IA conforme RGPD et AI Act : guide complet pour PME et ETI

Cela dépend de plusieurs critères : où sont hébergées vos données, quel modèle d'IA vous utilisez, si les décisions sont automatisées ou validées par un humain, si vous avez documenté les flux de données et réalisé une AIPD. Chez JAIKIN, nous proposons un audit de conformité en 2-3 jours pour évaluer précisément votre situation et identifier les ajustements nécessaires. Cet audit est gratuit et sans engagement.

Oui, mais avec précaution. Les versions API de ChatGPT et Claude (non les versions gratuites grand public) offrent des garanties contractuelles sur la confidentialité des données. Cependant, vos données transitent par des serveurs américains, ce qui soulève des questions de souveraineté et peut poser problème pour des données sensibles (santé, RH, finance). Pour ces cas, nous recommandons des modèles open-source hébergés sur infrastructure européenne.

L'Analyse d'Impact sur la Protection des Données (AIPD, ou DPIA en anglais) est une étude documentant les risques pour les droits et libertés des personnes dont les données sont traitées. Elle est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé : profilage à grande échelle, décisions automatisées produisant des effets juridiques, traitement de données sensibles (santé, origine ethnique). Les systèmes d'IA entrent souvent dans ces catégories. L'AIPD prend 2-5 jours selon la complexité et doit être réalisée avant la mise en production.

C'est un mécanisme garantissant qu'une décision sensible n'est jamais prise uniquement par l'IA. L'humain conserve le pouvoir de décision final. Par exemple, pour un système de tri de CVs : l'IA présente les 50 meilleurs profils avec justification du score, mais c'est le recruteur humain qui décide qui passer en entretien. L'IA assiste, l'humain décide. Ce mécanisme respecte l'article 22 du RGPD et les exigences de l'AI Act sur les systèmes à haut risque.

Cela dépend de l'écart entre votre situation actuelle et les exigences réglementaires. Pour un système déjà bien conçu mais hébergé sur cloud américain, migrer vers une infrastructure européenne coûte 3-8k€. Pour un système nécessitant une AIPD, un logging renforcé et un human-in-the-loop, comptez 10-20k€ d'ajustements. Chez JAIKIN, nous concevons des systèmes conformes dès le départ, évitant les coûts de mise en conformité a posteriori.

Oui. Les sanctions RGPD peuvent atteindre 4% du chiffre d'affaires mondial ou 20M€ (le plus élevé des deux). L'AI Act prévoit des amendes jusqu'à 35M€ ou 7% du CA mondial pour les infractions les plus graves (systèmes interdits mis sur le marché). Au-delà des sanctions financières, le risque réputationnel est majeur : perte de confiance des clients, contentieux, obligation de cessation du traitement. La conformité est un investissement protecteur.

Oui, dans la plupart des cas. Le RGPD impose de communiquer sur l'existence d'une prise de décision automatisée (article 13). L'AI Act renforce cette obligation pour les systèmes à risque limité (ex : chatbots). Concrètement : si un chatbot répond à vos clients, indiquez clairement qu'il s'agit d'une IA. Si un algorithme traite les candidatures, informez-en les candidats. Cette transparence rassure et évite les contentieux.

Le droit d'accès (article 15 RGPD) s'applique pleinement aux données traitées par IA. Vous devez être capable de fournir : les données personnelles traitées, la finalité du traitement, la logique de la décision automatisée, les destinataires des données. C'est pourquoi le logging complet et la documentation sont essentiels. Délai de réponse : 1 mois maximum après réception de la demande.

Uniquement si vous avez une base légale valide (consentement explicite, intérêt légitime, exécution du contrat) et si vous respectez le principe de minimisation. En pratique, les données d'entraînement doivent être anonymisées ou pseudonymisées lorsque c'est possible. Si vous utilisez un modèle hébergé en Europe, vous gardez la maîtrise de vos données. Si vous envoyez vos données à OpenAI ou Anthropic pour fine-tuning, vous perdez cette maîtrise et devez obtenir un consentement explicite.