IA et RGPD en TPE-PME : la méthode pour utiliser l'intelligence artificielle en toute conformité en 2026

55 % des TPE-PME françaises utilisent désormais l'intelligence artificielle générative, contre 31 % un an plus tôt (Bpifrance Le Lab, baromètre publié en janvier 2026). Ce basculement rapide s'accompagne d'un durcissement du cadre réglementaire : la CNIL a prononcé 83 sanctions en 2025 pour un montant cumulé de 486 839 500 euros, et l'AI Act européen entre dans sa phase d'application la plus concrète pour les petites entreprises au 2 août 2026.

Beaucoup de dirigeants de TPE-PME utilisent déjà ChatGPT, Claude ou des agents IA autonomes au quotidien, souvent sans avoir vérifié si ces usages respectent le RGPD ou les nouvelles obligations de l'AI Act. Cet article fait le point sur ce qui change réellement en 2026 et propose une méthode concrète pour utiliser l'IA sans prendre de risque juridique.

Pourquoi la conformité IA devient urgente pour les TPE-PME en 2026

Le RGPD ne prévoit aucune exception pour l'intelligence artificielle. Dès qu'un système d'IA traite des données à caractère personnel, que ce soit à l'entraînement, en usage courant ou dans les réponses générées, l'ensemble du règlement s'applique. C'est le rappel que fait la CNIL sur sa page dédiée à la mise en conformité IA.

Le calendrier de l'AI Act, entré en vigueur le 1er août 2024, accélère nettement cette année :

• Depuis le 2 février 2025 : interdiction de certains usages jugés inacceptables (notation sociale, manipulation comportementale) et obligation de former les collaborateurs qui utilisent des outils d'IA.
• Depuis le 2 août 2025 : obligations spécifiques pour les fournisseurs de grands modèles à usage général (GPAI), comme ceux qui alimentent ChatGPT, Claude ou Gemini.
• À partir du 2 août 2026 : application complète des obligations de transparence de l'article 50, qui concernent directement les TPE-PME utilisant un chatbot ou générant du contenu par IA.
• En 2027 et 2028 : entrée en application du régime « haut risque » pour les systèmes autonomes (recrutement, scoring de crédit) puis pour l'IA intégrée à des produits déjà réglementés.

Le texte a été partiellement révisé en 2026 par le « Digital Omnibus », qui reporte certaines échéances jugées trop rapprochées, mais l'orientation générale reste la même : les petites structures sont concernées, pas seulement les grands groupes.

RGPD et IA : les principes qui s'appliquent sans exception

Cinq obligations à connaître avant d'utiliser un outil IA

Que vous utilisiez l'IA pour rédiger vos contenus, analyser vos ventes ou automatiser votre recrutement, cinq principes du RGPD s'appliquent systématiquement :

• Finalité déterminée : vous devez savoir précisément pourquoi vous traitez une donnée avant de la confier à un outil d'IA.
• Minimisation : ne transmettez que les données strictement nécessaires. Un prompt contenant des données clients complètes dans un outil grand public est une pratique à risque.
• Base légale : consentement, intérêt légitime ou exécution d'un contrat doivent être identifiés pour chaque usage.
• Durée de conservation : les données traitées par l'IA ne doivent pas être conservées indéfiniment par l'outil ou par vous.
• Droits des personnes : vos clients et prospects conservent leurs droits d'accès, de rectification et d'opposition, même quand leurs données transitent par un système d'IA.

Les outils d'IA grand public sont-ils conformes ?

La conformité RGPD dépend moins de l'outil que de son paramétrage. Les versions professionnelles des principaux assistants IA proposent généralement des garanties contractuelles (localisation des données, non-réutilisation pour l'entraînement) que les versions gratuites n'offrent pas toujours. Avant de déployer un outil à l'échelle de l'entreprise, il est recommandé de vérifier la localisation des serveurs, l'existence d'un accord de traitement des données (DPA) et la politique de réutilisation des données saisies.

AI Act : ce qui change concrètement pour votre entreprise en 2026

L'obligation de transparence de l'article 50

C'est la disposition qui concerne le plus grand nombre de TPE-PME. À partir du 2 août 2026, toute entreprise qui utilise un chatbot doit informer clairement les utilisateurs qu'ils échangent avec une IA, sauf si c'est déjà évident du contexte. Les contenus (textes, images, vidéos) générés ou modifiés significativement par IA et destinés à informer le public doivent également être signalés comme tels. Si vous avez mis en place un chatbot pour votre service client, cette mention devient une obligation légale, pas seulement une bonne pratique de transparence.

Qui est concerné par le régime « haut risque » ?

Les systèmes d'IA utilisés pour trier des CV, noter des candidats ou évaluer une solvabilité entrent dans la catégorie « haut risque » de l'AI Act. Une TPE-PME qui utilise un outil de tri automatique de candidatures doit anticiper des obligations de documentation, de supervision humaine et de traçabilité, même si l'échéance complète pour ces usages est fixée à 2027-2028. Autant s'y préparer dès maintenant plutôt que dans l'urgence.

La méthode en 5 étapes pour utiliser l'IA en conformité

1. Cartographier vos usages IA

Listez tous les outils d'IA utilisés dans l'entreprise : rédaction de contenus, veille concurrentielle, service client, recrutement, analyse de données. Beaucoup de dirigeants découvrent, en faisant cet exercice, que leurs équipes utilisent déjà plusieurs outils sans validation centralisée.

2. Choisir des outils qui respectent le RGPD

Privilégiez les offres professionnelles avec accord de traitement des données, vérifiez la localisation des serveurs (idéalement dans l'Union européenne) et excluez les outils qui réutilisent systématiquement vos données pour entraîner leurs modèles sans option de désactivation.

3. Réaliser une analyse d'impact quand elle est nécessaire

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire dès lors qu'un traitement par IA présente un risque élevé pour les droits des personnes : notation, profilage à grande échelle, surveillance. Pour une TPE-PME, cela concerne surtout les usages en recrutement ou en scoring client.

4. Former vos équipes

Depuis février 2025, l'AI Act impose une obligation de formation minimale (littératie IA) pour toute personne qui utilise un système d'intelligence artificielle dans le cadre professionnel. Une session courte sur les bons réflexes (ne pas saisir de données confidentielles, vérifier les réponses générées, signaler les usages sensibles) suffit souvent à couvrir cette obligation pour une petite structure.

5. Documenter et informer les personnes concernées

Mettez à jour votre registre des traitements pour y intégrer les usages d'IA, et ajoutez une mention claire dans votre politique de confidentialité si vous utilisez un chatbot ou un outil de scoring. Cette documentation est votre meilleure protection en cas de contrôle.

Les erreurs les plus fréquentes en TPE-PME

• Copier-coller des données clients dans un outil d'IA grand public pour rédiger un email ou une synthèse.
• Déployer un chatbot sans mention explicite indiquant qu'il s'agit d'une IA.
• Ne pas vérifier les réponses générées avant de les publier ou de les envoyer à un client, avec le risque de diffuser une information inventée par l'outil.
• Considérer que le sujet ne concerne que les grands groupes, alors que l'article 50 de l'AI Act et le RGPD s'appliquent quelle que soit la taille de l'entreprise.

Ces erreurs se recoupent souvent avec celles observées dans l'automatisation d'autres processus : la rapidité de mise en place prend le pas sur la vérification des garanties légales de l'outil choisi.

Faut-il un délégué à la protection des données dans une TPE-PME qui utilise l'IA ?

La désignation d'un délégué à la protection des données (DPO) n'est obligatoire que dans des cas précis : traitement à grande échelle de données sensibles, suivi régulier et systématique à grande échelle des personnes, ou organisme public. La plupart des TPE-PME n'y sont pas soumises. En revanche, désigner en interne un référent IA et RGPD, même sans statut de DPO, permet de centraliser les validations d'outils et d'éviter les usages non maîtrisés au sein des équipes.

Pour aller plus loin sur la structuration de vos outils numériques, notre accompagnement en IA pour TPE-PME permet de cadrer ces usages dès la mise en place des outils. Notre équipe reste aussi disponible via la page contact pour un point sur votre situation spécifique.

Questions fréquentes

ChatGPT, Claude ou Gemini sont-ils conformes au RGPD ?

Cela dépend de la version utilisée et de son paramétrage. Les offres professionnelles de ces outils proposent généralement un accord de traitement des données et des garanties sur la non-réutilisation des contenus saisis, contrairement aux versions gratuites grand public où ces garanties sont plus limitées. Vérifiez toujours les conditions contractuelles avant un déploiement en entreprise.

Une TPE-PME doit-elle nommer un délégué à la protection des données ?

Non, sauf si elle traite des données sensibles à grande échelle ou effectue un suivi systématique des personnes. La plupart des petites structures peuvent se contenter de désigner un référent interne chargé de valider les usages d'IA.

Que risque une entreprise qui ne respecte pas l'AI Act ?

Les sanctions sont proportionnelles au chiffre d'affaires et plafonnées selon un montant le plus bas entre un seuil absolu et un pourcentage du chiffre d'affaires mondial, ce qui rend les amendes proportionnées pour les petites structures. Le non-respect expose néanmoins à des mises en demeure et à un risque réputationnel en cas de contrôle.

Faut-il informer mes clients qu'un chatbot IA leur répond ?

Oui. À partir du 2 août 2026, l'article 50 de l'AI Act impose d'informer clairement les utilisateurs qu'ils interagissent avec un système d'intelligence artificielle, sauf si cela est déjà évident du contexte d'usage.

Comment savoir si mon usage de l'IA nécessite une analyse d'impact (AIPD) ?

Une AIPD est nécessaire dès que le traitement présente un risque élevé pour les personnes : notation ou scoring automatisé, profilage à grande échelle, surveillance systématique. Un usage ponctuel de rédaction de contenu sans données personnelles sensibles n'en nécessite généralement pas.