Règlement européen sur l'IA et RGPD : ce qui vous concerne.
Deux textes, deux objets. Le RGPD encadre les données, le règlement européen sur l'IA encadre les systèmes qui les utilisent. Voici ce que chacun demande à un cabinet qui automatise sa collecte ou son courrier.
La différence, en une phrase
Le RGPD protège les personnes dont vous traitez les données. Il s'applique dès qu'un nom, une adresse ou un échange identifiable est en jeu, que l'outil soit intelligent ou non.
Le règlement européen sur l'IA encadre les systèmes eux-mêmes. Il classe les usages par niveau de risque et impose des obligations proportionnées à ce niveau. Un système peut être parfaitement conforme au RGPD et relever malgré tout de ce second texte.
Deux textes, deux objets
Un système peut être conforme au RGPD et relever malgré tout du second texte.
Où se situe un cabinet
Les usages dont nous parlons — relancer un client pour une pièce manquante, trier une boîte partagée, mettre en forme un compte-rendu — ne relèvent pas des catégories les plus contraignantes du règlement. Ils ne notent personne, ne décident de l'accès à aucun droit et n'évaluent aucune personne.
Deux obligations vous concernent néanmoins directement :
- La transparence. Savoir quels systèmes sont utilisés, pour quoi, et pouvoir l'expliquer. C'est aussi ce que vos clients vous demanderont en premier.
- La maîtrise humaine. Une décision qui affecte un client ne doit pas être prise sans qu'une personne puisse intervenir. C'est exactement pourquoi rien ne part sans validation dans nos briques.
Ce que les deux textes réclament en commun
Trois documents qui servent aux deux
L'inventaire des systèmes utilisés. Beaucoup de cabinets découvrent à cette occasion des outils adoptés par un collaborateur sans que personne ne l'ait tranché.
Le registre des traitements, à jour. C'est une obligation RGPD, et il sert de base à l'inventaire ci-dessus.
La trace des validations. Qui a validé quel envoi, quand. Elle documente la maîtrise humaine et vous protège en cas de contestation.
Les erreurs qui reviennent
- Utiliser un outil grand public sans rien documenter. Un collaborateur qui colle un extrait de dossier dans un service en ligne fait sortir de la donnée client de votre périmètre, sans contrat ni traçabilité.
- Tenir un registre figé. Un registre écrit une fois puis jamais rouvert ne reflète plus vos traitements réels au bout de six mois.
- Croire que la taille protège. Les obligations sont proportionnées, mais elles existent. Un cabinet de cinq personnes qui traite des données clients y est soumis comme un autre.
Les sanctions, sans dramatiser
Le RGPD prévoit des sanctions pouvant atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros. Le règlement européen sur l'IA prévoit jusqu'à 7 % ou 35 millions d'euros pour les pratiques interdites, avec des paliers inférieurs pour les autres manquements.
Une nuance compte pour vous : pour les PME et les jeunes entreprises, c'est le montant le plus faible des deux qui s'applique, et non le plus élevé comme pour les grands groupes. Ces plafonds visent des manquements graves et répétés, pas un registre incomplet.
Par où commencer
Dans l'ordre : inventorier ce qui est utilisé aujourd'hui, mettre le registre à jour, écrire le périmètre des données pour chaque automatisation envisagée, et prévoir qui valide quoi. Ces quatre étapes couvrent l'essentiel de ce que les deux textes demandent à un cabinet de votre taille.
Le détail du cadre RGPD est dans notre article dédié.
Faire écrire ce cadre
Le Diagnostic Cabinet traite les deux sujets dans la même mission et vous remet un cadre écrit unique : périmètre des données, durées de conservation, points de validation humaine. 3 000 € HT, prix fixe, deux semaines.
Réserver un diagnostic