Formation IA générative en entreprise
Usage responsable

IA générative et conformité : le tournant 2024-2028

Pourquoi cette sensibilisation est devenue nécessaire

En moins de trois ans, l'IA générative est passée du laboratoire de recherche à l'outil de bureau. Rédaction, traduction, synthèse de documents, génération de code ou d'images : ces usages se sont diffusés dans les entreprises bien plus vite que les règles internes censées les encadrer, souvent sur des comptes personnels et sur des données qui n'auraient jamais dû sortir du périmètre de l'entreprise.

L'Union européenne a répondu par le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, dit AI Act. Entré en vigueur le 1^er août 2024, il s'applique par étapes : interdictions et maîtrise de l'IA (article 4) depuis le 2 février 2025, modèles à usage général depuis le 2 août 2025, transparence depuis le 2 août 2026. Le règlement omnibus (UE) 2026/1744, publié le 24 juillet 2026, a reporté les obligations des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), et a reformulé l'article 4 en obligation de moyens.

Les sanctions restent lourdes : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, 15 millions d'euros ou 3 % pour les autres manquements. Pour une PME, le plus faible des deux montants s'applique, mais l'ordre de grandeur reste sans commune mesure avec le coût d'un dispositif de conformité.

L'articulation avec le RGPD : un édifice à deux étages

L'AI Act ne remplace pas le RGPD : il s'y ajoute. Tout traitement de données personnelles par un système d'IA reste soumis aux obligations du RGPD : base légale (article 6), interdiction de principe des données sensibles (article 9), encadrement des décisions fondées exclusivement sur un traitement automatisé (article 22), protection des données dès la conception (article 25), sécurité (article 32), analyse d'impact (article 35).

Un système de tri de CV est ainsi soumis au RGPD pour les données des candidats et à l'AI Act comme système à haut risque de l'annexe III. Les deux cadres se cumulent. C'est l'un des points les plus délicats pour les juristes et les DPO, détaillé au chapitre 1.3.

Les risques opérationnels au-delà du juridique

La conformité n'est qu'une partie du problème. Les risques opérationnels sont tout aussi concrets :

Confidentialité. Un collaborateur qui copie un contrat client dans un assistant grand public expose ces informations à un tiers, dans des conditions d'utilisation qu'il n'a pas lues. En 2023, un grand groupe électronique coréen a interdit ces outils après que des ingénieurs y avaient déposé du code source et des comptes rendus internes. Le chapitre 2.2 détaille ce qui ne doit jamais être saisi dans un prompt.

Hallucinations. Les modèles de langage produisent des affirmations fausses avec la même assurance que des faits vérifiés. En juin 2023, un tribunal fédéral de New York a sanctionné deux avocats qui avaient déposé un mémoire citant six décisions de justice inventées par un assistant (affaire Mata v. Avianca). Aucune production à enjeu sans vérification humaine.

Biais. Les modèles reproduisent les biais présents dans leurs données d'entraînement. Un outil de présélection de candidatures entraîné sur les recrutements passés d'un grand groupe de commerce en ligne pénalisait les CV de femmes ; le projet a été abandonné en 2018. La discrimination algorithmique est au cœur du classement « haut risque » des systèmes RH.

Droit d'auteur. Les modèles ont été entraînés sur des contenus du web, souvent protégés. Depuis le 2 août 2025, l'AI Act impose aux fournisseurs de modèles à usage général une politique de respect du droit d'auteur et la publication d'un résumé des contenus d'entraînement (article 53). Côté utilisateur, une sortie entièrement générée par une machine n'est pas protégée par le droit d'auteur français.

Public visé et limites de cette sensibilisation

Ce parcours gratuit de 5h30 s'adresse à un public large : DSI et RSSI qui pilotent le déploiement, DPO et juristes qui évaluent les risques, RH qui encadrent les usages et les systèmes RH eux-mêmes, directions métier qui choisissent les cas d'usage, managers et collaborateurs qui utilisent ces outils au quotidien. Les élus du CSE y trouveront les articles du Code du travail qui encadrent l'introduction de ces outils.

Il couvre les aspects juridiques (AI Act, RGPD, CNIL, Code du travail), opérationnels (choix d'outils, prompts, validation) et organisationnels (charte, registre, gouvernance, formation). Il complète les sensibilisations RGPD pour salariés (protection des données) et Cybersécurité utilisateur (hameçonnage, mots de passe, MFA).

Avertissement. Travail-Industrie n'est pas un organisme de formation. Cette sensibilisation ne délivre aucun certificat et ne se substitue pas au dispositif de maîtrise de l'IA que l'employeur définit au titre de l'article 4 de l'AI Act. L'examen final est auto-évaluatif.