Conformité AI Act et RGPD de vos workflows IA.
Vos automatisations et vos outils d'IA font circuler des données personnelles entre des logiciels et des modèles parfois hébergés hors d'Europe. Nous cartographions chaque workflow, préparons le dossier technique pour votre DPO ou votre avocat, puis corrigeons ce qui doit l'être : hébergement, purge, journaux, contrôle humain.
- Réponse sous 24 h ouvrées
- Appel de cadrage gratuit de 30 minutes
- Vous parlez à la personne qui réalise le projet
Entreprises pour lesquelles nous avons travaillé
- Réponse sous 24 h ouvrées
- Appel de cadrage gratuit de 30 minutes
- Vous parlez à la personne qui réalise le projet
Entreprises pour lesquelles nous avons travaillé
Ce qui s'applique déjà
L'AI Act entre en application par étapes. Le RGPD, lui, s'applique depuis 2018 à tout workflow qui traite un e-mail, un CV ou une fiche client.
-
2 février 2025
Pratiques interdites
Certains usages sont interdits, comme la notation sociale ou la reconnaissance des émotions sur le lieu de travail.
-
2 août 2025
Modèles d'IA à usage général
Des obligations de documentation et de transparence pour les éditeurs de modèles comme OpenAI, Anthropic ou Mistral.
-
2 août 2026
Transparence
Un chatbot doit dire à l'utilisateur qu'il échange avec une IA, et les contenus générés ou truqués doivent être signalés comme tels.
-
2 décembre 2027
Systèmes à haut risque
Recrutement, évaluation des salariés, crédit, accès à des services essentiels : ces usages devront respecter des exigences de documentation, de contrôle humain et de journalisation.
Côté RGPD, les points à vérifier sont concrets : un fournisseur d'IA sans contrat de sous-traitance, des données envoyées hors de l'UE, des journaux conservés sans limite de durée.
Sources : règlement (UE) 2024/1689 (AI Act) · règlement (UE) 2026/1744, qui repousse les échéances haut risque · RGPD · recommandations IA de la CNIL
Deux situations, une même méthode
Vos workflows tournent déjà
Des scénarios Make ou Power Automate branchés sur une API d'IA, Copilot déployé, un agent construit par un prestataire : nous inventorions ce qui existe, flux par flux, et repérons ce qui manque, qu'il s'agisse d'un contrat, d'un hébergement, d'une durée de conservation ou de l'information des personnes.
Votre projet démarre
Nous intégrons les exigences dès la conception : choix du modèle et de la région d'hébergement, données minimales envoyées au modèle, journaux, validation humaine, et fiche de registre rédigée en même temps que le projet.
Ce que nous vérifions
Côté RGPD
- Les données personnelles qui passent dans chaque workflow, et celles qui partent vers un modèle d'IA.
- Les sous-traitants (éditeurs d'IA, outils no-code, hébergeurs) et leur contrat de sous-traitance (article 28).
- Les transferts hors de l'UE et leurs garanties : décision d'adéquation ou clauses contractuelles types (articles 44 à 49).
- Les durées de conservation des données, des journaux et des historiques de conversation.
- Les fiches du registre des traitements (article 30) et le besoin d'une analyse d'impact (article 35).
- La base légale de chaque traitement, à confirmer par votre DPO.
Côté AI Act
- L'inventaire des systèmes d'IA utilisés, y compris ceux intégrés à vos logiciels.
- Un pré-classement de chaque usage : interdit, haut risque, soumis à transparence ou à risque minimal.
- L'information des utilisateurs quand ils échangent avec une IA ou reçoivent un contenu généré.
- Le contrôle humain sur les décisions qui concernent des personnes.
- La journalisation des traitements et la traçabilité des réponses.
- Les mesures prises pour que vos équipes maîtrisent les outils d'IA qu'elles utilisent (article 4).
Ce que vous recevez
Cartographie des flux
Un schéma par workflow : sources, outils, modèles, destinations et pays d'hébergement.
Tableau des sous-traitants
Chaque fournisseur, son rôle, la localisation des données et le contrat en place ou à signer.
Pré-classement AI Act
Chaque usage d'IA avec son niveau de risque probable et les obligations qui en découlent, à valider par votre juriste.
Fiches de registre
Des fiches prêtes à reprendre dans votre registre des traitements, avec les éléments techniques déjà renseignés.
Plan de correctifs
La liste des corrections techniques, classées par priorité, avec l'effort estimé pour chacune.
Les correctifs que nous réalisons
Ce sont les pratiques que nous appliquons déjà dans nos développements : modèles Mistral, journalisation de chaque appel, jeux de test et validation humaine dans les agents.
Hébergement en Europe
Bascule vers une région européenne ou un modèle européen quand le fournisseur le permet.
Données minimales
Masquage ou pseudonymisation des noms, e-mails et numéros avant l'envoi au modèle.
Purge automatique
Suppression programmée des données, des fichiers temporaires et des historiques au-delà de la durée retenue.
Journalisation
Une trace de chaque appel au modèle et de chaque action d'un agent, consultable en cas de demande ou d'incident.
Validation humaine
Une étape d'approbation avant les actions sensibles : envoi à l'extérieur, décision sur une personne, écriture dans un logiciel de gestion.
Information des utilisateurs
La mention « vous échangez avec une IA » dans les chatbots et le marquage des contenus générés.
Ce que nous ne faisons pas
- Nous ne rendons pas d'avis juridique : la qualification d'un traitement et le choix d'une base légale reviennent à votre DPO ou à votre avocat.
- Nous ne signons pas les contrats à votre place : nous indiquons ceux qui manquent et les points techniques à y faire figurer.
- Nous ne remplaçons pas votre DPO : nous lui fournissons les éléments techniques dont il a besoin.
Nous travaillons avec votre DPO, interne ou externe, ou avec votre avocat : le dossier technique est conçu pour qu'ils puissent le reprendre directement.
Entreprises pour lesquelles nous avons travaillé
Questions fréquentes
L'AI Act s'applique-t-il à mes automatisations ?
Seulement aux parties qui utilisent un système d'IA. Un scénario Make qui copie des lignes d'un tableur dans un CRM n'en est pas un ; un workflow qui fait lire des e-mails ou des CV par un modèle de langage, si. La plupart de ces usages ne sont pas à haut risque, mais les obligations de transparence s'appliquent depuis le 2 août 2026 dès qu'une IA échange avec des personnes.
Quand les obligations « haut risque » s'appliquent-elles ?
Le 2 décembre 2027 pour les usages listés à l'annexe III (recrutement, gestion des salariés, crédit, accès à des services essentiels) et le 2 août 2028 pour l'IA intégrée à des produits réglementés (annexe I). Ces dates viennent du règlement (UE) 2026/1744, qui a repoussé l'échéance initiale du 2 août 2026.
Utiliser ChatGPT ou l'API d'OpenAI est-il compatible avec le RGPD ?
Cela dépend de l'offre et du paramétrage. Les offres professionnelles et les API proposent un contrat de sous-traitance et, selon les cas, un hébergement en Europe. Il faut aussi vérifier la durée de conservation des requêtes et l'usage des données pour l'entraînement. Nous vérifions ces points pour chaque outil que vous utilisez.
Faut-il une analyse d'impact (AIPD) pour un projet d'IA ?
Pas systématiquement. L'article 35 du RGPD l'impose quand un traitement est susceptible d'engendrer un risque élevé pour les personnes, par exemple une évaluation ou un profilage, des données sensibles ou une surveillance à grande échelle. Nous signalons à votre DPO les workflows qui remplissent ces critères ; c'est lui qui décide.
Mes données doivent-elles rester en Europe ?
Le RGPD n'interdit pas les transferts hors de l'UE, il les encadre : décision d'adéquation (comme le Data Privacy Framework pour les entreprises américaines certifiées), clauses contractuelles types ou autres garanties prévues aux articles 44 à 49. Quand un modèle équivalent est disponible en Europe, l'hébergement européen simplifie le dossier.
Êtes-vous habilités à donner un avis juridique ?
Non. En France, le conseil juridique est réservé aux avocats et à certaines professions réglementées. Nous réalisons l'audit technique et les correctifs ; la qualification juridique revient à votre DPO ou à votre avocat, à qui notre dossier est destiné.
Combien de temps dure un audit ?
Cela dépend du nombre de workflows et d'outils concernés. Nous le chiffrons sur devis après un appel de cadrage gratuit de 30 minutes, pendant lequel nous faisons ensemble l'inventaire de vos outils.
Agents IA
Des agents aux actions limitées, journalisées et validées par un humain quand il le faut.
RAG sur vos documents
Un assistant qui répond depuis vos documents, filtré selon les droits de chaque utilisateur.
IA Microsoft
Copilot, Copilot Studio et Power Automate, en commençant par la gouvernance des données.
Guide : Implémenter l'IA en entreprise
Méthode en 5 étapes, cas d'usage par service et mesure des résultats.