Gouvernance IA

L'IA en confiance : RGPD, AI Act, gouvernance

La gouvernance IA désigne l'ensemble des règles, rôles et contrôles qui encadrent l'usage de l'intelligence artificielle dans une entreprise : conformité RGPD et AI Act, charte d'usage, validation humaine, traçabilité. Un vrai département IA gère aussi la conformité. L'AI Act s'applique par étapes depuis 2025, avec des échéances claires et de la marge pour s'y préparer. Nous intégrons la conformité dans chaque déploiement, pas après coup.

Réserver mon diagnostic gratuit

Nos convictions

Ce qu'on refuse de déployer

La conformité est un plancher. Nos convictions passent avant. Quatre limites que nous appliquons à chaque déploiement, quel que soit le calendrier réglementaire.

Pas de décisions automatisées sur les personnes

Recrutement, évaluation, sanction : l'IA prépare l'analyse, un humain décide. Toujours. Une position cohérente avec l'AI Act, qui classe ces usages à haut risque.

Pas de systèmes que vos équipes ne comprennent pas

Chaque système livré est documenté, explicable et réversible. Si on ne peut pas vous expliquer comment il décide, on ne le livre pas.

Pas de données clients dans l'entraînement des modèles

Vos données servent vos systèmes, pas l'entraînement des fournisseurs. C'est configuré, écrit et vérifiable.

Pas de déploiement sans humain dans la boucle

Un contenu qui part chez vos clients, un chiffre qui va au COMEX : validation humaine des sorties critiques tant que la fiabilité n'est pas prouvée sur vos cas d'usage, mesurée sur vos données. C'est le principe que nous inscrivons ensuite dans votre charte IA.

Ces limites ne freinent pas la transformation. Elles la rendent durable.

Le calendrier

Les échéances qui vous concernent

L'AI Act est en vigueur depuis août 2024, avec une application échelonnée. Voici les jalons utiles pour une entreprise qui utilise l'IA, sans le jargon.

Février 2025

Maîtrise de l'IA (article 4)

L'AI Act demande aux entreprises qui utilisent l'IA de veiller à un niveau suffisant de maîtrise de l'IA de leurs équipes. Mesures proportionnées à votre contexte, sans certification obligatoire.

Août 2026

Transparence des chatbots (article 50)

À partir du 2 août 2026, vos utilisateurs doivent savoir qu'ils interagissent avec une IA, et les contenus générés doivent être étiquetés le cas échéant. Les autorités peuvent aussi contrôler la maîtrise de l'IA à partir de cette date.

Décembre 2027

Obligations haut risque

Les obligations pour les systèmes à haut risque, notamment les usages RH comme le recrutement et l'évaluation des salariés, ont été reportées à décembre 2027 par l'omnibus de juin 2026. De la marge pour se préparer sereinement.

En continu

RGPD et recommandations CNIL

Base légale, minimisation des données, analyse d'impact (AIPD) pour les traitements à risque. La CNIL publie des fiches pratiques IA et recommande d'encadrer l'IA générative par une charte interne.

Notre approche

Ce qu'on met en place chez vous

La conformité n'est pas une mission à part. Elle est intégrée dans l'audit et dans chaque système livré.

Cartographie et classification des systèmes

Pendant l'audit, chaque système IA existant ou prévu est recensé et classé selon les catégories de risque de l'AI Act. Vous savez exactement où vous en êtes.

Charte IA construite ensemble

Usages autorisés et interdits, données à ne jamais saisir, validation humaine des sorties, point de contact : le contenu que recommande la CNIL, adapté à vos équipes, dès la phase d'audit.

Transparence par défaut dans les agents

Chaque chatbot et agent livré indique clairement qu'il est une IA. L'exigence de l'article 50 est intégrée dès la conception, pas ajoutée après coup.

Volet RGPD de chaque déploiement

Base légale, minimisation des données et information des personnes sont traitées pour chaque système, en lien avec votre DPO quand vous en avez un.

Registre des systèmes et des formations

Un registre interne documente vos systèmes IA et les actions de formation menées. C'est ce qui vous permet de démontrer votre démarche en cas de contrôle.

Veille réglementaire intégrée

Le cadre bouge, on le suit pour vous. Exemple concret : l'omnibus de juin 2026 et le report des obligations haut risque ont été intégrés à nos accompagnements dès leur adoption.

Sans dramatiser

Le vrai niveau de risque, sans dramatiser

La plupart des cas d'usage business relèvent du risque minimal au sens de l'AI Act : reporting, qualification de leads, copilotes internes, synthèses. Les obligations lourdes concernent des catégories précises, comme les usages RH de recrutement ou d'évaluation, à partir de décembre 2027. Le sujet n'est donc pas de tout mettre en conformité dans la panique : c'est de savoir lesquels de vos systèmes sont concernés, et lesquels ne le sont pas. C'est exactement le rôle de la cartographie réalisée pendant l'audit.

Pour situer les enjeux : l'AI Act prévoit des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires pour les manquements de transparence (pour les PME, le montant le plus bas est retenu), et le RGPD jusqu'à 20 millions d'euros ou 4 %. Raison de plus pour traiter le sujet posément, en amont.

Questions fréquentes

Les questions qu'on nous pose sur la conformité

La formation de mes équipes est-elle obligatoire ?

L'article 4 de l'AI Act demande, depuis février 2025, aux entreprises qui utilisent l'IA de veiller à un niveau suffisant de maîtrise de l'IA de leurs équipes. Ce sont des mesures proportionnées à votre contexte : il n'existe pas de certification obligatoire. Nos formations répondent à cette exigence, et nous documentons un registre interne des actions de formation pour que vous puissiez démontrer votre démarche.

Mon chatbot doit-il dire qu'il est une IA ?

Oui, à partir du 2 août 2026 : l'article 50 de l'AI Act prévoit que les utilisateurs sachent qu'ils interagissent avec une IA, et que les contenus générés soient étiquetés le cas échéant. Dans les chatbots et agents que nous livrons, cette transparence est intégrée par défaut : vous n'avez rien à rattraper.

Qu'est-ce qu'une charte IA et en faut-il une ?

La CNIL recommande d'encadrer l'usage de l'IA générative par une charte interne : usages autorisés et interdits, données à ne jamais saisir dans les outils, validation humaine des sorties, et un point de contact pour les questions. Ce n'est pas une obligation légale en soi, mais c'est le socle d'un usage maîtrisé. Nous la construisons avec vous dès la phase d'audit, à partir de vos usages réels.

Mes cas d'usage sont-ils à haut risque ?

Dans la plupart des cas, non. Les usages business courants comme le reporting, la qualification de leads, les copilotes internes ou les synthèses relèvent du risque minimal. La vigilance porte surtout sur les usages RH : le recrutement et l'évaluation des salariés seront classés à haut risque à partir de décembre 2027. C'est précisément le rôle de la cartographie faite pendant l'audit : savoir lesquels de vos systèmes sont concernés, et lesquels ne le sont pas.

Comment gérez-vous le RGPD dans les déploiements ?

Chaque déploiement comporte un volet RGPD : identification de la base légale du traitement, minimisation des données saisies et transmises aux modèles, information des personnes concernées, et analyse d'impact (AIPD) quand le traitement le justifie, comme le recommande la CNIL. Nous travaillons en lien avec votre DPO quand vous en avez un.

Ces informations sont fournies à titre général et ne constituent pas un conseil juridique.