Oui, une équipe marketing peut utiliser ChatGPT en conformité, à condition de cadrer les usages : elle est déployeur d'un système d'IA à usage général, que l'AI Act ne classe pas à haut risque par défaut. Deux règles s'appliquent déjà : prendre des mesures pour favoriser la maîtrise de l'IA du personnel (Art. 4, depuis le 2 février 2025) et signaler les hypertrucages et certains textes publiés (Art. 50, depuis le 2 août 2026) ; le RGPD s'ajoute dès qu'une donnée personnelle entre dans un prompt. Ce cas pratique fictif déroule le plan d'une agence de 20 personnes.
L'essentiel en 30 secondes
- ChatGPT est un système d'IA à usage général. L'entreprise qui l'utilise dans un cadre professionnel est « déployeur » (Art. 3(4)) ; le niveau de risque dépend de l'usage, pas de l'outil.
- Art. 4 (depuis le 2 février 2025) : prendre des mesures pour favoriser la maîtrise de l'IA du personnel, adaptées aux rôles et aux usages. Aucun niveau n'est à garantir pour chaque personne.
- Art. 50 (depuis le 2 août 2026) : signaler les hypertrucages et les textes générés publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine avec responsabilité éditoriale. Les emails et posts commerciaux n'entrent pas, en tant que tels, dans ce champ.
- RGPD : toute donnée personnelle saisie dans un prompt exige une base légale, une information des personnes, un encadrement des transferts hors UE et, si le risque est élevé, une analyse d'impact (AIPD, Art. 35).
- Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux.
- Plan en 4 étapes : inventorier les usages, fixer la base légale de chaque traitement, déployer une charte et une procédure de pseudonymisation, sensibiliser l'équipe.
1. Contexte : utilisation de ChatGPT par une équipe marketing de 20 personnes
Prenons une PME fictive, « Atelier Lumen », agence marketing française de 20 salariés basée à Lyon. Son équipe utilise ChatGPT Plus depuis 18 mois pour quatre cas d'usage principaux.
| Cas d'usage | Fréquence | Données traitées | Niveau de risque pour les données |
|---|---|---|---|
| Rédaction d'emails et posts | Quotidien (12 personnes) | Données clients B2B (noms, fonctions, secteurs) | Élevé |
| Analyse de bases CRM pour personnalisation | Hebdomadaire (4 personnes) | Coordonnées, historique d'achat | Très élevé |
| Optimisation de campagnes publicitaires | Mensuel (3 personnes) | Statistiques d'audience anonymisées | Faible |
| Brief créatif et idéation | Quotidien (20 personnes) | Aucune donnée personnelle | Très faible |
Les risques identifiés par l'audit interne sont concrets. Premier risque : la fuite de données clients lorsqu'un commercial copie un fichier CRM dans le prompt. Deuxième risque : le biais algorithmique dans les recommandations de segmentation, susceptible de générer une discrimination indirecte. Troisième risque : l'absence de traçabilité des contenus générés, problématique lors d'un audit CNIL ou client.
Pour situer ces risques dans le cadre général de l'AI Act, voir le guide AI Act pour les PME françaises.
2. Les enjeux de conformité pour une PME avec ChatGPT
ChatGPT est un système d'IA à usage général (Art. 3(66)), fondé sur des modèles d'IA à usage général (GPAI, Art. 3(63)). Il n'est pas, en soi, un système à haut risque : la qualification dépend de l'usage qu'en fait l'entreprise. Utilisé pour trier des candidatures, par exemple, il relèverait de l'Annexe III (emploi), avec des obligations applicables à partir du 2 décembre 2027. Toutes les échéances figurent dans le calendrier de l'AI Act.
| Obligation AI Act | Article concerné | Applicable à Atelier Lumen ? | Échéance |
|---|---|---|---|
| Maîtrise de l'IA du personnel | Art. 4 | Oui | 2 février 2025 |
| Signalement des hypertrucages et des textes publiés pour informer le public | Art. 50(4) | Seulement si l'agence produit ce type de contenu | 2 août 2026 (en vigueur) |
| Marquage lisible par machine des contenus générés | Art. 50(2) | Non : obligation du fournisseur de l'outil | 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026 |
| Registre des outils d'IA utilisés | Aucun (Art. 26 : haut risque seulement) | Bonne pratique | — |
| Évaluation de conformité | Art. 43 | Non (pas haut risque) | — |
L'Article 4 du règlement (UE) 2024/1689 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d'usage. L'obligation n'exige pas de garantir un niveau donné pour chaque personne. Pour une équipe marketing, cela passe par des règles d'usage claires et une sensibilisation adaptée aux limites, aux biais et aux risques de ChatGPT. Voir le guide sur la maîtrise de l'IA (Art. 4).
L'Article 50 ne demande pas à Atelier Lumen d'indiquer à ses clients que chaque email ou newsletter a été rédigé avec une IA. Pour un déployeur, il vise deux cas : les hypertrucages (images, audio ou vidéos générés ou manipulés qui ressemblent à des personnes, lieux ou événements existants et pourraient passer pour authentiques) et les textes générés publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine avec responsabilité éditoriale. Si l'agence produit des visuels ou des vidéos réalistes pour ses clients, elle doit donc les signaler. Le marquage lisible par machine des contenus générés (Art. 50(2)) incombe, lui, au fournisseur de l'outil. La checklist de l'Article 50 détaille les vérifications. Le cas pratique sur le deepfake publicitaire d'influenceur montre un contenu à signaler.
L'Article 62 prévoit des mesures de soutien pour les PME : accès prioritaire aux bacs à sable réglementaires, actions de sensibilisation et canaux de communication dédiés organisés par les États membres. Elles ne sont pas exonérées des obligations de fond. Le régime de sanctions est détaillé dans la page sur les sanctions AI Act pour les PME.
3. Analyse des risques RGPD pour l'équipe marketing
Le RGPD s'applique pleinement à tout traitement de données personnelles via ChatGPT. La CNIL publie des fiches pratiques sur l'IA et le RGPD (base légale, intérêt légitime, information des personnes, analyse d'impact, sécurité). Elles visent d'abord le développement de systèmes d'IA. Pour l'articulation entre les deux textes, voir l'article RGPD et AI Act : articuler les deux règlements.
| Risque RGPD | Article RGPD | Conséquence si non-traité |
|---|---|---|
| Absence de base légale | Art. 6 | Sanction CNIL jusqu'à 20 M€ ou 4 % du CA |
| Défaut d'information des personnes | Art. 13-14 | Action en cessation, indemnités |
| Transfert hors UE non encadré | Art. 44-49 | Suspension du traitement |
| Absence d'AIPD obligatoire | Art. 35 | Mise en demeure, sanction administrative |
| Durée de conservation non définie | Art. 5(1)(e) | Manquement au principe de limitation |
Lorsqu'un outil d'IA traite les données hors de l'Union européenne, le transfert doit reposer sur un mécanisme du chapitre V du RGPD : décision d'adéquation de la Commission ou garanties appropriées, comme les clauses contractuelles types, avec une analyse du transfert depuis l'arrêt Schrems II de la CJUE (affaire C-311/18). Le lieu de traitement et les garanties se vérifient dans les conditions du fournisseur.
Chaque usage doit avoir une base légale identifiée. L'intérêt légitime (Art. 6(1)(f) RGPD) est mobilisable pour des usages B2B simples, sous réserve d'un test de mise en balance documenté. Pour les données sensibles, il faut en plus une condition de l'Art. 9(2) RGPD, comme le consentement explicite. Pour un profilage poussé, le consentement est souvent la voie la plus prudente.
Selon l'Art. 35 RGPD, une AIPD est requise lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. L'Art. 35(3) cite notamment l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, profilage compris, qui sert de base à des décisions produisant des effets significatifs. Atelier Lumen doit donc vérifier, par écrit, si l'AIPD s'impose pour son cas d'usage CRM.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Étapes de mise en conformité : plan d'action pour l'équipe marketing
Atelier Lumen a structuré sa mise en conformité en quatre étapes sur six mois. Ce planning est transposable à toute PME de taille comparable.
Étape 1 : auditer les usages actuels de ChatGPT
L'audit s'inspire des exigences de la norme ISO/IEC 42001:2023, qui pose le cadre d'un système de management de l'IA. Il couvre l'inventaire des comptes ChatGPT actifs, le recensement des prompts types par fonction, la cartographie des flux de données entrantes, l'identification des contenus générés et de leur diffusion. Il met aussi au jour les usages non déclarés (voir l'article sur la shadow IA en entreprise).
Livrable attendu : un registre des usages IA, à conserver pendant toute la durée d'exploitation.
Étape 2 : établir une base légale pour chaque traitement
Pour chaque cas d'usage identifié, une base légale doit être documentée. Le tableau suivant résume les options pour Atelier Lumen.
| Cas d'usage | Base légale retenue | Justification |
|---|---|---|
| Rédaction emails B2B | Intérêt légitime (Art. 6(1)(f)) | Prospection professionnelle, test de mise en balance favorable |
| Analyse CRM | Consentement (Art. 6(1)(a)) | Données comportementales, profilage |
| Optimisation campagnes | Intérêt légitime (Art. 6(1)(f)) | Données anonymisées |
| Idéation créative | Sans objet | Pas de données personnelles |
Étape 3 : déployer des politiques internes
Trois documents structurent le dispositif. Premier document : une charte d'usage de l'IA générative, signée par chaque collaborateur. Deuxième document : une procédure d'anonymisation ou de pseudonymisation préalable des données avant tout prompt. Troisième document : un registre des incidents liés à l'IA (fuite de données, contenu erroné diffusé), utile pour la notification des violations de données (Art. 33 RGPD) et le pilotage des risques.
Étape 4 : former les 20 collaborateurs
L'Article 4 du règlement (UE) 2024/1689 demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel ; il ne prescrit ni durée de formation ni certification. Pour Atelier Lumen, le plan retenu est de 4 heures de sensibilisation initiale, complétées par des sessions d'1 heure tous les six mois. Le programme couvre les obligations légales, les risques de fuite de données, les techniques d'anonymisation et la détection des hallucinations.
Documenter ces mesures (dates, contenus, participants) permet de démontrer la démarche. L'AI Act ne fixe pas de durée de conservation pour ces éléments : c'est un choix interne.
5. Exemples concrets de bonnes pratiques
Quatre pratiques opérationnelles ont été mises en place chez Atelier Lumen.
Pseudonymisation systématique avant prompt. Tout fichier client est passé dans un script Python qui remplace noms, emails et identifiants par des pseudonymes avant insertion dans ChatGPT. Le script est documenté et versionné. Les données restent des données personnelles tant qu'une réidentification est possible (Art. 4(5) RGPD).
Modèles de prompts relus par le DPO. Les 30 prompts les plus utilisés sont stockés dans une bibliothèque interne. Chaque modèle a été revu par le DPO externe et porte une mention explicite des données autorisées et interdites.
Journalisation des interactions critiques. Pour les usages CRM, chaque session ChatGPT est journalisée avec horodatage, utilisateur, prompt et réponse. Cette traçabilité facilite la réponse à une demande d'exercice de droits (Art. 15 RGPD) ; elle crée aussi un traitement à encadrer (durée de conservation, accès restreint).
Test de conformité semestriel. Tous les six mois, un audit interne vérifie le respect de la charte. L'AI Act Service Desk de la Commission européenne propose un outil de vérification (Compliance Checker) pour situer ses systèmes au regard de l'AI Act.
6. Les outils et ressources disponibles
| Outil / Ressource | Fournisseur | Coût | Usage principal |
|---|---|---|---|
| AI Act Service Desk | Commission européenne | Gratuit | Explorateur du texte, outil de vérification, FAQ |
| Fiches pratiques IA | CNIL | Gratuit | Bonnes pratiques RGPD-IA |
| Offre professionnelle de ChatGPT | OpenAI | Variable selon l'offre | Conditions contractuelles et réutilisation des données à vérifier |
| Norme ISO/IEC 42001:2023 | ISO | Payante (boutique ISO) | Cadre de management |
| Pack documentaire regulia | regulia | 29 € jusqu'au 31 octobre, puis 99 € | Charte, registre, analyses de risques et procédures personnalisés |
Le choix d'une offre professionnelle réduit une partie du risque, à condition de vérifier dans les conditions du fournisseur si les données saisies servent à l'entraînement des modèles, où elles sont traitées et combien de temps elles sont conservées. Un contrat de sous-traitance (Art. 28 RGPD) est requis lorsque le fournisseur traite des données personnelles pour le compte de l'entreprise.
Pour le vocabulaire, voir le glossaire AI Act et RGPD.
7. Sanctions et coûts de non-conformité
Le régime de sanctions de l'AI Act, prévu à l'Article 99 du Règlement (UE) 2024/1689, est gradué.
| Type de manquement | Sanction maximale (Art. 99) |
|---|---|
| Pratiques interdites (Art. 5) | 35 M€ ou 7 % du CA mondial |
| Manquements aux obligations des opérateurs, dont la transparence (Art. 50) | 15 M€ ou 3 % du CA mondial |
| Informations inexactes, incomplètes ou trompeuses aux autorités | 7,5 M€ ou 1 % du CA mondial |
Pour les PME, l'Article 99(6) prévoit que le montant retenu est « le plus faible » entre la somme fixe et le pourcentage. Cette disposition protège les petites structures d'un effet de seuil disproportionné.
À ce régime AI Act peut s'ajouter le régime RGPD : jusqu'à 20 M€ ou 4 % du CA mondial pour les manquements graves (Art. 83 RGPD). Les deux régimes peuvent viser le même traitement ; l'Art. 99(7) demande de tenir compte des amendes déjà infligées par d'autres autorités pour le même fait.
Au-delà de l'amende, la mise en conformité représente un coût réel (audit, formation, accompagnement juridique, outils), à comparer au risque de sanction et à l'impact réputationnel d'un incident.
Le calcul du plafond applicable figure sur la page sanctions AI Act pour les PME, qui inclut un calculateur.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €8. Conclusion et recommandations
Quatre actions prioritaires se dégagent du cas Atelier Lumen, transposables à toute PME marketing de 10 à 50 salariés.
- Mettre en place un système de contrôle interne structuré autour d'un registre des usages IA, d'une charte signée et d'un référent IA désigné.
- Établir une veille réglementaire mensuelle sur les publications de la Commission européenne (AI Office), de la CNIL et sur EUR-Lex.
- Intégrer la conformité dans les processus marketing existants plutôt que de la traiter en silo : revue des modèles de prompts par le DPO, AIPD lorsqu'un traitement présente un risque élevé.
- Suivre les évolutions du règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744 (« Omnibus IA »), en particulier les lignes directrices et codes de bonnes pratiques de la Commission sur la transparence (Art. 50).
La conformité n'est pas un projet ponctuel : les usages, les outils et les textes évoluent, et le registre, la charte et les mesures de maîtrise de l'IA se revoient régulièrement.
FAQ
Quelle est la classification de ChatGPT selon l'EU AI Act ?
ChatGPT est un système d'IA à usage général (Art. 3(66) du règlement (UE) 2024/1689) fondé sur des modèles d'IA à usage général (Art. 3(63)). Son fournisseur, OpenAI, est soumis aux obligations des Art. 53 à 55 pour ces modèles (applicables depuis le 2 août 2025, avec un délai jusqu'au 2 août 2027 pour les modèles déjà sur le marché à cette date). Pour la PME utilisatrice, c'est l'usage qui détermine le régime : haut risque s'il relève de l'Annexe III (obligations à partir du 2 décembre 2027), transparence (Art. 50) pour les hypertrucages et certains textes publiés, sinon aucune obligation spécifique hormis l'Art. 4.
Comment obtenir une base légale pour utiliser ChatGPT avec des données clients ?
L'intérêt légitime (Art. 6(1)(f) RGPD) est la base légale la plus mobilisable en contexte B2B, sous réserve d'un test de mise en balance documenté entre l'intérêt poursuivi et les droits des personnes. Pour les données sensibles, il faut en plus une condition de l'Art. 9(2) RGPD, comme le consentement explicite. Pour un profilage poussé, le consentement est souvent la voie la plus prudente. Dans tous les cas, une AIPD (Art. 35 RGPD) est à conduire si le traitement présente un risque élevé pour les droits et libertés.
Quelles sont les sanctions possibles pour une non-conformité ?
L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). Le RGPD peut s'ajouter (jusqu'à 20 M€ ou 4 % du CA mondial).
Dois-je former toute l'équipe marketing à l'EU AI Act ?
Pas de façon uniforme. L'Article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, demande de prendre des mesures pour favoriser la maîtrise de l'IA du personnel et des personnes qui utilisent des systèmes d'IA pour le compte de l'entreprise, en tenant compte de leurs connaissances, de leur expérience et du contexte d'usage. Il ne prescrit ni durée de formation ni certification et n'exige pas de garantir un niveau donné pour chaque personne. Pour une équipe marketing de 20 personnes, une sensibilisation initiale, des règles d'usage écrites et des rappels réguliers forment une réponse proportionnée. Documenter ces mesures permet de les démontrer.
Quels sont les outils recommandés pour la conformité ChatGPT ?
Quatre ressources sont utiles. L'AI Act Service Desk de la Commission européenne propose un explorateur du texte, un outil de vérification et une FAQ. Les fiches pratiques de la CNIL clarifient l'articulation avec le RGPD pour les systèmes d'IA. Les conditions du fournisseur de ChatGPT indiquent si les données saisies sont réutilisées pour l'entraînement. Enfin, le pack regulia (charte d'usage de l'IA, politique IA, registre des systèmes d'IA, évaluations des risques et analyses d'impact par outil, procédures) est personnalisé par un questionnaire d'une dizaine de minutes : 29 € jusqu'au 31 octobre, puis 99 €.
Sources officielles
- Règlement (UE) 2024/1689 sur l'intelligence artificielle — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- AI Act Service Desk — Commission européenne
- Fiches pratiques IA — CNIL
- Norme ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
- Règlement (UE) 2016/679 (RGPD) — EUR-Lex
La liste des références utilisées sur le site est détaillée sur la page sources.
Avertissement — Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.