L'IA en confiance : RGPD, AI Act, vos données

L'article 4 de l'AI Act demande, depuis février 2025, aux entreprises qui utilisent l'IA de veiller à un niveau suffisant de maîtrise de l'IA de leurs équipes. Ce sont des mesures proportionnées à votre contexte : il n'existe pas de certification obligatoire. Nos formations répondent à cette exigence, et nous documentons un registre interne des actions de formation pour que vous puissiez démontrer votre démarche.

Oui, à partir du 2 août 2026 : l'article 50 de l'AI Act prévoit que les utilisateurs sachent qu'ils interagissent avec une IA, et que les contenus générés soient étiquetés le cas échéant. Dans les chatbots et agents que nous livrons, cette transparence est intégrée par défaut : vous n'avez rien à rattraper.

La CNIL recommande d'encadrer l'usage de l'IA générative par une charte interne : usages autorisés et interdits, données à ne jamais saisir dans les outils, validation humaine des sorties, et un point de contact pour les questions. Ce n'est pas une obligation légale en soi, mais c'est le socle d'un usage maîtrisé. Nous la construisons avec vous dès la phase d'audit, à partir de vos usages réels.

Dans la plupart des cas, non. Les usages business courants comme le reporting, la qualification de leads, les copilotes internes ou les synthèses relèvent du risque minimal. La vigilance porte surtout sur les usages RH : le recrutement et l'évaluation des salariés seront classés à haut risque à partir de décembre 2027. C'est précisément le rôle de la cartographie faite pendant l'audit : savoir lesquels de vos systèmes sont concernés, et lesquels ne le sont pas.

Chaque déploiement comporte un volet RGPD : identification de la base légale du traitement, minimisation des données saisies et transmises aux modèles, information des personnes concernées, et analyse d'impact (AIPD) quand le traitement le justifie, comme le recommande la CNIL. Nous travaillons en lien avec votre DPO quand vous en avez un.

Uniquement les personnes qui travaillent sur votre mission, avec des comptes nominatifs créés dans vos outils et des accès limités au périmètre nécessaire (principe du moindre privilège). Comme ces accès vivent chez vous, vos équipes peuvent les auditer, les restreindre ou les révoquer à tout moment, sans dépendre de nous.

Les accès nominatifs de nos intervenants sont révoqués, et tout ce qui a été construit reste chez vous : les systèmes tournent dans vos comptes, les playbooks documentés vous sont remis, et la propriété intellectuelle vous revient intégralement. Vous pouvez opérer, modifier ou confier les systèmes à qui vous voulez. C'est ce que nous appelons la réversibilité.

Non, jamais. Vos données servent vos systèmes et rien d'autre : elles ne sont ni réutilisées pour d'autres clients, ni intégrées à des bases mutualisées, ni soumises à l'entraînement des modèles. Ce que nous capitalisons entre les missions, ce sont nos méthodes et nos patterns, jamais vos données.

Les deux. Nous disposons d'un DPA type, disponible sur demande, que vous pouvez faire relire par vos équipes juridiques. Et si votre entreprise impose son propre modèle d'accord de traitement des données, nous l'examinons et le signons après revue. L'objectif est le même dans les deux cas : un cadre contractuel clair avant le premier accès à vos outils.