Le cadre français : RGPD, AI Act et doctrine CNIL
Contrairement à l’Italie, qui s’est dotée d’une loi nationale sur l’IA, la France a choisi de ne pas légiférer en parallèle des textes européens. Trois couches s’empilent donc pour une entreprise française :
- Le RGPD, dès qu’un système d’IA traite des données personnelles — à l’entraînement comme à l’usage. C’est le socle, avec ses sanctions bien réelles.
- L’AI Act (règlement UE 2024/1689), directement applicable, qui classe les systèmes par niveau de risque et impose des obligations aux fournisseurs et aux déployeurs — c’est-à-dire à toute entreprise qui utilise l’IA dans ses processus. Nous l’avons détaillé dans notre guide EU AI Act et automatisation des processus.
- La doctrine de la CNIL : un corpus de fiches pratiques sur le développement des systèmes d’IA, publié et finalisé entre 2024 et 2025, complété d’une synthèse et d’une checklist, puis de travaux sectoriels (santé, éducation, travail) engagés pour 2026. La CNIL est en outre pressentie pour devenir l’autorité de surveillance du marché d’une partie des systèmes d’IA à haut risque.
Le point clé du calendrier : depuis février 2025 s’appliquent les interdictions et l’obligation de maîtrise de l’IA par les équipes ; depuis août 2025, les règles sur les modèles à usage général ; et au 2 août 2026, l’essentiel des obligations pour les systèmes à haut risque. Les textes de référence sont publiés sur cnil.fr.
Ce que demandent concrètement les recommandations de la CNIL
Les fiches pratiques de la CNIL couvrent tout le cycle de vie d’un système d’IA. Pour un responsable de processus, quatre exigences structurent le travail :
Intérêt légitime sous conditions
La CNIL admet l’intérêt légitime (art. 6.1.f RGPD) comme base légale la plus courante, y compris pour l’entraînement, sous réserve du triple test : légitimité, nécessité, mise en balance avec les droits des personnes.
AIPD avant la mise en production
Une analyse d’impact (AIPD) est requise dès que le risque est élevé : décision automatisée à effets significatifs, grande échelle, données sensibles. Elle se mène avant le déploiement et se tient à jour.
Information et droits des personnes
Les personnes doivent être informées de l’usage de l’IA et pouvoir exercer leurs droits — accès, rectification, opposition — y compris lorsque leurs données ont servi à l’entraînement d’un modèle.
Documentation des choix de conception
Sources de données documentées, protocoles d’annotation encadrés, traçabilité des décisions : c’est le point de conformité le plus souvent négligé — et celui qu’un contrôle examine en premier.
S’y ajoutent des règles d’hygiène désormais classiques : minimisation des données (on n’entraîne pas sur tout « au cas où »), encadrement du web scraping (sources documentées, respect des signaux d’exclusion, droit d’opposition effectif) et sécurité du développement. Rien d’insurmontable — à condition que ces exigences soient portées par le processus lui-même, pas par un classeur de procédures.
Le 2 août 2026 : vos obligations de déployeur
La plupart des entreprises françaises ne fabriquent pas de modèles : elles utilisent l’IA — dans un SaaS RH, un outil de scoring, un workflow documentaire. L’AI Act les qualifie de déployeurs, avec des obligations propres dès lors que le système est à haut risque (recrutement, crédit, éducation, services essentiels…) :
- Utiliser le système conformément à sa notice et s’assurer de la pertinence des données d’entrée ;
- Confier la supervision à des personnes formées, disposant de l’autorité pour interrompre ou corriger le système ;
- Conserver les journaux générés par le système et surveiller son fonctionnement en continu ;
- Informer les personnes concernées lorsqu’une décision les affectant s’appuie sur le système.
Ces obligations recoupent largement celles du RGPD — c’est voulu, et la CNIL travaille précisément à articuler les deux textes pour éviter les doubles procédures. La conséquence pratique : une seule infrastructure de gouvernance peut servir les deux conformités, à condition qu’elle journalise, trace et fasse intervenir l’humain au bon endroit.
Traduire la doctrine CNIL en workflows gouvernés
Relisez les exigences ci-dessus : finalité définie, intervention humaine, traçabilité, information, minimisation. Ce sont des propriétés de processus. C’est exactement ce qu’un BPM low-code avec agents IA gouvernés incorpore nativement dans le flux :
| Exigence CNIL / AI Act | Réponse Dokuflex (BPM) |
|---|---|
| Intervention humaine sur les décisions | Tâches d’approbation human-in-the-loop aux points sensibles : l’IA propose, une personne identifiée valide, et la décision est horodatée. |
| Journalisation et traçabilité | Piste d’audit complète : version du flux, suggestion de l’IA documentaire, correction éventuelle, approbateur — la matière première d’un contrôle CNIL. |
| Finalité et minimisation | Chaque processus déclare quelles données il mobilise et pourquoi ; l’IA n’accède qu’aux documents du flux, pas à tout le référentiel. |
| Information des personnes | Recensement des processus utilisant l’IA, avec rôle et finalité de chaque modèle : la base d’informations toujours alignée sur la réalité des flux. |
| Souveraineté des données | Résidence des données dans l’UE et LLM avec RAG sous RGPD, sans entraînement de modèles hors UE sur vos documents. |
L’atout du low-code, c’est la vitesse d’ajustement : quand la CNIL précise une attente — comme elle le fera avec ses recommandations sectorielles 2026 — ajouter un point de contrôle ou une mention d’information à un flux existant est une modification visuelle, pas un projet informatique.
Checklist de mise en conformité en 6 étapes
Avant l’échéance du 2 août 2026 — et avant un éventuel contrôle — vérifiez votre niveau de préparation :
- Recensez vos systèmes d’IA. Y compris ceux embarqués dans vos SaaS RH, CRM ou outils métiers : s’ils influencent des décisions, ils sont dans le périmètre.
- Qualifiez le risque. Croisez la classification AI Act (haut risque ou non) avec les critères d’AIPD du RGPD ; documentez la conclusion, même négative.
- Sécurisez la base légale. Si c’est l’intérêt légitime, formalisez le triple test et les garanties associées.
- Concevez l’intervention humaine. Identifiez les décisions qui ne peuvent pas être entièrement automatisées et placez des tâches d’approbation dans le workflow, avec des responsables nommés et formés.
- Journalisez et documentez. Piste d’audit, versions des flux, registre des traitements et choix de conception : c’est ce que vous produirez en cas de contrôle.
- Informez et formez. Mettez à jour vos mentions d’information, outillez l’exercice des droits et formez les équipes qui supervisent l’IA — l’obligation de maîtrise s’applique déjà.
Questions fréquentes
Existe-t-il une loi française sur l’intelligence artificielle ? +
Non, la France n’a pas adopté de loi nationale dédiée à l’IA, contrairement à l’Italie avec sa loi 132/2025. Le cadre applicable repose sur deux textes européens directement applicables — le RGPD et l’AI Act (règlement UE 2024/1689) — complétés par la doctrine de la CNIL : ses fiches pratiques et recommandations sur le développement et l’usage des systèmes d’IA publiées entre 2024 et 2025, puis ses travaux sectoriels et son programme de contrôles pour 2026.
Les recommandations de la CNIL sont-elles juridiquement contraignantes ? +
En elles-mêmes, non : ce sont des instruments de droit souple. Mais elles explicitent la manière dont la CNIL interprète et appliquera le RGPD, qui est contraignant et assorti de sanctions pouvant atteindre 4 % du chiffre d’affaires mondial. Les suivre constitue donc la voie de sécurité juridique, d’autant que la CNIL a inscrit la conformité des systèmes d’IA parmi ses priorités de contrôle pour 2026.
Peut-on invoquer l’intérêt légitime pour utiliser l’IA sur des données personnelles ? +
Oui, la CNIL reconnaît l’intérêt légitime (article 6.1.f du RGPD) comme base légale possible, y compris pour l’entraînement de modèles, à condition de réussir le triple test : l’intérêt poursuivi est légitime, le traitement est nécessaire pour l’atteindre, et il ne prévaut pas sur les droits et libertés des personnes. Des garanties concrètes sont attendues : minimisation des données, transparence, droit d’opposition effectif et, pour la collecte par web scraping, documentation des sources et respect des signaux d’exclusion.
Faut-il une AIPD pour un workflow intégrant de l’IA ? +
Souvent, oui. L’analyse d’impact relative à la protection des données (AIPD) est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé : décision automatisée produisant des effets significatifs, traitement à grande échelle, données sensibles, croisement de sources ou usage de technologies innovantes — critères que remplissent fréquemment les workflows dotés d’IA appliqués aux RH, au crédit ou à la relation client. L’AIPD doit être menée avant la mise en production et tenue à jour.
Que change l’échéance du 2 août 2026 de l’AI Act ? +
C’est la date à laquelle l’essentiel des obligations pour les systèmes d’IA à haut risque devient applicable. Pour une entreprise utilisatrice (« déployeur »), cela signifie : utiliser le système conformément à sa notice, confier la supervision à des personnes formées et compétentes, s’assurer de la pertinence des données d’entrée, conserver les journaux générés par le système, surveiller son fonctionnement et informer les personnes concernées. Les interdictions et l’obligation de maîtrise de l’IA s’appliquent déjà depuis février 2025, et les règles sur les modèles à usage général depuis août 2025.
Comment un BPM aide-t-il à appliquer les recommandations de la CNIL ? +
Les recommandations de la CNIL décrivent des propriétés de processus : finalité définie, minimisation, intervention humaine, traçabilité, information des personnes. Un BPM low-code gouverné les incorpore dans le flux : l’IA classe, extrait et propose, mais les décisions sensibles passent par des tâches d’approbation humaine ; chaque étape est journalisée dans une piste d’audit ; les traitements avec IA sont recensés processus par processus ; et les données restent hébergées dans l’UE. La conformité devient une propriété du workflow, pas un document à part.
Faites de la conformité IA une propriété de vos processus
Réservons une session guidée de 60 minutes pour recenser vos usages de l’IA, repérer les décisions exigeant un contrôle humain et voir comment le BPM low-code de Dokuflex incorpore approbations, journalisation et information des personnes dans le flux.