Pour tout le monde, avant même le Chapitre 0. Même si vous êtes pressé et que vous voulez sauter l'introduction générale pour foncer vers la pratique, lisez celui-ci : c'est le seul passage de la formation qui n'est pas optionnel.
L'idée n'est pas de vous faire peur ni de vous transformer en juriste. C'est de vous donner, en dix points concrets, les réflexes qui évitent les erreurs les plus fréquentes et les plus coûteuses quand on commence à utiliser l'IA au travail. Ces points s'appuient sur les ressources de la CNIL (Commission Nationale de l'Informatique et des Libertés), l'autorité française qui veille sur la protection des données personnelles, et sur le règlement européen sur l'intelligence artificielle (l'« AI Act »), dont les premières obligations concernant les entreprises utilisatrices sont désormais applicables — dans la version modifiée par le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026.
Une IA générative (Vibe, Claude, ChatGPT, Gemini...) est un outil qui produit du texte plausible, pas un outil qui vérifie des faits ni qui prend des décisions à votre place. Tout ce qui suit découle de cette seule phrase.
Jusqu'à récemment, les réflexes qui suivent relevaient de la prudence professionnelle. Depuis 2026, une partie d'entre eux relève aussi du droit européen. La frise ci-dessous donne le calendrier complet, mais trois dates seulement vous concernent directement — celles du tableau qui la suit.
| Depuis | Ce qui s'applique | Qui est concerné |
|---|---|---|
| 2 février 2025 | Littératie IA (article 4) : toute organisation qui utilise l'IA doit prendre des mesures pour soutenir la montée en compétence des personnes qui s'en servent | toutes, sans seuil de taille — une entreprise de cinq personnes utilisant l'IA pour rédiger ses devis comme un grand groupe |
| 2 août 2026 | Transparence (article 50) sur les contenus générés ou manipulés par IA, et régime d'amendes du règlement applicable | les fournisseurs d'IA, et les organisations qui les utilisent, chacun à leur niveau |
| 2 décembre 2027 | obligations sur les systèmes dits à haut risque (tri de candidatures, évaluation, octroi de crédit…) — repoussées de seize mois par l'omnibus numérique de juillet 2026, souvent appelé « Digital Omnibus » | les organisations qui déploient ce type de système |
Trois malentendus à écarter tout de suite.
L'erreur : copier-coller un contrat client, un dossier RH, des données de santé ou des informations financières dans un assistant IA pour qu'il les résume ou les reformule.
Pourquoi c'est un problème : vous ne maîtrisez plus où ces données transitent ni ce qu'elles deviennent. C'est le principe de minimisation des données du RGPD — on ne transmet que ce qui est nécessaire, et surtout pas sans réfléchir à qui d'autre y aura accès.
Le bon réflexe : anonymiser ou remplacer les informations sensibles avant de les soumettre, ou utiliser un outil dont l'entreprise a validé l'usage pour ce type de données.
C'est la question qui revient le plus souvent en formation. Elle se règle en quatre secondes avec ce réflexe :
Une remarque sur la branche « je remplace » : remplacer « Société Duraud, 47 000 € » par « Société X, 50 000 € » suffit dans l'immense majorité des cas, et ne change rien à la qualité de la réponse. L'IA n'a pas besoin des vrais noms pour rédiger une relance.
L'erreur : penser qu'une réponse générée par IA est plus fiable ou plus impartiale qu'un avis humain parce qu'elle « vient d'une machine ».
Pourquoi c'est un problème : une IA apprend à partir de données produites par des humains — elle peut reproduire, voire amplifier, des biais et des discriminations déjà présents dans ces données. Une décision algorithmique n'est pas automatiquement plus juste qu'une décision humaine.
Le bon réflexe : garder un œil critique, en particulier sur tout contenu touchant à des profils de personnes (recrutement, évaluation, notation).
L'erreur : copier une réponse générée par IA sans la vérifier, parce qu'elle est écrite avec assurance et un style convaincant.
Pourquoi c'est un problème : les IA génératives peuvent produire des hallucinations — des informations inventées de toutes pièces (chiffres, citations, références, faits) présentées avec la même assurance que des informations exactes. Ce n'est pas un bug rare, c'est un comportement connu et attendu de ces outils.
Le bon réflexe : vérifier systématiquement les chiffres, noms propres, dates et affirmations factuelles avant de les réutiliser. Ce point sera repris en détail au Chapitre 6.
L'erreur : automatiser entièrement une décision à fort impact (trier des candidatures, accorder un crédit, évaluer un employé) sans intervention humaine dans le processus.
Pourquoi c'est un problème : le RGPD (article 22) donne à toute personne le droit de ne pas être soumise à une décision reposant exclusivement sur un traitement automatisé lorsque cette décision produit des effets significatifs pour elle. Ce n'est pas une bonne pratique facultative, c'est un droit.
Le bon réflexe : l'IA peut préparer, présélectionner, suggérer — mais une personne doit rester en mesure d'examiner et de modifier la décision finale.
L'erreur : reprendre une base de données clients ou salariés collectée pour un autre usage (facturation, paie...) et la transmettre à une IA pour un usage différent (analyse marketing, profilage) sans y avoir été autorisé.
Pourquoi c'est un problème : le RGPD encadre la finalité de collecte des données — on ne change pas d'usage librement, même en interne, même « juste pour tester ».
Le bon réflexe : se demander, avant d'utiliser une donnée, si elle a été collectée pour cet usage précis. Dans le doute, se rapprocher du référent RGPD/DPO de l'entreprise si elle en a un.
L'erreur : penser qu'un contenu généré par IA à partir de données réelles, ou présenté comme « synthétique », ne permet plus d'identifier personne.
Pourquoi c'est un problème : un contenu synthétique ou pseudonymisé peut encore permettre de retrouver une personne en le recoupant avec d'autres informations disponibles. L'anonymisation réelle est plus exigeante qu'elle n'y paraît.
Le bon réflexe : ne pas relâcher la vigilance sur des données seulement parce qu'un outil les qualifie d'« anonymisées ».
L'erreur : diffuser directement un texte, une image ou une vidéo générée par IA (communication externe, réseaux sociaux, rapport officiel) sans passage par une relecture humaine.
Pourquoi c'est un problème : au-delà des hallucinations factuelles, la question des hypertrucages (deepfakes) et de la désinformation rend la vérification humaine avant diffusion d'autant plus nécessaire — pour votre crédibilité comme pour éviter de relayer une fausse information. Depuis le 2 août 2026, c'est aussi une question de droit : l'article 50 de l'AI Act impose d'annoncer clairement un hypertrucage, et d'indiquer qu'un texte a été généré ou manipulé par IA lorsqu'il est publié pour informer le public sur un sujet d'intérêt général.
Le bon réflexe : aucun contenu IA destiné à être vu par un tiers ne part sans relecture, même quand il « a l'air » très bien écrit.
La nuance qui compte : pour les textes d'intérêt général, l'obligation d'indication tombe précisément quand il y a eu un contrôle éditorial humain réel assumé par une personne identifiable. Autrement dit, la relecture sérieuse que ce préambule vous demande depuis le début n'est pas seulement une bonne pratique : c'est aussi ce qui vous place hors du champ de l'obligation. Les hypertrucages, eux, restent à signaler dans tous les cas.
L'erreur : adopter un assistant IA pour toute une équipe sans vérifier ce qu'il fait des données saisies, sans informer les personnes concernées, et sans se demander si celles qui vont l'utiliser savent s'en servir correctement.
Pourquoi c'est un problème : un traitement de données via IA suit les mêmes règles RGPD qu'un traitement classique — transparence, sécurité, droits d'accès et d'opposition. S'y ajoute depuis février 2025 l'obligation de littératie IA : l'organisation doit prendre des mesures pour que les personnes qui utilisent ces outils en comprennent les capacités, les limites et les risques. C'est une obligation qui pèse sur l'employeur, pas sur le salarié, et elle ne dépend d'aucun seuil d'effectif.
Le bon réflexe : avant un déploiement à l'échelle d'une équipe, vérifier les conditions d'utilisation de l'outil, consulter si besoin les ressources de la CNIL ou le référent RGPD interne — et prévoir une montée en compétence des personnes concernées, en gardant une trace de ce qui a été fait.
L'erreur : considérer qu'un outil IA est aussi sûr qu'un logiciel bureautique classique.
Pourquoi c'est un problème : les systèmes d'IA élargissent la surface d'attaque possible — des informations sensibles peuvent, dans certains cas, être extraites ou déduites via des manipulations spécifiques (prompts détournés, par exemple).
Le bon réflexe : appliquer aux outils IA la même prudence qu'à tout autre logiciel qui manipule des données sensibles — pas plus de confiance par défaut.
L'erreur : penser qu'il suffit d'avoir lu ce préambule une fois pour être à jour durablement.
Pourquoi c'est un problème : le cadre réglementaire et les usages évoluent vite, et l'année 2026 le montre bien — sanctions applicables et obligations de transparence en août, calendrier des systèmes à haut risque redécoupé en juillet, recommandations européennes sur l'anonymisation et la collecte de données publiées en cours d'année, contrôles de la CNIL ciblant l'IA. La CNIL publie régulièrement de nouvelles recommandations à mesure que de nouveaux risques apparaissent (hypertrucages, agents autonomes).
Le bon réflexe : retenir les principes, qui bougent peu, plutôt que les dates, qui bougent beaucoup. Le Chapitre 9 propose des pistes de veille pour rester à jour au-delà du contenu figé de ces pages.
| Réflexe | En une phrase |
|---|---|
| Minimiser | Je ne transmets que les données nécessaires, jamais du confidentiel par défaut |
| Vérifier | Je ne publie ni ne réutilise rien sans relecture humaine |
| Superviser | Aucune décision à fort impact sur une personne ne doit reposer uniquement sur l'IA |
| Se former | Comprendre l'outil qu'on utilise n'est plus seulement utile : c'est attendu de l'organisation |
| Rester à jour | Le cadre évolue, ma vigilance doit évoluer avec lui |
Cinq questions pour vérifier que le préambule est acquis. Répondez de tête, puis dépliez la réponse.
1. Un collègue vous dit : « l'AI Act a été reporté à 2027, on verra plus tard ». Que répondez-vous ?
2. Vous devez faire résumer par une IA un compte rendu d'entretien annuel. Que faites-vous ?
3. Une IA vous donne un chiffre précis, sourcé, sur votre marché. Vous le mettez dans une note pour votre direction. Quelle est l'étape manquante ?
4. Votre service veut utiliser l'IA pour faire une première sélection de candidatures. Est-ce possible ?
5. Vous publiez sur le site de votre entreprise un article de fond rédigé avec l'aide d'une IA. Devez-vous indiquer qu'il a été généré par IA ?
Réponses
| # | Réponse |
|---|---|
| 1 | Seules les obligations sur les systèmes à haut risque ont été décalées (au 2 décembre 2027). La littératie IA s'applique depuis février 2025 et la transparence depuis août 2026. |
| 2 | Un entretien annuel est une donnée RH nominative : soit on retire les éléments identifiants avant de l'envoyer, soit on utilise un outil validé par l'entreprise pour ce type de données, soit on le fait à la main. |
| 3 | Ouvrir la source et vérifier qu'elle dit bien ce qui lui est attribué. Un chiffre sourcé n'est pas un chiffre vérifié — c'est le sujet du Chapitre 6. |
| 4 | Oui pour préparer une présélection, non pour décider seule : le RGPD (article 22) impose qu'une personne puisse examiner et modifier la décision. Et à partir du 2 décembre 2027, ce cas relève des systèmes à haut risque. |
| 5 | Pas nécessairement : l'obligation tombe lorsqu'il y a eu un contrôle éditorial humain réel, assumé par une personne identifiable. Si vous avez relu, corrigé et que vous signez, vous êtes dans ce cas. Si vous avez publié le texte tel quel, non. |
Les cinq réflexes du préambule
- Minimiser — je n'envoie que ce qui est nécessaire. Dans le doute : je remplace les noms et les montants.
- Vérifier — rien ne part sans relecture humaine, surtout ce qui a l'air bien écrit.
- Superviser — aucune décision touchant une personne ne repose uniquement sur l'IA.
- Se former — comprendre l'outil fait partie des obligations de l'organisation, et évite les erreurs coûteuses.
- Rester à jour — je retiens les principes, pas les dates.
Les trois dates : littératie IA depuis le 2 février 2025 · transparence et amendes depuis le 2 août 2026 · systèmes à haut risque au 2 décembre 2027.
La question à se poser avant chaque envoi : est-ce que j'accepterais que ce contenu se retrouve ailleurs que dans cette fenêtre ?
Direction le Chapitre 0 : on pose les bases de vocabulaire avant de commencer à manipuler un assistant IA.
Sources CNIL : Intelligence artificielle, de quoi parle-t-on ?, Définition de l'IA, IA : comment se mettre en conformité, Glossaire de l'IA, IA et RGPD : nouvelles recommandations, LINC — Dossier Intelligence artificielle, Autres ressources sur l'IA.
Sources AI Act : Article 4 — l'obligation de littératie IA et ses sanctions au 2 août 2026, Article 4 et plan de formation, Article 50 — obligations de transparence entrées en application, Article 50 expliqué : le cas des déployeurs, Digital Omnibus : report des obligations haut risque, AI Act : ce que le report change et ne change pas pour les PME.
Dernière vérification de ce préambule : août 2026. Les dates citées sont celles en vigueur à cette date — voir le Chapitre 9 pour la veille.
Cette formation est proposée par Deladev, studio web de Loïc D. — création de sites et d'applications, accompagnement et formation sur mesure.
Les projets réalisés · Prestations et tarifs · Le blog tech · Me contacter
Écrite par Loïc D. avec l'assistance de Claude (Anthropic) — un travail à deux.
© 2026 Deladev — publiée sous licence CC BY-NC-ND 4.0. Vous pouvez la lire, y renvoyer par un lien, la partager et la citer en créditant la source. La revendre, l'utiliser dans une prestation ou une formation payante, la republier même partiellement ailleurs, en diffuser une version modifiée ou l'exploiter pour entraîner un modèle d'IA nécessitent une autorisation écrite — pour un usage interne en entreprise, c'est souvent oui, il suffit de demander.