Vous utilisez ChatGPT ou une autre IA dans votre entreprise ? Vos obligations légales expliquées

Cet article est une information générale. Il ne remplace pas le conseil d'un avocat ni l'analyse concrète de votre entreprise : utilisez-le comme une carte, pas comme un avis juridique.

Sommaire

1. Utiliser ChatGPT vous rend-il déjà responsable de quelque chose ?
2. Qu'exige de vous le RGPD si vous mettez des données dans une IA ?
3. Qu'ajoute le nouveau Règlement européen sur l'IA ?
4. Qu'est-ce qui est obligatoire dès aujourd'hui ?
5. Qu'est-ce qui change le 2 août 2026 ?
6. Vous utilisez l'IA pour décider au sujet de personnes ? C'est différent
7. Qui surveille cela en Espagne, et que se passe-t-il si vous ne respectez pas les règles ?
8. Checklist : mettez votre usage de l'IA en règle en 15 minutes
9. Questions fréquentes
10. Sources officielles

Utiliser ChatGPT vous rend-il déjà responsable de quelque chose ?

Oui. Il n'est pas nécessaire d'avoir « souscrit » à quoi que ce soit ni d'utiliser une formule payante : dès l'instant où vous ou quelqu'un de votre équipe écrit une question dans ChatGPT, Copilot, Gemini ou n'importe quelle autre IA pour le travail, cet outil fait déjà partie de votre entreprise sur le plan juridique.

Deux questions déterminent ce que vous avez à faire :

• Mettez-vous des données personnelles dans l'IA ? Noms, adresses e-mail, historiques de clients, CV, données de votre équipe. Si la réponse est oui, le RGPD entre en jeu (section suivante).
• Comment utilisez-vous l'IA ? Rédiger un brouillon d'e-mail n'est pas la même chose que l'utiliser pour décider qui vous embauchez ou à qui vous accordez un prêt. Le nouveau Règlement européen sur l'IA gradue les obligations selon le risque de l'usage, pas selon l'outil.

La plupart des petites entreprises —un restaurant qui utilise l'IA pour rédiger son menu, un salon de coiffure qui rédige des publications pour les réseaux sociaux— se situent à l'échelon le plus léger des deux normes. Mais « léger » ne veut pas dire « zéro » : il existe une obligation déjà exigible pour tous, quelle que soit la taille de l'entreprise, et nous l'expliquons à la section 4.

Qu'exige de vous le RGPD si vous mettez des données dans une IA ?

Le Reglamento (UE) 2016/679 (RGPD) ne mentionne pas l'intelligence artificielle, mais il s'applique tout de même : pour la loi, une IA qui traite des données personnelles est un traitement de données comme un autre. L'AEPD (l'autorité espagnole de protection des données) l'explique dans son guide « Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial » : avant de mettre des données personnelles dans une IA, vous devez avoir un motif légal pour les utiliser, informer de manière adéquate et appliquer des mesures de sécurité raisonnables, exactement comme vous le feriez avec n'importe quel autre logiciel.

En pratique, pour une petite entreprise, cela se traduit par trois règles simples :

• Ne mettez pas dans l'IA plus de données que nécessaire. Si vous demandez à ChatGPT de vous aider à rédiger la réponse à un client, il n'est pas nécessaire de coller l'e-mail complet avec son nom, son téléphone et son adresse : vous pouvez résumer la situation sans les données qui l'identifient.
• Vérifiez si l'outil conserve ce que vous écrivez et, si vous avez le choix, désactivez l'historique ou l'utilisation de vos conversations pour entraîner le modèle. De nombreux outils d'IA le permettent dans les paramètres de confidentialité.
• Si l'outil traite des données personnelles de vos clients ou de votre équipe pour votre compte, c'est un sous-traitant (art. 28 RGPD), au même titre que votre hébergeur ou votre gestoría (le cabinet espagnol qui gère la comptabilité et les démarches administratives d'une entreprise). Vérifiez si le fournisseur de l'IA propose un accord de traitement des données : s'il en a un et que vous l'acceptez, vous formalisez la relation ; s'il n'existe pas ou que vous ne pouvez pas l'examiner, c'est un signal pour faire attention à ce que vous lui communiquez. Vous pouvez voir comment fonctionne ce contrat dans notre guide sur le contrat de sous-traitant.

Aucune réponse générée par une IA ne devrait devenir une partie d'un document, d'un contrat ou d'une communication à un client sans qu'une personne l'ait relue au préalable. Ce n'est pas seulement de la prudence : si quelque chose tourne mal, la responsable devant l'AEPD reste votre entreprise, jamais l'IA.

Qu'ajoute le nouveau Règlement européen sur l'IA ?

Le Reglamento (UE) 2024/1689, connu comme Règlement sur l'intelligence artificielle ou « AI Act », est une norme distincte du RGPD : il ne régit pas seulement les données personnelles, mais l'usage de l'intelligence artificielle en général, avec des obligations qui dépendent du risque de chaque usage. Il a été publié le 12 juillet 2024 au Journal officiel de l'Union européenne et est entré en vigueur le 1er août 2024, mais ses obligations n'arrivent pas toutes en même temps : elles s'appliquent à des dates échelonnées jusqu'en 2027.

Pour une entreprise qui utilise l'IA en appui (rédiger des textes, résumer des informations, générer des images), les obligations sont légères. Elles deviennent plus exigeantes seulement si vous utilisez l'IA pour prendre des décisions qui affectent directement une personne, comme nous le verrons à la section 6.

Qu'est-ce qui est obligatoire dès aujourd'hui ?

Depuis le 2 février 2025, deux blocs du Règlement sur l'IA sont exigibles :

• Interdictions absolues (art. 5). Certains usages de l'IA sont interdits dans toute l'Union européenne : manipuler les personnes d'une manière dont elles ne peuvent pas se rendre compte, noter socialement les personnes, ou utiliser la reconnaissance des émotions au travail ou dans les établissements d'enseignement (sauf exceptions médicales ou de sécurité limitativement énumérées). Ce sont des pratiques que presque aucune petite entreprise n'utilise, mais il est utile de savoir qu'elles existent et qu'elles sont interdites depuis cette date.
• Maîtrise de l'IA (art. 4). Voilà celle qui vous concerne, sans exception de taille : si quelqu'un de votre équipe utilise un outil d'IA pour travailler, il doit en connaître les bases —à quoi il sert, ce qui peut dysfonctionner (une IA peut inventer des données, ce que l'on appelle une « hallucination ») et ce qu'il ne doit pas faire avec, comme y mettre des informations confidentielles d'un client. Il n'est pas nécessaire de suivre une formation certifiante : une explication claire de 10 minutes et les règles de cet article couvrent déjà le minimum exigé.

Ce second point est déjà une loi en vigueur, pas une recommandation future. C'est aussi le premier document que Tranquilia génère dans son module IA : le registre des systèmes d'IA que vous utilisez, avec la politique d'usage et la formation de votre équipe déjà rédigées.

Qu'est-ce qui change le 2 août 2026 ?

Le 2 août 2026 est la date à laquelle le Règlement sur l'IA déploie la majeure partie de ses obligations, dont une qui affecte directement de nombreuses entreprises : l'obligation de transparence de l'article 50. À partir de cette date, si vous avez un chatbot ou un assistant vocal qui parle ou écrit directement à vos clients, vous devez leur dire qu'ils s'adressent à une intelligence artificielle, de manière claire et dès le début. Une phrase visible comme « Ce chat utilise l'intelligence artificielle » suffit déjà. Il en va de même si vous générez des images, de l'audio ou de la vidéo avec l'IA et que vous les publiez d'une façon qui pourrait les faire confondre avec du contenu réel : il faut les marquer comme générés par IA.

Avant cette date, le 2 août 2025, les règles de gouvernance et les obligations pour ceux qui fabriquent les plus grands modèles d'IA (comme OpenAI, Google ou Anthropic) sont déjà entrées en vigueur. Cela n'exige rien de vous directement en tant qu'utilisateur de l'outil, mais cela explique pourquoi ces entreprises vous demandent de plus en plus d'informations sur la façon dont elles traitent vos données et publient davantage de documentation sur leurs modèles.

Une dernière date, le 2 août 2027, ne concerne que les fabricants de produits réglementés (par exemple des dispositifs médicaux ou des véhicules) qui intègrent de l'IA à haut risque : elle n'est pas pertinente pour une entreprise de services ou de commerce.

Vous utilisez l'IA pour décider au sujet de personnes ? C'est différent

Le Règlement sur l'IA réserve son niveau d'exigence le plus élevé aux usages dits à haut risque, énumérés de manière limitative dans son annexe III. Ceux que l'on rencontre le plus dans une PME sont :

• Sélectionner des CV ou écarter des candidats de façon automatique.
• Évaluer la performance de votre équipe à l'aide d'une IA, si le résultat a des conséquences réelles (promotions, licenciements, plannings).
• Décider automatiquement au sujet d'une personne sans intervention humaine : accorder ou refuser un service, une remise ou un crédit.

Si votre entreprise fait quelque chose de tout cela, la maîtrise de l'IA de la section 4 ne suffit pas : vous avez besoin d'un accompagnement spécifique avant de continuer à utiliser ce système, car le Règlement exige des mesures renforcées (documentation technique, supervision humaine effective, gestion des risques). De plus, si une IA prend une décision entièrement automatique au sujet d'une personne sans que personne ne la révise, cette personne a le droit de demander qu'un être humain la révise (art. 22 RGPD). Parlez-en à votre gestoría avant d'automatiser ce type de décisions : c'est la seule partie de cet article où « faites-le vous-même » n'est pas le bon conseil.

Qui surveille cela en Espagne, et que se passe-t-il si vous ne respectez pas les règles ?

En Espagne, deux autorités coexistent avec des rôles distincts. L'AEPD (Agencia Española de Protección de Datos) reste celle qui veille à ce que vous traitiez correctement les données personnelles, que vous utilisiez ou non l'IA. L'AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), dont le siège est à A Coruña, est l'autorité désignée en Espagne pour superviser le respect du Règlement sur l'IA lui-même (art. 70 du Règlement).

Le Règlement sur l'IA fixe lui-même les plafonds de sanction au niveau européen, en trois niveaux selon la gravité du manquement (art. 99) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les usages interdits de l'art. 5 ; jusqu'à 15 millions ou 3 % pour les autres obligations (y compris la transparence de l'art. 50 et les usages à haut risque) ; et jusqu'à 7,5 millions ou 1 % pour avoir donné des informations fausses ou trompeuses à l'autorité. Dans les trois cas, c'est le plus élevé des deux chiffres qui s'applique, avec une exception en votre faveur : pour les PME et les start-ups, la loi retient le chiffre le plus bas des deux, et non le plus élevé, comme critère de proportionnalité.

L'Espagne est en train d'achever l'insertion de ce règlement dans son propre cadre juridique : le Gouvernement a approuvé le 26 mai 2026 le projet de Ley Orgánica para el buen uso y gobernanza de la IA, qui reste en cours d'examen parlementaire et peut changer par voie d'amendements avant d'être adopté. Le régime de sanctions espagnol définitif n'est donc pas encore arrêté.

En pratique, ces chiffres européens sont le plafond légal, pas la règle habituelle : comme avec le RGPD, la sanction est graduée selon la gravité, la taille de l'entreprise et selon que vous avez coopéré ou non. Le cas concret le plus connu à ce jour n'est pas espagnol : l'autorité de protection des données d'Italie (Garante per la protezione dei dati personali) a sanctionné OpenAI de 15 millions d'euros le 20 décembre 2024, non pas au titre du Règlement sur l'IA —qui n'était pas encore applicable— mais pour des infractions au RGPD : ne pas avoir notifié une violation de données de mars 2023, avoir traité des données personnelles pour entraîner ChatGPT sans base légale adéquate, un manque de transparence envers les utilisateurs et l'absence de vérification de l'âge. C'est un cas réel et public, pas une menace : il sert à comprendre ce que les autorités examinent vraiment, pas à effrayer une entreprise qui utilise seulement ChatGPT pour rédiger un e-mail.

Checklist : mettez votre usage de l'IA en règle en 15 minutes

• [ ] Notez chaque outil d'IA que vous utilisez dans l'entreprise : ChatGPT, Copilot, un générateur d'images, un traducteur automatique, une caméra avec reconnaissance. C'est la première étape de votre registre des systèmes d'IA.
• [ ] Ne mettez pas dans l'IA plus de données personnelles que nécessaire : résumez la situation sans noms complets, sans NIF (le numéro d'identification fiscale espagnol) ni historiques si ce n'est pas indispensable.
• [ ] Expliquez à votre équipe, en 10 minutes, ce qui peut dysfonctionner avec l'IA (hallucinations, fuite de données) et ce qu'il ne faut jamais y mettre. C'est déjà obligatoire depuis février 2025 (art. 4 du Règlement sur l'IA).
• [ ] Si un client parle à un chatbot qui est le vôtre, ajoutez une phrase visible comme « Ce chat utilise l'intelligence artificielle ».
• [ ] Ne copiez jamais directement une réponse d'une IA dans un contrat ou une communication à un client sans qu'une personne l'ait relue au préalable.
• [ ] Vérifiez si l'outil propose un accord de traitement des données et formalisez-le si vous y mettez des données personnelles.
• [ ] Si vous utilisez l'IA pour décider au sujet de personnes (recrutement, évaluation de la performance, crédit), arrêtez-vous et consultez votre gestoría avant de poursuivre.
• [ ] Notez la date de cette révision et reprenez-la chaque fois que vous commencez à utiliser une nouvelle IA.

Avec ces huit points, vous disposez de la base minimale défendable. Cela ne remplace pas une analyse sur mesure si votre entreprise utilise l'IA de manière intensive ou pour des décisions automatisées au sujet de personnes.

Questions fréquentes

Dois-je demander l'autorisation à mes clients pour utiliser ChatGPT ?

Non, en général. Ce dont vous avez besoin, c'est d'un motif légal pour traiter leurs données si vous les mettez dans l'outil, et de les informer de vos traitements de données comme vous le faites déjà avec n'importe quel autre logiciel que vous utilisez (art. 13 RGPD). Il n'est pas nécessaire d'obtenir une autorisation spécifique du seul fait d'utiliser l'IA, sauf si cet usage précis l'exige (par exemple, un consentement pour un traitement de catégorie particulière).

Puis-je coller l'e-mail d'un client dans ChatGPT pour qu'il m'aide à rédiger la réponse ?

Mieux vaut éviter de coller l'e-mail complet avec les données qui l'identifient. Résumez la situation sans nom, téléphone ni coordonnées : « un client demande le délai de livraison de sa commande » fonctionne tout aussi bien pour que l'IA vous aide, et vous minimisez les données que vous lui communiquez.

La version gratuite de ChatGPT a-t-elle les mêmes obligations que la version payante ?

Oui. Le Règlement sur l'IA et le RGPD ne distinguent pas entre formule gratuite et payante : ce qui compte, c'est quelles données vous y mettez et pour quoi vous utilisez l'outil, pas combien vous le payez.

Mon entreprise est très petite, cela me concerne-t-il vraiment ?

Oui, même si vous êtes travailleur indépendant sans salariés. L'obligation de maîtrise de l'IA (art. 4) s'applique à quiconque utilise l'IA pour travailler, qu'il ait une équipe ou non. Ce qui change avec la taille de l'entreprise, c'est la proportionnalité d'une éventuelle sanction, pas l'existence de l'obligation.

Puis-je déjà être sanctionné pour utiliser l'IA sans avoir rien fait de tout cela ?

Les obligations en vigueur aujourd'hui sont celles de l'art. 4 (formation) et les interdictions de l'art. 5. Le reste du Règlement, y compris la transparence envers les clients, arrive le 2 août 2026. En pratique, une petite entreprise qui s'organise et corrige lorsqu'elle détecte qu'il lui manque quelque chose n'est pas le scénario habituel d'une sanction.

Cela remplace-t-il ce que le RGPD me demande déjà ?

Non, cela s'y ajoute. Si vous utilisez l'IA avec des données personnelles, toutes les obligations du RGPD que vous aviez déjà continuent de s'appliquer à vous (registre des traitements, clauses d'information, délai de 72 heures en cas de violation) auxquelles s'ajoutent celles du Règlement sur l'IA.

Sources officielles

• Reglamento (UE) 2024/1689, de 13 de junio de 2024 — texto consolidado, EUR-Lex
• EUR-Lex — Resumen: normas para una inteligencia artificial fiable en la Unión Europea
• Reglamento (UE) 2016/679 (RGPD) — texto consolidado, EUR-Lex
• AEPD — Guía «Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial»
• AEPD — Infografía «Tratamientos que incluyen Inteligencia Artificial (IA)»
• AEPD — Orientaciones sobre IA agéntica desde la perspectiva de la protección de datos
• AESIA — Agencia Española de Supervisión de la Inteligencia Artificial
• La Moncloa — El Gobierno aprueba el proyecto de Ley Orgánica para el buen uso y gobernanza de la IA (26 de mayo de 2026)
• Garante per la protezione dei dati personali (Italia) — Comunicado sobre la sanción a OpenAI por ChatGPT (20 de diciembre de 2024)

---

Vous voulez avoir votre registre des systèmes d'IA prêt, avec la politique d'usage et la formation de votre équipe déjà rédigées ? Le niveau gratuit de Tranquilia couvre jusqu'à 2 entreprises, avec toutes les fonctionnalités, sans limite de temps et sans carte bancaire. Essayez-le gratuitement ou consultez les tarifs si vous avez besoin de plus d'entreprises.

Si en outre vous traitez des données personnelles avec votre outil d'IA, consultez également notre guide sur le contrat de sous-traitant.

---

Contenu élaboré avec l'appui de l'intelligence artificielle et vérifié contre des sources officielles (EUR-Lex, AEPD, AESIA, La Moncloa, Garante privacy Italia) par Tranquilia by GRAC SA. Il ne constitue ni une certification officielle ni un avis juridique. Consultez votre gestoría ou un professionnel du droit pour votre cas concret.