IA Act et RGPD en organisme de formation

C'est mieux, mais ça ne suffit pas. Un courrier médical reste ré-identifiable par son contenu (pathologie, dates, établissement). Et pour un groupe de 15 stagiaires dans une filière donnée, « stagiaire n°7 » se retrouve en trois questions. La bonne règle reste : l'IA traite la question, pas le dossier.

Non. La CNIL considère que celui qui envoie des données personnelles dans un LLM tiers est le responsable de traitement. La conformité est à votre charge, pas à celle d'OpenAI ou de Microsoft. C'est l'objection la plus fréquente, et la réponse est nette.

La version professionnelle règle deux choses : un contrat de sous-traitance existe, et le fournisseur s'engage à ne pas entraîner sur vos données. Elle ne règle ni la minimisation (vous n'avez toujours pas à envoyer ce qui n'est pas nécessaire) ni la base légale.

Moins qu'on le croit. Depuis la décision d'adéquation du 10 juillet 2023 (Data Privacy Framework), le transfert vers un fournisseur américain certifié est couvert ; la certification se vérifie sur dataprivacyframework.gov. Le vrai problème reste ce qu'on envoie (minimisation) et le cadre (contrat de sous-traitance, pas un compte personnel). Et ce cadre reste contesté : le Tribunal de l'UE a rejeté le recours Latombe le 3 septembre 2025, mais l'affaire est en appel devant la Cour de justice depuis le 31 octobre 2025. Les deux cadres précédents, Safe Harbor et Privacy Shield, ont l'un et l'autre fini par être invalidés. Une raison de plus de ne pas y envoyer l'inutile.

Elle devient obligatoire quand le traitement coche au moins deux des neuf critères de la CNIL. Un tri de candidatures automatisé en coche quatre : profilage et scoring, décision automatisée, usage innovant, et exclusion du bénéfice d'un service (la place de formation). Donc oui, sans ambiguïté. Et contrairement au haut risque, cette obligation-là ne vous attend pas jusqu'en 2027 : elle relève du RGPD, applicable depuis 2018.

Un document qui décrit le traitement, les risques pour les personnes concernées et les mesures prises pour les réduire. On ne l'envoie pas : on la tient à disposition. Elle ne se transmet à la CNIL que si celle-ci la demande, ou en cas de risque résiduel élevé. Ce n'est pas le genre de document qu'on fabrique le jour d'un contrôle.

Un mois, prolongeable de deux mois si la demande est complexe. À ne pas confondre avec les 72 heures de notification à la CNIL en cas de violation de données : ce sont deux choses différentes et beaucoup de supports les mélangent.

Donnée personnelle, et souvent donnée biométrique si l'image du visage est traitée. Information préalable obligatoire, durée de conservation définie, et surtout : une transcription automatique envoyée dans un outil grand public sort les propos de vos stagiaires de votre organisme.

À demander par écrit à votre éditeur. Sa réponse écrite est une preuve de diligence, et c'est lui qui fait le travail. Beaucoup d'éditeurs ont ajouté des fonctions d'IA sans le mettre en avant.

Un correcteur classique, non : le résultat est écrit à l'avance dans un dictionnaire. Un outil qui reformule ou réécrit, oui. La frontière est de savoir si le résultat était prévisible ligne à ligne ou s'il a été déduit.

Non. Personnaliser par des instructions ne fait pas de vous un fournisseur. Vous le devenez si vous mettez votre nom sur un système à haut risque, ou si vous le modifiez substantiellement (article 25).

Non pour l'Annexe III : son point 3 vise « l'éducation et la formation professionnelle à tous les niveaux ». Le statut de la structure ne change pas le classement, c'est l'usage qui compte.

Toujours haut risque. L'Annexe III 3(a) vise les systèmes qui déterminent l'accès : une présélection élimine définitivement 110 personnes. Ce qui compte n'est pas qui signe à la fin, c'est qui a écarté les autres en chemin.

Toujours haut risque, et c'est le contresens le plus courant sur le texte. La supervision humaine est une obligation du régime (article 26), pas une dispense. Valider ne fait pas sortir, ça fait entrer.

Tout ce qui ne hiérarchise personne : vérifier qu'un dossier est complet, anonymiser, extraire un fait objectif, préparer une grille, produire un corrigé type, rédiger un modèle de courrier. L'IA ne compare aucune personne à une autre.

Non, c'est la charge du fournisseur. Vous, déployeur, devez : utiliser l'outil conformément à sa notice, confier la supervision à quelqu'un de compétent qui peut écarter le résultat, conserver les journaux, informer les personnes, signaler les incidents.

Quelqu'un qui a la compétence, le temps et le pouvoir d'écarter le résultat. Valider 140 dossiers en dix minutes d'un clic n'est pas une supervision, et ça se verra le jour où on demandera comment la décision a été prise.

Le régime devient applicable, avec son autorité de surveillance. Mais le risque réel arrive bien avant : c'est le candidat évincé ou l'audit qui demande comment la sélection a été faite. Ce risque-là est déjà là.

La CNIL, et c'est la seule réponse utile. Le projet de loi qui organise la surveillance (DDADUE, volet numérique) lui confie le bloc le plus large : pratiques interdites, haut risque de l'Annexe III (dont éducation et emploi), transparence des contenus ; la DGCCRF coordonne les autorités sectorielles. ⚠️ Ce texte n'est pas encore voté : adopté par le Sénat en février 2026, il attend son examen à l'Assemblée nationale. L'état d'avancement est vérifiable sur vie-publique.fr. La CNIL, elle, n'attend pas : elle écrit qu'elle « se prépare à être désignée », et ses contrôles 2026 le préfigurent. Pour vous, l'interlocuteur est donc la CNIL des deux côtés : données personnelles aujourd'hui, IA Act demain.

Oui, et c'est daté : son programme de contrôles prioritaires 2026 (3 avril 2026) met le recrutement en tête : prise de décision automatisée, information des candidats, durées de conservation. Les cibles annoncées sont les grandes entreprises et les cabinets de recrutement, pas les OF. Mais le geste contrôlé est exactement celui du tri de candidatures, et la CNIL écrit que ces contrôles « préfigurent » son futur rôle de surveillance du règlement IA sur le champ travail.

Suivre ce qui existe déjà : la recommandation CNIL du 8 juin 2023 (délibération n° 2023-058) : privilégier les modalités d'évaluation sans télésurveillance, offrir une alternative en présentiel, informer tôt les candidats, et exclure l'analyse automatique des comportements. C'est du droit souple, mais c'est la grille qu'un contrôleur ouvrirait aujourd'hui. L'Annexe III 3(d) viendra par-dessus en 2027 : s'y conformer maintenant, c'est prendre de l'avance.

Ce n'est pas la fonction qui est interdite, c'est son usage en contexte éducatif et sur le lieu de travail (article 5.1.f). La même fonction peut être licite ailleurs. Désactivez l'option, et écrivez à l'éditeur pour lui demander si elle est conforme à l'article 5. Sa réponse est une preuve.

Non. Constater un fait est permis : temps de connexion, caméra allumée, nombre de réponses au quiz, interactions. Déduire un état intérieur ne l'est pas : attention, ennui, décrochage, stress.

Le consentement ne lève pas une interdiction. L'article 5 interdit la pratique, il ne la subordonne pas à l'accord de la personne. Les seules exceptions sont médicales ou de sécurité.

Oui, et c'est souvent la surprise : l'interdiction vise le lieu de travail et l'établissement d'enseignement. Un organisme de formation est les deux à la fois.

Non. Amazon France Logistique : 32 M€ d'amende CNIL en décembre 2023 pour surveillance excessive de l'activité des salariés, réduite à 15 M€ par le Conseil d'État en décembre 2025. Et c'était du RGPD seul, sans IA Act. Le code du travail ajoute sa couche depuis longtemps : information préalable (art. L. 1222-4) et proportionnalité (art. L. 1121-1).

Non, dans l'immense majorité des cas. L'obligation ne se déclenche que sur trois situations : un chatbot (on croit parler à un humain), un contenu qui imite le réel (visage, voix, scène photoréaliste), et une information au public sur un sujet d'intérêt général publiée sans relecture humaine ni responsabilité éditoriale.

Non. Ce n'est ni un chatbot, ni une imitation du réel, ni de l'information au public. Vous en êtes l'auteur et vous l'assumez.

Ce n'est jamais une obligation. Faire corriger un texte n'est pas le faire écrire. La frontière n'est pas la quantité d'IA, c'est qui est l'auteur.

Là oui : il doit dire qu'il est une IA dès le premier message, pas dans les conditions générales. C'est l'article 50.1, et c'est la correction la plus simple à faire.

Deux problèmes, et le second est plus lourd : l'imitation du réel impose la mention, et surtout montrer des locaux qui n'existent pas peut constituer une pratique commerciale trompeuse (article L. 121-2 du code de la consommation). Là, la sanction ne vient pas de l'IA Act.

Le droit d'auteur protège une création humaine. Une sortie brute de LLM n'a pas d'auteur, donc pas de protection à opposer à un concurrent qui la réutiliserait. Retravailler le contenu et garder la trace de votre apport, c'est ce qui rend un support défendable.

Non. L'article 4 demande un niveau suffisant et adapté au rôle de chacun. La Commission dit elle-même qu'il n'y a pas de solution universelle. Une assistante qui rédige des courriers et un formateur qui conçoit des évaluations n'ont pas le même besoin.

Non. Il faut que ça ait eu lieu et qu'il en reste une trace : une date, un contenu, des participants. Vous savez faire, c'est votre métier.

Oui, et c'est pour ça qu'il faut garder la feuille d'émargement et le programme de la journée. C'est une action de sensibilisation datée, avec un contenu identifiable.

Toutes les entreprises qui déploient de l'IA, oui. La plupart l'ignorent encore. C'est un besoin réglementaire permanent, sur votre cœur de métier.

L'indicateur 23 porte sur la veille légale et réglementaire dans le champ de la formation professionnelle, et l'Annexe III vise nommément la formation professionnelle. L'indicateur 25 porte sur la veille sur les innovations pédagogiques et technologiques. Les deux sont au critère 6.

Votre page de règles, datée et diffusée, plus la trace d'un rendez-vous de veille par trimestre. Deux documents, et vous êtes au-dessus de la moyenne du secteur.

Il évolue, mais pas sur l'IA. Le décret n° 2026-728 (août 2026) fait passer le référentiel de 32 à 33 indicateurs au 1er novembre 2026 : 12 indicateurs modifiés, un 33e créé pour les CFA, et aucune renumérotation. Première modification depuis le décret fondateur du 6 juin 2019. Aucune mention de l'intelligence artificielle n'y figure.

Dans le champ, pas dans l'intitulé. L'indicateur 23 porte sur la veille légale et réglementaire « sur le champ de la formation professionnelle ». L'annexe III, point 3, du règlement (UE) 2024/1689 vise nommément l'éducation et la formation professionnelle. La veille attrape donc l'IA Act par son champ d'application. C'est le raisonnement à tenir devant un auditeur, et il est solide.

Non. Les modifications portent notamment sur les indicateurs 1, 2 et 3, 12, 14, 15, 19, 20, 27 et 32, plus le 33e créé. Votre obligation de veille est inchangée après le 1er novembre.

Non. Vis-à-vis du stagiaire et du financeur, c'est votre organisme qui répond de ce que ses intervenants font des données. Le contrat de sous-traitance doit le dire, et la page de règles doit s'appliquer à eux : une ligne suffit (« ces règles valent pour les intervenants extérieurs »). L'indicateur 27, sur la sous-traitance, fait d'ailleurs partie des indicateurs retouchés au 1er novembre : une raison de plus pour un auditeur de poser la question.

Plusieurs sites le disent encore et c'est faux : le paquet Digital Omnibus a reporté l'Annexe III au 2 décembre 2027 et l'Annexe I au 2 août 2028. Ce qui s'applique depuis le 2 août 2026, c'est la transparence et l'application générale du règlement, donc une surveillance en état de fonctionner (le barème de sanctions, lui, figure au chapitre XII, applicable depuis août 2025). La source qui fait foi est digital-strategy.ec.europa.eu.

⚠️ Deux barèmes à ne pas confondre. Les pratiques interdites de l'article 5 relèvent du haut du barème, 35 M€ ou 7 % du chiffre d'affaires mondial. Les autres manquements, dont l'article 50, relèvent de 15 M€ ou 3 %. Et pour une PME, c'est le montant le plus faible des deux qui s'applique.

Un report n'est pas une annulation. Le calendrier a été décalé pour laisser aux normes techniques le temps d'exister, pas parce que le texte serait abandonné.