Cas concrets : opt-out d'entraînement, hébergement souverain, traçabilité des prompts. Ce qu'on documente déjà chez nos clients.
Beaucoup de DPO et de directions juridiques avec qui j'échange dans les ETI françaises pensent que l'AI Act va être « absorbé » par leurs procédures RGPD existantes. Faux. Le RGPD régit le traitement de données personnelles. L'AI Act régit l'usage de systèmes d'IA, qu'ils traitent ou non des données personnelles. Les deux régimes coexistent et s'empilent.
Concrètement, sur un projet ETI typique en 2026, une équipe doit conformer trois documents à des obligations distinctes :
Quand on rate l'un des trois, on n'est pas conforme.
Les obligations RGPD que vous connaissez déjà — base légale, minimisation, durée de conservation, droits des personnes — ne disent rien sur :
Tout cela vient de l'AI Act. Et l'erreur classique en ETI, c'est de demander au DPO de « faire le RGPD du projet IA » en pensant que ça suffit. Ça ne suffit pas — le DPO n'est pas l'autorité AI Act. Il vous faut un référent IA distinct (souvent un binôme DSI + juriste) qui documente la conformité AI Act.
L'AI Act classe les systèmes d'IA en quatre niveaux :
Pour 90 % des projets ETI sur lesquels j'interviens, on est sur du risque limité ou minimal. Les contraintes lourdes du risque élevé concernent surtout : tri de CV automatisé, scoring crédit, évaluation scolaire, certains usages santé.
Mais — et c'est le piège — un usage qui semble inoffensif peut basculer en risque élevé selon le contexte. Exemple : un chatbot interne pour répondre aux salariés sur leurs droits = risque limité. Le même chatbot utilisé pour pré-filtrer des candidats = risque élevé.
Ne déployez pas un système IA sans avoir formellement classé son niveau de risque AI Act.
Quand on cadre un projet IA pour une ETI, on construit en parallèle un dossier de conformité qui couvre les obligations RGPD et AI Act. Voici ce qu'on documente systématiquement.
C'est le point n°1 que vous devez vérifier dans tout contrat avec un fournisseur d'IA. La question : est-ce que mes prompts et mes données sont utilisés pour ré-entraîner leur modèle ?
État du marché en 2026 :
Action concrète : interdire formellement l'usage des interfaces grand public sur des données pro, et déployer une licence API ou Enterprise avec contrat opt-out écrit.
L'AI Act n'impose pas l'hébergement UE, mais le RGPD oui pour les données personnelles. Et certains secteurs (santé HDS, défense) imposent une souveraineté plus stricte.
Trois options pour les ETI :
Le bon choix dépend de votre cas d'usage et de votre tolérance au risque réglementaire — ce n'est pas un sujet à arbitrer en 30 minutes.
L'AI Act impose pour les systèmes à risque élevé une journalisation détaillée. Mais même hors risque élevé, c'est une bonne pratique défensive. En cas de contestation client (« ce devis ne ressemble pas à ce qu'on m'a dit »), pouvoir produire :
… ça vaut tous les contrats du monde. Conservation recommandée : au moins 6 mois pour les workflows commerciaux, 5 ans pour les workflows financiers.
L'AI Act (article 50) exige que tout contenu généré ou modifié par une IA et destiné au public soit identifiable comme tel. Pour les ETI, cela concerne :
En interne, vous n'êtes pas tenu de tagger chaque brouillon généré. Mais pour toute communication externe non revue ligne par ligne par un humain, la transparence n'est pas optionnelle.
Pour chaque nouveau système IA déployé sur des données personnelles, on produit un document unique qui combine :
Ce document doit exister avant la mise en production, pas après. Le rédiger après coup, c'est la garantie de découvrir un trou trop tard.
Client anonymisé : ETI industrielle de 600 personnes, 200 candidatures par mois sur des postes techniques. La DRH voulait automatiser un premier tri.
L'audit a révélé que ce cas tombait directement en risque élevé AI Act (annexe III, point 4 : tri de candidatures). Conséquences :
Bilan : le ROI initialement prévu (deux jours par semaine économisés) tombait, après prise en compte du temps de gouvernance, à trois ou quatre heures par semaine économisées net. Décision finale du client : garder la lecture humaine mais utiliser l'IA en assistance pour identifier les compétences clés dans chaque CV — cas d'usage qui passe alors en risque limité, beaucoup moins contraignant.
C'est exactement le genre d'arbitrage qu'on doit faire avant de signer une licence ou de coder un workflow.
Avant chaque déploiement, vérifier en 10 minutes :
Si vous répondez « non » ou « je ne sais pas » sur plus de deux points, le projet n'est pas mûr pour la mise en production.
Vous lancez un projet IA en ETI et vous voulez sécuriser RGPD + AI Act avant de signer ? Dans l'audit Elvarys (30 minutes, gratuit), on classe votre cas d'usage, on identifie les obligations applicables et on vous remet une feuille de route conformité avec votre cadrage technique. Aucun engagement à la suite.
30 minutes avec le fondateur, gratuit, sans engagement. Vous repartez avec 3 cas d'usage priorisés et chiffrés.
Les classements de modèles changent tous les mois. Pour votre activité, ce n'est pas le score MMLU qui compte — c'est la stack de validation autour.
Diluer le budget IA sur 12 cas d'usage à la fois est la garantie de ne livrer aucun ROI. Voici comment on priorise — et pourquoi 80 % des projets IA échouent en 2026.
