IA et droit en France : AI Act, RGPD, droit d’auteur, secret professionnel

Le sujet IA et droit souffre d’un défaut de départ : presque tout ce qui circule a été écrit avant l’été 2026, et le calendrier a bougé depuis. Des obligations que beaucoup d’entreprises croient imminentes ont été repoussées de seize mois. D’autres, qu’on annonçait encore lointaines, s’appliquent depuis le 2 août. Et sur le droit d’auteur, un rapport officiel de juillet 2026 a tranché une question que les tribunaux instruisaient au cas par cas. Ce guide remet le calendrier à plat, distingue ce qui vous concerne de ce qui ne vous concerne pas, et donne la démarche de mise en conformité.

En bref

• Le calendrier a été modifié en juillet 2026 par le règlement dit « Digital Omnibus » : les obligations des systèmes à haut risque sont repoussées de seize mois.
• Ce qui s’applique déjà : les pratiques interdites, l’obligation de littératie IA, les règles sur les modèles à usage général, la transparence des contenus générés et le régime de sanctions.
• Les sanctions sont en vigueur depuis le 2 août 2026, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
• Le RGPD n’a pas bougé : l’usage de l’IA ne crée pas de régime dérogatoire, et vos obligations de responsable de traitement restent entières.
• Droit d’auteur : une production purement générée n’est pas protégeable et relève du domaine public ; une création où l’humain a fait des choix libres et créatifs peut l’être.
• La charge de la preuve se déplace : c’est désormais à vous de documenter l’intervention humaine si vous voulez protéger une création.
• Les métiers à secret professionnel ont des règles propres qui s’ajoutent à tout le reste.
• Pour mettre vos équipes au niveau exigé par la réglementation, notre formation à la littératie IA exigée par l’AI Act est certifiée Qualiopi.

IA et droit : le calendrier de l’AI Act, remis à plat

C’est le point où presque tous les contenus disponibles sont dépassés. Le règlement (UE) 2026/1744, daté du 8 juillet 2026 et entré en vigueur le 27 juillet, a modifié plusieurs échéances (EUR-Lex). Le calendrier ci-dessous suit celui publié par la Commission européenne.

Pourquoi ce report. Les normes techniques harmonisées nécessaires aux évaluations de conformité n’étaient pas prêtes. La Commission justifie le délai en indiquant vouloir que les règles s’appliquent quand les entreprises disposent des outils d’accompagnement correspondants. Autrement dit, on demandait de se conformer à des exigences dont le référentiel technique n’existait pas encore.

Ce que ce report ne signifie pas. Il ne supprime rien : il décale. Une entreprise qui déploie aujourd’hui un système de tri de candidatures ou de scoring de crédit devra s’y conformer, et concevoir maintenant un système impossible à mettre en conformité plus tard revient à programmer la dépense. Le report donne du temps pour bien faire, pas une dispense.

Les deux nouvelles interdictions ajoutées à l’article 5 et applicables au 2 décembre 2026 visent les systèmes générant des images intimes sans consentement et les contenus d’abus sexuels sur mineurs. Elles s’appliquent sans exception aux systèmes déjà déployés.

Suis-je concerné ? Les deux listes à connaître

Toute la qualification repose sur deux listes que peu de dirigeants ont lues, et qui suffisent pourtant à situer une organisation en quelques minutes.

Les pratiques interdites, applicables depuis février 2025

L’article 5 prohibe des usages, pas des technologies. Aucune dérogation, aucun délai, aucune exception pour les systèmes déjà déployés. Voici les interdictions qui concernent une organisation ordinaire :

• la manipulation par des techniques subliminales ou délibérément trompeuses altérant le comportement d’une personne à son détriment ;
• l’exploitation des vulnérabilités liées à l’âge, au handicap ou à une situation sociale ou économique ;
• la notation sociale, lorsqu’elle conduit à un traitement défavorable dans un contexte sans rapport avec celui de la collecte, ou à un traitement injustifié ou disproportionné au regard du comportement social ou de sa gravité ;
• la prédiction du risque d’infraction fondée sur le seul profilage ou les traits de personnalité ;
• la constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images ;
• la déduction des émotions sur le lieu de travail et dans les établissements d’enseignement, hors raisons médicales ou de sécurité ;
• la catégorisation biométrique visant à déduire la race, les opinions politiques, l’affiliation syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l’orientation sexuelle.

Depuis la modification de juillet 2026, l’article 5 comporte aussi deux interdictions applicables au 2 décembre 2026 : la génération ou la manipulation par IA de contenus intimes réalistes sans consentement, et certains contenus d’abus sexuels sur mineurs.

L’AI Act encadre aussi l’identification biométrique à distance en temps réel dans l’espace public à des fins répressives, interdite en principe avec des exceptions strictement définies. Ce cas propre aux autorités répressives n’est pas détaillé ici, et la liste ci-dessus ne reproduit donc pas l’intégralité de l’article.

Le seul point qui piège les entreprises ordinaires est la déduction des émotions au travail. Des outils d’analyse d’entretiens ou de réunions proposent cette fonction : si elle est activée dans un contexte professionnel, vous êtes dans la catégorie interdite, et non dans celle des systèmes à haut risque soumis à obligations.

Les systèmes à haut risque, dont les obligations arrivent en décembre 2027

L’annexe III liste huit domaines d’usage. Un système y entre par ce qu’il décide, pas par sa sophistication :

Ce que cela veut dire pour un employeur. Un outil qui classe ou présélectionne des candidatures relève du haut risque, même s’il est acheté sur étagère et même si un humain valide la décision finale. C’est l’usage qui qualifie, pas la marque de l’outil ni la présence d’un contrôle humain.

Ce que cela ne vise pas. Un assistant de rédaction, un correcteur, un outil de synthèse de réunion sans déduction d’émotions, un générateur de visuels : ce sont des usages ordinaires, soumis à la littératie IA et le cas échéant à la transparence, rien de plus.

La littératie IA : l’obligation que tout le monde a

L’article 4 concerne toutes les organisations qui déploient de l’IA, quel que soit le niveau de risque du système. C’est la seule obligation véritablement universelle du règlement, et c’est aussi la plus ignorée.

Ce que le texte demande depuis sa réécriture. Les organisations doivent soutenir le développement de la maîtrise de l’IA de leur personnel. La nuance introduite en juillet 2026 est décisive sur le plan juridique : le texte antérieur imposait d’assurer un niveau suffisant, ce qui s’analysait en obligation de résultat. La nouvelle rédaction demande de prendre des mesures, sans garantir un niveau atteint par chaque personne. On passe d’une obligation de résultat à une obligation de moyens.

Ce que cela change pour vous. L’exigence devient documentaire : ce qui vous sera demandé, c’est de prouver que vous avez pris des mesures, pas que chaque salarié a réussi un examen. Un plan de formation daté, une liste des personnes concernées, des supports, des traces de participation.

Ce que cela ne change pas. Ne rien faire reste un manquement. L’allègement porte sur le résultat exigé, pas sur l’existence de l’obligation.

Notre article dédié détaille la construction de ce plan de formation à la littératie IA, et le sujet du financement est traité dans notre guide du financement OPCO d’une formation IA.

La transparence des contenus générés

Applicable depuis le 2 août 2026, l’article 50 impose trois choses distinctes, souvent confondues.

Informer que l’on parle à une machine. Un système conversationnel destiné au public doit être identifiable comme tel, sauf si c’est évident pour une personne raisonnablement avertie.

Marquer les contenus synthétiques. Les contenus générés doivent porter un marquage lisible par machine permettant de détecter leur origine artificielle. Pour les systèmes mis sur le marché avant août 2026, cette exigence s’applique à partir du 2 décembre 2026.

Signaler les deepfakes. Un contenu représentant des personnes, des lieux ou des événements de façon trompeuse doit être signalé comme généré ou manipulé.

Les conséquences pratiques. Si vous publiez des visuels produits par IA sur vos supports, si votre site utilise un agent conversationnel, si vos campagnes emploient des voix ou des visages de synthèse, vous êtes concerné. L’obligation pèse sur celui qui déploie, pas seulement sur l’éditeur de l’outil.

RGPD : ce que l’IA change, et ce qu’elle ne change pas

C’est la partie où les malentendus coûtent le plus cher, parce que beaucoup d’organisations traitent l’IA comme une catégorie juridique nouvelle. Elle ne l’est pas.

Le Digital Omnibus n’a pas modifié le RGPD. Le volet données du paquet reste en discussion. Les obligations du responsable de traitement sont inchangées.

Vos quatre questions restent les mêmes. Sur quelle base légale reposez-vous ? Les personnes ont-elles été informées ? Combien de temps conservez-vous ? Qui a accès et où les données sont-elles hébergées ? L’outil change, le raisonnement non.

Le point de vigilance propre à l’IA générative. Le prestataire traite-t-il vos saisies pour améliorer ses modèles, et avez-vous un accord de traitement des données ? Sur la plupart des offres individuelles, y compris payantes, les conversations servent par défaut à l’amélioration des modèles, et l’accord de traitement est réservé aux offres d’organisation. Un salarié qui colle un fichier de contacts dans un compte personnel fait sortir ces données de votre périmètre.

L’intérêt légitime comme base légale. La CNIL a précisé les conditions dans lesquelles il peut fonder le développement d’un système, y compris la collecte de données par moissonnage du web. Cette base n’est pas un blanc-seing : elle suppose un test de mise en balance documenté et des mesures qui limitent l’atteinte aux droits des personnes.

Une nouveauté à connaître. Le règlement de juillet 2026 introduit un encadrement du traitement de données sensibles lorsqu’il sert à détecter et corriger des biais, soumis à six conditions cumulatives. Ce n’est pas une autorisation générale de traiter des données sensibles pour entraîner un modèle.

Le cas des décisions automatisées. Si un système produit des effets juridiques sur des personnes ou les affecte de manière significative, l’article 22 du RGPD s’applique en plus de l’AI Act. C’est le cas du tri automatisé de candidatures ou d’une décision d’octroi de crédit. Ces mêmes usages figurent parmi les systèmes à haut risque dont les obligations arrivent en décembre 2027 : les deux corps de règles se cumulent, ils ne se remplacent pas.

💡 Le cas des agents autonomes : la CNIL a publié en juillet 2026, avec le Comité consultatif national d’éthique pour les sciences du numérique, une note exploratoire sur les systèmes capables d’agir sur leur environnement à la place de leur utilisateur. Ces usages posent des questions de responsabilité et de traçabilité distinctes de celles d’un assistant. Ils sont traités dans nos contenus consacrés aux agents IA autonomes.

Droit d’auteur : ce que vous pouvez protéger

Le Conseil supérieur de la propriété littéraire et artistique, organe consultatif rattaché au ministère de la Culture, a rendu le 16 juillet 2026 un rapport de mission sur le statut des productions de l’intelligence artificielle qui clarifie la question française. Sa rapporteure est la professeure Julie Groffe-Charrie.

La position retenue. Pas de régime dérogatoire. Le rapport considère que la notion d’originalité est assez solide pour accueillir les créations réalisées avec le concours de l’IA, sans qu’il faille inventer un droit spécifique.

La ligne de partage. Une production purement synthétique, générée sans intervention humaine déterminante, n’est pas protégeable et relève du domaine public. Une création hybride, où l’humain a exercé des choix libres et créatifs, peut l’être.

Les trois moments où l’originalité peut s’exprimer, selon le rapport :

• en amont, dans la conception et le paramétrage ;
• pendant, dans la direction du processus et les itérations ;
• en aval, dans la sélection et la retouche du résultat.

La conséquence pratique, qui est la vraie nouvelle. La charge de la preuve se déplace vers vous. Ce n’est ni l’effort fourni, ni le temps passé, ni la longueur du prompt qui fondent la protection, mais des choix créatifs attribuables à une personne physique et repérables dans le résultat. Si une création compte pour votre activité, conservez la trace du processus : versions successives, arbitrages, retouches.

Le même raisonnement ailleurs en Europe. Un tribunal allemand a refusé en février 2026 la protection à trois logos générés par IA, faute d’influence créative humaine prépondérante. La convergence des approches est un signal utile pour une entreprise qui travaille à l’échelle européenne.

Les questions propres aux images et à la musique générées sont traitées dans les articles dédiés de nos clusters image et audio.

Secret professionnel et métiers réglementés

Pour certaines professions, les règles précédentes ne suffisent pas : une couche déontologique s’ajoute, et elle est souvent plus exigeante.

Les professions concernées. Avocats, notaires, médecins, experts-comptables, commissaires aux comptes, et plus largement toute activité couverte par un secret légalement protégé.

Le principe. Transmettre à un prestataire une information couverte par le secret peut constituer une violation, indépendamment de toute fuite de données. Le manquement réside dans la transmission, pas dans le dommage.

Ce qui fonctionne en pratique. L’anonymisation réelle avant toute saisie, le recours à des offres d’organisation avec accord de traitement, l’hébergement dans l’Union, et dans les cas les plus sensibles un modèle exécuté sur une infrastructure maîtrisée.

Le point à vérifier avant tout le reste. Votre ordre professionnel a probablement publié des recommandations. Elles priment sur toute lecture générale du droit, y compris celle de cet article. Notre guide sur l’usage de l’IA par les juristes et les avocats détaille le cas de la profession d’avocat.

IA et droit : les sanctions, et qui risque quoi

Le régime est applicable depuis le 2 août 2026.

Le montant retenu est le plus élevé des deux termes. Des plafonds adaptés existent pour les PME et les jeunes entreprises.

Ce qu’il faut en retenir. Le plafond le plus élevé vise les pratiques interdites, c’est-à-dire des usages qu’une entreprise ordinaire ne met pas en œuvre par accident. Le risque réaliste pour la plupart des organisations n’est pas l’amende maximale : c’est l’accumulation de manquements documentaires, l’absence de plan de formation, l’absence de traçabilité, l’absence de base légale. Et le risque contentieux privé, du salarié ou du client qui conteste une décision, arrive souvent avant le régulateur.

Mise en conformité IA et droit : la démarche en sept étapes

Cette démarche est délibérément ordonnée : chaque étape rend la suivante possible.

1. Recensez les usages réels, pas les usages autorisés. L’écart entre les deux est l’essentiel du sujet. Commencez par demander aux équipes ce qu’elles utilisent, sans sanction.

2. Qualifiez chaque usage. Interdit, à haut risque, soumis à transparence, ou ordinaire. Cette qualification décide de tout le reste et évite d’appliquer à un correcteur orthographique les exigences d’un système de recrutement.

3. Tranchez la question des données. Quelles catégories de données peuvent entrer dans quel outil, et sous quel contrat. C’est la règle la plus utile à écrire, parce que c’est celle que les équipes appliquent au quotidien.

4. Vérifiez vos contrats fournisseurs. Accord de traitement, lieu d’hébergement, usage des données pour l’entraînement, durée de conservation, sous-traitants ultérieurs.

5. Écrivez une charte d’usage courte. Trois pages lues valent mieux que trente ignorées. Ce qui est autorisé, ce qui est interdit, qui trancher en cas de doute. Notre accompagnement à la rédaction de votre charte d’usage de l’IA part de vos usages recensés plutôt que d’un modèle générique.

6. Formez, et gardez les traces. C’est l’obligation universelle, et la preuve compte autant que l’action : contenu, dates, participants.

7. Datez une revue. Le calendrier a bougé deux fois en dix-huit mois. Une revue annuelle inscrite à l’agenda évite de découvrir un changement par un article de presse.

Sur la vérification des contenus produits, notre article sur les hallucinations de l’IA et la vérification des réponses complète utilement le volet formation, et la formation IA sous certification Qualiopi traite le cas des organismes de formation.

Au final

La situation juridique de l’IA en France est moins incertaine qu’on ne le dit, à condition de partir d’informations à jour : les obligations universelles s’appliquent déjà, les plus lourdes ont été repoussées à fin 2027, et le droit d’auteur a été clarifié cet été dans un sens exigeant mais lisible. Pour une entreprise qui n’exploite pas de système à haut risque, le travail tient en trois gestes : savoir ce que les équipes utilisent vraiment, écrire une règle courte sur les données, et former en gardant les traces. Ce sont aussi les trois seules choses qu’on vous demandera de prouver. Pour construire cette mise à niveau avec vos équipes, notre parcours IA générative pour mettre vos pratiques en conformité, certifié Qualiopi et finançable par votre OPCO, part de vos usages réels et de votre secteur.