5.4RGPD, AI Act & cadre légal
Deux textes structurent l'usage professionnel de l'IA en Europe. Le RGPD (2018) : dès qu'une donnée personnelle entre en jeu, ses principes s'appliquent — base légale, minimisation, droits des personnes, et l'article 22 qui encadre les décisions entièrement automatisées. L'AI Act (règlement européen sur l'IA, application progressive 2025-2027) : une approche par les risques — pratiques interdites, systèmes « à haut risque » très encadrés (dont le recrutement !), obligations de transparence, et formation à la maîtrise de l'IA exigée des organisations (article 4).
Objectif de cette section : les repères pratiques — pas un cours de droit. Vous saurez reconnaître les situations réglementées de votre quotidien et les bons réflexes associés.
Vocabulaire de la section
- RGPD
- Le règlement européen sur les données personnelles : s'applique pleinement quand l'IA traite des informations sur des personnes (clients, salariés, candidats).
- Article 22 RGPD
- Le droit de ne pas faire l'objet d'une décision entièrement automatisée à effet significatif (refus de crédit, rejet de candidature…) : l'humain doit rester dans la boucle.
- AI Act
- Le règlement européen sur l'IA : pratiques interdites (manipulation, notation sociale…), haut risque (recrutement, crédit, éducation…), obligations de transparence, sanctions substantielles.
- Haut risque
- Les usages listés très encadrés — le tri de candidatures et l'évaluation des salariés en font partie : conformité lourde exigée.
- Maîtrise de l'IA (art. 4)
- L'AI Act demande aux organisations d'assurer un niveau suffisant de compétence IA à leurs équipes — ce guide y contribue.
Selon l'AI Act, le tri automatisé de candidatures est…
En pratique — Le radar réglementaire appliqué à vos usages
- Reprenez vos usages listés en 4.5 et marquez ceux qui touchent des données personnelles : le RGPD s'y applique (minimisation, outil validé, pas de décision automatisée).
- Repérez les usages « haut risque » potentiels autour de vous (RH : tri de CV, évaluation) : qui, dans l'organisation, en valide la conformité ?
- Testez le réflexe transparence : lesquels de vos contenus générés devraient être signalés comme tels (chatbots face au public, contenus synthétiques) ?
- Notez les 3 questions à poser à votre DPO/référent : c'est la bonne porte d'entrée — pas l'auto-interprétation des textes.
Points clés à retenir
- Donnée personnelle = RGPD, quel que soit l'outil : minimisation, base légale, droits des personnes.
- Pas de décision automatisée à effet significatif sans humain dans la boucle (art. 22).
- AI Act : recrutement et évaluation des personnes = haut risque, conformité lourde — ne s'improvise pas.
- Les questions réglementaires se posent au DPO/juriste : votre rôle est de les repérer, pas de les trancher.
Questions fréquentes
L'AI Act s'applique-t-il à moi, simple utilisateur en entreprise ?
Il pèse d'abord sur les fournisseurs et les organisations « déployeuses » — mais il vous touche concrètement : formation exigée, usages encadrés (transparence, supervision humaine), pratiques interdites. Suivre la charte interne vous met du bon côté.
Quelles sanctions en cas de manquement ?
RGPD : jusqu'à 4 % du chiffre d'affaires mondial. AI Act : jusqu'à 7 % ou 35 M€ pour les pratiques interdites. À l'échelle individuelle, le risque est disciplinaire — raison de plus pour des règles d'équipe claires (5.5).