Réglementation RGPD / AI Act

Ce que le règlement européen sur l’intelligence artificielle impose réellement, à quelle date, et comment il s’articule avec le RGPD. Cette page sert de référence aux utilisateurs de ProcessAI pour classer leurs process et tenir leur documentation de conformité.

Dernière vérification : 27 juillet 2026 · Mise à jour mensuelle et à chaque évolution officielle.

Calendrier d’application

Date	Ce qui s’applique	Statut
2 février 2025	Pratiques interdites (article 5 : notation sociale, manipulation, reconnaissance des émotions au travail et à l’école, etc.) et obligation de littératie en IA (article 4 : former les personnes qui utilisent ou déploient l’IA).	En vigueur
2 août 2025	Modèles à usage général (GPAI) : documentation technique, politique de respect du droit d’auteur, résumé public des données d’entraînement. Mise en place de la gouvernance et du régime de sanctions.	En vigueur
2 août 2026	Transparence (article 50) : informer la personne qu’elle interagit avec une IA, sauf lorsque c’est manifeste ; signaler les contenus générés ou manipulés. Plus la majorité des règles restantes hors haut risque.	Imminent
2 décembre 2026	Fin du délai de grâce pour le marquage lisible par machine des contenus générés, sur les systèmes déjà présents sur le marché – délai ramené de 6 à 3 mois par l’Omnibus. Entrée en vigueur de la nouvelle interdiction des contenus sexuels et intimes non consentis générés par IA et du matériel pédopornographique.	À venir
2 août 2027	Bacs à sable réglementaires nationaux : échéance de mise en place par les autorités compétentes, reportée par l’Omnibus.	Reporté
2 décembre 2027	Systèmes à haut risque autonomes (annexe III) : emploi et RH, éducation, biométrie, migration, infrastructures critiques, justice. Gestion des risques, documentation technique, journalisation, supervision humaine, évaluation de conformité, enregistrement. Échéance initiale : 2 août 2026.	Reporté
2 août 2028	Systèmes à haut risque intégrés à un produit déjà couvert par une législation sectorielle (annexe I) : dispositifs médicaux, machines, jouets, ascenseurs… Échéance initiale : 2 août 2027.	Reporté

Ce que le Digital Omnibus change exactement

Le texte a été proposé par la Commission le 19 novembre 2025, a fait l’objet d’un accord provisoire le 6 mai 2026, d’un vote du Parlement le 16 juin et de l’approbation finale du Conseil le 29 juin 2026. Il entre en vigueur le troisième jour suivant sa publication au Journal officiel de l’Union européenne.

• Report du bloc haut risque : nouvelles dates fixes du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I). Le motif avancé est technique – les normes harmonisées sur lesquelles doit s’appuyer la conformité n’étaient pas prêtes.
• Nouvelle interdiction ajoutée à l’article 5 : génération de contenus sexuels ou intimes non consentis et de matériel pédopornographique.
• Délai de grâce raccourci pour les solutions de transparence sur les contenus générés : de 6 à 3 mois, échéance au 2 décembre 2026.
• Bacs à sable réglementaires nationaux repoussés au 2 août 2027.
• Compétences du Bureau de l’IA clarifiées pour la supervision des systèmes bâtis sur un modèle à usage général du même fournisseur, avec des exceptions où les autorités nationales restent compétentes (police, gestion des frontières, autorités judiciaires, établissements financiers).
• Articulation avec le droit sectoriel : un mécanisme permet de limiter l’application de l’AI Act lorsqu’une législation sectorielle porte des exigences similaires (dispositifs médicaux, jouets, ascenseurs, bateaux de plaisance). Les produits couverts par le règlement Machines sont exemptés de l’applicabilité directe de l’AI Act.
• Ce qui ne bouge pas : les interdictions, la littératie en IA, les règles sur les modèles à usage général et les obligations de transparence de l’article 50.

Article 50 : ce qu’il faut avoir en ligne avant le 2 août 2026

• Interaction avec une IA – informer clairement la personne qu’elle s’adresse à un système d’IA, sauf lorsque c’est manifeste pour une personne raisonnablement avisée. Un chatbot de service client relève pleinement de ce champ, sans discussion possible.
• Contenus générés ou manipulés – les signaler comme tels. Les hypertrucages doivent être identifiés explicitement.
• Marquage lisible par machine des contenus de synthèse. Les systèmes mis sur le marché à partir du 2 août 2026 doivent être conformes immédiatement ; ceux déjà sur le marché ont jusqu’au 2 décembre 2026.
• Reconnaissance des émotions et catégorisation biométrique – informer les personnes exposées.

Pour prendre ces points en main sans partir de zéro : trois agents IA prêts à l’emploi, livrés avec leur prompt, leur mode d’emploi et leurs limites. Documents de préparation : ils ne remplacent pas l’avis d’un juriste.

Point pratique souvent négligé : beaucoup de fournisseurs ont déjà intégré le marquage sans le documenter. Vérifier ce que font vos fournisseurs évite de reconstruire ce qui existe déjà.

Les quatre niveaux de risque

Niveau	Ce que cela recouvre
Inacceptable	Interdit depuis le 2 février 2025 : notation sociale, manipulation exploitant une vulnérabilité, reconnaissance des émotions au travail et dans l’éducation, moissonnage non ciblé d’images faciales, police prédictive individuelle. Depuis l’Omnibus, s’y ajoute la génération de contenus intimes non consentis et de matériel pédopornographique.
Haut risque	Annexe III (systèmes autonomes : RH et recrutement, éducation, accès aux services essentiels, biométrie, migration, justice, infrastructures critiques) et annexe I (systèmes intégrés à un produit régulé). Obligations lourdes, applicables en décembre 2027 et août 2028.
Risque limité	Chatbots, générateurs de contenu, systèmes de reconnaissance d’émotions hors contextes interdits. Obligations de transparence (article 50) applicables au 2 août 2026.
Risque minimal	Le reste – filtres anti-spam, IA de jeux vidéo, moteurs de recommandation simples. Pas d’obligation spécifique, codes de conduite volontaires encouragés.

Attention : le report ne change pas la classification, seulement la date à laquelle les obligations mordent. Un système à haut risque reste à haut risque dès aujourd’hui – c’est le calendrier de mise en conformité qui glisse.

Sanctions

Manquement	Plafond
Pratiques interdites (article 5)	35 M€ ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu
Autres manquements, dont les obligations de transparence de l’article 50	15 M€ ou 3 % du chiffre d’affaires annuel mondial
Informations incorrectes, incomplètes ou trompeuses fournies aux autorités	7,5 M€ ou 1 % du chiffre d’affaires annuel mondial

Des plafonds proportionnés et plus bas s’appliquent aux PME et aux jeunes pousses. Les sanctions sont prononcées par les autorités nationales de surveillance et, pour les modèles à usage général, par le Bureau européen de l’IA.

RGPD : l’articulation, et ce qui est vraiment décidé

L’AI Act et le RGPD ne se substituent pas l’un à l’autre : ils se cumulent. Dès qu’un système d’IA traite des données personnelles, il faut lire les deux textes ensemble.

• Base légale – un traitement par IA reste un traitement : il lui faut une base légale au sens de l’article 6 du RGPD, et une information des personnes au sens des articles 13 et 14.
• Registre des traitements (article 30) – chaque process IA manipulant des données personnelles doit y figurer, avec finalité, catégories de données, destinataires, durée de conservation et transferts hors UE.
• Analyse d’impact (AIPD / DPIA) – article 35 : obligatoire pour les traitements à risque élevé, ce que sont la plupart des systèmes classés à haut risque par l’AI Act. Les deux exercices se nourrissent l’un l’autre.
• Décision automatisée – article 22 : une décision produisant des effets juridiques ou significatifs ne peut être entièrement automatisée sans garanties. C’est précisément ce que préserve le maintien d’une supervision humaine réelle.
• Résidence et transferts – héberger le traitement dans l’UE simplifie considérablement le dossier ; un fournisseur hors UE impose de documenter le mécanisme de transfert.
• Minimisation – article 5 : n’envoyer au modèle que les données nécessaires. C’est la mesure la plus efficace et la moins coûteuse.

Ce que ProcessAI en fait concrètement

• Classification par étape – chaque brique de votre diagramme porte une nature de données et une résidence, ce qui alimente l’indicateur de conformité RGPD en temps réel.
• Registre des traitements – export d’une trame de registre article 30 à partir des étapes du process, à compléter et à faire valider par votre DPO.
• Trame d’AIPD – les cinq rubriques attendues (description systématique, nécessité et proportionnalité, risques pour les personnes, mesures, avis du DPO) sont pré-remplies à partir du diagramme.
• Classification EU AI Act – positionnement indicatif du process sur les quatre niveaux de risque.
• Cartographie – le premier chantier de conformité, et le plus ingrat, reste de recenser les usages d’IA réellement en place dans l’organisation, y compris les outils que personne n’a déclarés. C’est là que la plupart des cartographies cassent.

Sources officielles

Référence	Lien
Règlement (UE) 2024/1689 – texte de l’AI Act sur EUR-Lex	eur-lex.europa.eu – CELEX 32024R1689
Conseil de l’UE – feu vert final au Digital Omnibus sur l’IA, 29 juin 2026	consilium.europa.eu – communiqué
Texte adopté du Digital Omnibus sur l’IA (PDF)	data.consilium.europa.eu – PE-30-2026-INIT
Conseil de l’UE – accord provisoire Conseil / Parlement, 6 mai 2026	consilium.europa.eu – communiqué
Commission européenne – AI Act Service Desk et plateforme d’information unique	ai-act-service-desk.ec.europa.eu
Commission européenne – cadre réglementaire de l’IA	digital-strategy.ec.europa.eu
EU Law Tracker – suivi de la procédure législative 2025/0359	law-tracker.europa.eu
CNIL – recommandations IA et protection des données	cnil.fr/intelligence-artificielle
Comité européen de la protection des données (EDPB)	edpb.europa.eu

Avertissement. Cette page est une synthèse d’information, tenue à jour à partir des sources officielles listées ci-dessus. Elle ne constitue pas un conseil juridique. La qualification d’un système et les obligations qui en découlent dépendent de son usage réel : pour un déploiement engageant, faites valider l’analyse par votre DPO ou par un conseil spécialisé.

© Wiikiiaii – ProcessAI. Dernière vérification : 27 juillet 2026 · Prochaine revue : 27 août 2026.
Voir aussi : Sources des tarifs · Comparateur d’outils IA