AI Act + RGPD : la méthode en 10 questions pour valider un cas d’usage IA avant de lancer

Tu veux lancer un cas d’usage IA ? Bien. Commence par éviter le mur RGPD.

Le scénario classique en PME : quelqu’un teste ChatGPT ou un agent, colle un export CRM, un CV, un contrat client… et tu découvres ensuite les sujets qui piquent : sous-traitance, transfert hors UE, conservation, exercice des droits, fuite de données, audit.

Le but de cet article : te donner un questionnaire décisionnel en 10 questions pour valider un cas d’usage IA avant de le déployer. Simple, actionnable, orienté dirigeant : temps, coûts, risques, preuves.

AI Act et RGPD ne se recouvrent pas. L’AI Act classe des systèmes et impose de la gouvernance. Le RGPD s’applique dès que tu touches des données personnelles. Et dans 80% des cas d’usage “IA générative” en entreprise, tu es dans le RGPD.

AI Act : les dates qui changent ton “est-ce que je dois agir maintenant ?”

Tu n’as pas besoin d’être juriste. Tu as besoin d’un calendrier pour décider.

• 1er août 2024 : l’AI Act est entré en vigueur.
• Depuis le 2 février 2025 : pratiques interdites + obligation de AI literacy (compétences IA) applicables.
• Depuis le 2 août 2025 : obligations pour les modèles IA généralistes (GPAI) applicables (côté fournisseurs surtout, mais ça rejaillit sur toi via tes contrats et tes choix).
• À partir du 2 août 2026 : obligations de transparence (Article 50) applicables.
• À partir du 2 décembre 2027 : obligations “haut risque” (Annexe III) applicables, avec des cas étalés jusqu’en 2028.

Implication dirigeant : même si ton cas d’usage n’est pas “haut risque”, tu dois déjà agir sur 2 sujets maintenant : AI literacy (former/cadrer) et RGPD (quasi systématique).

Si tu veux la partie transparence Article 50 en détail, tu peux t’appuyer sur cette checklist : https://jimmymanin.com/blog/ai-act-article-50-la-checklist-transparence-pour-chatbots-agents-et-contenus-ia

La méthode en 10 questions (tu réponds, tu sais si tu lances ou si tu cadres)

Règle du jeu : si une réponse est floue, tu ne “lances pas quand même”. Tu poses un cadre minimal. Sinon tu crées une dette de conformité qui va te coûter du temps, de l’argent, et de la bande passante.

1) Quel est le cas d’usage exact, et qui prend la décision finale ?

Écris une phrase. Pas “utiliser l’IA”. Un cas d’usage.

• Exemples propres : “résumer les comptes rendus de RDV commerciaux”, “pré-rédiger des réponses support niveau 1”, “extraire des clauses d’un contrat et proposer un draft d’avenant”.
• Question dirigeant : qui signe le résultat ? un humain ou l’outil ?

Si la réponse est “l’IA décide”, stop. Tu dois remettre un humain dans la boucle, ou assumer un niveau de risque bien supérieur (et souvent des obligations AI Act et RGPD plus lourdes).

2) Est-ce qu’il y a des données personnelles ? Lesquelles ?

Ne réponds pas “oui/non”. Liste.

• Clients : identité, email, tel, historique d’achat, tickets support, échanges.
• Salariés : RH, évaluations, absences, performance, disciplinaire.
• Prospects : enrichment, scoring, segmentation.
• Données sensibles (à traiter avec des pincettes) : santé, opinions, syndicat, religion, biométrie, etc.

Piège fréquent : “on ne met pas de noms”. Si tu mets un identifiant, un email, un numéro de dossier, ou un texte qui rend la personne ré-identifiable, tu es déjà dedans.

3) Quelles données partent dans le modèle, et lesquelles restent chez toi ?

Tu dois tracer le flux.

• Entrées : prompts, documents (PDF, mails, contrats), pièces jointes, exports.
• Sorties : texte, résumé, recommandation, score, classification.
• Stockage : est-ce que l’outil conserve les conversations ? combien de temps ?

Point régulateur important : un modèle n’est pas automatiquement anonyme. C’est au cas par cas. Et la CNIL rappelle que les modèles entraînés sur des données perso relèvent souvent du RGPD (capacité de mémorisation).

4) Quelle base légale RGPD tu utilises, et est-ce défendable ?

Tu n’as pas besoin d’écrire un roman, mais tu dois choisir une base légale et pouvoir l’expliquer.

• Contrat : nécessaire pour exécuter un contrat (ex : générer un courrier lié à la prestation).
• Obligation légale : rare pour l’IA générative, mais possible selon secteur.
• Intérêt légitime : souvent utilisé, mais il faut une vraie démonstration (balance test, minimisation, info claire).
• Consentement : possible, mais lourd à gérer (retrait, preuve, granularité).

Si tu n’arrives pas à choisir, ton cas d’usage n’est pas “prêt”. Et oui, ça arrive souvent sur les usages marketing trop gourmands en données.

5) Qui sont tes sous-traitants, et la chaîne est-elle complète ?

Liste toute la chaîne. Pas seulement “OpenAI” ou “Microsoft”.

• Éditeur de l’outil (chat, agent, plugin).
• Cloud/hébergeur.
• Intégrateur/ESN.
• Connecteurs (Zapier, Make, n8n, extensions navigateur, add-ons CRM).

Objectif : éviter d’être conforme “sur le papier” et fragile “dans les faits”. Une fuite vient souvent d’un maillon oublié.

6) Où sont traitées les données (UE / hors UE) et qu’est-ce que ça implique ?

Question cash : est-ce que tes données sortent de l’UE, ou pas sûr ?

• Si c’est UE maîtrisé : tu simplifies déjà une grosse partie du risque.
• Si c’est hors UE : tu dois cadrer les transferts (clauses, mesures supplémentaires selon cas).
• Si c’est inconnu : pour moi c’est non. Tant que ce n’est pas clair, tu ne déploies pas en prod avec des données perso.

Sur les cas d’usage avec documents sensibles (RAG sur contrats, dossiers clients, RH), la CNIL pousse souvent vers des solutions on-premise ou une architecture très cadrée. Si tu veux une checklist d’achat orientée “souveraineté” et clauses, tu as ça : https://jimmymanin.com/blog/ia-souveraine-en-pmeeti-checklist-dachat-secnumcloud-clauses-reversibilite

7) Quels droits des personnes tu dois permettre, et comment tu réponds en 30 jours ?

Le RGPD te demande de pouvoir gérer : accès, rectification, effacement, opposition, limitation, portabilité. En pratique, pour un cas d’usage IA, tu dois surtout répondre à :

• Quelles données ont été utilisées (sources, période) ?
• Est-ce que ça a été conservé (logs, historiques, documents) ?
• Comment on supprime (dans tes systèmes et chez le prestataire) ?

Si tu n’as pas la réponse, tu crées un risque opérationnel : la demande arrive, tu paniques, tu mobilises tout le monde.

8) Sécurité : quelles mesures minimales avant la première donnée réelle ?

La conformité sans sécurité, c’est du théâtre.

• Contrôle d’accès : SSO, MFA, rôles, séparation des environnements.
• Journalisation : qui a fait quoi, quand, sur quel outil.
• Chiffrement : en transit, au repos (selon outil).
• Gestion des secrets : clés API, coffres, rotation.
• Prévention de fuite : règles “pas de copier-coller de X”, DLP si tu as.

Si tu montes des agents, pense aussi “identités non humaines” et droits trop larges. Tu peux t’aider de : https://jimmymanin.com/blog/agents-ia-et-cybersecurite-controle-des-acces-nhi-avant-ton-premier-agent

9) Humain dans la boucle : où est le garde-fou, et quel niveau d’autonomie ?

Ta meilleure assurance anti-incident : un workflow où l’IA propose et l’humain décide. Pas toujours, mais très souvent.

• Validation humaine obligatoire sur : messages envoyés, décisions RH, décisions de crédit, clauses contractuelles, contenus publics sensibles.
• Seuils : au-delà de X euros, au-delà de X risque, au-delà de X confiance, escalade.

Si tu as des agents, utilise un modèle par niveaux d’autonomie, sinon tu vas te faire surprendre : https://jimmymanin.com/blog/agents-ia-le-modele-3-niveaux-dautonomie-pour-automatiser-sans-provoquer-lincident

10) Traçabilité et preuves : qu’est-ce que tu conserves si on te demande “prouve-le” ?

Ce point te fait gagner du temps plus tard. Audit, incident, litige, demande CNIL, demande d’un client, question d’un CSE. Sans preuves, tu es nu.

• Décision de lancer : qui valide, sur quelle base, avec quelles limites.
• Paramètres : modèle, température, connecteurs, sources RAG, règles de redaction.
• Logs : usage, accès, erreurs, actions d’agent.
• Contrats : DPA, clauses de transfert, sous-traitants.
• Politique interne : ce qui est autorisé/interdit.

Sur ce sujet “preuve”, tu peux lire : https://jimmymanin.com/blog/vos-prompts-peuvent-devenir-des-preuves-ce-que-tout-dirigeant-doit-cadrer

Le point DPIA (AIPD) : la question qui évite la grosse erreur

Mot-clé SEO volontaire : DPIA IA générative. Parce que c’est le moment où beaucoup se plantent.

Tu ne fais pas une AIPD “par principe”. Tu poses la question tôt. Et si tu coches certaines cases, tu la fais.

Indicateurs typiques (souvent) déclencheurs :

• RH (évaluation, discipline, recrutement).
• Scoring/profilage (clients, prospects, salariés).
• Décisions qui comptent (refus, priorisation, tarification, sanction).
• Grande échelle (beaucoup de personnes, beaucoup de données).
• Données sensibles ou très intrusives.

La CNIL indique aussi que pour des systèmes “haut risque” AI Act impliquant des données perso, la nécessité d’une AIPD sera présumée. Même si ton usage n’est pas haut risque, pense “AIPD” comme un outil de pilotage du risque, pas comme une punition.

Modèle à copier-coller : fiche “validation cas d’usage IA”

Tu veux quelque chose d’opérationnel. Copie-colle ça dans Notion, Confluence ou un Google Doc. Et tu le remplis avant le premier déploiement.

FICHE VALIDATION CAS D’USAGE IA (AI Act + RGPD)

1. Identité
Nom du cas d’usage :
Sponsor (dirigeant / métier) :
Référent opérationnel :
DPO / référent RGPD (si applicable) :
Date de validation :

2. Objectif business
Problème à résoudre :
Gain attendu (temps, marge, qualité) :
KPI de succès (mesurable) :

3. Description du système
Type : chatbot / RAG / agent / classification / génération de contenu / autre :
Outil(s) :
Connecteurs / plugins :
Niveau d’autonomie (propose / exécute avec validation / exécute seul) :

4. Données traitées
Données personnelles : oui/non
Catégories : clients / prospects / salariés / autres :
Données sensibles : oui/non (si oui, lesquelles) :
Sources : CRM / ERP / drive / emails / tickets / autres :
Minimisation (ce qu’on exclut volontairement) :

5. Base légale RGPD
Base : contrat / obligation légale / intérêt légitime / consentement / autre :
Justification courte :
Information des personnes (où, comment) :

6. Sous-traitants et localisation
Fournisseur principal :
Sous-traitants connus :
Localisation traitement (UE/hors UE) :
Transferts hors UE : oui/non (si oui, mécanisme) :

7. Conservation
Conservation des prompts/conversations : oui/non
Durée :
Conservation des documents :
Politique de purge :

8. Sécurité
Accès (SSO/MFA/rôles) :
Journalisation/logs :
Chiffrement :
Gestion clés API/secrets :
Mesures anti-fuite (règles internes, DLP, etc.) :

9. Humain dans la boucle
Étapes avec validation humaine obligatoire :
Seuils d’escalade :
Process de correction/feedback :

10. Risques, AI Act, DPIA
Le cas d’usage est-il susceptible d’être “haut risque” AI Act ? oui/non/incertain (pourquoi) :
Obligations de transparence Article 50 concernées ? oui/non (lesquelles) :
AIPD (DPIA) nécessaire ? oui/non/incertain (raison + décision) :
Plan de mitigation (3 mesures max, concrètes) :

11. Validation
Décision : GO / GO sous conditions / NO GO
Conditions (si GO sous conditions) :
Prochaine revue (date) :

Checklist de preuves à conserver (si tu veux dormir tranquille)

Tu veux une checklist AI Act et RGPD côté preuves. Voilà le minimum utile en PME.

• Contrats : DPA (avenant RGPD), liste des sous-traitants, clauses de transfert si hors UE, conditions de conservation et d’entraînement, réversibilité.
• Registre RGPD : entrée de traitement mise à jour (finalités, catégories, durées, sous-traitants).
• AIPD/DPIA si nécessaire : analyse, décisions, mesures de réduction de risque, validation.
• Politique d’usage interne : ce qui est interdit (ex : RH disciplinaire dans un chatbot grand public), ce qui est autorisé, règles de minimisation.
• AI literacy : preuve de formation/sensibilisation (session, support, quiz simple, attestation interne).
• Paramètres et architecture : schéma de flux, sources RAG, règles d’accès, connecteurs activés.
• Logs : accès, actions, prompts sensibles (si tu les conserves), exécutions d’agent, erreurs.
• Tests : tests de fuite (données perso), tests d’hallucination sur cas critiques, tests de robustesse (prompt injection si RAG/agent).
• Process incident : qui fait quoi si fuite, si contenu faux envoyé, si demande d’effacement, si outil en panne.

Le plan simple : tu prends 60 minutes, tu qualifies, tu lances propre

Tu veux un mode opératoire qui tient dans une heure :

• 15 min : écrire le cas d’usage + décider “qui décide” (humain vs IA).
• 15 min : cartographier les données + flux + sous-traitants.
• 15 min : base légale + droits + conservation.
• 15 min : sécurité minimale + logs + liste de preuves.

À la fin : tu remplis la fiche, tu prends une décision GO / GO sous conditions / NO GO. Et tu sais exactement ce que tu dois corriger avant de passer en prod.

Ce que tu fais maintenant

Prends ton prochain cas d’usage IA (ou celui déjà en cours), et passe les 10 questions. Si tu bloques sur une seule, c’est un signal : tu as trouvé le vrai travail à faire avant de déployer.

Si ton cas d’usage implique chatbot, agents ou contenus générés visibles, ajoute la couche AI Act Article 50 avec la checklist dédiée : https://jimmymanin.com/blog/ai-act-article-50-checklist-dirigeant-pour-chatbots-et-contenus-ia-conformes

Et si tu veux réduire le risque “outil non cadré utilisé partout”, commence par reprendre la main sur le Shadow AI : https://jimmymanin.com/blog/shadow-ai-en-entreprise-7-controles-simples-pour-reprendre-la-main-sans-bloquer-tes-equipes