Cas pratique : Copilot et génération de code chez un éditeur SaaS — Conformité EU AI Act & RGPD

GitHub Copilot, utilisé comme assistant de développement, n'est pas un système à haut risque au sens de l'AI Act : l'éditeur qui l'emploie doit surtout favoriser la maîtrise de l'IA de ses équipes (Art. 4, depuis le 2 février 2025) et appliquer le RGPD aux données qui transitent par l'outil. Le risque se joue ailleurs : un module du produit qui évalue la performance de salariés relève de l'Annexe III (emploi), avec des obligations à partir du 2 décembre 2027, et l'éditeur en est alors fournisseur. Ce cas pratique fictif suit une PME SaaS de 50 salariés.

L'essentiel en 30 secondes

• GitHub Copilot est un assistant de code fondé sur des modèles d'IA à usage général : les obligations GPAI (Art. 53 à 55) pèsent sur les fournisseurs des modèles, pas sur l'éditeur qui l'utilise.
• Utilisé pour écrire du code, Copilot n'est pas à haut risque en soi. Le niveau de risque dépend de la finalité du produit livré : un module de scoring de salariés relève de l'Annexe III (emploi), avec des obligations à partir du 2 décembre 2027.
• Art. 4 (depuis le 2 février 2025) : prendre des mesures pour favoriser la maîtrise de l'IA des développeurs, adaptées à leurs usages. Aucun niveau n'est à garantir pour chaque personne.
• RGPD : le contexte envoyé à l'outil peut contenir des données personnelles. Il faut une base légale, un contrat avec le fournisseur (Art. 28), un registre des traitements à jour (Art. 30) et, pour un scoring de salariés, une AIPD (Art. 35).
• Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux.
• ISO/IEC 42001:2023 est une norme certifiable et volontaire : elle structure la gouvernance (clauses 6.1.2, 8.4, 9.2) mais ne donne aucune présomption de conformité à l'AI Act.

Cet article suit le cas d'une PME française éditrice de SaaS qui déploie GitHub Copilot : classification réglementaire de l'outil, obligations RGPD induites par le code généré, apport d'ISO/IEC 42001:2023 et sanctions encourues. L'objectif est de donner une feuille de route aux dirigeants, DPO et responsables IA. Un cas voisin, côté agence : ChatGPT en équipe marketing.

1. Contexte du cas : PME SaaS et utilisation de Copilot

Prenons le cas d'« Editia », éditeur fictif d'un SaaS B2B de gestion RH, installé à Lyon, 50 salariés, 8 M€ de chiffre d'affaires. L'équipe technique compte 18 développeurs répartis entre back-end (Python/Django), front-end (React) et data engineering. Le CTO a déployé GitHub Copilot Business sur l'ensemble des postes en janvier 2026.

Les chiffres internes de ce cas fictif, mesurés sur trois mois :

Périmètre	Part du code suggérée par Copilot	Volume hebdomadaire
APIs back-end (Python)	~30 %	~6 500 lignes
Composants front-end (React/TS)	~20 %	~3 200 lignes
Scripts data/ETL	~15 %	~800 lignes
Tests automatisés	~45 %	~2 100 lignes

Le périmètre n'est pas neutre. Les APIs back-end manipulent des données salariées : noms, e-mails professionnels, salaires, bulletins de paie, congés, évaluations. Ces traitements relèvent du RGPD et, pour certains modules (scoring de performance reposant sur l'IA), peuvent relever du haut risque au sens du règlement (UE) 2024/1689 : Annexe III, point 4 (emploi).

Editia se trouve dans une situation typique : un gain de productivité réel, mais une exposition juridique qui n'a pas été cartographiée. Pour comprendre le cadre général applicable, voir le guide AI Act pour les PME françaises.

2. Classification EU AI Act : où placer Copilot ?

Premier réflexe : qualifier l'outil au sens du règlement (UE) 2024/1689. Copilot est un assistant de génération de code, c'est-à-dire un système d'IA qui repose sur des modèles d'IA à usage général (GPAI, Art. 3(63)).

Deux régimes coexistent :

Composant	Qualification AI Act	Régime applicable
Modèles d'IA sous-jacents (selon la configuration de l'outil)	Modèle d'IA à usage général	Chapitre V : obligations du fournisseur du modèle
Copilot utilisé dans l'environnement de développement d'Editia	Système d'IA ; Editia est déployeur	Art. 4 (maîtrise de l'IA) ; pas d'obligation de haut risque
Module de scoring de performance RH du produit SaaS	Système d'IA à haut risque ; Editia est fournisseur	Annexe III, point 4 (emploi) : obligations à partir du 2 décembre 2027

Pour Editia, l'usage de Copilot comme assistant de développement ne déclenche pas d'obligation de haut risque. Côté AI Act, l'obligation transversale qui le concerne est la maîtrise de l'IA du personnel (Art. 4). Les obligations de transparence de l'Art. 50 pèsent d'abord sur les fournisseurs d'outils et visent d'autres usages : agents conversationnels, hypertrucages, textes publiés pour informer le public. En revanche, dès qu'une fonctionnalité du produit utilise l'IA pour évaluer des salariés, elle relève du haut risque, avec ses obligations de fournisseur (système de gestion des risques, gouvernance des données, documentation technique, supervision humaine). Voir les systèmes à haut risque de l'Annexe III et l'article déployeur ou fournisseur : comment savoir ?

L'erreur fréquente consiste à raisonner sur l'outil de développement plutôt que sur le produit livré. Le bon réflexe : qualifier chaque fonctionnalité du SaaS selon sa finalité, indépendamment de l'outil qui a servi à l'écrire.

3. RGPD : gestion des données personnelles dans le code généré

Le RGPD n'a pas attendu l'AI Act pour s'imposer. Le code généré par Copilot soulève trois questions distinctes.

a. Les données envoyées à Copilot. Lorsque le développeur tape, son contexte (extraits du fichier, parfois du dépôt) est transmis au fournisseur de l'outil. Si ce contexte inclut des données personnelles (jeux de tests réels, exemples avec e-mails clients, identifiants), le fournisseur les traite, éventuellement hors de l'Union. Son rôle de sous-traitant (Art. 28 RGPD), la base légale, les garanties de transfert et l'information des personnes concernées doivent être documentés.

b. Le code généré et les traitements qu'il instaure. Copilot peut suggérer des requêtes SQL, des appels d'API, des logiques de filtrage. Si ce code finit en production sans relecture, il peut créer des traitements non documentés au registre de l'Art. 30 RGPD. Le responsable de traitement reste responsable des traitements mis en œuvre (Art. 5(2) et 24 RGPD), quel que soit l'outil de développement.

c. L'AIPD (Art. 35 RGPD). Une AIPD est requise si le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. L'Art. 35(3) RGPD vise notamment l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, profilage compris, qui sert de base à des décisions produisant des effets significatifs. Le scoring de performance de salariés d'Editia peut entrer dans ce cas. La CNIL publie la liste des types de traitement pour lesquels une AIPD est requise.

Synthèse opérationnelle pour Editia :

Obligation RGPD	Action concrète	Échéance recommandée
Mise à jour du registre Art. 30	Ajouter « Assistance au développement par IA générative » comme traitement	Semaine 2
Information des développeurs	Note interne sur le périmètre du contexte envoyé	Semaine 2
AIPD modules sensibles	Réaliser une AIPD pour le scoring RH	Semaine 4-6
Configuration de l'outil	Vérifier la conservation des prompts, exclure les dépôts sensibles si l'outil le permet	Semaine 1

Le détail des sanctions et un calculateur figurent sur la page sanctions AI Act pour les PME.

4. ISO/IEC 42001:2023 : structurer le système de management de l'IA

La norme ISO/IEC 42001:2023, publiée en décembre 2023, fournit un cadre certifiable pour les organisations qui conçoivent, déploient ou utilisent des systèmes d'IA. Elle suit la structure commune des normes de systèmes de management, comme ISO/IEC 27001. Voir aussi la page sur ISO 42001 et la gouvernance de l'IA en PME et l'article qu'est-ce qu'un AIMS selon ISO 42001.

Pour Editia, trois clauses sont structurantes dans le contexte Copilot :

Clause ISO/IEC 42001	Exigence	Application à Copilot
6.1.2 — Évaluation des risques IA	Identifier et évaluer les risques liés aux systèmes IA	Cartographier les modules où Copilot intervient et leurs risques (fuite de code, hallucination, biais)
8.4 — Évaluation d'impact des systèmes d'IA	Évaluer l'impact sur les personnes affectées	Documenter l'effet du code généré sur les salariés (scoring), les clients (APIs)
9.2 — Audit interne	Programme d'audit périodique du système de management de l'IA (AIMS)	Revue annuelle de l'usage Copilot, incidents, taux d'acceptation des suggestions

La norme est volontaire. Ce n'est pas une norme harmonisée de l'AI Act : elle ne donne aucune présomption de conformité. Elle aide en revanche à structurer la gouvernance et la preuve des mesures prises. Le système de gestion de la qualité de l'Art. 17 reste une exigence propre aux fournisseurs de systèmes à haut risque.

5. Étapes de mise en œuvre : audit et documentation

Voici la feuille de route appliquée par Editia, calibrée pour une PME de taille comparable.

1. Semaine 1 — Cadrage. Désignation d'un référent IA (par exemple le CTO ou un Tech Lead). Inventaire des outils d'IA générative utilisés : Copilot, ChatGPT, Claude, Cursor. Vérification des contrats sous-jacents (DPA, clauses IA).
2. Semaines 2-3 — Audit technique. Cartographie des modules où Copilot intervient. Mesure du taux d'acceptation des suggestions. Détection des secrets ou données personnelles potentiellement présents dans les prompts.
3. Semaines 3-4 — Audit juridique. Mise à jour du registre des traitements. Identification des AIPD à conduire. Classification AI Act module par module.
4. Semaines 4-6 — Documentation. Rédaction de la politique d'usage des outils d'IA générative. Production des fiches techniques par module (template AI Act). Procédure d'incident IA.
5. Semaines 5-7 — Sensibilisation. Session interne de 4 heures pour les développeurs (choix d'Editia), couvrant les risques juridiques, les bonnes pratiques de prompt et la détection des hallucinations. Quiz de validation. Cette démarche s'inscrit dans les mesures de l'Art. 4 du règlement (UE) 2024/1689, qui demande de favoriser la maîtrise de l'IA sans imposer de format ni de durée.
6. Semaines 7-10 — Contrôle. Mise en place d'indicateurs : nombre d'incidents, audits ponctuels du code généré, revue de code obligatoire pour les modules sensibles. Premier audit interne ISO/IEC 42001.

6. Risques et sanctions : exemples concrets

Les sanctions de l'AI Act sont gradées selon la nature de l'infraction (Article 99 du Règlement (UE) 2024/1689) :

Type d'infraction	Plafond d'amende	Cas d'application chez Editia
Pratiques interdites (Art. 5)	35 M€ ou 7 % du CA mondial	Non applicable a priori
Manquement aux obligations du fournisseur d'un système à haut risque (Art. 16)	15 M€ ou 3 % du CA mondial	Module de scoring RH non documenté (à partir du 2 décembre 2027)
Informations inexactes, incomplètes ou trompeuses aux autorités	7,5 M€ ou 1 % du CA mondial	Refus de coopérer lors d'un contrôle

Pour une PME comme Editia (8 M€ de CA), l'Art. 99(6) retient le montant le plus bas entre la somme fixe et le pourcentage. Les plafonds sont donc de 560 000 € pour une pratique interdite (7 % de 8 M€), 240 000 € pour un manquement aux obligations des opérateurs ou à la transparence (3 %) et 80 000 € pour des informations inexactes (1 %).

Les sanctions RGPD peuvent s'ajouter : jusqu'à 20 M€ ou 4 % du CA mondial (Art. 83 RGPD). L'Art. 99(7) demande de tenir compte des amendes déjà infligées par d'autres autorités pour le même fait.

7. Bonnes pratiques pour les PME SaaS

L'expérience d'Editia se résume en sept règles opérationnelles, transposables à tout éditeur SaaS de taille comparable :

• Segmenter l'usage de Copilot par criticité. Tout code n'a pas la même valeur ni le même risque. Les modules manipulant des données sensibles méritent une revue humaine systématique. Les scripts internes peuvent rester en mode autonome.
• Configurer l'outil correctement. Vérifier la conservation des prompts et des suggestions chez le fournisseur, exclure les dépôts contenant des données sensibles lorsque l'outil le permet et bloquer, si possible, les suggestions qui reproduisent du code public.
• Imposer la revue de code humaine. Aucun commit généré par Copilot ne doit partir en production sans relecture, même partielle. Le développeur reste responsable de chaque ligne mergée.
• Documenter les incidents. Tenir un journal des hallucinations détectées, des failles de sécurité introduites, des suggestions inappropriées. Cette documentation alimente l'amélioration continue (clause 10 ISO 42001).
• Sensibiliser en continu. La maîtrise de l'IA n'est pas une action ponctuelle : des rappels réguliers (par exemple trimestriels) suivent l'évolution des modèles et des risques.
• Auditer le code généré. Outils SAST et SCA configurés pour analyser spécifiquement les patterns connus de vulnérabilité introduits par les LLM (injections, secrets en dur, dépendances obsolètes).
• Anticiper les exigences clients. Préparer un dossier de conformité IA présentable en RFP : politique, AIPD, fiches techniques, certificats. Ce dossier devient un argument commercial.

Le glossaire reprend les termes techniques de l'AI Act utilisés dans ces bonnes pratiques.

8. Perspectives : évolution réglementaire

Le calendrier d'application du Règlement (UE) 2024/1689 est échelonné. Plusieurs jalons concernent directement les éditeurs SaaS utilisant Copilot :

Date	Échéance	Impact pour Editia
2 février 2025	Pratiques interdites (Art. 5) et maîtrise de l'IA (Art. 4)	Mesures pour favoriser la maîtrise de l'IA des développeurs
2 août 2025	Obligations GPAI (Chapitre V)	Les fournisseurs des modèles sont soumis à leurs obligations (modèles déjà sur le marché : jusqu'au 2 août 2027)
2 août 2026	Transparence (Art. 50), en vigueur	Concerne le produit d'Editia s'il intègre un agent conversationnel ou génère des contenus : l'éditeur est alors fournisseur
2 décembre 2027	Obligations systèmes haut risque (Annexe III)	Module scoring RH pleinement encadré
2 août 2028	Systèmes haut risque intégrés à produits régulés (Annexe I)	Sans objet pour Editia, sauf si son produit est un composant de sécurité d'un produit régulé

Pour une PME, la posture rationnelle n'est pas d'attendre la stabilisation complète du paysage normatif. C'est de structurer dès maintenant une gouvernance minimale viable, qui pourra s'étoffer au fil des publications. Les éléments de base (registre, politique, sensibilisation, AIPD ciblées) sont déjà actionnables avec le cadre actuel. Le calendrier de l'AI Act détaille les échéances après le règlement (UE) 2026/1744.

FAQ

Copilot est-il considéré comme une IA sous l'AI Act ?

Oui. L'Article 3, point 1 du règlement (UE) 2024/1689 définit le système d'IA comme un système automatisé conçu pour fonctionner avec différents niveaux d'autonomie, qui déduit des données d'entrée comment générer des sorties (prédictions, contenus, recommandations, décisions) pouvant influencer des environnements physiques ou virtuels. Copilot répond à cette définition. Les modèles sous-jacents relèvent du régime GPAI (chapitre V) côté fournisseur. Chez l'éditeur qui l'utilise, l'outil n'est pas à haut risque en soi : seule la finalité d'un module livré aux clients (Annexe III) peut faire basculer ce module.

Quelles sont les obligations RGPD pour une PME utilisant Copilot ?

Trois obligations principales. Mettre à jour le registre des traitements (Art. 30 RGPD) en y intégrant l'assistance au développement par IA. Conduire une AIPD (Art. 35 RGPD) lorsque le traitement est susceptible d'engendrer un risque élevé, par exemple un scoring de salariés. Informer les personnes concernées et encadrer la relation avec le fournisseur par un contrat de sous-traitance (Art. 28 RGPD) et, pour les transferts hors UE, par les garanties du chapitre V (décision d'adéquation, clauses contractuelles types).

Quel est le risque d'amende pour une PME non conforme ?

L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). Le RGPD peut s'ajouter (jusqu'à 20 M€ ou 4 % du CA mondial, Art. 83).

Doit-on mettre en place ISO/IEC 42001 pour utiliser Copilot ?

Non. ISO/IEC 42001:2023 est volontaire. Ce n'est pas une norme harmonisée de l'AI Act : elle ne donne pas de présomption de conformité. Elle aide à structurer la gouvernance et à démontrer la maturité IA aux clients. La certification représente un effort significatif. Une approche progressive consiste à s'aligner sur les clauses clés (6.1.2, 8.4, 9.2) sans viser la certification immédiate.

Comment se préparer aux contrôles AI Act en 2026 ?

Cinq étapes : classifier chaque fonctionnalité du produit et chaque outil d'IA utilisé, tenir une documentation technique conforme à l'Annexe IV pour les systèmes à haut risque (obligations à partir du 2 décembre 2027), conduire les AIPD requises par l'Art. 35 RGPD, sensibiliser les équipes (Art. 4), instaurer une procédure d'incident IA. Un audit interne préalable réduit le risque en cas de contrôle.

Sources officielles

• Règlement (UE) 2024/1689 sur l'intelligence artificielle — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• Texte de l'AI Act — artificialintelligenceact.eu
• AI Act Service Desk — Commission européenne
• Fiches pratiques IA — CNIL
• ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
• ISO/IEC 23894:2023 — Gestion des risques liés à l'IA

La liste des références utilisées sur le site est détaillée sur la page sources.

---

Avertissement. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.