IA générative & entreprise

IA générative en entreprise : ce qu'impose la loi

ChatGPT, Copilot, un assistant de rédaction ou un générateur d'images : ces outils se sont installés dans le quotidien de nombreuses entreprises, souvent sans cadre défini. Deux textes s'appliquent en réalité : l'IA Act et le RGPD. Voici comment s'y retrouver simplement.

Pour le cadre général de l'IA Act, consultez notre guide IA Act : suis-je concerné ?, et pour les usages IA les plus courants en PME (chatbot, tri de CV, scoring...), notre guide IA Act pour les PME. Ici, on se concentre sur un cas précis et très répandu : l'usage d'une IA générative du marché pour rédiger, résumer ou produire du contenu.

Qui est concerné

Vous êtes très probablement un « déployeur », pas un « fournisseur »

Utiliser ChatGPT, Copilot ou un générateur de contenu ne fait pas de votre entreprise le développeur de cette IA. Vous êtes ce que l'IA Act appelle un « déployeur » : vous vous servez d'un outil du marché, conçu et mis en conformité par un autre acteur (le « fournisseur », ici OpenAI, Microsoft ou l'éditeur concerné). Cette distinction, déjà présentée dans notre guide IA Act pour les PME, change tout : vos obligations sont nettement plus légères que celles d'un fournisseur, mais elles restent bien réelles.

Concrètement, en tant que déployeur, on attend surtout de vous : un usage conforme à la notice de l'outil, une vigilance sur les contenus produits, et de la transparence dans certains cas — sans avoir à documenter techniquement le fonctionnement interne du modèle, qui reste la responsabilité du fournisseur.

Volet IA Act

Transparence : que dit l'article 50 ?

L'IA Act prévoit une obligation de transparence pour certains contenus générés ou manipulés par IA (article 50). Deux cas concrets pour une entreprise qui utilise une IA générative :

  • ✓ Marquage des contenus de type « deepfake » (image, audio ou vidéo synthétique faisant croire à un contenu réel) dans certains cas, avec des exceptions notamment pour les usages manifestement artistiques ou créatifs ;
  • ✓ Transparence lorsqu'un contenu généré par IA est présenté comme ayant été produit par un humain — un simple article de blog rédigé avec l'aide d'une IA n'est pas visé de la même façon qu'un contenu qui prétendrait explicitement émaner d'une personne réelle.

Dans la grande majorité des usages en entreprise — rédaction de contenus marketing, résumés internes, aide à la rédaction d'emails — le risque est minimal et il n'existe pas d'obligation spécifique, sauf si vous cherchez à faire passer un contenu généré pour une production strictement humaine.

Volet RGPD

Le vrai risque est souvent ailleurs : les données que vous tapez dans l'outil

L'IA Act encadre l'outil. Le RGPD encadre, lui, les données que vous y saisissez — et c'est un sujet distinct, tout aussi important. Dès qu'un prompt contient des données personnelles (nom d'un client dans un email à rédiger, information RH dans un résumé, coordonnées dans un texte à corriger), vous réalisez un traitement de données au sens du RGPD, avec les conséquences suivantes :

  • ✓ Ce traitement doit reposer sur une base légale (article 6) — le plus souvent l'intérêt légitime ou l'exécution d'un contrat, selon le contexte ;
  • ✓ Il doit être documenté dans votre registre des traitements (article 30), au même titre que vos autres traitements ;
  • ✓ Il doit respecter les mesures de sécurité prévues à l'article 32 du RGPD (confidentialité, intégrité et disponibilité des données, capacité à réagir en cas d'incident).

En pratique, la règle de prudence la plus utile reste simple : évitez de transmettre des données sensibles ou confidentielles (santé, données RH détaillées, secrets d'affaires, données de clients identifiables) à un outil dont vous ne maîtrisez pas précisément l'hébergement ou la politique de réutilisation des données à des fins d'entraînement. En cas de doute sur un outil précis, mieux vaut vérifier ses conditions d'utilisation avant de généraliser son usage à toute l'équipe.

Votre équipe utilise déjà une IA générative ?

Faisons le point ensemble sur vos usages réels et sur ce qui doit être mis en place, sans jargon ni usine à gaz. Consultez aussi nos formules DPO externalisé.

Faire le point avec nous

Contenu à visée informative, à jour au moment de sa rédaction. Il ne constitue pas un conseil juridique personnalisé au sens de la loi n°71-1130 du 31 décembre 1971 — chaque situation mérite une analyse dédiée.