000
Une notice d'information IA est le document public qui explique comment vos systèmes d'IA traitent les données personnelles. Elle répond au RGPD, pas à l'article 50 de l'AI Act, qui impose un signalement au moment de l'interaction. Les deux sont nécessaires.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Une notice d'information IA est le document public qui explique comment vos systèmes d'intelligence artificielle traitent les données personnelles. Elle répond au RGPD, pas à l'article 50 de l'AI Act, qui impose un signalement au moment de l'interaction. Les deux sont nécessaires, et les confondre est l'erreur la plus fréquente en 2026.
Depuis le 2 août 2026, les obligations de transparence du règlement UE 2024/1689 s'appliquent pleinement. Beaucoup d'entreprises pensent s'en acquitter en ajoutant un paragraphe à leur politique de confidentialité. Ce n'est pas suffisant, et la Commission européenne l'a précisé noir sur blanc dans ses lignes directrices publiées le 20 juillet 2026. Pour situer les deux textes l'un par rapport à l'autre, notre guide de conformité AI Act pour PME et associations pose le cadre général. Cet article se concentre sur la rédaction concrète.
La notice RGPD et le signalement de transparence de l'AI Act ne visent ni les mêmes personnes, ni le même moment, ni le même contenu.
La notice d'information au sens du RGPD s'adresse aux personnes dont vous traitez les données personnelles. Elle est écrite, publiée, consultable à tout moment. La CNIL emploie précisément le terme de notice d'information générale dans ses fiches pratiques IA : c'est le dispositif à utiliser lorsque l'information individuelle est impossible ou exigerait des efforts disproportionnés, au sens de l'article 14.5.b du RGPD.
Le signalement de l'article 50, lui, s'adresse aux personnes exposées à un système d'IA, qu'il y ait ou non des données personnelles en jeu. Il intervient au moment de l'interaction ou de l'exposition au contenu. Un visiteur qui ouvre votre chatbot IA doit savoir qu'il parle à une machine avant de taper son premier message. Aucune notice enfouie dans un pied de page ne remplit cette fonction.
En pratique, une PME qui déploie un assistant conversationnel sur son site a besoin des deux dispositifs. Le détail des différences de logique entre les deux régimes est traité dans notre comparatif AI Act et RGPD pour les PME.
Dès que vous traitez des données personnelles avec un système d'IA et que vous ne pouvez pas informer chaque personne individuellement.
Le tableau ci-dessous couvre les cas les plus courants rencontrés en PME.
| Cas d'usage | Notice RGPD publiée | Signalement AI Act article 50 |
|---|---|---|
| Chatbot de support client sur le site | Oui, mentions article 13 dans le formulaire ou la fenêtre | Oui, dès la première interaction |
| Tri automatisé de CV | Oui, information des candidats à la collecte | Non au titre de l'article 50, mais régime haut risque à vérifier |
| Visuels marketing générés par IA | Selon les données traitées | Marquage machine par le fournisseur, mention visible si le rendu ressemble à une personne réelle |
| Transcription automatique de réunions | Oui, information des participants avant l'enregistrement | Non, sauf reconnaissance d'émotions |
| Analyse de sentiment sur les appels clients | Oui | Oui, obligation d'information des personnes exposées |
| Base d'entraînement constituée par moissonnage | Oui, notice générale avec indication des sources | Non |
Deux remarques utiles. D'abord, l'obligation RGPD existe depuis 2018 : elle n'a pas attendu l'AI Act. Ensuite, si vos systèmes relèvent des pratiques interdites de l'article 5, aucune notice ne les rendra licites. La reconnaissance d'émotions sur les salariés, par exemple, est interdite sur le lieu de travail, pas simplement soumise à information.
Quatre obligations distinctes, réparties entre fournisseurs et déployeurs, et aucune ne prend la forme d'un document à publier.
Pour les fournisseurs, c'est-à-dire ceux qui développent ou font développer un système sous leur nom : informer les personnes qu'elles interagissent avec une IA, sauf si c'est évident, et marquer les contenus générés dans un format lisible par machine. Les lignes directrices de la Commission précisent que l'exception du caractère évident doit s'interpréter de façon restrictive, en se référant à une personne moyenne raisonnablement informée et attentive.
Pour les déployeurs, c'est-à-dire la très grande majorité des PME qui utilisent des outils du marché : informer les personnes exposées à un système de reconnaissance d'émotions ou de catégorisation biométrique, et signaler clairement les hypertrucages ainsi que les textes publiés pour informer le public sur des sujets d'intérêt public.
Trois points souvent mal compris, tous confirmés par la FAQ officielle de la Commission mise à jour le 24 juillet 2026 :
Les sanctions relèvent des autorités nationales de surveillance du marché et peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, avec une proportionnalité prévue pour les PME. Le détail figure dans notre article sur les sanctions AI Act.
Les mentions des articles 13 et 14 du RGPD, complétées par une explication compréhensible du fonctionnement du système.
La CNIL est explicite sur ce point : la complexité technique d'un système d'IA ne justifie pas une information incompréhensible. Elle recommande une information à plusieurs niveaux, avec au premier niveau l'identité du responsable de traitement, les finalités et les droits des personnes, et une information complète accessible en second niveau.
Les blocs attendus :
Deux ajouts spécifiques à l'IA. Si vous ne pouvez pas identifier les personnes présentes dans votre base, il faut l'indiquer au titre de l'article 11 du RGPD, et préciser quelles informations complémentaires elles peuvent fournir pour permettre leur identification. Et si votre modèle a mémorisé des données d'entraînement, la CNIL recommande d'expliquer le risque de restitution de ces données et les mesures prises pour le limiter.
Six blocs suffisent, à condition que chacun soit rempli avec vos éléments réels et non avec des formules génériques.
Bloc 1, qui traite et pourquoi. Nommez l'entité, donnez une adresse de contact réelle, décrivez la finalité en une phrase qu'un client comprend. Exemple : notre assistant conversationnel répond aux questions sur nos horaires, nos tarifs et le suivi de commande.
Bloc 2, quelles données et d'où elles viennent. Distinguez ce que la personne saisit elle-même de ce que vous récupérez ailleurs. En cas de collecte indirecte, la CNIL admet une information par catégories de sources lorsque celles-ci sont nombreuses, en citant les principales.
Bloc 3, comment l'IA intervient. C'est le bloc le plus souvent bâclé. Expliquez si le système décide, propose ou se contente de reformuler. Précisez s'il y a une intervention humaine, à quel moment, et ce qu'elle change concrètement pour la personne.
Bloc 4, combien de temps et pour aller où. Durée de conservation des conversations, des enregistrements, des données d'entraînement. Sous-traitants et hébergeurs, localisation des serveurs.
Bloc 5, vos droits et comment les exercer. Une adresse, un délai de réponse, et le cas échéant la mention de l'impossibilité d'identification.
Bloc 6, la version et la date. Une notice sans date de mise à jour perd sa valeur probatoire dès le premier contrôle.
Cinq écueils reviennent dans la quasi-totalité des notices que nous relisons en audit.
Une page dédiée, accessible en deux clics depuis toute page du site, et une revue au moins semestrielle.
Une page distincte de la politique de confidentialité générale n'est pas obligatoire, mais elle facilite la démonstration de conformité et la lecture. Si vous choisissez de tout regrouper, ajoutez une section clairement identifiée sur les traitements liés à l'IA, avec un sommaire cliquable.
Côté maintenance, le point de départ est toujours le même : savoir ce que vous utilisez. Un inventaire à jour des outils d'IA en service, avec pour chacun le fournisseur, la finalité, les données traitées et le statut au regard de l'AI Act, est la condition d'une notice qui reste vraie. C'est aussi le premier livrable de tout audit IA sérieux. Sur le périmètre exact des obligations selon votre rôle, notre article AI Act : qui est concerné précise la distinction entre fournisseur et déployeur, qui commande tout le reste.
Une notice d'information IA est-elle obligatoire pour toutes les entreprises ?
Non. Elle devient obligatoire dès que vous traitez des données personnelles au moyen d'un système d'IA sans pouvoir informer chaque personne individuellement. Une entreprise qui utilise l'IA générative uniquement en interne, sur des documents sans données personnelles, n'a pas de notice à publier, mais reste soumise aux autres obligations du règlement.
Quelle différence entre une notice d'information et une politique IA interne ?
La notice s'adresse à l'extérieur : clients, candidats, usagers, personnes dont les données sont traitées. La politique IA interne s'adresse aux collaborateurs et fixe les règles d'usage des outils. Les deux documents se nourrissent l'un l'autre mais ne se substituent pas.
Faut-il informer les personnes rétroactivement pour les contenus générés avant août 2026 ?
Non. La Commission indique que les contenus générés avant le 2 août 2026 n'ont pas à être étiquetés rétroactivement. Elle encourage toutefois les déployeurs à le faire lorsque c'est possible.
Un chatbot doit-il annoncer qu'il est une IA même si c'est évident ?
L'obligation tombe lorsque le caractère artificiel est évident pour une personne moyenne raisonnablement informée. Les lignes directrices de juillet 2026 demandent une interprétation restrictive de cette exception. En pratique, pour une PME, mieux vaut afficher la mention : le coût est nul, le risque de contestation disparaît.
Qui contrôle et que risque-t-on concrètement ?
Les autorités nationales de surveillance du marché. Les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les manquements aux obligations de transparence, avec une prise en compte de la proportionnalité pour les PME et les entreprises de taille intermédiaire.
Le code de bonnes pratiques sur la transparence des contenus générés est-il obligatoire ?
Non, l'adhésion est volontaire. Elle offre en revanche une présomption de sérieux et une prévisibilité juridique. Les fournisseurs et déployeurs qui n'y adhèrent pas devront démontrer leur conformité par d'autres moyens et s'exposent à davantage de demandes d'information.
Nos équipes doivent-elles être formées pour rédiger cette notice ?
La rédaction relève du juridique et du DPO, mais elle suppose de savoir ce que fait réellement chaque outil. C'est là que le sujet devient opérationnel. Notre article sur l'article 4 de l'AI Act et la formation IA fait le point sur ce qui est encore exigé après l'allègement de 2026.
Nous intervenons sur la partie qui bloque le plus : établir la liste réelle des systèmes d'IA en service, qualifier le rôle de l'entreprise pour chacun, puis produire les deux dispositifs de transparence attendus. En pratique, cela prend la forme d'un inventaire commenté, d'une notice rédigée à partir de vos traitements réels et d'une check-list de signalements à intégrer dans vos interfaces.
Le cadrage se fait en amont, avec vos équipes, parce qu'une notice écrite sans les personnes qui utilisent les outils décrit rarement la réalité. Nos formations IA en entreprise intègrent ce volet conformité pour que les équipes sachent quand un usage déclenche une obligation.
Si vous voulez savoir où vous en êtes, l'audit gratuit de 30 minutes permet de dresser la cartographie de départ et d'identifier les écarts prioritaires. Pour la vision d'ensemble des obligations qui s'appliquent à votre structure, reprenez le guide de conformité AI Act pour PME et associations.
Réservez votre audit gratuit sur cal.com/growthperf/audit-gratuit.