AI Act et RGPD : ce que les PME doivent vérifier avant de généraliser l'IA, et comment financer la mise en conformité
Depuis que ChatGPT, Copilot ou Gemini se sont installés dans les usages quotidiens, de nombreuses PME ont laissé leurs équipes adopter ces outils sans cadre formel. Le règlement européen sur l'intelligence artificielle (AI Act) et le RGPD s'appliquent pourtant déjà à une partie de ces usages, même dans une entreprise de 10 ou 50 salariés. La confusion la plus fréquente consiste à croire que ces textes ne visent que les grands groupes ou les éditeurs de logiciels. En pratique, c'est l'utilisation professionnelle de l'IA qui est encadrée, pas seulement sa conception.
Ce que l'AI Act impose réellement aux entreprises utilisatrices
L'AI Act classe les systèmes d'IA par niveau de risque et impose des obligations croissantes selon l'usage qui en est fait, pas seulement selon l'outil utilisé. Une entreprise qui utilise l'IA pour trier des CV, évaluer des salariés ou noter des dossiers clients entre dans une catégorie surveillée, même si elle n'a développé aucun modèle elle-même. Les obligations incluent notamment l'information des personnes concernées, la tenue d'une documentation sur l'usage fait de l'outil, et la supervision humaine des décisions automatisées. Les calendriers d'application s'étalent jusqu'en 2026 et 2027 selon les catégories de systèmes, ce qui laisse un délai réel mais qui se réduit vite pour les entreprises qui n'ont encore rien formalisé. Ignorer ce calendrier n'est pas une option neutre : les sanctions prévues par le texte sont proportionnelles au chiffre d'affaires de l'entreprise, comme pour le RGPD.
RGPD et IA : le risque le plus concret pour une PME
Le risque RGPD le plus fréquent n'est pas l'IA en elle-même, mais la manière dont les salariés l'utilisent au quotidien sans y penser. Copier un contrat client dans ChatGPT pour le résumer, coller un tableau de salaires dans un outil d'analyse, ou connecter un agent IA à une boîte mail professionnelle sans vérifier les paramètres de confidentialité : ce sont des gestes anodins qui peuvent constituer un transfert de données personnelles vers un tiers. La question n'est pas d'interdire ces outils, mais de savoir quelles données y entrent, où elles sont traitées, et si un contrat de sous-traitance encadre cet usage avec l'éditeur. Les offres professionnelles de ChatGPT, Claude ou Copilot proposent des garanties contractuelles différentes des offres grand public gratuites, ce qui change concrètement le niveau de risque. Une entreprise qui n'a jamais fait cet inventaire ne peut pas répondre, en cas de contrôle, à la question simple : quelles données sortent de l'entreprise via l'IA ?
Faire l'audit de ses usages avant de généraliser un outil
Avant toute généralisation d'un outil IA à l'ensemble d'une équipe, un audit simple permet d'éviter l'essentiel des risques : lister les outils IA réellement utilisés, même ceux adoptés spontanément par les salariés, puis identifier pour chacun le type de données traitées. Dans une PME de conseil d'une quarantaine de salariés, cet exercice a par exemple révélé que plusieurs équipes utilisaient des comptes personnels d'outils IA pour traiter des documents clients, sans que la direction en ait connaissance. La correction a consisté à basculer vers des offres professionnelles avec engagement contractuel sur les données, et à fixer une règle claire sur ce qui peut ou non être saisi dans un outil IA. Ce type d'audit prend généralement quelques jours et sert de base à la documentation que l'AI Act commence à exiger pour les usages à risque.
Former les équipes : la protection la plus efficace contre la non-conformité
La majorité des manquements constatés ne viennent pas d'une intention malveillante, mais d'une méconnaissance des règles par les salariés qui utilisent l'IA au quotidien. Une formation qui explique concrètement quelles données ne doivent jamais être saisies dans un outil grand public, comment reconnaître un traitement à risque au sens de l'AI Act, et quels réflexes adopter face à un résultat généré par IA, réduit directement l'exposition de l'entreprise. Cette formation doit s'adresser à la fois aux utilisateurs opérationnels et aux décideurs qui valident l'achat ou le déploiement d'un nouvel outil. Elle a aussi un effet secondaire positif : les équipes formées utilisent mieux les outils, car elles comprennent leurs limites et leurs cas d'usage pertinents, au-delà de la seule question de conformité.
Financer cette mise en conformité par l'OPCO plutôt que l'assumer seul
La formation à l'usage responsable de l'IA entre dans le champ des actions de développement des compétences éligibles au financement par les opérateurs de compétences (OPCO), au même titre qu'une formation bureautique ou réglementaire classique. Selon la taille de l'entreprise et son secteur, une partie significative, voire la totalité, du coût de formation peut être prise en charge, ce qui change le calcul économique pour une PME qui hésite à investir du temps sur ce sujet. La démarche concrète consiste à vérifier l'éligibilité auprès de son OPCO de branche avant d'engager la formation, puis à monter le dossier avec un organisme certifié Qualiopi, condition indispensable pour que la prise en charge soit possible. Traiter la conformité IA comme un sujet de formation financée, plutôt que comme une charge interne supplémentaire, permet souvent d'avancer plus vite sur un sujet que beaucoup de PME reportent par manque de temps ou de budget perçu.
À retenir
- L'AI Act s'applique aux entreprises qui utilisent l'IA, pas seulement à celles qui la développent, avec des obligations qui montent en puissance jusqu'en 2026-2027.
- Le risque RGPD le plus courant vient des usages informels d'outils grand public par les salariés, pas des projets IA officiels de l'entreprise.
- Un audit simple des outils IA réellement utilisés et des données qu'ils traitent est le point de départ de toute mise en conformité.
- La formation des équipes à un usage responsable de l'IA est éligible au financement OPCO, ce qui réduit fortement le coût réel de la mise en conformité.
Vérifiez votre éligibilité au financement OPCO
VIAgence est certifié Qualiopi et forme vos équipes à un usage de l'IA à la fois efficace et conforme au RGPD et à l'AI Act. Prenez rendez-vous pour vérifier gratuitement votre éligibilité au financement OPCO.
Prendre rendez-vous gratuitement
Restez à la pointe de l'IA
ChatGPT, Claude, Midjourney… Les dernières innovations IA décryptées chaque semaine.
Aucun spam. Désinscription en 1 clic.
FAQ
Questions fréquentes
Sur 2 demi-journées avec un show IA (50 cas d'usage concrets) suivi d'ateliers pratiques par service. En présentiel ou à distance selon vos préférences. Certifiées Qualiopi.
Contact
Discutons de votre projet
30 minutes pour explorer comment l'IA peut transformer votre entreprise. Gratuit, sans engagement.
Téléphone
+33 1 73 14 84 80Adresse
32 rue de Paris 92100 Boulogne-Billancourt
Disponibilités
Lun – Ven, 9h – 18h
Réponse garantie sous 24h
Nous traitons chaque demande avec soin. Si vous êtes pressé, appelez-nous directement.