avec des données clients ou des documents internes est un traitement de données. Copier un fichier RH dans un assistant public pour « gagner du temps » peut vous exposer. Cadrez les usages avant qu'ils ne se répandent dans les équipes.

IA et AI Act : le second cadre, par niveau de risque

L'AI Act encadre le système d'IA lui-même, avec une logique simple : plus un système peut affecter la sécurité ou les droits des personnes, plus les obligations sont lourdes. Il classe les usages en quatre niveaux.

• Risque inacceptable : usages interdits, comme la notation sociale généralisée des personnes par les autorités publiques.
• Haut risque : usages autorisés mais très encadrés, dans des domaines sensibles comme le recrutement, l'accès au crédit ou l'éducation.
• Risque limité : obligations de transparence, par exemple informer qu'un contenu a été généré par une IA.
• Risque minimal : la grande majorité des usages courants, sans obligation spécifique.

Le même outil peut changer de niveau selon l'usage. Un logiciel d'analyse de texte est anodin pour trier des tickets, mais devient à haut risque s'il sert à évaluer des salariés. C'est l'usage réel qui décide, pas l'outil. Pour approfondir cette grille, consultez notre guide sur l'AI Act et ce qui change pour les entreprises.

Conseil — Ne partez pas des textes, partez de vos usages. Listez d'abord les outils d'IA réellement employés dans l'entreprise, puis situez chacun dans les quatre niveaux de risque. Vous concentrerez ainsi l'effort là où il compte. Pour cadrer cette étape, prenez contact : un premier échange suffit souvent à repérer vos systèmes sensibles.

Comment RGPD et AI Act se combinent en pratique

Le RGPD et l'AI Act s'appliquent en parallèle, car la plupart des systèmes d'IA traitent des données personnelles. L'un encadre les données, l'autre le système. Les traiter séparément revient à faire deux fois le même travail de gouvernance.

Prenons un outil de scoring de prospects. Il apprend sur des données clients : le RGPD impose une base légale, une finalité et de la transparence. Si l'usage devient sensible, l'AI Act ajoute des exigences de supervision et de gestion des risques. Les deux cadres se rejoignent sur un point : la capacité à rendre des comptes.

Une organisation déjà avancée en RGPD part avec un avantage. Son registre des traitements et ses réflexes de gouvernance servent de socle à l'AI Act. Mener la mise en conformité RGPD et la conformité AI Act ensemble évite les doublons.

Bon à savoir — Intégrer le privacy by design dès la conception de vos projets d'IA, c'est prévoir la protection des données avant d'écrire la première ligne de code. Vous évitez de tout reprendre plus tard, quand les choix techniques sont figés et coûteux à modifier.

Vos obligations selon l'usage : le tableau à connaître

Vos obligations dépendent de deux facteurs : les données que traite l'IA (volet RGPD) et le niveau de risque de l'usage (volet AI Act). Le tableau ci-dessous résume les grands cas de figure.

Type d'usage de l'IA	Volet RGPD	Volet AI Act
Assistant génératif sur des données non personnelles	Faible : pas de données personnelles en jeu	Transparence : signaler les contenus générés
Recommandation produit, filtre anti-spam	Base légale et information des personnes	Risque minimal : pas d'obligation spécifique
Scoring de prospects ou de clients	Base légale, finalité, transparence, droits	À évaluer selon la sensibilité de l'usage
Tri de CV, évaluation de salariés	Décision automatisée encadrée, transparence forte	Haut risque : documentation, supervision humaine

Ce tableau donne une orientation, pas un verdict. Le classement fin d'un système demande d'examiner son usage concret, ses données et son contexte. C'est ce travail d'analyse qui sécurise votre conformité.

Attention — Un même outil peut basculer de « risque minimal » à « haut risque » selon la manière dont vous l'employez. Ne vous fiez pas à l'étiquette commerciale du logiciel : c'est l'usage que vous en faites, et les données qu'il traite, qui déterminent vos obligations réelles.

Par où commencer : une conformité réaliste

La première action utile est de cartographier vos usages d'IA, puis de les rattacher aux deux cadres. Sans cette photographie, vous ne savez pas quelles obligations vous concernent ni par où commencer.

Voici une démarche progressive :

1. Recenser tous les systèmes d'IA utilisés, y compris ceux intégrés à des logiciels existants.
2. Identifier les données personnelles que chaque système traite, pour le volet RGPD.
3. Situer chaque usage dans les quatre niveaux de risque de l'AI Act.
4. Prioriser les usages les plus sensibles, notamment le recrutement et l'évaluation des personnes.
5. Documenter et suivre cette conformité dans la durée, en l'ancrant dans vos process.

Selon votre taille, s'appuyer sur un DPO externe permet de tenir cet effort sans mobiliser une ressource interne à plein temps, d'autant que le sujet croise la protection des données. Notre approche est détaillée sur la page à propos du cabinet mydari.

Conseil — Une conformité réaliste, priorisée par les risques, vaut mieux qu'un projet parfait jamais terminé. C'est l'approche que nous appliquons, avec plus de dix clients accompagnés, de la start-up au grand groupe. Prenez contact pour cadrer vos premières étapes.

FAQ

Faut-il développer une IA pour être concerné par le cadre légal ?

Non. Utiliser un outil d'IA du commerce dans un cadre professionnel suffit à vous soumettre à des obligations. Le RGPD s'applique dès que l'outil traite des données personnelles, et l'AI Act encadre l'usage selon son niveau de risque. La taille de l'entreprise ne change rien à ce principe.

Quelle est la différence entre le RGPD et l'AI Act pour l'IA ?

Le RGPD encadre les données personnelles qui alimentent l'IA : base légale, finalité, transparence, droits des personnes. L'AI Act encadre le système d'IA lui-même, avec des obligations graduées selon le risque. Les deux se combinent, car l'IA traite le plus souvent des données personnelles.

Mon entreprise utilise un assistant d'IA générative, suis-je concerné ?

Oui. Vous relevez de l'AI Act au titre de la transparence, notamment pour signaler les contenus générés. Vous relevez aussi du RGPD dès que vous alimentez l'outil avec des données personnelles, comme des e-mails clients ou des documents RH. Cadrez ces usages avant qu'ils ne se répandent.

Quels usages de l'IA sont considérés à haut risque ?

Les usages dans des domaines sensibles relèvent du haut risque, par exemple le tri de candidatures, l'évaluation des salariés, l'accès au crédit ou l'éducation. Ils restent autorisés, mais imposent de la documentation, une gestion des risques et une supervision humaine effective, comme le prévoit l'AI Act.

Par où commencer pour se mettre en conformité ?

Commencez par recenser tous les outils d'IA utilisés, y compris ceux intégrés à vos logiciels existants. Identifiez ensuite les données personnelles traitées, puis situez chaque usage dans les niveaux de risque. Cette cartographie révèle vos priorités réelles avant tout investissement plus lourd.

Le RGPD suffit-il si nous sommes déjà conformes ?

Non, mais il vous donne une avance. Votre registre des traitements et vos réflexes de gouvernance servent de socle à l'AI Act. Le nouveau cadre ajoute une lecture par le risque du système d'IA lui-même, qui complète votre conformité aux données sans la remplacer.

Combien de temps prend une mise en conformité de l'IA ?

Cela dépend du nombre d'outils et de la sensibilité des usages. La cartographie initiale se mène en quelques semaines, mais la conformité reste un travail de fond, à piloter dans la durée. Mieux vaut prioriser les usages sensibles que viser une couverture parfaite d'emblée.

Conclusion

Utiliser l'IA en entreprise en 2026 n'a rien d'interdit ni de réservé aux experts. Cela demande simplement de connaître deux cadres qui se répondent : le RGPD pour les données, l'AI Act pour les systèmes. Une fois cette logique comprise, vous savez où porter votre attention et par quels usages commencer.

La prochaine étape est concrète : recensez vos outils d'IA, puis rattachez-les aux deux cadres. Pour transformer ce guide en démarche priorisée, prenez contact avec nos équipes. Pour approfondir, parcourez notre blog et son guide sur le calendrier d'application du règlement IA.

Pour aller plus loin, consultez le texte du règlement IA sur EUR-Lex et les ressources officielles de la CNIL.

L'équipe mydari

Tous les articles