À retenir
- Double obligation légale depuis février 2025 — RGPD et AI Act s'appliquent simultanément à tout usage professionnel de ChatGPT, Claude ou Copilot ; l'article 4 de l'AI Act oblige les organisations à soutenir la littératie IA de leurs équipes.
- Les sanctions CNIL explosent — 83 sanctions pour 486,8 M€ prononcées en 2025 (neuf fois le montant de 2024) ; les motifs visent directement des pratiques courantes avec l'IA (sécurité insuffisante, traitements automatisés non déclarés).
- 8 catégories de données à ne jamais saisir dans un outil IA externe : noms de clients, données de santé, IBAN, CV non anonymisés… Un seul copier-coller distrait suffit à constituer une violation RGPD.
- La formation est finançable à 50-100 % via OPCO ou CPF (certification RS6776) — la contrainte n'est pas budgétaire, elle est de savoir par où commencer.
Bon à savoir : Depuis le 2 février 2025, l'article 4 de l'AI Act est en vigueur. Il impose aux organisations de s'assurer que le personnel traitant des systèmes d'IA dispose d'un niveau suffisant de littératie en la matière — c'est une obligation organisationnelle, applicable même à un simple usage de ChatGPT pour rédiger un email.
Un responsable RH d'une PME industrielle de 90 salariés — appelons-le le « DRH fantôme de l'IA » que l'on rencontre souvent en formation — a découvert en juin dernier que son équipe recrutement copiait des CV complets dans ChatGPT pour rédiger des synthèses. Données d'identité, adresses, situations familiales, mentions de handicap : tout y passait. L'IA répondait vite, le travail avançait. Et personne n'avait réalisé que chaque copier-coller constituait potentiellement un transfert illicite de données personnelles vers des serveurs américains. Zéro formation, zéro politique interne, zéro base légale.
Ce cas n'est pas isolé. Selon Bpifrance Le Lab (février 2025), 31 % des TPE et PME utilisent l'IA générative en 2026, contre 15 % un an plus tôt. L'adoption a plus que doublé. La conformité, elle, n'a pas suivi le même rythme.
Pourquoi la conformité IA RGPD est devenue urgente en 2026
Toute entreprise dont les collaborateurs utilisent ChatGPT, Claude ou Copilot est aujourd'hui exposée à une double obligation légale — RGPD et AI Act — dont le non-respect peut coûter jusqu'à 35 millions d'euros. Ce n'est plus une question de taille d'entreprise ni de secteur.
Le vrai tournant, ce n'est pas une théorie juridique : c'est une date. Depuis le 2 février 2025, l'article 4 du Règlement européen sur l'IA est en vigueur. Il impose aux fournisseurs et déployeurs de systèmes d'IA de prendre des mesures pour que leur personnel traitant ces systèmes dispose d'un « niveau suffisant de littératie en matière d'IA ». En français non-juridique : votre organisation doit s'assurer que vos collaborateurs comprennent ce qu'ils font avec ces outils. C'est une obligation légale, pas une recommandation.
L'article 4 de l'AI Act est en vigueur depuis le 2 février 2025. Il impose une obligation organisationnelle de littératie IA — un manquement peut aggraver d'autres infractions (notamment l'article 26 sur les déployeurs), exposant à des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. La CNIL est désignée comme autorité de surveillance en France.
En parallèle, les sanctions CNIL ont atteint des niveaux inédits. D'après le bilan officiel de la CNIL (2025), 83 décisions de sanction ont été prononcées pour un total de 486,8 M€ — soit neuf fois le montant de 2024 (55,2 M€). France Travail a été condamnée à 5 M€ en janvier 2026 pour défaut de sécurité des données. Les motifs récurrents — sécurité insuffisante, non-respect des droits des personnes, sous-traitants non conformes — s'appliquent directement aux usages d'IA générative en entreprise.
AI Act article 4 en vigueur
Sanctions CNIL en forte hausse
31 % des PME utilisent l'IA générative
55 % d'usage 'shadow IA'
RGPD et AI Act : deux règlements, une seule conformité
Le RGPD et l'AI Act ne sont pas alternatifs : ils s'appliquent simultanément dès qu'un outil IA traite des données personnelles, ce qui couvre ChatGPT, Claude et Copilot dans la quasi-totalité des usages professionnels.
La confusion la plus fréquente chez les dirigeants et DPO en formation : croire que le RGPD et l'AI Act sont alternatifs, qu'il faut « choisir lequel respecter ». C'est faux. Les deux s'appliquent simultanément dès qu'un système d'IA traite des données personnelles — ce qui couvre ChatGPT, Claude, Copilot et la quasi-totalité des outils IA grand public utilisés en entreprise.
Pensez-y comme à un permis de conduire et au code de la route. Le RGPD est le code de la route des données : il s'applique depuis 2018 à tout traitement, avec ou sans IA. L'AI Act est le contrôle technique des véhicules intelligents : il s'applique en plus, spécifiquement aux systèmes d'IA, selon leur niveau de risque. Rouler sans permis et sans contrôle technique : double infraction, double sanction.
La CNIL articule six obligations opérationnelles RGPD applicables dès qu'un système d'IA traite des données personnelles : définir une finalité explicite, établir une base légale, minimiser les données collectées, respecter le droit à l'oubli, assurer la transparence des décisions automatisées, et encadrer les décisions entièrement automatisées (article 22 RGPD). Notre formation IA Act détaille ces obligations en contexte opérationnel, avec des cas pratiques par secteur d'activité.
Bon à savoir : Une PME qui utilise ChatGPT pour traiter des candidatures est qualifiée de « déployeur » au sens de l'article 3(4) de l'AI Act — même sans avoir développé le moindre système d'IA. Cette qualification déclenche des obligations de transparence et, pour les outils RH automatisés, des obligations de conformité lourdes applicables à partir de décembre 2027.
Ce que vous ne devez jamais faire avec ChatGPT ou Claude au bureau
Huit catégories de données sont à proscrire systématiquement dans tout outil IA externe — les saisir, même par habitude, suffit à constituer une violation RGPD caractérisée.
C'est la section que les pages catalogue de vos concurrents n'ont pas écrite. Pas parce que c'est difficile, mais parce qu'elles vendent des formations, elles ne forment pas réellement. Voici ce que les fiches pratiques CNIL sur l'IA et les recommandations de terrain permettent d'identifier concrètement.
La règle d'or : avant de saisir une information dans un outil IA externe (ChatGPT, Claude, Copilot), demandez-vous si vous seriez à l'aise de l'afficher sur un tableau blanc lors d'une réunion publique. Si non, anonymisez.
Données d'identité clients ou collaborateurs
Données de santé
Données financières sensibles
Données RH non anonymisées
Données d'accès et tokens
Numéros d'identification
Le risque sous-jacent est double. D'abord, les LLM comme ChatGPT peuvent mémoriser les données saisies pour l'entraînement du modèle — sauf si vous désactivez explicitement cette option (ChatGPT : Paramètres > Contrôles des données > Améliorer le modèle = désactivé). Ensuite, tout envoi de données personnelles vers des serveurs américains constitue un transfert hors UE soumis au CLOUD Act américain, sans base légale contractuelle en dehors des versions entreprise des outils (ChatGPT Enterprise, Claude for Work, Copilot for Microsoft 365).
Bonne pratique immédiate : Créez un document d'une page intitulé « Règles d'usage IA » listant les 6 catégories de données interdites. Faites-le signer par chaque collaborateur. Cette attestation simple constitue déjà le début d'une conformité AI Act article 4 documentée — et une preuve en cas de contrôle CNIL.
Pour aller plus loin, consultez notre guide de la charte IA d'entreprise qui détaille comment rédiger et déployer ce type de politique interne.
Les quatre niveaux de risque de l'AI Act — où se situe votre entreprise ?
Un outil qui pré-filtre des CV, un chatbot qui répond aux demandes de remboursement, un système de scoring commercial : chacun peut basculer dans la catégorie « haut risque » de l'AI Act sans que l'entreprise l'ait anticipé.
Risque inacceptable — interdit depuis le 2 février 2025
Notation sociale (social scoring), reconnaissance des émotions au travail, identification biométrique à distance en temps réel. Ces usages sont simplement illégaux.
Haut risque — obligations applicables à partir de décembre 2027
Recrutement et évaluation automatisée des salariés, systèmes biométriques, accès aux services publics et prestations sociales, décision judiciaire. Nécessite une évaluation de conformité, une documentation technique et une gestion des risques. La date initiale d'août 2026 a été reportée de 16 mois par le règlement omnibus (UE) 2026/1744.
Risque de transparence — obligation d'information dès août 2026
Chatbots, deepfakes, contenus générés par IA. L'utilisateur doit savoir qu'il interagit avec une IA. Les contenus IA doivent être signalés comme tels.
Risque minimal — pas d'obligation spécifique
La très grande majorité des usages IA génératives actuels (rédaction, résumé, traduction, code). Mais le RGPD s'applique toujours si des données personnelles sont traitées.
Selon Salesforce (novembre 2023), 55 % des utilisateurs d'IA en entreprise utilisent des outils non approuvés par leur employeur — et 40 % des outils explicitement interdits. Une PME utilisant ChatGPT est un « déployeur » au sens de l'article 3(4) de l'AI Act, soumise à l'obligation de transparence. La recommandation pratique : tenir un registre IA recensant les systèmes utilisés, leur classification de risque, leur fournisseur et leur statut de conformité.
Qui doit se former — et pourquoi tout le monde est concerné
L'AI Act ne cible pas seulement les DPO ou les juristes — il concerne toute personne qui utilise un système d'IA dans le cadre professionnel, ce qui, dans une PME ordinaire, représente quasiment l'ensemble des collaborateurs.
L'AI Act ne cible pas seulement les DPO ou les juristes. Il concerne toute personne impliquée dans l'utilisation d'un système d'IA — ce qui, dans une PME ordinaire, signifie quasiment l'ensemble des collaborateurs dès lors qu'ils utilisent ChatGPT, Copilot ou un outil de CRM à base d'IA.
La formation "Work with AI" de The Intelligence Academy intègre explicitement un module « Agents & automatisation (RGPD) » dans son programme de 31 heures — parce que la conformité ne se greffe pas sur l'usage IA en bout de chaîne, elle doit être apprise en même temps que les outils. C'est la différence entre savoir utiliser ChatGPT et savoir l'utiliser sans exposer son entreprise.
Pour comprendre comment diffuser cette culture IA à grande échelle, notre guide sur l'acculturation IA en entreprise détaille les approches par profil et par département.
Bon à savoir : Selon Salesforce (novembre 2023), 55 % des utilisateurs d'IA en entreprise utilisent des outils non approuvés par leur employeur — le phénomène « shadow IA ». Ce chiffre illustre pourquoi la formation ne peut pas rester optionnelle : quand les collaborateurs ne savent pas quoi faire, ils font quand même, mais mal.
Financer votre formation IA conformité RGPD
Une formation IA conformité RGPD certifiée Qualiopi peut être financée de 50 à 100 % selon votre situation — via CPF (certification RS6776) ou OPCO. Le coût n'est donc pas un obstacle réel.
L'argument le plus fréquent pour ne pas se former : « c'est trop cher ». Il est souvent faux. Une formation IA conformité RGPD certifiée Qualiopi peut être financée à 50 à 100 % selon votre situation.
CPF — via Mon Compte Formation
La certification RS6776 (Intelligence Artificielle Générative) inscrite au Répertoire France Compétences donne accès au CPF. Plafond : 1 500 €. Depuis avril 2026, un reste à charge de 150 € minimum s'applique pour les salariés (décret n°2026-234 — le précédent décret de 2024 fixait 100 €). Accès sur moncompteformation.gouv.fr.
OPCO — selon votre branche professionnelle
Condition absolue : l'organisme de formation doit être certifié Qualiopi. Financement de 50 à 100 % du coût pédagogique selon la taille de l'entreprise et l'OPCO. Principaux OPCO finançant les formations IA : Atlas (banque, finance), Afdas (médias, communication), OPCO EP (santé). Le dispositif FSE+ était prolongé jusqu'au 30 juin 2026.
Plan de Développement des Compétences (PDC)
Financé par l'entreprise via sa contribution formation (0,55 % à 1 % de la masse salariale). Compatible avec toute formation Qualiopi. L'argument de l'obligation légale AI Act est recevable pour convaincre votre OPCO ou votre direction.
Intra-entreprise — pour former une équipe entière
La formation "Explore" (7h) ou "Push" (14h) de The Intelligence Academy peut être organisée directement en entreprise. Format présentiel ou distanciel, 2 à 12 personnes. Finançable OPCO / PDC si Qualiopi. Adapté quand plusieurs collaborateurs doivent être formés en même temps.
Pour un guide complet sur les démarches de financement, consultez notre article comment financer sa formation IA avec le CPF et l'OPCO.
Sources et références
- CNIL, bilan des sanctions 2025 (2025) — Chiffres officiels : 83 sanctions, 486,8 M€ d'amendes prononcées
- CNIL, Les fiches pratiques IA (13 fiches, 2024-2025) (2024-2025) — Recommandations opérationnelles CNIL pour développeurs et entreprises
- CNIL, IA : comment être en conformité avec le RGPD ? (2025) — Les 6 obligations RGPD applicables aux systèmes d'IA
- CNIL, Entrée en vigueur du règlement européen sur l'IA (12 juillet 2024) — Questions-réponses officielles CNIL sur l'AI Act
- Commission européenne, FAQ littératie IA (article 4) — Source officielle sur l'obligation organisationnelle de littératie IA
- Règlement omnibus (UE) 2026/1744 — Report des obligations haut risque Annexe III à décembre 2027
- Salesforce, "The Promises and Pitfalls of AI at Work" (novembre 2023) — 55 % des utilisateurs d'IA en entreprise utilisent des outils non approuvés
- Bpifrance Le Lab, 31 % des TPE et PME utilisent l'IA générative (février 2025) — Enquête adoption IA générative en PME
- Bpifrance BigMedia, IA et RGPD : protection des données en entreprise (septembre 2025) — Risques sectoriels et bonnes pratiques
- Village de la Justice, DPO et EU AI Act : cinq questions que les PME vont vous poser (avril 2026) — Enjeux pratiques AI Act pour PME et DPO
FAQ
Une entreprise est-elle légalement obligée de former ses salariés à la conformité IA ?
Oui, depuis le 2 février 2025. L'article 4 du Règlement européen sur l'IA (AI Act, UE 2024/1689) impose aux fournisseurs et déployeurs de systèmes d'IA de prendre des mesures pour que leur personnel traitant ces systèmes dispose d'un « niveau suffisant de littératie en matière d'IA ». Il s'agit d'une obligation organisationnelle — dès qu'un employé utilise ChatGPT, Copilot, Claude ou tout outil IA dans le cadre professionnel, l'entreprise doit s'assurer qu'il est correctement formé. Un manquement à cette obligation peut aggraver d'autres infractions (notamment article 26), exposant à des amendes jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Source : FAQ officielle Commission européenne sur la littératie IA.
Quelle est la différence entre le RGPD et l'AI Act ?
Le RGPD encadre la protection des données personnelles depuis 2018 — il s'applique à tout traitement de données, avec ou sans IA. L'AI Act, en vigueur depuis 2024, encadre spécifiquement les systèmes d'IA selon leur niveau de risque. Les deux réglementations s'appliquent simultanément dès qu'un outil IA traite des données personnelles, ce qui couvre la quasi-totalité des usages professionnels. Sanction maximale : 20 M€ (RGPD) ou 35 M€ (AI Act, violations graves).
Quelles données ne jamais partager avec ChatGPT ou Claude au travail ?
Huit catégories sont à proscrire systématiquement : données d'identité de clients ou collaborateurs, données de santé, données financières (IBAN, cartes), données RH non anonymisées (CV, évaluations), numéros d'identification (NIR, passeport), données biométriques, mots de passe et tokens d'accès, et informations commerciales nominatives (contrats, conditions tarifaires). La règle pratique : anonymisez avant de saisir. Remplacez « M. Dupont, directeur de Société X » par « un dirigeant d'une PME industrielle de 80 salariés ».
Une formation IA conformité RGPD est-elle finançable par le CPF ou l'OPCO ?
Oui, sous conditions. Le CPF finance les formations certifiées au Répertoire France Compétences (certification RS6776 pour l'IA générative, plafond 1 500 €, reste à charge de 150 € depuis avril 2026). Les OPCO peuvent financer de 50 à 100 % du coût pédagogique si l'organisme est certifié Qualiopi — c'est le cas de The Intelligence Academy. L'argument légal de l'obligation AI Act article 4 est recevable auprès de votre OPCO pour justifier la demande de financement.
Mon entreprise utilise un outil CRM ou RH avec IA — suis-je concerné par l'AI Act ?
Très probablement. Les outils de recrutement automatisé, de scoring commercial ou d'évaluation des salariés sont classés « haut risque » à l'Annexe III de l'AI Act — avec des obligations lourdes applicables à partir de décembre 2027 (documentation technique, gestion des risques, évaluation de conformité). La recommandation pratique : dresser un registre IA listant tous les systèmes utilisés, leur classification de risque et leur statut de conformité.
Qu'est-ce que le 'shadow IA' et pourquoi est-ce un risque RGPD ?
Le « shadow IA » désigne l'usage d'outils IA non approuvés par l'employeur — un phénomène qui concerne 55 % des utilisateurs d'IA en entreprise selon Salesforce (novembre 2023). Ces usages échappent aux politiques de sécurité, aux contrats entreprise avec les éditeurs, et aux formations. Résultat : des données personnelles transitent vers des serveurs tiers sans base légale, sans information des personnes concernées, et sans que l'entreprise le sache. C'est une violation RGPD potentielle à chaque usage.
Conclusion
La conformité IA-RGPD n'est plus un sujet réservé aux juristes ou aux grandes entreprises. Depuis le 2 février 2025, l'obligation pour les organisations de soutenir la « littératie IA » de leurs équipes est inscrite dans la loi européenne. Les sanctions CNIL — 486,8 M€ en 2025 — montrent que l'époque de la tolérance régulatoire est révolue.
Le bon point de départ : une formation qui apprend à utiliser l'IA efficacement et en conformité, pas deux sujets séparés. C'est précisément pour cette raison que The Intelligence Academy a intégré le module RGPD au cœur du programme "Work with AI" — parce qu'un professionnel qui maîtrise ses outils sans comprendre les limites légales est autant un risque pour son entreprise qu'un atout.