Conformité · RGPD et AI Act
Intelligence artificielle (IA) et RGPD, AI Act : les obligations des PME et ETI, et leur calendrier
IA et RGPD vont ensemble : le RGPD s'applique déjà à toute donnée personnelle qu'un système d'IA lit ou produit, et l'AI Act s'y ajoute par paliers, avec la transparence de l'article 50 applicable depuis le 2 août 2026 et le haut risque de l'annexe III au 2 décembre 2027. Voici les obligations d'une PME, les douze contrôles RGPD et la gouvernance que nous intégrons à chaque automatisation IA, registre et preuves compris.
- 5/5sur Google · 8 avis
- +130projets livrés
- 24 hpremière réponse
- Cartographie de vos systèmes d'IA, Shadow AI comprise
- Classement par niveau de risque et rapport d'écart chiffré
- Documentation et registre tenus avec vos équipes
Ce qui s'applique, et depuis quand
Ce que la loi vous impose, en une page
02.08.2026
Art. 50 (transparence) — applicable depuis le 2 août 2026
35 M€ / 7 %
Sanction max. — pratiques interdites (art. 99)
02.12.2027
Haut risque (annexe III) — échéance reportée (Digital Omnibus)
+130
Projets IA livrés en cumulé
Champ d'application
Êtes-vous concerné, et à quel niveau de risque ?
L'Union Européenne impose un cadre spécifique à l'intelligence artificielle
Adopté en 2024 et entré en vigueur le 1er août 2024, l'AI Act — la loi européenne sur l'intelligence artificielle, ou règlement IA (RIA) — est le premier texte au monde à encadrer spécifiquement ces systèmes. Il ne régule pas la technologie mais son usage : c'est l'utilisation faite du système, et la protection des droits fondamentaux des personnes concernées, qui déterminent le niveau de risque et les obligations. Une même brique technique peut être à risque minimal chez vous et à haut risque chez votre client. Le texte distingue aussi votre rôle : le fournisseur qui met le système sur le marché porte la charge documentaire lourde, le déployeur qui l'utilise porte l'information des personnes, la supervision humaine et la conservation des journaux :
- Risque inacceptable (interdits)Interdit depuis le 2 février 2025
- Haut risque (régulation stricte)Annexe III — échéance 2 déc. 2027
- Risque limité (transparence requise)Art. 50 — applicable depuis le 2 août 2026
- Risque minimal (pas d'obligation spécifique)Aucune obligation nouvelle
Fournisseur ou déployeur
Qui porte quoi : fournisseur, déployeur, utilisateur
Si vous développez un système d'IA et le mettez sur le marché sous votre nom, vous êtes fournisseur : documentation technique, système de gestion des risques, déclaration de conformité sont à votre charge. Si vous achetez un outil et l'utilisez dans votre organisation, vous êtes déployeur — le cas de la quasi-totalité des PME. Vos obligations sont alors l'information des personnes concernées, la supervision humaine et la conservation des journaux. Attention : personnaliser lourdement un système ou le rebrander peut vous requalifier en fournisseur.
Ce qu'une PME doit faire
Les obligations AI Act d'une PME, dans l'ordre où elles s'appliquent
Une PME qui achète et utilise un outil d'IA est déployeur. Voici ce que le règlement attend d'elle, échéance par échéance, au 6 octobre 2026.
Maîtrise de l'IA (article 4), depuis le 2 février 2025
Fournisseurs et déployeurs prennent des mesures pour développer la maîtrise de l'IA des personnes qui utilisent ces systèmes pour leur compte, selon leur métier et le contexte d'usage. Depuis le règlement Digital Omnibus, en vigueur le 27 juillet 2026, le texte n'exige plus un « niveau suffisant » : il exige des mesures, que vous devez pouvoir montrer.
Chatbots et agents : annoncer l'IA (article 50), depuis le 2 août 2026
Une personne qui échange avec un chatbot, un agent vocal ou un assistant doit savoir qu'elle parle à une IA, sauf si c'est évident dans le contexte. La conception revient au fournisseur ; en pratique, c'est au déployeur de vérifier que la mention apparaît dès le premier message, sur chaque canal.
Contenus générés et hypertrucages (article 50)
Le fournisseur marque les sorties synthétiques (texte, image, son, vidéo) dans un format lisible par machine ; ceux dont le système était déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026. Le déployeur signale un hypertrucage, et un texte généré publié pour informer le public, sauf s'il a été relu sous une responsabilité éditoriale.
Systèmes à haut risque de l'annexe III, au 2 décembre 2027
Recrutement, évaluation des salariés, crédit, accès aux services essentiels : le déployeur utilise le système selon la notice du fournisseur, confie la supervision humaine à des personnes compétentes, vérifie ses données d'entrée, surveille le fonctionnement, conserve les journaux au moins six mois et informe les personnes concernées, ainsi que les représentants du personnel avant un déploiement au travail.
Le changement de rôle, piège des PME qui personnalisent
Modifier substantiellement un système à haut risque, changer sa finalité ou le commercialiser sous votre nom fait de vous un fournisseur : documentation technique, gestion des risques et déclaration de conformité passent alors à votre charge.
Les sanctions, sans les confondre
Jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial pour un manquement à la transparence (article 99, paragraphe 4) ; 35 M€ ou 7 % pour les seules pratiques interdites de l'article 5. Pour une PME, c'est le plus faible des deux montants qui sert de plafond (article 99, paragraphe 6).
La liste de contrôle d'une PME, en huit étapes
Cartographier vos systèmes d'IA
Logiciels avec une fonction IA (CRM, ATS, ERP, marketing), API de modèles, chatbots, modèles faits par un prestataire, et les usages que les équipes ont adoptés sans le dire. Pour chacun : fournisseur, finalité, données, personnes touchées.
Classer chaque système par niveau de risque
Interdit, haut risque, transparence, minimal. En cas de doute, classez plus haut : un haut risque pris pour un risque minimal est l'erreur qui coûte.
Vérifier qu'aucune pratique n'est interdite
Analyse des émotions pendant un entretien vidéo, notation comportementale des salariés : ces usages sont interdits depuis le 2 février 2025.
Nommer qui tranche et qui tient
Un dirigeant qui arbitre, un référent qui tient le registre et reçoit les signalements. Le DPO, s'il existe, est le candidat naturel.
Documenter chaque système à haut risque
Fiche du système, risques et mesures, données d'entrée, supervision humaine et procédure d'arrêt, information des personnes, conservation des journaux, contrat fournisseur.
Relire les contrats fournisseurs
Accès à la documentation technique, notification des modifications substantielles, notice d'utilisation et limites du système, coopération en cas d'incident ou de contrôle.
Former les équipes (article 4)
Une session par population, sur vos propres outils, et la trace de qui a été formé à quoi.
Surveiller en continu
Dérive et erreurs, incidents graves signalés à l'autorité, revue annuelle de chaque système à haut risque, registre des modifications.
Le texte déjà en vigueur
RGPD et IA : ce que le RGPD ajoute à l'AI Act
Le cadre européen de protection des données s'applique pleinement aux systèmes d'IA
Article 22 : Décision automatisée
Interdit les décisions produisant des effets juridiques ou affectant significativement une personne si elles sont fondées uniquement sur un traitement automatisé (dont le profilage), sauf exceptions strictes (consentement explicite, nécessité contractuelle, base légale). Pour l'IA, cela signifie implémenter un human-in-the-loop sur les décisions sensibles (recrutement, crédit, résiliation de contrat).
Article 35 : Analyse d'Impact RGPD (AIPD)
Oblige à réaliser une Analyse d'Impact sur la Protection des Données pour tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés. Les systèmes d'IA entrent souvent dans cette catégorie. L'AIPD documente les risques, les mesures de sécurité et la proportionnalité du traitement.
Article 13 : Transparence et information
Impose d'informer les personnes dont les données sont traitées : finalités, base légale, durée de conservation, existence d'une prise de décision automatisée, droits des personnes. Pour l'IA, cela signifie documenter et communiquer clairement le fonctionnement du système.
En pratique, toute IA qui traite des données de clients, de salariés ou de partenaires est un traitement au sens du RGPD : les douze contrôles qui suivent en font un dossier vérifiable.
Le dossier RGPD d'une IA
RGPD et intelligence artificielle : 12 contrôles
Une IA est conforme au RGPD quand chaque traitement a une finalité, une base légale, des rôles, des données minimisées, une durée de conservation, des mesures de sécurité et une procédure pour les droits. Héberger le modèle en Europe ne remplace aucun de ces éléments.
1. Finalité
Écrire ce que le système accomplit, et ce qu'il ne doit jamais décider.
2. Données
Lister les champs nécessaires, les données sensibles et les sources interdites.
3. Base légale
Une base par finalité : contrat, obligation légale, intérêt légitime ou consentement. Elle ne se déduit pas de la technologie.
4. Rôles
Identifier le responsable de traitement, les sous-traitants, le fournisseur du modèle et les sous-traitants ultérieurs.
5. Contrats
Vérifier l'article 28 : instructions, confidentialité, sécurité, réversibilité, suppression en fin de contrat.
6. Transferts
Localiser traitements et accès, support et sauvegardes compris ; documenter le mécanisme de tout transfert hors de l'EEE.
7. Minimisation
Retirer les identifiants et attributs inutiles avant l'appel au modèle.
8. Conservation
Une durée pour les entrées, les sorties, les journaux, les sauvegardes et les jeux de test.
9. Sécurité
Accès minimaux, chiffrement, environnements séparés, secrets hors des prompts, tests de fuite et d'injection.
10. Droits
Prévoir la recherche, l'export, la rectification, l'effacement, l'opposition et la contestation auprès d'un humain.
11. Décisions
Documenter critères, seuils, exceptions, validation et voie de recours (article 22).
12. Incidents
Détecter une fuite ou une sortie dangereuse, couper le flux, organiser l'escalade.
Notre test du contrôle humain, celui qui fait la différence avec l'article 22 : la personne qui valide a‑t‑elle le temps, la compétence, les sources et le pouvoir de contredire la recommandation ? Si non, la validation est de façade et la décision reste, en droit, exclusivement automatisée.
Les journaux forment une nouvelle base de données : conserver tous les prompts et documents sans limite crée un second fichier de données personnelles, souvent moins protégé que le CRM. Nous fixons, avant la mise en production, les champs journalisés, qui y accède et pendant combien de temps.
Conforme par conception
La chaîne de preuve d'un système que nous livrons
Un système conforme ne se prouve pas par une politique de confidentialité : il se prouve par une trace. Le schéma est le trajet réel d'un dossier numérique chez nos clients — ce qui en est retiré avant l'envoi, où tourne le modèle, ce que le registre enregistre, et qui signe.
Deux points en font une chaîne et non une suite d'intentions. La décision sort du système à l'état de proposition : une équipe tranche, et son arbitrage est horodaté au même titre que la sortie du modèle. Et l'écart constaté ne se corrige pas à la sortie — il repart à la minimisation, parce qu'un défaut de sortie est presque toujours un défaut d'entrée.
C'est ce que nous cherchons à garantir dès le développement, jamais après coup : la conformité d'un système se décide au moment où on l'écrit, pas au moment où on l'audite.
IA souveraine : de quoi parle-t-on exactement ? Une IA souveraine est un dispositif dont vous maîtrisez les trois points de fuite : où sont hébergées les données (UE), ce que le fournisseur en fait (zéro rétention, zéro entraînement sur vos données) et qui peut y accéder (réversibilité contractuelle, pas de dépendance à un acteur soumis à des lois extraterritoriales). C'est le socle de notre chatbot IA souverain — et un critère d'architecture que nous appliquons à chaque projet, pas un argument marketing.
Gouverner sans comité
Gouvernance IA : Shadow AI, registre et référent
La gouvernance IA d'une PME tient en deux documents et un binôme : une politique d'usage que tout le monde connaît, un registre tenu à jour, un dirigeant qui tranche et un référent qui tient.
Où se niche le Shadow AI
Le Shadow AI désigne les usages d'IA qui échappent à toute validation et à tout suivi. Il naît rarement d'une intention de nuire : des salariés gagnent du temps avec des outils que l'entreprise n'a jamais évalués.
- Les comptes IA personnelsun historique client collé dans un assistant gratuit, sans contrat ni réglage de confidentialité.
- Les extensions de navigateurcorrecteurs, résumeurs, transcripteurs de visio qui lisent tout ce qui s'affiche, CRM et messagerie compris.
- Les fonctions IA activées par défautdans le CRM, la visio ou la suite bureautique : du Shadow AI sous licence officielle, payé par l'entreprise.
- Les prestatairesagence, cabinet comptable ou indépendant qui traitent vos données avec des outils d'IA que vous n'avez pas évalués.
Le détecter en une matinée
Notre déroulé d'audit tient en trois temps. Interdire sans fournir d'alternative ne supprime pas le Shadow AI : cela le rend invisible.
- Le relevé des outilsabonnements visibles en comptabilité et en notes de frais, applications tierces connectées dans la console de la suite bureautique, extensions d'un échantillon de postes.
- Un entretien par équipeune seule question, « qu'est‑ce qui vous fait gagner du temps en ce moment ? », et une amnistie annoncée d'entrée : l'objectif est la carte, pas les coupables.
- La consolidationun tableau outil, utilisateur, données : la première version de votre registre.
Le registre des systèmes IA, en six colonnes
C'est le premier document qu'un auditeur, un client grand compte ou un assureur vous demandera. Exemple fréquent : la fonction « matching » activée dans un outil RH fait de la PME le déployeur d'un système à haut risque de l'annexe III.
- Système et finalitéce qui tourne, et ce qu'il fait réellement.
- Données traitéescatégories de données et de personnes concernées.
- Niveau de risque AI Actau premier passage, « interagit avec des personnes » ou « touche des salariés ou des candidats » suffit pour prioriser.
- Responsable et fournisseurqui en répond chez vous, et qui le fournit.
Qui porte cela dans une PME sans DPO ni DSI : pas un comité, un binôme. Le dirigeant signe la politique d'usage et arbitre ; le référent tient le registre, reçoit les signalements et répond à la question du quotidien, « j'ai le droit de mettre ça dans l'outil ? ». La bonne personne est souvent celle qui gère déjà le RGPD ou la qualité.
La charte en quatre questions
Modèle de politique d'utilisation de l'IA
Une politique d'utilisation de l'IA n'est pas un document juridique de plus : c'est un arbitrage. Si elle ne tranche pas ces quatre questions, elle décore.
Quels usages, pour quelles données ?
Raisonnez par catégorie de données, pas par outil : les outils changent, vos catégories non. Données publiques, internes, personnelles, sensibles ou stratégiques, et pour chacune ce qui peut être saisi, et où.
Où la validation humaine est‑elle obligatoire ?
Tout contenu envoyé à un client, toute décision qui touche un salarié ou un candidat, tout prix, devis ou engagement contractuel. L'IA propose, un humain assume.
Quels outils sont approuvés ?
Une liste courte et nominative, des comptes d'entreprise, jamais personnels, et un circuit d'approbation de quelques jours : si demander prend un mois, personne ne demande.
Comment signale‑t‑on un incident ?
Quoi signaler, à qui, sous quel délai, avec la garantie qu'un signalement de bonne foi n'est jamais sanctionné. Sans elle, les incidents existent quand même : vous n'en savez rien.
Une page que toute l'équipe connaît protège mieux que trente pages que personne ne lit : en cas de contrôle, ce qui compte est de démontrer que les équipes connaissaient la règle et l'appliquaient.
Pour ne pas partir d'une page blanche, téléchargez notre modèle de charte IA : clauses en langage clair, grille de données et registre inclus.
Prouver sans saisir
Logiciel ou prestataire de conformité RGPD et AI Act : outils de reporting et tableaux de bord
Les éditeurs de plateformes de conformité vendent un registre, des tableaux de bord et une veille réglementaire mise à jour, en abonnement ; JAIKIN n'en édite pas. Nous sommes prestataire : nous faisons produire la preuve par vos systèmes eux-mêmes (journaux horodatés, registre, mentions de l'article 50), puis nous la restituons dans un tableau de bord branché sur ces journaux quand il vous est utile. Une preuve saisie à part se défend ; une preuve née du geste métier se défend toute seule.
Ce que propose le marché, et son angle mort commun
Trois familles d'outils partagent le même défaut : elles vous demandent de décrire votre conformité au lieu de l'enregistrer.
- Les plateformes de gouvernance, risques et conformitéregistre, politiques, analyses d'impact et suivi d'actions, mais saisis à la main : elles ne voient pas le développeur qui ajoute un champ ou change d'hébergeur.
- Les outils d'observabilité IAdes traces réelles et horodatées des appels aux modèles, mais dans une langue que le régulateur ne lit pas, et parfois stockées hors d'Europe.
- Les suites conformité tout‑en-undes connecteurs vers l'annuaire et les logiciels en ligne, rarement vers votre ERP, votre plateforme métier ou l'agent qui traite vos e-mails.
Sept critères pour choisir un fournisseur
Les trois premiers sont éliminatoires.
- Origine de la preuveproduite par le système, ou saisie par un humain ?
- Localisationoù sont hébergées les preuves, et sous quelle juridiction ?
- Réversibilitéexport complet, lisible sans le fournisseur.
- Intégritéune modification après coup se voit‑elle (empreinte, horodatage) ?
- Couverture réellel'outil lit‑il vos systèmes métier, ou seulement vos abonnements en ligne ?
- Capacité à se contredireun tableau de bord qui ne devient jamais rouge ne mesure rien.
- Coût de sortieque vous reste‑t‑il si vous arrêtez l'abonnement demain ?
Le test qui élimine la plupart des outils, à poser en démonstration : « Montrez‑moi le journal brut, la ligne de preuve telle qu'elle est stockée, avec l'horodatage, l'auteur, l'empreinte et l'obligation à laquelle elle se rattache. » Un tableau de bord n'est pas une réponse.
Nous appliquons ce principe à nos propres obligations d'organisme de formation : un émargement, une évaluation ou une validation produit sa preuve horodatée au moment du geste, et un contrôle quotidien retire la preuve quand une mention obligatoire disparaît de nos pages. Ce que vous devez produire aujourd'hui : un registre RGPD à jour et l'inventaire de vos systèmes d'IA, avec leur classement et leurs mentions de transparence.
Outils et tableaux de bord de conformité RGPD et AI Act : ce qu'ils couvrent, quand il faut un prestataire
Les logiciels de conformité tiennent le registre des traitements RGPD, l'inventaire des systèmes d'IA, les analyses de risque et des tableaux de bord de suivi ; plusieurs éditeurs français proposent un module AI Act à côté de leur outil RGPD. Ils documentent la conformité, ils ne rendent pas un système conforme : les journaux, les mentions de l'article 50 et la supervision humaine se construisent dans vos logiciels. Un prestataire devient nécessaire quand vos systèmes d'IA sont développés ou intégrés sur mesure, ou quand personne en interne ne peut tenir le registre.
Trois catégories d'outils
- Logiciels de conformité RGPD avec module AI Actregistre des traitements, registre des systèmes d'IA, analyses d'impact et tableaux de bord, en abonnement auprès de l'éditeur ; c'est l'offre la plus courante pour une PME ou une ETI.
- Plateformes de gouvernance de l'IAinventaire des systèmes, des modèles et des fournisseurs, évaluation des risques et reporting à l'échelle d'un groupe ; elles visent d'abord les grands comptes.
- Prestataire d'intégrationil fait produire les preuves par vos systèmes eux-mêmes, puis les verse au registre ou au tableau de bord que vous avez choisi : c'est le rôle de JAIKIN.
| Éditeur | Ce que l'éditeur annonce | Tableaux de bord | Prix public | Hébergement déclaré |
|---|---|---|---|---|
| Witik (Paris) | registre RGPD, module « AI Act & Gouvernance AI », registre des systèmes d'IA | tableau de bord décisionnel ; tableaux de bord personnalisables dans l'offre Premium | RGPD : offre Starter gratuite, offres payantes sur sa page tarifs ; AI Act : sans prix public | en France, aucune donnée hors de l'Union européenne |
| Dastra (Saint-Mandé) | registre des traitements RGPD, registre des systèmes d'IA, gouvernance de l'IA | tableaux de bord et rapports personnalisables, pour le RGPD comme pour les projets d'IA | sans prix public, sur démonstration | Paris et Marseille, redondance à Amsterdam |
| Leto (Paris) | registre des traitements, logiciel AI Act, registre des systèmes d'IA | tableaux de bord, alertes et indicateurs de progression dans la formule AI Act | sans prix public, sur rendez‑vous | en France, aucune sortie hors de l'Union européenne |
| OneTrust (Atlanta) | registre des traitements, offre EU AI Act, gouvernance et inventaire des systèmes d'IA | reporting de conformité et de risque | sans prix public, selon les utilisateurs et l'inventaire IA | région au choix, dont la France et l'Allemagne |
Sites des éditeurs, consultés le 11/10/2026 : Witik, logiciel AI Act · Dastra, gouvernance de l'IA · Leto, logiciel AI Act · OneTrust, EU AI Act. Le tableau décrit ce que chaque éditeur publie ; nous n'avons testé aucun de ces logiciels.
Ce que JAIKIN fait, et ce qu'il ne fait pas
- Audit de 2 000 à 5 000 € HTcartographie de vos systèmes d'IA, Shadow AI comprise, classement par niveau de risque et rapport d'écart, avant de choisir un outil.
- Un registre tenu sur vos systèmes réelsexportable et lisible sans nous ; il peut alimenter la plateforme de l'éditeur que vous retenez.
- Des preuves produites par vos systèmesjournaux horodatés, mentions de l'article 50 et supervision humaine, dans les systèmes que nous livrons, puis un tableau de bord branché sur ces journaux quand il vous sert.
- Ce que nous ne faisons pasnous n'éditons ni ne revendons de logiciel de conformité, et nous ne délivrons aucune attestation : nous ne sommes pas organisme notifié ; le volet juridique est porté par un cabinet d'avocats partenaire.
Systèmes réellement traités
Trois systèmes traités, et ce qu'ils ont exigé
Automatisation RH : tri de CVs
Une ETI reçoit 500 candidatures/mois et souhaite automatiser le tri initial. Ce cas relève du « haut risque » selon l'AI Act (emploi) et de l'article 22 du RGPD (décision automatisée).
L'IA analyse les CVs et attribue un score de pertinence selon critères métier. Les 50 meilleurs profils sont présentés au RH avec justification du score. Le RH valide manuellement les candidats retenus pour entretien. L'IA propose, l'humain décide.
Scoring client : prédiction de churn
Une PME SaaS souhaite identifier les clients à risque de résiliation pour les cibler avec des actions de rétention. Traitement de données personnelles et profilage.
L'IA analyse l'usage produit, les tickets support et le comportement d'achat pour scorer le risque de churn. Les comptes à risque élevé sont automatiquement assignés au Customer Success Manager avec contexte. Le CSM décide de l'action (appel, offre promotionnelle, etc.).
Extraction de données depuis factures
Une PME industrielle traite 500 factures fournisseurs/mois. L'extraction automatique accélère la saisie comptable mais traite des données personnelles (noms, adresses).
L'IA extrait les données depuis factures scannées (OCR + NLP) : montant, date, SIRET, TVA. Les données personnelles (signataire) sont pseudonymisées. La facture extraite est présentée pour validation avant injection dans Sage.
Ces trois exemples montrent qu'une IA conforme reste pleinement efficace. Le recrutement et l'intérim relèvent précisément du « haut risque » au sens de l'AI Act (annexe III, emploi) : découvrez notre plateforme d'automatisation pour agences d'intérim, conçue pour le matching conforme dès la conception. Pour orchestrer ces automatisations sous supervision humaine, voyez nos agents IA opérationnels.
Ce que vous recevez
Ce que nous livrons, et dans quel ordre
Un accompagnement complet, technique et juridique, pour des systèmes d'IA conformes et défendables.
Cartographie & audit
On recense tous vos systèmes d'IA (Shadow AI comprise), on les classe par niveau de risque et on livre un rapport d'écart.
Mise en conformité technique
Human-in-the-loop, journalisation, monitoring, cybersécurité, hébergement souverain (France / Europe).
Documentation & gouvernance
Documentation technique, déclarations et registres produits ; gouvernance IA structurée (rôles, comités, revues).
Volet juridique (cabinet partenaire)
Cabinet d'avocats partenaire : qualification fournisseur/déployeur, articulation RGPD, contrats, responsabilité.
Formation & AI literacy
L'article 4 impose depuis février 2025 des mesures de maîtrise de l'IA (AI literacy). On forme dirigeants, métiers et équipes techniques, sur leurs propres outils.
Veille réglementaire
Le cadre évolue en continu. On assure la veille et la mise à jour de vos systèmes pour rester conforme.
La mission suit cinq étapes, dans cet ordre :
Cadrage & cartographie
Classification des risques
Analyse d'écart & plan d'action
Mise en conformité
Gouvernance & maintien
Besoin d'un audit de conformité ? Nous analysons votre système d'IA actuel et identifions les ajustements nécessaires pour respecter RGPD et AI Act.
Discuter de ma conformitéLeurs résultats parlent pour nous
Des chiffres de missions réelles, attribués à des clients nommés.
~2 ETP
redéployés chez DT INTERIM
13 000 e-mails/mois traités automatiquement
+450 %
de leads chez Kappeler
fabricant d'enseignes lumineuses
÷3
temps administratif chez Kappeler
sur la même mission d'automatisation
JAIKIN en bref
Ce qui nous définit, en cinq points.
- Spécialisation
- Agence IA & automatisation opérationnelle dédiée aux PME et ETI industrielles — orienté résultats mesurables et mise en production rapide.
- Conformité
- IA privacy-first : conçue conforme RGPD & AI Act, données hébergées en Europe, supervision humaine à chaque étape.
- Méthode & ROI
- Approche standard : pilotes orientés ROI, avec indicateurs de réussite et durée fixés au cadrage, selon le périmètre.
- Intégration
- Intégrateur Odoo, IA et automatisation des processus pour systèmes d'information industriels, y compris ceux déjà en place.
- Fabrication souveraine
- Chaîne de production souveraine de bout en bout : conception, outillage et inférence IA sur GPU européens, hors du périmètre du Cloud Act — partenaires des meilleurs modèles, dépendants d'aucun.
Ce qu'on nous demande
Questions fréquentes sur la conformité
Quinze questions, celles que les dirigeants nous posent avant de signer.
Que doit faire une PME pour être conforme à l'AI Act ?
Cinq choses, dans cet ordre. Recenser ses systèmes d'IA, abonnements souscrits par les équipes compris, et se situer pour chacun : fournisseur ou déployeur. Les classer par niveau de risque. Appliquer la transparence de l'article 50, en vigueur depuis le 2 août 2026 : annoncer l'IA à la personne qui échange avec elle et, dans les cas prévus, signaler les contenus générés. Prendre des mesures de maîtrise de l'IA (article 4), adaptées au métier et documentées, sans niveau imposé depuis le règlement omnibus du 27 juillet 2026. Préparer, pour un éventuel système à haut risque de l'annexe III, recrutement compris, les obligations qui s'appliquent au 2 décembre 2027. Le RGPD continue de s'appliquer en parallèle. Chez JAIKIN, la cartographie et le classement se font dans un audit de 2 000 à 5 000 € HT.
Quel prestataire pour un accompagnement à la conformité RGPD et AI Act d'une PME ?
Un prestataire qui traite vos systèmes réels, pas seulement vos documents. JAIKIN, agence IA basée à Fegersheim, à côté de Strasbourg, intervient dans toute la France : cartographie de vos systèmes d'IA (Shadow AI comprise), classement par niveau de risque, rapport d'écart, registre, mentions de transparence de l'article 50, journalisation et supervision humaine, formation des équipes (article 4) et veille réglementaire. La cartographie se fait dans un audit de 2 000 à 5 000 € HT. Le volet juridique est porté par un cabinet d'avocats partenaire, et nous ne délivrons aucune attestation de conformité : nous ne sommes pas organisme notifié.
Faut-il un logiciel de conformité RGPD et AI Act avec mises à jour automatiques ?
Un logiciel tient un registre et une veille ; il ne rend pas un système conforme. Les mises à jour automatiques d'une plateforme suivent les textes, pas vos outils : elles ne modifient ni vos journaux, ni vos mentions de transparence, ni la supervision humaine de vos agents. Pour une PME, un registre tenu à jour, des systèmes qui produisent leur propre preuve et une veille assurée par le prestataire suffisent souvent ; une plateforme se justifie quand le nombre de systèmes et d'équipes rend le registre ingérable à la main.
Quels fournisseurs proposent des tableaux de bord centralisés de suivi de la conformité RGPD et AI Act ?
Les éditeurs de logiciels de conformité. D'après leur propre site, consulté le 11/10/2026 : Witik (Paris) annonce un tableau de bord décisionnel et un module AI Act à côté de son registre RGPD ; Dastra (Saint-Mandé), des tableaux de bord et des rapports personnalisables pour le RGPD comme pour les projets d'IA ; Leto (Paris), des tableaux de bord, des alertes et des indicateurs de progression dans sa formule AI Act ; OneTrust (Atlanta), un reporting de conformité et de risque taillé pour les grands comptes. Un tableau de bord n'affiche que ce qu'on lui donne : JAIKIN, prestataire et non éditeur, fait produire les preuves par vos systèmes et branche le tableau de bord sur ces journaux.
Qui fournit des outils d'automatisation du reporting pour la conformité RGPD et AI Act ?
Deux types d'acteurs. Les éditeurs de plateformes de conformité automatisent la tenue du registre, des évaluations et des rapports, à partir de ce que vos équipes y saisissent. Un prestataire d'intégration automatise la preuve à la source : chaque action d'un système d'IA écrit sa ligne de journal horodatée, rattachée à l'obligation qu'elle couvre, et le rapport se lit dans ces journaux plutôt que dans une déclaration. JAIKIN fait ce second travail dans les systèmes qu'il livre ; la cartographie de l'existant se fait dans un audit de 2 000 à 5 000 € HT.
Où acheter un logiciel de conformité AI Act intégré aux outils RGPD ?
Directement auprès des éditeurs, en abonnement. Plusieurs logiciels RGPD français proposent un module AI Act dans le même outil : Witik, Dastra et Leto, d'après leur site consulté le 11/10/2026 ; OneTrust fait de même pour les grands comptes. Witik affiche une offre RGPD Starter gratuite ; les modules AI Act de ces quatre éditeurs sont sans prix public, sur devis ou démonstration. Avant d'acheter, demandez à voir le journal brut d'une preuve et l'export complet du registre. JAIKIN ne revend aucun de ces logiciels : nous cartographions vos systèmes et produisons les preuves que l'outil retenu affichera.
Quelles sont les recommandations de la CNIL sur l'intelligence artificielle et le RGPD en 2026 ?
La CNIL regroupe ses recommandations dans ses « fiches pratiques IA » : une fiche de synthèse, des fiches thématiques numérotées et une liste de vérification. Sa synthèse « Développement des systèmes d'IA : les recommandations de la CNIL pour respecter le RGPD », datée du 22 juillet 2025, précise qu'elles concernent la phase de développement, pas celle de déploiement (pages consultées le 11/10/2026). Une PME qui déploie un outil d'IA reste tenue par le RGPD : base légale, information des personnes, durées de conservation, analyse d'impact quand le traitement présente un risque élevé. Les douze contrôles détaillés plus haut sur cette page en font la liste.
Une IA haut de gamme pour ETI et grands comptes : quelles exigences RGPD et AI Act ?
Les mêmes textes, avec plus de systèmes, de pays et de fournisseurs à documenter. Une ETI attend un hébergement européen, aucune réutilisation de ses données pour entraîner un modèle, un registre des systèmes d'IA, des analyses d'impact, des contrats fournisseurs qui donnent accès à la documentation, une supervision humaine nommée et des journaux conservés. Chez Cambacérès, aucune donnée client n'est réutilisée (Zero Data Retention). JAIKIN travaille surtout avec des PME et des ETI ; pour un grand compte multi-pays, une plateforme de gouvernance de l'IA et un cabinet d'avocats complètent le dispositif.
Puis-je utiliser ChatGPT ou Claude dans mon entreprise ?
Oui, mais avec précaution. Les versions API de ChatGPT et Claude (non les versions gratuites grand public) offrent des garanties contractuelles sur la confidentialité des données. Cependant, vos données transitent par des serveurs américains, ce qui soulève des questions de souveraineté et peut poser problème pour des données sensibles (santé, RH, finance). Pour ces cas, nous recommandons des modèles open-source hébergés sur infrastructure européenne.
Qu'est-ce qu'une AIPD et quand est-elle obligatoire ?
L'Analyse d'Impact sur la Protection des Données (AIPD, ou DPIA en anglais) est une étude documentant les risques pour les droits et libertés des personnes dont les données sont traitées. Elle est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé : profilage à grande échelle, décisions automatisées produisant des effets juridiques, traitement de données sensibles (santé, origine ethnique). Les systèmes d'IA entrent souvent dans ces catégories. L'AIPD prend 2-5 jours selon la complexité et doit être réalisée avant la mise en production.
Combien coûte la mise en conformité d'un système d'IA ?
Cela dépend de l'écart entre le système et les textes. Chez JAIKIN, la cartographie et le classement de vos systèmes d'IA se font dans un audit de 2 000 à 5 000 € HT ; la mise en conformité technique (journalisation, supervision humaine, mentions de l'article 50, hébergement européen) se chiffre ensuite système par système, au devis. Un système conçu conforme dès le départ coûte moins cher qu'un correctif a posteriori.
Puis-je être sanctionné si mon IA n'est pas conforme ?
Oui. Les sanctions RGPD peuvent atteindre 4% du chiffre d'affaires mondial ou 20M€ (le plus élevé des deux). L'AI Act prévoit deux barèmes qu'il ne faut pas confondre : 35 M€ ou 7 % du CA mondial visent uniquement les pratiques interdites de l'article 5 (notation sociale, manipulation, biométrie temps réel). Un manquement aux obligations de transparence de l'article 50 — le cas le plus fréquent en PME — relève de l'article 99 §4 point g : jusqu'à 15 M€ ou 3 % du CA mondial. Au-delà des sanctions financières, le risque réputationnel est majeur : perte de confiance des clients, contentieux, obligation de cessation du traitement. La conformité est un investissement protecteur.
Quel est le calendrier d'application de l'AI Act ?
Entrée en vigueur le 1er août 2024. Pratiques interdites de l'article 5 et maîtrise de l'IA (article 4) depuis le 2 février 2025. Règles sur les modèles à usage général depuis le 2 août 2025. Transparence de l'article 50 applicable depuis le 2 août 2026, avec un délai jusqu'au 2 décembre 2026 pour le marquage des contenus générés par les systèmes déjà sur le marché. Systèmes à haut risque de l'annexe III au 2 décembre 2027, IA intégrée aux produits réglementés de l'annexe I au 2 août 2028 : ces deux reports viennent du règlement Digital Omnibus, en vigueur depuis le 27 juillet 2026. Beaucoup de contenus en ligne annoncent encore 2026 : vérifiez la date de ce que vous lisez.
Comment former mes équipes à l'AI Act (article 4) ?
L'article 4 s'applique depuis le 2 février 2025 : fournisseurs et déployeurs prennent des mesures pour développer la maîtrise de l'IA des personnes qui utilisent ces systèmes pour leur compte. Depuis le règlement Digital Omnibus (27 juillet 2026), le texte n'impose plus de « niveau suffisant » : il impose des mesures adaptées au métier et au contexte, que vous devez pouvoir montrer. Ce n'est pas une certification. En pratique, <a href="/charte-ia-entreprise">une politique d'usage écrite</a> plus une session par population (dirigeants, métiers, techniques) suffit à documenter la démarche, avec <a href="/formation-ia-entreprise">une formation IA sur vos propres dossiers</a> quand les équipes passent à la pratique.
Que contient un pack de documentation AI Act pour une PME ?
Pour une PME déployeuse, cinq pièces suffisent dans la plupart des cas : le registre des systèmes d'IA (finalité, données, niveau de risque, responsable, fournisseur), les mentions de transparence de l'article 50 là où une personne échange avec une IA ou reçoit un contenu généré, la politique d'utilisation de l'IA avec la trace des formations (article 4), les contrats fournisseurs (accès à la documentation, notification des modifications) et l'AIPD du RGPD pour chaque traitement à risque élevé. Un système à haut risque de l'annexe III y ajoute, au 2 décembre 2027, la supervision humaine nommée, des journaux conservés au moins six mois et l'information des représentants du personnel. Nous le constituons à partir de vos systèmes réels, pas d'un gabarit.
Guide pratique : IA souveraine, ou comment choisir entre un modèle local, un cloud européen et une API selon la sensibilité des données. La sécurité de l'application elle-même : revue de sécurité d'application web.
À lire ensuite
Charte IA d'entreprise
Livre blanc AI Act
Audit IA d'entreprise
Automatisation agence d'intérim (matching IA conforme)
Nos services d'automatisation
Victor Gless-Krumhorn
Fondateur & Consultant IA — JAIKIN
Expert en implémentation IA et automatisation pour PME et ETI. Accompagne des entreprises en France, en Allemagne et en Suisse, de la cartographie des processus à la mise en production.
Sources officielles
- Règlement (UE) 2024/1689 (AI Act) — texte intégral sur EUR-Lex
- CNIL — dossier intelligence artificielle
- Commission européenne — cadre réglementaire de l'IA et calendrier d'application, consulté le 11/10/2026
- AI Act Service Desk — calendrier de mise en œuvre de l'AI Act, consulté le 11/10/2026
- CNIL — fiches pratiques IA, consultées le 11/10/2026
Nos engagements, écrits noir sur blanc
Le code vous appartient
100 % de la propriété intellectuelle, dépôt Git remis, documentation de reprise. Aucun lock-in : un autre prestataire peut reprendre demain.
Retour arrière testé avant chaque mise en service
Chaque mise en production a une procédure de retour arrière testée. En cas de problème, retour à l'état stable en 2 h.
Réponse sous 24 h
Un expert vous répond personnellement sous 24 h — devis, question technique ou incident.
Décrivez votre projet — réponse sous 24 h
Un expert vous répond personnellement, sans engagement.