AccueilAprès la formationSécuriser les usages
Sécuriser les usages de l’IA
Ce volet prolonge la formation. Il part, lui aussi, d’une prise de besoin : quels outils sont utilisés, par qui, avec quelles données. Les règles qui en sortent sont travaillées en formation, sur les tâches réelles des équipes.
Le Shadow IA, un signal plus qu’une faute
Quand le cadre est flou et que personne ne porte le sujet, les équipes avancent seules, avec leurs comptes personnels.
Les usages à repérer en priorité :
- des contrats ou des documents RH copiés pour obtenir un résumé
- des comptes rendus de CODIR ou des chiffres non publiés reformulés
- des fiches clients utilisées pour préparer une proposition
- des outils personnels qui automatisent des tâches sensibles
Interdire rassure à court terme, mais prive la direction de visibilité. La réponse durable combine trois choses : des outils validés, des règles compréhensibles et des équipes formées à ce qui peut ou non entrer dans une demande.
AI Act : le calendrier à jour
L’omnibus numérique sur l’IA, entré en vigueur le 27 juillet 2026, a reporté les obligations applicables aux systèmes à haut risque. Mise à jour du 11 octobre 2026.
| Date | Ce qui s’applique | Statut |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement (UE) 2024/1689 sur l’intelligence artificielle.1 | En vigueur |
| 2 février 2025 | Interdiction des pratiques à risque inacceptable (manipulation, notation sociale…). Obligation pour les entreprises de favoriser la maîtrise de l’IA par leur personnel (article 4), depuis simplifiée par l’omnibus.12 | En vigueur |
| 2 août 2025 | Obligations des fournisseurs de modèles d’IA à usage général (ceux qui développent GPT, Gemini, Claude, Mistral…), gouvernance et sanctions.1 | En vigueur |
| 27 juillet 2026 | Entrée en vigueur de l’omnibus sur l’IA, règlement (UE) 2026/1744, qui modifie le calendrier et allège certaines obligations, notamment pour les PME.2 | En vigueur |
| 2 août 2026 | Obligations de transparence (article 50) : informer qu’on échange avec une IA, signaler les contenus générés. Une période transitoire court jusqu’au 2 décembre 2026 pour certains systèmes génératifs déjà sur le marché.3 | En vigueur |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III : recrutement et gestion des travailleurs, accès au crédit, éducation, accès aux services essentiels…2 | À préparer |
| 2 août 2028 | Systèmes à haut risque de l’annexe I : IA intégrée à des produits réglementés (machines, jouets, ascenseurs…).2 | À préparer |
Ce qui ne change pas. Le report donne du temps, il ne supprime pas les obligations. Former ses équipes, savoir quels outils sont utilisés et pour quoi, et documenter les usages sensibles restent les premières mesures à prendre.
L’usage compte autant que l’outil. Un assistant de rédaction n’est pas, en soi, un système à haut risque. Utilisé pour trier des candidatures ou évaluer des personnes, il peut le devenir. C’est l’usage qu’il faut classer.
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, EUR-Lex.
- Commission européenne, « L’omnibus sur l’IA entre en vigueur », digital-strategy.ec.europa.eu.
- DPO Consulting, « AI Act : ce que le Digital Omnibus change réellement pour les entreprises », dpo-consulting.com.
RGPD et IA générative
Dès qu’une donnée personnelle entre dans un outil d’IA, le RGPD s’applique. C’est souvent le cas sans que personne s’en rende compte.
- Toute donnée personnelle saisie dans un outil d’IA constitue un traitement au sens du RGPD.
- Le fournisseur de l’outil doit être qualifié, le plus souvent comme sous-traitant, avec un contrat adapté.
- Les décisions produisant des effets importants sur une personne ne peuvent pas reposer uniquement sur un traitement automatisé, sauf exceptions encadrées.
- Les personnes concernées gardent leurs droits : information, accès, opposition.
- Une analyse d’impact peut être obligatoire pour les traitements susceptibles d’engendrer un risque élevé.
- Les transferts de données hors de l’Union européenne sont encadrés.
Construire le cadre
Un cadre utile tient en peu de règles, compréhensibles par tous et appliquées parce qu’elles ont été travaillées en formation.
Cartographier les usages
Questionnaire court, entretiens avec les équipes les plus exposées, croisement avec les outils validés. On ne régule pas ce qu’on n’a pas vu.
Rédiger une charte qui sert
Rédigée avec les équipes, à partir de leurs usages réels, déclinée par profil. Une charte qui reste dans un tiroir ne protège personne. Lire l’article
Classer les usages sensibles
Identifier les usages qui touchent des personnes ou des décisions importantes, et ce qu’ils impliquent au regard de l’AI Act et du RGPD.
Désigner une responsabilité
Un référent, un circuit de validation des nouveaux outils, un point d’entrée pour les questions. Le référent IA
Former aux réflexes
Quelles données peuvent entrer dans une demande, quels outils sont validés, que vérifier avant de diffuser. Ces réflexes sont intégrés à toutes les formations.
Les contenus de cette page sont informatifs. Pour un avis juridique sur une situation précise, EMILIA France travaille avec votre conseil ou votre délégué à la protection des données.
Prolonger une formation
Comme pour une formation, tout part d’une prise de besoin. Un échange de 30 minutes suffit pour la commencer.