À retenir
- Le RGPD et l'AI Act ne s'opposent pas : l'AI Act complète le RGPD. Dès qu'un système d'IA traite des données personnelles, les deux s'appliquent ensemble.
- Pour une PME ou une ETI, deux obligations comptent déjà : ne pas utiliser de pratique interdite, et former ses équipes (littératie IA, en vigueur depuis février 2025).
- La quasi-totalité des usages commerciaux de l'IA (rédaction, recherche, chatbot, scoring B2B) est en risque limité ou minimal. Les obligations lourdes sur le haut risque n'arrivent qu'à partir de fin 2027.
- La conformité RGPD est le préalable : sans elle, pas de conformité AI Act. En France, la CNIL est l'autorité de référence pour les deux.
1 Deux règlements, deux logiques différentes
Le RGPD et l'AI Act ne regardent pas le même problème. Le RGPD (règlement général sur la protection des données, 2016/679) protège les personnes physiques contre le mauvais usage de leurs données personnelles. L'AI Act (règlement sur l'intelligence artificielle, 2024/1689) encadre les systèmes d'IA en fonction du risque qu'ils représentent pour la société. Deux angles différents, mais qui se croisent dès qu'un système d'IA traite des données personnelles.
RGPD
- En vigueur depuis : le 25 mai 2018
- Protège : les données personnelles (nom, email, téléphone, adresse IP, données CRM)
- Qui est concerné : tout organisme qui collecte, stocke ou utilise des données personnelles
- Approche : droits des personnes (accès, rectification, effacement, portabilité, opposition)
- Autorité en France : la CNIL
AI Act
- En vigueur depuis : le 1er août 2024, application progressive jusqu'en 2027
- Réglemente : les systèmes d'IA, qu'ils traitent ou non des données personnelles
- Qui est concerné : fournisseurs, déployeurs et utilisateurs professionnels de l'IA
- Approche : niveaux de risque (inacceptable, élevé, limité, minimal)
- Autorités en France : CNIL, DGCCRF, ARCOM et d'autres selon le secteur
Le règlement s'applique "sans préjudice" du RGPD. Autrement dit, l'AI Act ne remplace pas le RGPD, il le complète. Les droits des personnes sur leurs données restent intacts, y compris le droit relatif aux décisions individuelles automatisées (article 22 du RGPD).
2 Les 7 différences clés
| Critère | RGPD | AI Act |
|---|---|---|
| Ce qui est régulé | Les traitements de données personnelles, quel que soit le moyen (tableur, CRM, algorithme) | Les systèmes d'IA, qu'ils traitent ou non des données personnelles (chatbot, scoring, générateur d'images) |
| Approche | Par les droits : chaque personne a des droits sur ses données, l'entreprise doit les respecter | Par le risque : chaque système d'IA est classé par niveau de risque, les obligations en dépendent |
| Acteurs régulés | Responsable de traitement et sous-traitant | Fournisseur, déployeur et utilisateur professionnel |
| Évaluation des risques | AIPD (DPIA), obligatoire pour les traitements à risque élevé pour les droits des personnes | FRIA (article 27) pour les systèmes à haut risque, plus marquage CE pour les fournisseurs |
| Transparence | Informer les personnes sur la collecte et l'utilisation de leurs données (articles 13, 14, 22) | Informer qu'on interagit avec une IA (article 50), marquer les contenus générés, signaler les deepfakes |
| Sanctions maximales | 20 M d'euros ou 4 % du CA mondial annuel | 35 M d'euros ou 7 % du CA mondial annuel (pratiques interdites) |
| Calendrier | Pleinement applicable depuis mai 2018 (plus de 8 ans de jurisprudence) | Déploiement progressif : interdictions et littératie (fév. 2025), modèles à usage général (août 2025), systèmes à haut risque reportés au 2 décembre 2027 (et 2 août 2028 pour les composants de sécurité), selon le Digital Omnibus ayant fait l'objet d'un accord politique le 7 mai 2026 |
3 Là où les deux règlements se chevauchent
C'est le point crucial pour une entreprise. Dès qu'un système d'IA traite des données personnelles (et c'est presque toujours le cas dans un contexte commercial), les deux règlements s'appliquent simultanément. La CNIL et ses homologues européens l'ont confirmé : "les systèmes d'IA sont dans une écrasante majorité des cas appelés à exploiter des données personnelles".
L'article 10 de l'AI Act impose des obligations de qualité et de gouvernance sur les jeux de données d'entraînement des systèmes à haut risque. Quand ces données contiennent des informations personnelles, le RGPD s'ajoute : base légale, minimisation, limitation de conservation, droits des personnes. Le considérant 69 de l'AI Act précise que les principes de minimisation et de privacy by design du RGPD s'appliquent tout au long du cycle de vie du système d'IA.
L'article 22 du RGPD donne droit à toute personne de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs. L'AI Act impose une supervision humaine effective pour les systèmes à haut risque (article 14). Les deux textes convergent : un humain dans la boucle quand la décision impacte une personne.
Pour un système d'IA à haut risque qui traite des données personnelles, il faut potentiellement réaliser deux évaluations : l'AIPD (RGPD) et la FRIA (AI Act, article 27). L'AIPD se concentre sur les données personnelles, la FRIA couvre plus largement les droits fondamentaux. Logique similaire : identifier les risques, évaluer leur gravité, mettre en place des mesures d'atténuation.
En France, la CNIL est à la fois l'autorité de contrôle du RGPD et l'autorité compétente pour l'AI Act quand le système d'IA implique des données personnelles ou de la biométrie. Un seul interlocuteur pour les deux règlements dans la majorité des cas d'usage en entreprise.
L'EDPB (le comité européen de la protection des données) a décidé de coopérer étroitement avec le Bureau européen de l'IA pour publier des lignes directrices communes sur l'articulation entre AI Act et législation européenne sur la protection des données. Ce rapprochement confirme que les deux cadres sont indissociables.
4 Le calendrier à jour : ce qui s'applique, et quand
L'AI Act s'applique par étapes, et le calendrier a évolué en 2026. Le paquet de simplification "Digital Omnibus" sur l'IA, proposé par la Commission européenne en novembre 2025, a fait l'objet d'un accord politique le 7 mai 2026. Il repousse l'entrée en application des règles sur les systèmes à haut risque, le temps que les normes techniques nécessaires soient disponibles. Voici l'état des lieux.
- Depuis le 2 février 2025 : les pratiques interdites (article 5) et l'obligation de littératie IA (article 4) s'appliquent. C'est ce qui vous concerne déjà.
- Depuis le 2 août 2025 : les obligations sur les modèles d'IA à usage général (les grands modèles type GPT, Claude, Gemini).
- À partir du 2 décembre 2027 : les obligations sur les systèmes à haut risque (biométrie, infrastructures critiques, éducation, emploi, forces de l'ordre).
- À partir du 2 août 2028 : les systèmes à haut risque intégrés comme composants de sécurité dans des produits déjà réglementés.
Pour une PME ou une ETI qui utilise l'IA en vente, l'essentiel applicable aujourd'hui tient en deux points : ne pas recourir à une pratique interdite, et former vos équipes (littératie). Les obligations lourdes sur le haut risque ne concernent qu'une minorité d'usages et n'arrivent qu'à partir de fin 2027.
5 Ce que ça change pour une équipe commerciale
Concrètement, si vos commerciaux utilisent des outils d'IA (ChatGPT, Claude, Copilot, un CRM avec scoring, un outil d'enrichissement de leads), vous devez respecter les deux règlements en parallèle.
Ce que le RGPD impose déjà
- Base légale pour traiter les données prospects et clients
- Information des personnes sur l'utilisation de leurs données
- Minimisation : ne collecter que le nécessaire
- Sécurisation des données et contrôle des accès
- Registre des traitements
- AIPD si risque élevé (scoring automatisé par exemple)
Ce que l'AI Act ajoute
- Littératie IA (art. 4) : former les employés qui utilisent l'IA et le documenter
- Transparence (art. 50) : signaler les contenus générés par IA quand ce n'est pas évident
- Vérification fournisseurs : marquage CE requis pour les outils haut risque
- Documentation : inventaire des systèmes d'IA, finalité, utilisateurs
6 Votre outil, votre niveau de risque
L'AI Act classe les systèmes d'IA par niveau de risque, et c'est ce niveau qui détermine vos obligations. Bonne nouvelle : la quasi-totalité des usages commerciaux courants se situe en bas de l'échelle. Voici comment situer vos outils.
| Usage commercial | Niveau de risque | Votre obligation |
|---|---|---|
| Rédiger un email, résumer un document, préparer un RDV (ChatGPT, Claude, Copilot) | Minimal | Aucune obligation spécifique, hors bonnes pratiques |
| Chatbot qui dialogue avec des prospects ou des clients | Limité | Transparence : indiquer qu'on s'adresse à une IA (article 50) |
| Contenus générés par IA diffusés au public | Limité | Marquer le contenu comme généré par IA |
| Scoring de leads B2B, priorisation du pipeline | Limité ou minimal | Vigilance RGPD, mais pas haut risque en général |
| IA décidant du recrutement, de la solvabilité ou de l'accès d'une personne à un service | Haut risque | Obligations renforcées (supervision humaine, FRIA, documentation) |
Quelques usages sont purement interdits depuis février 2025, même pour une PME : la manipulation par des techniques subliminales, la notation sociale, et la reconnaissance des émotions sur le lieu de travail. Ce dernier point touche la vente : analyser les émotions de vos commerciaux ou de vos prospects via l'IA est proscrit.
Mettre un outil en conformité, concrètement
Prenons un cas fréquent : vos commerciaux utilisent un outil qui enrichit les fiches et score les leads. Voici le passage en conformité, étape par étape, en croisant les deux règlements plutôt qu'en les traitant séparément.
- Côté RGPD (les données). Identifiez la base légale (souvent l'intérêt légitime en B2B), informez les personnes, permettez une opposition simple et gratuite, ne collectez que l'utile (minimisation), tenez le registre des traitements, et menez une analyse d'impact (AIPD) si le scoring a un effet significatif sur les personnes.
- Côté AI Act (le système). Classez le risque : un scoring de leads B2B est en général à risque limité ou minimal, donc sans obligation lourde. Assurez la littératie (vos utilisateurs savent ce que fait l'outil et ses limites), la transparence si l'outil génère des contenus diffusés, et tenez un inventaire de vos systèmes d'IA (finalité, données utilisées, utilisateurs).
- Le point de bascule à surveiller. Le même moteur devient haut risque s'il sert à décider du recrutement, de la solvabilité ou de l'accès d'une personne à un service. Tant que vous restez sur de la priorisation commerciale B2B, vous êtes en bas de l'échelle des obligations.
La bonne nouvelle : pour l'immense majorité des équipes commerciales, la mise en conformité tient dans une poignée de réflexes documentés, pas dans un chantier juridique. Le vrai travail n'est pas de tout verrouiller, c'est d'écrire noir sur blanc ce que vous faites, pour pouvoir le montrer le jour où on vous le demande.
À poser avant de signer, et à conserver par écrit : où sont hébergées les données (dans l'Union européenne ?) ; servent-elles à entraîner le modèle du fournisseur ; l'outil est-il classé au regard de l'AI Act (et marqué CE s'il est à haut risque) ; quels sous-traitants interviennent ; comment récupérer et supprimer vos données si vous partez. Les réponses tiennent lieu de preuve de diligence, côté RGPD comme côté AI Act.
7 La littératie IA : la seule obligation déjà active qui vous concerne
C'est la disposition la plus concrète de l'AI Act pour une entreprise qui utilise l'IA, et elle est en vigueur depuis le 2 février 2025. L'article 4 impose à tout déployeur de systèmes d'IA de garantir un niveau suffisant de littératie de son personnel : les personnes qui utilisent l'IA doivent comprendre ce qu'elles font, ses limites et ses risques.
Concrètement, pour une équipe commerciale, cela veut dire savoir ce qu'on peut et ne peut pas confier à une IA, reconnaître une réponse erronée (les hallucinations), ne pas y verser de données confidentielles sans cadre, et garder l'humain dans la décision. Ce n'est pas une contrainte théorique : c'est exactement ce qui sépare une équipe qui tire profit de l'IA d'une équipe qui s'expose.
Aucun diplôme requis : un programme de formation adapté aux usages réels, et la trace de cette formation (qui, quand, sur quoi). C'est précisément ce que couvre notre formation IA pour commerciaux : bonnes pratiques, confidentialité et cas d'usage par étape du cycle de vente.
8 Les bons réflexes à adopter
9 Tableau récapitulatif
| RGPD | AI Act | |
|---|---|---|
| Texte | Règlement (UE) 2016/679 | Règlement (UE) 2024/1689 |
| En vigueur | 25 mai 2018 | 1er août 2024 (progressif) |
| Objet | Données personnelles | Systèmes d'IA |
| Approche | Droits des personnes | Niveaux de risque |
| Acteurs régulés | Responsable de traitement, sous-traitant | Fournisseur, déployeur, utilisateur |
| Évaluation | AIPD (DPIA) | FRIA + marquage CE |
| Sanction max. | 20 M euros ou 4 % du CA | 35 M euros ou 7 % du CA |
| Autorité (France) | CNIL | CNIL + DGCCRF + ARCOM |
Mettez vos commerciaux en conformité, sans jargon
La littératie IA est une obligation, mais c'est surtout une bonne pratique. L'Espace Agent rassemble des prompts et des assistants prêts à l'emploi, pensés pour un usage responsable des données. Laissez votre email professionnel et recevez votre lien d'accès.
Accéder à l'Espace AgentEn résumé
- Le RGPD et l'AI Act ne s'opposent pas : l'AI Act complète le RGPD. Quand un système d'IA traite des données personnelles, les deux s'appliquent
- Le RGPD protège les données des personnes (approche par les droits). L'AI Act réglemente les systèmes d'IA (approche par le risque)
- La plupart des usages commerciaux de l'IA (ChatGPT, Claude, Copilot) sont en risque limité au sens de l'AI Act : obligation de transparence, pas de contrainte lourde
- L'obligation de littératie IA (article 4 de l'AI Act) est en vigueur depuis février 2025 : formez vos équipes et documentez les formations
- La conformité RGPD est un préalable à la conformité AI Act : si le RGPD n'est pas en place, l'AI Act ne peut pas l'être non plus
- En France, la CNIL est l'autorité de référence pour les deux règlements quand des données personnelles sont en jeu
Notre formation IA pour équipes commerciales couvre les bonnes pratiques de sécurité, l'obligation de littératie et les cas d'usage concrets. Un seul programme, les deux règlements traités.
Sources
Cet article a été rédigé à partir de sources officielles (institutions européennes, autorités françaises, textes réglementaires), consultées en juin 2026.
- EUR-Lex : règlement (UE) 2024/1689 sur l'intelligence artificielle (texte intégral)
- Commission européenne : considérant 10 de l'AI Act (articulation avec le RGPD)
- Commission européenne : considérant 69 de l'AI Act (protection des données et vie privée)
- Commission européenne : article 10 de l'AI Act (gouvernance des données)
- Commission européenne : article 27 de l'AI Act (évaluation d'impact sur les droits fondamentaux)
- Commission européenne : article 50 de l'AI Act (obligations de transparence)
- Commission européenne : article 99 de l'AI Act (sanctions)
- CNIL : questions-réponses sur le règlement européen sur l'IA
- CNIL : recommandations IA et RGPD pour une innovation responsable
- CNIL : fiches pratiques IA (guide opérationnel)
- CNIL : définition et barème des sanctions RGPD
- EDPB : avis 28/2024 sur le traitement de données personnelles dans les modèles d'IA
- EDPB et EDPS : avis conjoint 1/2026 sur le Digital Omnibus (simplification de l'AI Act)
- Commission européenne : proposition Digital Omnibus sur l'IA (calendrier du haut risque)
- AI Act Service Desk : calendrier d'application de l'AI Act
Questions fréquentes sur RGPD et AI Act
Non. Le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'IA en tant que produits. Les deux se chevauchent (un scoring de prospects utilise des données personnelles ET constitue un système d'IA), mais ils ont des obligations distinctes. La conformité RGPD ne couvre pas les obligations de littératie, de transparence et de gestion des risques de l'AI Act.
L'AI Act ne prévoit pas de rôle équivalent au DPO. En pratique, le DPO peut coordonner la conformité AI Act dans les PME, mais pour les ETI et grandes entreprises, un référent IA distinct est recommandé. La clé est de ne pas traiter les deux règlements en silo : une gouvernance unifiée évite les doublons et les angles morts.
Un CRM commercial classique (scoring de leads B2B, priorisation du pipeline) est généralement considéré comme un risque limité ou minimal par l'AI Act. En revanche, si le scoring est utilisé pour du recrutement ou de la notation de solvabilité de personnes physiques, il tombe dans la catégorie haut risque avec des obligations renforcées.
Le RGPD répond à la question "comment traiter les données personnelles ?". L'AI Act répond à la question "comment mettre un système d'IA sur le marché et l'utiliser ?". Le RGPD protège les individus via leurs données, l'AI Act protège les individus via la fiabilité des systèmes d'IA. Les deux sont complémentaires, pas interchangeables.
Oui. Le paquet Digital Omnibus sur l'IA, proposé par la Commission européenne en novembre 2025, a fait l'objet d'un accord politique le 7 mai 2026. Il repousse l'application des règles sur les systèmes à haut risque au 2 décembre 2027 (et au 2 août 2028 pour les composants de sécurité), le temps que les normes techniques soient prêtes. En revanche, les pratiques interdites et l'obligation de littératie IA restent applicables depuis le 2 février 2025.
