Vos salariés utilisent l’IA. C’est illégal.
68 % des salariés français utilisent l’IA au travail sans en informer leur direction.
La question n’est plus de savoir si vos équipes utilisent l’IA, mais si elles le font dans un cadre conforme. Ce guide vous donne les clés pour comprendre le cadre juridique, choisir les bons outils et éviter les erreurs les plus courantes.
La règle d’or : ne jamais envoyer de données confidentielles ou personnelles dans une version gratuite d’un outil d’IA. Jamais.
Le cadre juridique : deux lois à connaître
Deux règlements européens encadrent l’utilisation de l’IA en entreprise. Ils sont complémentaires et se cumulent.
Le RGPD
Le RGPD (Règlement UE 2016/679) s’applique dès qu’un collaborateur saisit un nom, un numéro de téléphone ou toute information liée à une personne dans un outil d’IA. Peu importe l’outil, peu importe le contexte. Comme le rappelle le ministère de l’Économie, les données personnelles couvrent toute information permettant d’identifier directement ou indirectement une personne. Concrètement, vous devez avoir une base légale pour utiliser ces données, signer un contrat de traitement (DPA) avec chaque fournisseur, informer les personnes concernées et limiter les données transmises au strict nécessaire.
L’amende maximale : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. En 2025, la CNIL a prononcé 487 millions d’euros d’amendes, un record historique, avec des sanctions contre Google (325 M€), Shein (150 M€) et des entreprises de toutes tailles.
L’AI Act
L’AI Act (Règlement UE 2024/1689) est la première loi au monde qui encadre spécifiquement l’IA. Il classe les usages en quatre niveaux de risque : interdit (notation sociale, manipulation psychologique), haut risque (recrutement, scoring client, éducation), risque limité (chatbots, recommandations) et risque minimal (correcteurs, filtres anti-spam).
Deux dates à retenir. Les pratiques interdites et l’obligation de maîtrise de l’IA, qui passe d’abord par la formation de vos équipes, sont en vigueur depuis le 2 février 2025. Les obligations pour les systèmes à haut risque s’appliqueront à partir du 2 décembre 2027, suite au règlement Digital Omnibus entré en vigueur le 27 juillet 2026.
L’obligation de maîtrise de l’IA (article 4 de l’AI Act) est en vigueur depuis février 2025. Assouplie en juillet 2026, elle impose toujours de prendre des mesures, et la formation est la plus simple à démontrer. Si vous ne l’avez pas encore fait, vous êtes en retard. OMIA propose des programmes certifiés Qualiopi pour mettre vos équipes en conformité.
Souveraineté des données : où vont vos données ?
Le CLOUD Act
Le CLOUD Act est une loi américaine de 2018 qui permet aux autorités américaines d’obliger une entreprise américaine à remettre des données, même stockées en Europe. Si vous utilisez un service fourni par Microsoft, Google, OpenAI ou Anthropic, vos données sont potentiellement accessibles aux autorités américaines, quelle que soit la localisation physique des serveurs.
Le cas Copilot l’illustre bien : les données M365 Entreprise sont hébergées en Europe par défaut, mais sur des serveurs Azure, qui appartiennent à Microsoft. Le CLOUD Act s’applique donc à Microsoft. L’hébergement européen ne met pas vos données hors de portée du droit américain.
Le DPA : le contrat obligatoire
Le DPA (Data Processing Agreement) est le contrat que le RGPD (article 28) vous oblige à signer avec chaque fournisseur d’IA. Il garantit que vos données ne servent pas à entraîner le modèle, que les sous-traitants sont identifiés, que des mesures de sécurité sont en place et que vous serez informé en cas de fuite. Sans DPA signé, utiliser un outil d’IA pour traiter des données personnelles est illégal.
| Fournisseur | DPA disponible | Prix indicatif |
|---|---|---|
| Claude (Anthropic) | Offre Team | ~23-27 €/utilisateur/mois, 5 utilisateurs min. |
| ChatGPT (OpenAI) | Offre Business | ~18-23 €/utilisateur/mois, 2 utilisateurs min. |
| Copilot (Microsoft) | Inclus dans M365 | ~15-21 €/utilisateur/mois (complément M365) |
| Vibe (Mistral AI) | Offre Enterprise | Sur devis |
| Gemini (Google) | Workspace Entreprise | Sur devis |
Gratuit contre entreprise : la vraie différence
La différence entre une version gratuite et une licence entreprise n’est pas une question de confort. C’est une question de protection juridique. En version gratuite, vos échanges servent à entraîner l’IA, il n’y a pas de contrat, pas de contrôle. En version Team ou Business, vos données ne servent pas à l’entraînement (garanti par contrat), un DPA est disponible et les accès sont gérés de manière centralisée.
L’exemple Samsung le démontre : en 2023, trois fuites de données confidentielles via ChatGPT en vingt jours (code source, résultats de tests, enregistrement de réunion). Ces données sont devenues des données d’entraînement, impossibles à récupérer.
Les 5 actions à mener avant de déployer
Acheter une licence ne suffit pas. Cinq réglages sont indispensables avant de donner accès à vos équipes. Parmi eux : désactiver l’entraînement dans les paramètres de confidentialité, limiter les connecteurs au strict nécessaire (Copilot, par exemple, voit automatiquement tout ce que l’utilisateur voit dans l’écosystème Microsoft 365), et rédiger une charte d’usage signée par chaque collaborateur.
Besoin d’aide pour paramétrer vos outils ? Notre équipe peut réaliser un diagnostic IA pour identifier les risques et mettre en place les bons réglages.
Les erreurs qui coûtent cher
Deux erreurs reviennent constamment chez les dirigeants que nous accompagnons.
La première : interdire l’IA. C’est contre-productif. 49 % des salariés contournent les interdictions, avec des comptes gratuits personnels, sans DPA, sans traçabilité. L’exemple Samsung en 2023 est parlant : trois fuites de données confidentielles via ChatGPT en vingt jours. La bonne approche est d’encadrer, pas d’interdire.
La seconde : croire que la licence protège automatiquement. Une licence Team ou Enterprise ne sert à rien si les paramétrages ne sont pas faits. L’entraînement n’est pas toujours désactivé, la résidence Europe n’est pas toujours activée.
Notre guide complet détaille les cinq erreurs les plus fréquentes, avec des cas concrets et les solutions pour chacune.
[CTA Livre blanc]
Téléchargez le guide complet de conformité IA
Comparatifs détaillés des outils, tableaux de synthèse, calendrier réglementaire, 7 recommandations concrètes, analyse de chaque fournisseur outil par outil. 13 pages pour tout comprendre.
→ Télécharger le guide complet
FAQ — Conformité IA en entreprise
L’utilisation de ChatGPT en version gratuite est-elle illégale ?
Pas en soi. Mais si un collaborateur y saisit des données personnelles (noms, adresses, numéros de téléphone), le RGPD s’applique. Or, sans DPA signé avec OpenAI, ce traitement est illégal. De plus, les échanges en version gratuite servent à entraîner le modèle et ne peuvent plus être supprimés. La version gratuite est donc incompatible avec un usage professionnel impliquant des données personnelles ou confidentielles.
Qu’est-ce qu’un DPA et pourquoi est-il obligatoire ?
Le DPA (Data Processing Agreement) est un contrat imposé par l’article 28 du RGPD. Il formalise les engagements de votre fournisseur d’IA sur le traitement de vos données : non-utilisation pour l’entraînement, identification des sous-traitants, mesures de sécurité, notification en cas de fuite, suppression à la résiliation. Sans ce contrat, toute utilisation d’un outil d’IA pour des données personnelles est non conforme.
L’AI Act concerne-t-il mon entreprise si je ne développe pas d’IA ?
Oui. L’AI Act s’applique à tout « déployeur » d’IA, c’est-à-dire toute entreprise qui utilise un système d’IA dans l’Union européenne, même si l’outil vient des États-Unis. L’obligation de maîtrise de l’IA (article 4), qui impose de prendre des mesures comme la formation de vos équipes, est en vigueur depuis le 2 février 2025. Les amendes les plus lourdes de l’AI Act (jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires) visent les pratiques interdites, pas cette obligation.
Les données hébergées en Europe sont-elles protégées du CLOUD Act ?
Non. Le CLOUD Act permet aux autorités américaines d’accéder aux données détenues par une entreprise américaine, quelle que soit la localisation physique des serveurs. Même si vos données Microsoft 365 sont hébergées à Francfort ou à Paris, Microsoft reste une société américaine soumise au CLOUD Act. La seule solution pour échapper totalement à cette juridiction est de passer par un fournisseur non américain avec un hébergement 100 % français, comme Mistral Compute.
Quelles sanctions risque une entreprise en cas de non-conformité ?
Les sanctions RGPD et AI Act se cumulent. Le RGPD prévoit des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. L’AI Act ajoute des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires pour les pratiques interdites. En 2025, la CNIL a prononcé 487 millions d’euros d’amendes, un record historique, touchant des entreprises de toutes tailles et de tous secteurs.
Former mes équipes à l’IA est-il vraiment obligatoire ?
Oui, sous une forme assouplie. L’article 4 de l’AI Act, en vigueur depuis le 2 février 2025 et réécrit en juillet 2026, impose de prendre des mesures pour développer la maîtrise de l’IA du personnel qui utilise ou supervise un système d’IA, sans exiger de niveau précis. En cas de contrôle, vous devez pouvoir présenter les mesures prises : attestations de formation, une charte d’usage signée et la liste des outils autorisés. OMIA propose des formations certifiées Qualiopi adaptées à chaque niveau.
Ce guide est à jour en Juin 2026. Les prix et fonctionnalités sont indicatifs et peuvent évoluer. Pour toute question de conformité RGPD, consultez votre DPO.
