Prochain webinaire "ReCyF et ISO 27001 : par où commencer sans repartir de zéro" - vendredi 4 septembre à 14h
Inscrivez-vous
L'intelligence artificielle générative et métier s'est diffusée dans les organisations à une vitesse que les fonctions conformité peinent à suivre. Assistants conversationnels, outils de scoring, copilotes intégrés aux suites bureautiques : les usages se multiplient, souvent sans validation formelle, générant un phénomène de "shadow AI" difficile à cartographier. Dans le même temps, le cadre réglementaire s'empile (RGPD, AI Act européen, normes sectorielles) laissant RSSI, DPO et DSI de PME/ETI dans l'incertitude sur leur niveau réel de conformité IA entreprise.
La conformité IA entreprise désigne l'ensemble des obligations légales et normatives qu'une organisation doit respecter dès qu'elle conçoit, déploie ou utilise un système d'intelligence artificielle, qu'il soit acheté sur étagère ou développé en interne. Elle recouvre à la fois la protection des données personnelles traitées par ces systèmes et la maîtrise des risques propres à l'IA (biais, opacité, robustesse). Pour une PME ou une ETI, la mise en conformité IA ne se limite donc pas au RGPD : elle implique une lecture croisée entre plusieurs textes qui s'appliquent simultanément selon la nature du système et son secteur d'activité.
Le règlement (UE) 2024/1689, dit AI Act, est le texte central de la conformité IA au niveau européen. Il adopte une approche fondée sur le risque et classe les systèmes d'IA en quatre catégories : inacceptable (interdit), élevé, limité et minimal, l'article 6 fixant précisément les règles de classification des systèmes à haut risque. Les systèmes à haut risque — recrutement automatisé, scoring de crédit, certains usages RH ou santé — sont soumis à des obligations renforcées : gestion des risques, documentation technique, supervision humaine et enregistrement dans une base européenne.
L'article 4 du règlement impose par ailleurs une obligation de formation à l'IA ("littératie IA") : les fournisseurs et déployeurs doivent garantir un niveau suffisant de compétence de leur personnel et des personnes chargées de l'utilisation des systèmes d'IA, en tenant compte de leurs connaissances techniques, de leur expérience et du contexte d'utilisation. C'est une obligation directement actionnable pour toute PME/ETI, quel que soit son niveau de risque IA. En cas de manquement, l'article 99 prévoit un régime de sanctions graduées, pouvant atteindre jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites, avec des paliers intermédiaires à 15 millions d'euros/3% et 7,5 millions d'euros/1% selon la nature de l'infraction. Le calendrier d'application est progressif jusqu'en 2027, mais les obligations de littératie IA et les interdictions sont déjà en vigueur. Pour aller plus loin sur la classification des risques, des rôles et des obligations, consultez notre article Comprendre l'AI Act.
Dès qu'un système d'IA traite des données personnelles, ce qui est le cas de la quasi-totalité des usages métier, le RGPD continue de s'appliquer intégralement. La CNIL rappelle que la collecte et l'utilisation de données via un système d'IA doivent respecter les principes classiques du règlement : base légale, minimisation des données, transparence envers les personnes concernées et respect de leurs droits. Elle propose une grille d'analyse permettant aux organismes d'évaluer eux-mêmes la maturité de leurs systèmes d'IA au regard du RGPD.
Depuis 2024-2025, la CNIL a publié un volet spécifique dédié à l'IA, avec des recommandations qui précisent comment déterminer le régime juridique applicable, qualifier les rôles des acteurs, réaliser des analyses d'impact et intégrer la protection des données dès la conception du système. La CNIL a précisé pouvoir prononcer des amendes administratives jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial en cas de manquement au RGPD dans un contexte IA.
L'ISO/IEC 42001:2023 est la première norme internationale consacrée à un système de management de l'intelligence artificielle (AIMS). Elle s'applique à toute organisation, quelle que soit sa taille, qui fournit ou utilise des produits ou services reposant sur l'IA, et structure la gouvernance autour d'un cycle Planifier-Réaliser-Vérifier-Agir (PDAC) couvrant l'évaluation des risques, la qualité des données, l'explicabilité et la supervision humaine. Contrairement à l'AI Act, elle est volontaire, mais elle constitue une base solide pour anticiper les obligations réglementaires : les autorités européennes s'appuient d'ailleurs sur cette norme pour élaborer les futures normes harmonisées applicables aux systèmes à haut risque.
Pour une PME/ETI qui déploie de l'IA à grande échelle, se faire accompagner vers la certification ISO 42001 permet de démontrer une gouvernance claire, de gagner en crédibilité auprès des clients et partenaires, et de s'articuler naturellement avec une certification ISO 27001 déjà en place. Découvrez notre Accompagnement à la certification ISO 42001.
Certains secteurs ajoutent une couche réglementaire supplémentaire. Dans la santé, tout hébergement de données de santé à caractère personnel y compris par un système d'IA clinique ou d'aide au diagnostic impose la certification HDS, délivrée par un organisme accrédité par le COFRAC pour une durée de trois ans avec audit de surveillance annuel. Cette certification s'appuie sur le référentiel ISO/IEC 27001 complété d'exigences additionnelles propres aux données de santé, et l'ANS (Agence du Numérique en Santé) publie la documentation de référence du référentiel PGSSI-S applicable.
Pour les acteurs financiers, le règlement DORA impose la sécurisation des systèmes informatiques, des tests réguliers de résilience et la supervision des prestataires IT, y compris ceux fournissant des briques d'IA. La directive NIS2, quant à elle, élargit les obligations de cybersécurité à un périmètre bien plus large de PME et ETI opérant dans des secteurs essentiels, avec obligation de notifier une cyberattaque à l'ANSSI sous 24 heures et des sanctions pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires.
La première étape consiste à établir un registre exhaustif des systèmes d'IA utilisés, qu'ils soient développés en interne ou intégrés dans des solutions SaaS tierces. La CNIL recommande désormais que ce registre comporte une section spécifique "IA" précisant le modèle, sa version, les données d'entraînement et leur base légale.
Chaque système doit être positionné sur l'échelle de risque de l'AI Act — minimal, limité, élevé ou inacceptable — en s'appuyant sur les critères de classification de l'article 6 et de l'annexe III du règlement. Ce niveau de risque détermine l'intensité des obligations documentaires et de supervision humaine à mettre en œuvre.
Il s'agit de vérifier que chaque traitement dispose d'une base légale claire, qu'une AIPD a été réalisée si nécessaire, et que les personnes concernées peuvent exercer leurs droits (information, opposition, explication d'une décision automatisée).
La qualité et la traçabilité des données d'entraînement sont un point de contrôle central : la CNIL exige une documentation des modalités de collecte, de gestion des données, des mesures de sécurité et des résultats de tests de biais.
Une démarche structurée permet de sécuriser progressivement l'ensemble du périmètre IA de l'entreprise :
Les risques financiers sont désormais substantiels et cumulatifs. Au titre de l'AI Act, l'article 99 prévoit des amendes pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites, avec des paliers à 15 millions d'euros/3% et 7,5 millions d'euros/1% pour les autres manquements, des plafonds spécifiques étant prévus pour les PME. Au titre du RGPD, la CNIL peut prononcer des amendes jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, assorties d'injonctions de cessation de traitement. S'ajoutent, selon le secteur, les sanctions NIS2 (jusqu'à 10 millions d'euros ou 2% du CA) et les conséquences d'une non-certification HDS pour les acteurs de santé, qui peut entraîner l'impossibilité contractuelle d'héberger des données sensibles.
Est-ce que ChatGPT, Gemini, Claude ou Perplexity en entreprise sont conformes au RGPD ?
L'utilisation d'outils comme ChatGPT, Gemini, Claude ou Perplexity n'est pas interdite en soi, mais elle doit s'accompagner de garanties : base légale identifiée, absence de saisie de données personnelles sensibles sans encadrement, et vérification des conditions de traitement par le fournisseur. La CNIL recommande une analyse au cas par cas selon la finalité et le type de données transmises.
L'IA Act s'applique-t-il à toutes les entreprises ?
Oui, le règlement s'applique à tout fournisseur ou déployeur d'un système d'IA sur le marché européen, quelle que soit sa taille, mais l'intensité des obligations varie fortement selon le niveau de risque du système utilisé. Les PME bénéficient de mesures de soutien spécifiques prévues par le règlement, notamment via les bacs à sable réglementaires.
Faut-il obligatoirement certifier son entreprise ISO 42001 ?
Non, la certification ISO 42001 reste volontaire. Elle est toutefois reconnue par la Commission européenne, et déjà adoptée par des acteurs comme Microsoft, AWS ou Anthropic : elle constitue le standard de référence pour gouverner l'IA et se préparer efficacement à l'AI Act.
Comment savoir si mon usage de l'IA est "à haut risque" ?
Il faut se référer à la liste des cas d'usage figurant à l'annexe III de l'AI Act, complétée par les critères de classification de l'article 6 : les usages liés au recrutement, à l'évaluation des salariés, au crédit ou à certains dispositifs médicaux figurent parmi les catégories à haut risque les plus fréquentes en entreprise.
Que faire si mes collaborateurs utilisent de l'IA en shadow (utilisation non autorisée ou non vérifiée) d'outils IA ?
Il est essentiel de ne pas se limiter à une interdiction pure, souvent contre-productive, mais de définir un cadre de gouvernance clair, de sécuriser les données, de former les équipes et d'auditer régulièrement les usages détectés. L’étude de Sharp Europe, qui a interrogé 2 500 dirigeants de PME dans 10 pays européens, dont 250 en France, révèle que 35 % des employés utilisent des outils d’IA à l’insu de leur direction et 34 % des dirigeants considèrent l’usage non encadré de l’IA comme un risque pour leur entreprise.
Votre projet de certification ISO mérite un accompagnement sur-mesure. Faisons le point ensemble.
Discutons de votre projet ISO →
%20_%20-%20Thumbnail.webp)
