RGPD + IA en 2026 — ce qui change concrètement pour une PME française

L’AI Act européen s’applique progressivement depuis 2024. Les pratiques interdites s’appliquent depuis février 2025, la transparence de l’article 50 depuis le 2 août 2026, et le haut risque a été reporté au 2 décembre 2027 (annexe III) puis au 2 août 2028 (annexe I). En parallèle, la CNIL publie des recommandations sur l’IA qui précisent le RGPD. Voici ce que ça change pour une PME française qui déploie ou veut déployer un agent IA en 2026.

Attention : ce guide est un repère pratique, pas un avis juridique. Pour un projet sensible (santé, RH, finance), consultez un avocat spécialisé.

Le TL;DR pour un dirigeant pressé

1. DPA nécessaire avec votre fournisseur LLM : chaque fournisseur publie ses conditions et son DPA sur ses pages légales (OpenAI : openai.com/policies, non lisible le 24/10/2026 ; Mistral : legal.mistral.ai ; Microsoft : DPA des produits et services). Le signer avant de pousser de la donnée client.
2. Localisation à choisir en connaissance de cause pour les données personnelles clients, RH, ou prospects EU : le RGPD encadre les transferts hors UE sans imposer une région précise. Côté Anthropic, l’API directe n’a aucune région UE (inférence « global » ou « us », stockage « us » seulement ; documentation Anthropic, lue le 24/10/2026) ; un traitement en UE passe par AWS Bedrock, qui liste Francfort, Paris, Irlande et Stockholm pour Claude Haiku, Sonnet et Opus 5.5 en inférence géographique (doc AWS, lue le 24/10/2026), ou par Google Cloud. Mistral héberge dans l’UE par défaut ; Azure OpenAI traite dans la géographie choisie, sauf déploiements Global.
3. Conservation et entraînement à lire chez chaque fournisseur : Anthropic supprime en standard les entrées et sorties de l’API sous 30 jours, la zero data retention est un accord à demander à son équipe commerciale, et les données conservées ne servent jamais à l’entraînement sans autorisation expresse (privacy.claude.com et documentation, lus le 24/10/2026).
4. Information des personnes concernées obligatoire dès qu’une décision automatisée affecte un client / employé. Mention dans votre politique + droit d’opposition.
5. Registre des traitements à jour — ajouter le traitement IA comme tout autre traitement (base légale, durée, destinataires).
6. Analyse d’impact (AIPD) obligatoire pour certains usages IA (RH, décision automatisée à effet juridique, scoring client).

Si vous cochez ces 6 points, vous couvrez l’essentiel pour un usage courant. Pour les cas sensibles (santé, finance régulée, décision à fort impact), lire la suite.

Ce que change l’AI Act à partir de 2026

L’AI Act classe les systèmes IA en 4 niveaux :

Niveau	Exemples	Obligations
Prohibé	Notation sociale, reconnaissance émotions au travail	Interdit depuis février 2025
Haut risque	CV screening, scoring crédit, examens médicaux	Documentation + supervision humaine + évaluation de conformité (à partir du 2 décembre 2027 pour l’annexe III)
Transparence	Chatbots clients, deepfakes, contenu IA	Étiquetage “généré par IA” obligatoire
Minimal	Filtres anti-spam, recommandations produit	Pas d’obligation spécifique

Pour une PME typique (assistant commercial, support client, génération de contenu) : vous êtes dans “transparence” au maximum. Les obligations sont :

• Étiquetage : les contenus générés par IA doivent être identifiables. Concrètement : mention “Cette réponse est générée par IA, cliquez ici pour parler à un humain” sur les chatbots externes. Sur un outil interne, la mention peut être dans le footer de l’outil.
• Information de la personne : votre charte RGPD doit mentionner l’usage de l’IA.

Pour les PME RH (logiciel de tri de CV automatique, interviews automatisées) : vous êtes dans “haut risque”. Obligations lourdes à partir du 2 décembre 2027 (annexe III) :

• Documentation technique du système (architecture, datasets, tests).
• Supervision humaine effective (pas un simple bouton “approuver”).
• Surveillance après mise sur le marché et journalisation.

Si vous êtes dans cette catégorie, ce n’est pas un simple projet d’intégration : c’est un programme de conformité à part entière, à confier à un cabinet juridique spécialisé.

Le DPA — ce qu’il faut vérifier

Le Data Processing Agreement est votre socle de conformité. Les DPA types des fournisseurs couvrent l’essentiel, mais vérifiez explicitement :

Clauses critiques à valider

Clause	Ce qui doit y être	Drapeau rouge
Localisation	Serveurs dans UE nommés	”Possibilité d’utiliser des sous-traitants hors UE” sans autorisation
Sous-traitants	Liste nommée + notification 30j en cas de changement	”Peut changer à tout moment”
Zéro rétention	Explicite, avec durée max conservation	Flou sur “cache technique”
Zéro training	Explicite : vos données ne sont pas utilisées pour entraîner	”Peut être utilisé à des fins d’amélioration produit”
Suppression	Délai de suppression en cas de fin de contrat	Absent ou > 30 jours
Notification faille	72h maxi	> 72h ou flou
Audit	Droit d’audit ou rapport SOC 2 Type 2	Absent

État 2026 des DPA chez les 3 principaux

Anthropic (Claude) : l’API directe n’a aucune région UE (inférence « global » ou « us », stockage « us » seulement, documentation lue le 24/10/2026). Un traitement en UE de Claude passe par AWS Bedrock ou Google Cloud, où le fournisseur cloud est le sous-traitant des données. Conservation standard de 30 jours, zero data retention sur accord commercial, pas d’entraînement sur les données conservées sans autorisation expresse. Le DPA se lit dans les conditions commerciales d’Anthropic.

OpenAI (GPT) : openai.com n’a pas pu être lu le 24/10/2026, aucun engagement n’est repris ici ; voir openai.com/policies. Via Azure OpenAI, Microsoft indique que les prompts et complétions ne sont pas disponibles pour OpenAI ni utilisés pour entraîner les modèles sans votre accord, et que le DPA Microsoft encadre le traitement (Microsoft Learn, lu le 24/10/2026).

Mistral : le centre d’aide indique un hébergement dans l’UE par défaut, un endpoint US en option, et que certaines fonctionnalités peuvent transférer des données hors UE avec des clauses contractuelles types ; les conditions commerciales (§4.2) excluent l’entraînement sur les données et sorties client sauf exceptions listées (opt-in, retours d’usage, Labs et modèles en préversion) et renvoient à un DPA (pages lues le 24/10/2026).

Zéro rétention / zéro training — pourquoi c’est critique

Par défaut, de nombreuses API LLM conservent vos requêtes pendant une durée fixée par le fournisseur, pour détecter les abus. Selon le fournisseur, un accord particulier peut réduire cette conservation (chez Anthropic, la zero data retention s’obtient sur demande auprès de l’équipe commerciale). C’est à examiner en priorité pour :

• Toute donnée client à caractère personnel.
• Toute donnée RH interne.
• Tout secret industriel / commercial.

Activation concrète :

• Anthropic : accord de zero data retention à demander à l’équipe commerciale d’Anthropic, activé organisation par organisation (documentation, lue le 24/10/2026).
• OpenAI : voir openai.com/policies (non lisible le 24/10/2026).
• Mistral : durées de conservation à lire dans le centre d’aide et les conditions de Mistral ; le traitement par défaut est hébergé dans l’UE.

Attention : “zéro rétention” ne veut pas dire “impossible à capter par l’Etat du siège du fournisseur”. Pour les données extrêmement sensibles (défense, santé, gov), l’auto-hébergement ou un hébergeur européen reste la piste à étudier. AWS et Microsoft sont des sociétés américaines : la question de l’accès par les autorités américaines (Cloud Act) se pose même avec des serveurs en UE, et se fait analyser par votre juriste.

Les cas où on bascule vers Mistral souverain

Cas où étudier une bascule vers Mistral hébergé dans l’UE ou on-prem :

• Santé : données patient RNIPP, données de santé au sens L1111-8 CSP.
• Défense : données OIV, données classifiées.
• Finance régulée : scoring crédit, données AML en décision automatisée.
• RH sensible : données syndicales, données de santé RH.
• Client qui refuse CLOUD Act : position assumée par certains grands groupes, justifiée notamment dans le gouvernement, certains secteurs.

Pour tout le reste (support client, marketing, commercial, gestion documentaire standard), Claude via AWS Bedrock avec une inférence européenne, ou Azure OpenAI dans la géographie UE, avec un DPA propre, sont des pistes à valider avec votre DPO.

L’AIPD (Analyse d’Impact Protection des Données) — quand est-elle obligatoire

La CNIL impose une AIPD dans les cas suivants, et l’IA déclenche souvent ces critères :

• Décision automatisée produisant un effet juridique (crédit, RH).
• Traitement à grande échelle de données sensibles.
• Scoring ou profilage.
• Surveillance systématique.

Concrètement pour un cas PME :

• Un assistant support client qui répond à des questions → pas d’AIPD (pas de décision automatisée).
• Un assistant RH qui pré-classe des CV avec décision humaine derrière → AIPD recommandée, pas obligatoire si pas de décision finale automatisée.
• Un système qui filtre automatiquement les CV et en supprime sans humain → AIPD obligatoire + risque AI Act “haut risque”.

La durée et le coût d’une AIPD dépendent de la complexité du traitement. À budgéter séparément du projet IA.

Les 3 clauses à ajouter aux contrats IA

Trois clauses utiles à inclure dans un contrat IA :

1. Garantie zéro rétention active : le client peut demander à tout moment une capture écran des paramètres LLM prouvant zéro rétention.
2. Liste blanche des fournisseurs : seuls les fournisseurs listés peuvent être utilisés pour le projet. Changement impossible sans avenant écrit.
3. Exit plan : à la fin du contrat, toutes les données client restent sur le tenant client, tous les logs sont exportés et effacés côté prestataire.

Ces clauses réduisent le risque de litige et facilitent les audits RGPD après déploiement.

Ce qu’on refuse

Dans le cadre de la conformité, il faut refuser :

• Déployer un agent IA sans DPA signé du fournisseur.
• Utiliser un plan “gratuit” ou “standard” pour de la donnée client réelle.
• Ignorer l’étiquetage “IA” sur un chatbot externe.
• Créer des décisions 100 % automatisées dans un cas “haut risque” AI Act.

Un projet qui ne peut pas se faire proprement ne doit pas se faire. Mieux vaut alors revoir le périmètre.

La checklist RGPD-IA PME pour 2026

• DPA signé avec le fournisseur LLM, région de traitement documentée.
• Conservation et entraînement documentés pour votre plan (zero data retention si un accord existe).
• Traitement IA ajouté au registre RGPD.
• Politique de confidentialité mise à jour.
• Étiquetage IA visible sur les interfaces externes.
• Fallback humain visible pour les utilisateurs.
• Clause “exit plan” dans le contrat prestataire.
• AIPD faite si cas “haut risque” ou “scoring”.
• DPO informé (obligatoire ou simple bonne pratique).
• Utilisateurs internes formés au bon usage.

Votre cas à valider

Avant de lancer un projet IA, vérifiez votre cas d’usage à partir des textes officiels : article 83 du RGPD pour les sanctions RGPD et article 99 de l’AI Act pour celles de l’AI Act. Pour un projet sensible, un avis juridique reste nécessaire.

Pour aller plus loin

• Claude vs GPT vs Mistral pour une PME française — lequel choisir en 20… — Comparaison technique et économique des 3 principaux LLM pour une
• RGPD et ChatGPT en entreprise — comment être conforme en 2026 — Utiliser ChatGPT en entreprise en restant conforme RGPD en 2026
• ChatGPT Team vs Claude Team vs Mistral Le Chat Pro — quelle souscripti… — Comparatif des 3 souscriptions IA équipe leaders en 2026