Votre check-list AI Act et RGPD : les 10 points à vérifier
Dix points à vérifier dans votre PME, avec le texte qui les impose. Rien à télécharger, rien à donner : cochez, puis imprimez ou enregistrez en PDF.
À jour au 23 septembre 2026 — règlement (UE) 2024/1689 modifié par le Digital Omnibus du 8 juillet 2026, et règlement (UE) 2016/679.
Y compris ceux arrivés par une mise à jour de votre logiciel habituel : CRM, paie, messagerie, assistant de rédaction. Un outil que personne n’a décidé d’adopter reste un outil que vous utilisez.
Pourquoi : vous ne pouvez rien encadrer que vous n’ayez recensé. C’est le préalable de l’article 4 de l’AI Act et de l’article 30 du RGPD.
Une page suffit : quels outils sont autorisés, pour quoi, ce qui est interdit, qui valide une nouvelle utilisation. Diffusée et datée, pas rangée dans un tiroir.
Article 4 de l’AI Act : prendre des mesures pour favoriser la maîtrise de l’IA, en tenant compte du contexte d’utilisation.
Pas encore écrite ? Le modèle de politique d’usage est gratuit : vous remplissez, il se compose, vous l’imprimez →
Le point le plus utile en pratique : une liste courte de ce qu’on ne colle jamais dans un outil d’IA — données clients, pièces contractuelles, éléments couverts par le secret.
Article 4 de l’AI Act, et principe de minimisation de l’article 5 du RGPD.
Quelles données, pour quelle finalité, sur quelle base légale, combien de temps. Si l’outil traite des données personnelles, il entre dans votre registre.
Articles 6 et 30 du RGPD. La dérogation « moins de 250 salariés » ne joue presque jamais : la paie et la gestion clients ne sont pas des traitements occasionnels.
Les offres grand public n’offrent pas les garanties contractuelles nécessaires. Vérifiez aussi la base du transfert si l’éditeur est établi hors de l’Union.
Article 28 du RGPD pour le contrat, chapitre V pour les transferts.
Tri de candidatures, évaluation, accès à un service : une intervention humaine réelle doit exister, et la personne doit pouvoir la demander.
Article 22 du RGPD. Côté AI Act, ces usages relèvent de l’annexe III — obligations applicables au 2 décembre 2027.
Un contenu généré par IA publié pour informer le public doit être identifiable comme tel. Et il vous engage : ce que dit votre outil vous est opposable.
Article 50, paragraphes 2 et 4, de l’AI Act, applicable depuis le 2 août 2026.
La mention se place dans la fenêtre de discussion, avant ou avec le premier message. Pas dans les conditions générales, pas en bas de page.
Article 50, paragraphe 1, de l’AI Act. L’obligation pèse sur le fournisseur de l’outil : votre travail est de vérifier qu’elle est respectée chez vous.
Vos prestataires utilisent l’IA sur vos dossiers. Dites ce qui est autorisé, ce qui doit être signalé, et ce qui ne sort pas.
Article 28 du RGPD, et protection du secret des affaires au sens des articles L. 151-1 et suivants du code de commerce.
Le registre, la règle d’usage, la trace des informations diffusées aux équipes, les contrats. C’est ce qu’on vous demandera : non pas un certificat, mais des preuves.
Article 5, paragraphe 2, du RGPD — vous devez être en mesure de démontrer. Il n’existe aucune attestation officielle de conformité AI Act pour une entreprise utilisatrice.
Le droit bouge. Voulez-vous être prévenu ?
Le règlement de 2024 a déjà été réécrit en juillet 2026, et deux nouvelles interdictions entrent en application le 2 décembre 2026. Nous envoyons une note courte à chaque évolution qui change quelque chose pour une PME.
Une adresse, rien d’autre. Pas de démarchage. Désinscription en un clic.
Et ensuite ?
Si un point vous arrête, le guide correspondant est en accès libre : le cadre général de l’AI Act, la politique d’usage, le registre des systèmes d’IA, le point RGPD en six vérifications.
Vous pouvez aussi faire l’auto-diagnostic en trois minutes, qui vous donne les points à régler dans l’ordre.
Et si vous préférez des documents prêts à compléter plutôt que de les rédiger, essayez le modèle de politique d’usage : vous saisissez vos informations, le document se compose sous vos yeux. Tous nos modèles.
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cette page a été préparée avec l’aide d’outils d’IA et vérifiée sur les textes officiels cités. Elle a un but d’information générale et ne constitue pas un conseil juridique.
