AI Act et RGPD : ce qu’il faut savoir avant d’utiliser un assistant en entreprise

Deux textes, deux points de vue

Lorsqu’une entreprise adopte un assistant IA, deux textes européens entrent en jeu. Le RGPD encadre les données personnelles : lesquelles peuvent être traitées, pour quelles finalités et avec quelles garanties. Le règlement européen sur l’IA (AI Act) encadre les systèmes d’intelligence artificielle en tant que tels : leur classification selon le risque et les obligations qui pèsent sur ceux qui les développent et ceux qui les utilisent.

Les deux ne se recouvrent qu’en partie. Un assistant qui répond à des questions sur les commandes et les factures traite presque toujours des données personnelles, comme les noms des interlocuteurs chez les clients, et relève donc du RGPD. Dans le même temps, l’entreprise qui l’utilise est, au sens de l’AI Act, un déployeur du système, avec des responsabilités propres qu’elle ne peut pas déléguer entièrement au fournisseur.

RGPD

• Protège les données personnelles
• Finalité et base légale
• Droits des personnes concernées

AI Act

• Encadre les systèmes d’IA
• Approche fondée sur le risque
• Obligations des fournisseurs et déployeurs

Classer les usages

L’AI Act ne traite pas tous les usages de la même façon. Certaines pratiques sont interdites, certains domaines sont considérés à haut risque, comme le recrutement ou l’évaluation des salariés, d’autres entraînent surtout des obligations de transparence. La plupart des usages de bureau relèvent des catégories aux exigences les plus légères, mais c’est une conclusion à vérifier au cas par cas, pas à présumer.

Le premier travail concret est donc un inventaire : à quoi l’entreprise utilise-t-elle l’assistant, ou compte-t-elle l’utiliser ? Répondre à des questions sur les clients et les documents, rédiger des brouillons ou résumer des rapports n’a rien à voir avec le tri de candidatures ou l’évaluation des performances. Si un cas d’usage touche des domaines sensibles, il doit être examiné avec une attention particulière avant son activation, idéalement avec un conseil juridique.

1. 01 Lister les cas d’usage
2. 02 Indiquer les données concernées
3. 03 Évaluer le niveau de risque
4. 04 Décider et documenter

Les obligations du déployeur

Même pour les usages à risque limité, certaines précautions s’imposent toujours. L’AI Act demande aux déployeurs de veiller à un niveau suffisant de maîtrise de l’IA chez les personnes concernées : savoir ce que fait l’outil, où il peut se tromper et comment vérifier ses résultats. Toute personne qui interagit avec un système d’IA, ou qui reçoit un contenu généré, doit pouvoir le savoir lorsque les circonstances l’exigent.

Côté RGPD, les questions sont les questions habituelles, appliquées à un nouvel outil. Quelle est la base légale du traitement, quelles données sont réellement nécessaires, qui agit en tant que sous-traitant, où les données sont-elles traitées et quittent-elles l’Union européenne ? Pour les traitements susceptibles d’engendrer un risque élevé pour les personnes, une analyse d’impact peut être requise.

Le fournisseur du service d’IA doit être traité comme tout autre prestataire qui traite des données personnelles pour le compte de l’entreprise : un contrat adapté, des garanties documentées et une vérification de ses mesures de sécurité.

Avant l’activation

• Base légale identifiée
• Données limitées au nécessaire
• Contrat avec le fournisseur
• Lieu de traitement connu
• Équipes formées

Traçabilité et contrôle humain

Les deux textes récompensent un principe simple : pouvoir démontrer ce qui s’est passé. Un journal des requêtes indiquant l’utilisateur, la question, les sources consultées et les opérations exécutées permet de répondre à une demande d’accès d’une personne concernée, de reconstituer une erreur et de montrer que les règles internes sont réellement appliquées.

Le contrôle humain est l’autre pilier. Un assistant qui prépare et laisse la personne décider est plus facile à encadrer qu’un système qui agit seul. Même lorsque la loi ne l’impose pas, exiger une confirmation explicite pour les opérations qui modifient des données ou communiquent vers l’extérieur réduit les risques et simplifie chaque vérification ultérieure.

Les règles les plus utiles sont celles que l’on peut démontrer, pas seulement déclarer.

Une méthode durable

Inutile de transformer chaque projet en dossier juridique. Un document court décrivant les usages autorisés, les données admises, les modèles utilisés et la personne chargée de contrôler le journal couvre l’essentiel des besoins, et se met à jour à chaque nouveau cas d’usage. Le délégué à la protection des données, s’il existe, doit être associé dès le départ.

Le module AI d’Innovaq est conçu pour soutenir cette méthode. L’assistant respecte les droits de chaque utilisateur, cite ses sources, journalise chaque requête, n’exécute d’opération qu’après confirmation et vous laisse choisir entre modèles du marché et modèles dédiés selon l’endroit où les données doivent rester. La conformité reste la responsabilité de l’entreprise, mais les outils pour l’exercer sont déjà en place.