IA et RGPD s’appliquent ensemble dès qu’un système d’intelligence artificielle traite des données personnelles. Le règlement européen sur l’IA, dit AI Act, ne remplace donc pas le RGPD. Toutefois, son calendrier a changé le 27 juillet 2026, avec l’entrée en vigueur du règlement Omnibus (UE) 2026/1744 qui reporte les obligations des systèmes à haut risque.
Or vos salariés utilisent déjà des assistants conversationnels, souvent sans cadre. Cette page vous donne donc le calendrier vérifié sur EUR-Lex, les règles du RGPD qui s’appliquent à chaque projet, les recommandations de la CNIL, puis la méthode pour encadrer l’IA générative et les agents. Pour le détail des obligations entrées en application cet été, lisez AI Act : ce qui s’applique vraiment le 2 août 2026.
AI Act : le calendrier après l’Omnibus de juillet 2026
Le règlement (UE) 2024/1689 du 13 juin 2024 a été publié au Journal officiel le 12 juillet 2024. Ainsi, son article 113 fixait une application générale au 2 août 2026, avec des étapes plus précoces. Ensuite, le règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet 2026, a modifié ces dates. Il est entré en vigueur le troisième jour suivant sa publication.
| Date | Ce qui s’applique |
|---|---|
| 2 février 2025 | Dispositions générales, dont la maîtrise de l’IA (article 4), et pratiques interdites (article 5) |
| 2 août 2025 | Modèles d’IA à usage général, gouvernance, sanctions |
| 27 juillet 2026 | Entrée en vigueur de l’Omnibus ; articles 102 à 110 applicables |
| 2 août 2026 | Application générale, dont les obligations de transparence de l’article 50 |
| 2 décembre 2026 | Nouvelles interdictions sur les contenus intimes non consentis ; marquage des contenus pour les systèmes mis sur le marché avant le 2 août 2026 |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (emploi, éducation, accès aux services essentiels, par exemple) |
| 2 août 2028 | Systèmes à haut risque de l’annexe I (produits déjà réglementés) |
| 2 août 2030 | Mise en conformité des systèmes à haut risque déjà utilisés par des autorités publiques |
Ce que l’Omnibus change pour vous
L’Omnibus réécrit d’abord l’article 4. Désormais, fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » par leur personnel. Le texte précise aussi qu’il n’impose pas un niveau de maîtrise précis pour chaque personne. Former vos équipes reste donc attendu ; seule l’obligation de résultat individuelle disparaît.
Ensuite, il ajoute à l’article 5 deux interdictions applicables le 2 décembre 2026. Elles visent donc les systèmes qui génèrent des images intimes réalistes d’une personne identifiable sans son consentement explicite, et les contenus pédopornographiques. Enfin, il crée un article 4 bis qui permet, sous garanties strictes, de traiter des données sensibles pour détecter et corriger les biais.
Les sanctions prévues par l’AI Act
D’abord, l’article 99 prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour une pratique interdite. Ensuite, pour les autres manquements, dont ceux des déployeurs (article 26) et les obligations de transparence (article 50), le plafond atteint 15 millions d’euros ou 3 %. Enfin, ces montants s’ajoutent au risque de sanction au titre du RGPD lorsque des données personnelles sont en jeu.
IA et RGPD : les règles qui s’appliquent à chaque projet
L’Omnibus a récrit l’article 2, paragraphe 7, de l’AI Act. Ainsi, le droit de l’Union sur la protection des données s’applique aux données traitées dans ce cadre, et l’AI Act n’a pas d’incidence sur le RGPD, sauf pour l’article 4 bis et les bacs à sable réglementaires de l’article 59. La CNIL résume la même idée dans ses recommandations sur le développement des systèmes d’IA : lorsque des données personnelles servent à développer un système d’IA, les deux règlements s’appliquent.
Base légale : l’intérêt légitime sous conditions
D’abord, tout traitement repose sur l’une des six bases de l’article 6 du RGPD. Pour le développement de systèmes d’IA, par exemple, la fiche 8 de la CNIL estime que l’intérêt légitime sera la base la plus courante. Toutefois, elle exige d’en respecter les conditions et d’ajouter des garanties suffisantes, en particulier en cas de moissonnage de données en ligne. En revanche, pour l’usage d’un outil en entreprise, la base dépend de la finalité : gestion RH, relation client ou mission de service public n’aboutissent pas au même choix.
AIPD : quand l’IA déclenche l’analyse d’impact
La fiche 5 de la CNIL explique dans quels cas réaliser une analyse d’impact sur la protection des données (AIPD) pour un modèle d’IA. Ensuite, côté déploiement, l’article 26, paragraphe 9, de l’AI Act demande aux déployeurs de systèmes à haut risque d’utiliser les informations du fournisseur pour mener leur AIPD. De son côté, la CNIL recommande, pour l’IA générative, d’associer le DPO et de réaliser une AIPD le cas échéant. Notre guide AIPD : guide complet de l’analyse d’impact RGPD détaille la méthode.
Minimisation : ne pas nourrir l’outil avec tout le dossier
L’article 5 du RGPD exige des données adéquates, pertinentes et limitées au nécessaire. En pratique, ce principe vise d’abord ce que vos salariés collent dans un assistant. C’est pourquoi la CNIL recommande, pour un système accessible par API, d’éviter autant que possible la saisie de données personnelles, car la maîtrise du système reste alors presque entièrement chez le fournisseur.
Droits des personnes et décisions automatisées
Les droits d’accès, d’effacement ou d’opposition s’appliquent également aux données d’entraînement. La fiche IA : respecter et faciliter l’exercice des droits des personnes concernées décrit comment y répondre. De son côté, le comité européen de la protection des données (CEPD) a rappelé dans son avis 28/2024 du 18 décembre 2024 qu’un modèle d’IA peut relever du RGPD lorsqu’il mémorise des données personnelles.
L’article 22 du RGPD donne enfin le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, lorsqu’elle produit des effets en droit ou l’affecte de manière significative. Ainsi, un outil de tri de candidatures ou de notation de clients appelle une intervention humaine réelle. Enfin, l’AI Act ajoute, pour les systèmes à haut risque de l’annexe III, l’obligation d’informer les personnes soumises à leur utilisation (article 26, paragraphe 11).
Les recommandations de la CNIL sur l’IA
D’abord, la CNIL a finalisé le 22 juillet 2025 ses recommandations sur le développement des systèmes d’IA. La page Les fiches pratiques IA réunit une synthèse, une introduction, 13 fiches numérotées, une fiche focus sur le moissonnage et une liste de vérification. Les dernières fiches portent ainsi sur le statut des modèles au regard du RGPD, la sécurité du développement et l’annotation des données, comme l’annonce la page IA : la CNIL finalise ses recommandations sur le développement des systèmes d’IA.
Attention au périmètre. Ces fiches concernent la phase de développement, c’est-à-dire la conception, la constitution de la base de données et l’apprentissage. Elles s’adressent donc d’abord à ceux qui entraînent ou ajustent un modèle. Par conséquent, une PME qui utilise un assistant du marché trouvera ses réponses ailleurs.
Déployer une IA générative : six recommandations
Pour le déploiement, la CNIL a publié le 18 juillet 2024 ses questions-réponses sur l’utilisation d’un système d’IA générative. Sa page de synthèse Comment déployer une IA générative ? La CNIL apporte de premières précisions en tire six recommandations, que vous pouvez suivre dans cet ordre :
- partir d’un besoin concret plutôt que d’un outil ;
- encadrer les usages par une liste d’utilisations autorisées et interdites ;
- ne pas occulter les limites du système, qui peut produire des résultats inexacts et plausibles ;
- choisir un système robuste et un mode de déploiement sécurisé ;
- former et sensibiliser les utilisateurs ;
- mettre en place une gouvernance qui associe dès le début le DPO, le responsable des systèmes d’information, le RSSI et les métiers.
IA agentique : la note de juillet 2026
Le 20 juillet 2026, la CNIL et le Conseil de l’IA et du Numérique ont publié une note exploratoire sur l’IA agentique et les données personnelles. Elle décrit en effet un changement d’échelle : un agent accède à de multiples sources, agit à la place de son utilisateur et crée des flux difficiles à suivre. La note pointe aussi le partage des responsabilités entre les acteurs. De son côté, le CEPD a adopté le 7 juillet 2026 des lignes directrices sur l’anonymisation et sur le moissonnage pour l’IA générative ; la consultation sur l’anonymisation était ouverte jusqu’au 30 octobre 2026.
IA générative et agents en entreprise : encadrer l’usage
Le mode de déploiement fixe donc le niveau de risque. Selon la CNIL, une solution installée sur site limite les risques lorsque vous fournissez des données de clients, de collaborateurs ou des documents sensibles. Une solution hébergée dans le cloud reste aussi possible, avec un contrat de sous-traitance avec l’hébergeur. Enfin, une API laisse la maîtrise presque entière au fournisseur.
Pour un usage non confidentiel, en revanche, la CNIL envisage un service grand public avec des adresses professionnelles dédiées, jamais des comptes personnels. Elle conseille aussi de s’opposer à la réutilisation des données d’usage par le fournisseur. Écrivez ces règles dans une charte ; notre article Charte IA en entreprise : encadrer l’usage de l’IA propose une trame.
Ce que l’AI Act impose aux déployeurs
Depuis le 2 août 2026, l’article 50 vise aussi les déployeurs. Ainsi, celui qui diffuse un hypertrucage indique que le contenu a été généré ou manipulé par une IA. De même, un texte publié pour informer le public sur une question d’intérêt public porte cette mention, sauf s’il a fait l’objet d’une relecture humaine sous responsabilité éditoriale.
Pour les systèmes à haut risque de l’annexe III, l’article 26 s’appliquera à partir du 2 décembre 2027. Le déployeur utilisera alors le système selon la notice, confiera le contrôle humain à des personnes compétentes et conservera les journaux au moins six mois. Enfin, un employeur informera les représentants du personnel et les salariés avant la mise en service sur le lieu de travail. Préparez dès maintenant votre registre des systèmes d’IA pour savoir quels outils entrent dans cette catégorie.
Shadow AI et agents : reprendre la main
Le premier risque vient rarement de l’outil officiel. Il vient souvent de l’extension installée par un salarié ou de la fonction d’IA ajoutée sans prévenir par un fournisseur. Nous recommandons donc un inventaire trimestriel des usages, rattaché à votre registre des traitements. Nos articles Shadow AI : quand les usages IA échappent à la gouvernance et IA chez les fournisseurs : détecter les usages non déclarés détaillent la méthode.
Pour un agent qui agit dans vos outils, limitez donc ses droits au strict nécessaire et gardez une validation humaine sur les actions qui engagent l’organisme. Ensuite, tracez ce qu’il lit et ce qu’il modifie. Nous développons ces contrôles dans IA agentique : ce que le DPO doit désormais tracer.
Le rôle du DPO face à l’IA
L’article 38 du RGPD impose d’associer le DPO en temps utile à toutes les questions de protection des données. Un projet d’IA qui touche des données personnelles en fait partie, dès le choix de l’outil. Ensuite, l’article 39 lui confie le conseil sur l’AIPD et la vérification de son exécution.
La CNIL lui reconnaît aussi un rôle dans la définition des usages autorisés, en lien avec le RSSI. En pratique, le DPO pose les questions que l’équipe projet oublie : quelles données entrent, où elles partent, qui peut les réutiliser, et comment une personne exerce ses droits. Il ne valide pas seul le projet. Il rend un avis écrit que la direction assume.
Nous avons intégré ces contrôles à DPO Suite, qui propose des audits AI Act à côté des registres et des AIPD, ainsi qu’une AIPD guidée par IA. Toutefois, l’outil ne remplace pas le jugement du DPO ; il garde la trace des décisions. Pour les compétences à acquérir, lisez Métier de DPO en 2026 : les compétences qui s’ajoutent.
Nos analyses sur l’IA et le RGPD
Ces articles prolongent chaque partie de cette page. Choisissez donc celui qui répond à votre question du moment.
AI Act : calendrier et obligations
RGPD et lignes directrices européennes
Usages en entreprise et agents IA
Sources
Textes européens : AI Act et RGPD
Le calendrier et les obligations viennent du Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, articles 4, 5, 26, 50, 99 et 113, et du Règlement (UE) 2026/1744 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230, publié au Journal officiel le 24 juillet 2026. Les articles du RGPD sont cités d’après les pages de la CNIL RGPD, chapitre II : principes, RGPD, chapitre III : droits de la personne concernée et RGPD, chapitre IV : responsable du traitement et sous-traitant.
Recommandations de la CNIL et du CEPD
Les recommandations de la CNIL figurent dans Les fiches pratiques IA, Développement des systèmes d’IA : les recommandations de la CNIL pour respecter le RGPD, IA : la CNIL finalise ses recommandations sur le développement des systèmes d’IA et annonce ses futurs travaux et IA : respecter et faciliter l’exercice des droits des personnes concernées. Le déploiement est traité dans Comment déployer une IA générative ? La CNIL apporte de premières précisions et Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative.
Enfin, nous citons IA agentique et données personnelles : la CNIL et le Conseil de l’IA et du Numérique publient une note exploratoire, l’Avis 28/2024 du CEPD relatif aux modèles d’IA et l’actualité Le CEPD met en lumière l’anonymisation et le moissonnage pour l’IA générative.