Dernière mise à jour : 3 août 2026 — la législation IA en entreprise bouge encore souvent, ces repères sont à revoir périodiquement.

IA en entreprise : le principe juridique à connaître

Un seul réflexe à garder en tête, quel que soit l’outil : plus l’IA se rapproche d’une vraie décision sur une personne (un client, un candidat, un salarié), plus il faut qu’un humain garde réellement la main — et que vous puissiez le prouver. À l’inverse, tant que l’IA prépare, suggère ou organise sans trancher, vous êtes en terrain généralement sans risque particulier.

Deux textes se combinent : le RGPD (dès qu’il y a des données sur des personnes), avec son article 22 sur les décisions automatisées, et l’AI Act européen, dont les obligations entrent en application par étapes depuis 2024, avec une nouvelle échéance de transparence entrée en vigueur le 2 août 2026.

7 usages fréquents en entreprise

Communication client (emails, chatbot)

Sans précaution particulière : trier ses emails, préparer des brouillons relus par un humain, résumer un échange, proposer des créneaux de RDV…
À encadrer : réponses envoyées automatiquement sans relecture dès qu’elles engagent l’entreprise (facture, décision concernant une candidature…) ; chatbot qui répond aux clients sans préciser qu’il s’agit d’une IA (obligation de transparence depuis le 2 août 2026, sauf si c’est évident pour l’utilisateur).

Contenu marketing (textes, visuels, réseaux sociaux)

Sans précaution particulière : rédiger des posts, des descriptions produits, des accroches publicitaires, générer des visuels génériques (illustrations, arrière-plans) pour vos supports.
À encadrer : générer des visuels ou vidéos réalistes représentant des personnes réelles (y compris vous-même ou des clients) sans mention que le contenu est généré ou modifié par IA — l’AI Act impose une transparence renforcée sur ce type de contenu de synthèse depuis août 2026. Attention aussi à ne pas reproduire des œuvres, marques ou visuels protégés par le droit d’auteur : ce n’est pas propre à l’IA, mais l’IA facilite l’erreur.

Devis, factures, documents administratifs

Sans précaution particulière : générer un premier brouillon de devis ou de facture, relu et validé avant envoi.
À encadrer : envoi automatique de devis, factures ou conditions contractuelles sans validation humaine — ce sont des documents qui engagent juridiquement l’entreprise, donc un terrain sensible en cas d’erreur (prix, quantités, conditions).

Recrutement et gestion RH

C’est le domaine où la vigilance doit être la plus forte. Le tri de CV, le scoring de candidats ou l’évaluation de salariés par IA sont explicitement classés « à haut risque » par l’AI Act (annexe III), car ils touchent à l’accès à l’emploi. Un texte récent (le « Digital Omnibus », entré en vigueur fin juillet 2026) a repoussé l’échéance des obligations formelles liées à ce statut à fin 2027 — mais cela ne rend pas ces usages sans risque pour autant : le RGPD s’applique déjà pleinement (droit à ne pas subir une décision automatisée, obligation d’information des candidats), et la CNIL surveille de près ce secteur.

Sans précaution particulière : IA qui aide à rédiger une offre d’emploi, ou qui résume un CV pour vous faire gagner du temps de lecture, tant qu’un humain lit chaque candidature avant toute décision.
À encadrer : tout tri, scoring ou présélection qui filtre ou écarte des candidats sans qu’un humain relise réellement chaque dossier écarté ; analyse automatisée d’entretiens vidéo ; évaluation continue de salariés utilisée pour des décisions de promotion ou de licenciement.

Prospection commerciale et scoring de prospects

Sans précaution particulière : identifier des entreprises à démarcher à partir de critères objectifs (secteur, taille), générer une première ébauche de message de prospection.
À encadrer : profiler des prospects individuels sur leur comportement (scoring, notation, priorisation automatique d’un contact) : c’est du profilage au sens du RGPD, qui doit être annoncé et rester contestable.

Transcription de réunions et notes vocales

Sans précaution particulière : transcrire une réunion interne pour en garder une trace, avec l’accord des participants.
À encadrer : transcrire ou analyser des échanges avec des tiers (clients, candidats) sans les en informer au préalable ; la voix étant une donnée personnelle (parfois biométrique selon l’usage qui en est fait), l’information préalable des personnes enregistrées est un minimum.

Automatisation de tâches (agents IA connectés à vos outils)

Sans précaution particulière : un agent qui classe des fichiers, prépare un tableau de suivi, ou pré-remplit un outil interne à partir de données déjà en votre possession.
À encadrer : un agent qui agit de façon autonome sur des systèmes externes (envoi d’argent, validation de commandes, modification de droits d’accès) sans étape de confirmation humaine avant l’action.

La checklist IA de l’entrepreneur

Cartographiez vos outils IA : lequel fait quoi, avec quelles données.
Mettez à jour votre registre des traitements RGPD pour chaque usage impliquant des données personnelles.
Vérifiez vos contrats fournisseurs (sous-traitance RGPD, hébergement des données, durée de conservation).
Informez les personnes concernées — une mention dans votre politique de confidentialité suffit souvent pour les usages courants.
Documentez le point de validation humaine partout où l’IA prépare une décision qui compte : qui valide, à quel moment, comment c’est tracé.
Réalisez une analyse d’impact (AIPD) pour les usages à risque élevé (recrutement, profilage significatif, données sensibles).
Formez vos équipes : c’est une obligation légale depuis février 2025 (littératie IA), pas seulement une bonne pratique.
Gardez une trace écrite et datée de toutes ces démarches : c’est ce qui vous protège en cas de contrôle ou de réclamation.

IA en entreprise : ce qu’il faut retenir

La majorité des usages courants de l’IA en entreprise — rédiger, résumer, classer, organiser — restent des outils d’assistance sans risque juridique particulier. Le curseur bascule dès que l’IA se rapproche d’une décision qui affecte réellement une personne : là, un mécanisme de validation humaine documenté n’est pas une option, c’est ce qui vous permettra de prouver votre bonne foi le jour où on vous le demandera.

Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour une situation précise — recrutement, données sensibles, décision impactant des salariés ou des clients — rapprochez-vous d’un avocat spécialisé.

Sources et pour aller plus loin : CNIL (cnil.fr), AI Act Service Desk de la Commission européenne, texte du règlement (UE) 2024/1689 et de sa révision par le Digital Omnibus (règlement UE 2026/1744).