Menu

Droit

Le cadre juridique de l’IA en entreprise

Le droit qui s’applique à vos données selon l’exploitant de l’IA, ce que votre métier vous impose, et les sources officielles. Ces repères ne remplacent pas un conseil juridique : vérifiez-les auprès de votre ordre professionnel ou de votre avocat.

Le droit qui s’applique à vos données est celui de l’exploitant.

Ce n’est pas une question de qualité des outils : une IA est exploitée par une entreprise, et cette entreprise doit respecter les lois de son pays. Aux États-Unis, le Cloud Act l’oblige à remettre à la justice américaine les données qu’elle demande, où qu’elles soient hébergées, et la loi FISA autorise la surveillance des données d’étrangers. En Chine, la loi sur le renseignement oblige toute organisation à coopérer avec les services de renseignement, et l’application DeepSeek conserve les conversations sur des serveurs en Chine.

Un contrat ne change pas le droit applicable : un service américain peut être « conforme au RGPD », « hébergé en Europe » et ne pas s’entraîner sur vos données, tout en restant soumis au Cloud Act. Ces garanties sont réelles, mais elles ne couvrent pas ces accès. Avec une IA exploitée en Europe, un seul droit s’applique à vos données : le droit français et européen.

L’origine du modèle, en revanche, compte peu : un modèle chinois en accès libre comme Qwen ou DeepSeek, exploité en Europe par une plateforme souveraine, n’envoie rien en Chine.

Une question posée au Sénat, 10 juin 2025

Microsoft peut-il garantir que les données des citoyens français ne seront jamais transmises aux autorités américaines sans l’accord de la France ?

La réponse de Microsoft France, sous serment

« Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. »

Le plus haut niveau de confiance : SecNumCloud

Cette qualification de l’ANSSI exige depuis 2022 un prestataire dont le siège et les infrastructures sont en Europe, qu’aucun actionnaire non européen ne contrôle et dont aucun sous-traitant hors de l’Union ne peut accéder aux données. Sans être infaillible, c’est la meilleure protection disponible.

Elle porte sur l’hébergement, pas sur l’IA elle-même : une IA qui tourne sur un cloud qualifié, comme ceux d’OVHcloud, d’Outscale ou de Cloud Temple, est considérée comme privée. Mistral propose déjà ses modèles sur celui d’Outscale. Dans les secteurs sensibles (défense, opérateurs d’importance vitale, données classifiées), même un cloud qualifié ne suffit pas : ces données restent sur vos propres serveurs.

Pourquoi cela compte pour votre entreprise

Même si aucune autorité ne s’intéresse à vous, le choix de l’exploitant a des effets concrets sur vos clients, vos contrats et votre activité.

  • Vos clients peuvent l’exiger

    La loi SREN impose désormais à l’État de protéger ses données sensibles des accès par des autorités étrangères : si vous travaillez pour lui, ces exigences s’appliquent à vous. Et les contrats des grands donneurs d’ordre interdisent souvent de confier leurs documents à un tiers.

  • Un service peut être coupé du jour au lendemain

    En août 2025, des sanctions américaines ont visé Nicolas Guillou, juge français à la Cour pénale internationale : comptes Amazon, Airbnb et PayPal fermés, cartes Visa et Mastercard désactivées. Si votre activité repose sur des outils américains, elle dépend aussi des décisions de Washington.

  • Certaines précautions valent pour toutes les IA

    Compte volé, conversation rendue publique, données réutilisées pour l’entraînement, secret professionnel : ces précautions valent quelle que soit la nationalité du service, la française comprise. Le test ci-dessous vous concerne quand même.

Toutes les entreprises

Dès que vos équipes utilisent une IA
  • Dès que des données personnelles passent par un outil d’IA, le RGPD s’applique : informez les personnes concernées, signez un contrat de sous-traitance avec le fournisseur et encadrez tout transfert hors de l’Union européenne (RGPD, articles 13, 28 et 44 et suivants).
  • Depuis le 27 juillet 2026, le règlement européen sur l’IA vous impose de prendre des mesures pour développer la maîtrise de l’IA de vos équipes, par exemple en les formant aux outils qu’elles utilisent (article 4, réécrit par le règlement 2026/1744).
  • Depuis le 2 août 2026, un assistant conversationnel qui échange avec vos clients doit leur indiquer qu’ils s’adressent à une IA (règlement européen sur l’IA, article 50).

Santé

Médecins, paramédicaux, pharmaciens, établissements
  • Avant d’enregistrer une consultation pour la faire transcrire par une IA, prévenez le patient et respectez son refus : enregistrer des paroles privées sans consentement est un délit (Code pénal, article 226-1 : un an de prison et 45 000 € d’amende).
  • Le patient doit aussi être informé du traitement de ses données de santé : finalité, outil utilisé, durée de conservation (RGPD, articles 9 et 13).
  • Les données de santé ne peuvent être stockées que chez un hébergeur certifié HDS (Code de la santé publique, article L.1111-8) : vérifiez cette certification avant de choisir un outil de transcription.
  • Si vous utilisez un dispositif médical à base d’IA pour un acte de prévention, de diagnostic ou de soin, assurez-vous que le patient en est informé (Code de la santé publique, article L.4001-3).
  • La Haute Autorité de santé recommande d’en parler avec le patient, de ne jamais partager d’informations confidentielles dans un outil généraliste et de vérifier chaque contenu généré (guide d’octobre 2025).

Expertise comptable

Cabinets d’expertise comptable, gestionnaires de paie
  • Vous êtes tenu au secret professionnel (ordonnance du 19 septembre 1945, article 21), dont la violation est punie d’un an de prison et de 15 000 € d’amende (Code pénal, article 226-13). Les pièces de vos clients n’ont pas leur place dans une IA grand public.
  • Bulletins de paie, DSN, liasses fiscales : ces documents sont difficiles à anonymiser. L’Ordre des experts-comptables Paris Île-de-France recommande des solutions professionnelles, hébergées en Europe, qui s’engagent par contrat à ne pas exploiter vos données.
  • Mentionnez l’outil et son fournisseur dans l’information RGPD que vous donnez à vos clients (RGPD, article 13).

Avocats

Cabinets d’avocats
  • Le secret professionnel couvre aussi ce que vous confiez à une IA (loi du 31 décembre 1971, article 66-5).
  • Le Conseil national des barreaux a adopté en mars 2026 un guide sur la déontologie et l’IA : secret professionnel, RGPD, compétence et prudence.
  • Vérifiez chaque référence : des avocats ont déjà été sanctionnés, notamment aux États-Unis, pour avoir cité des décisions inventées par une IA.

Employeurs

Entreprises d’au moins 50 salariés
  • Le CSE doit être informé et consulté avant l’introduction d’outils d’IA (Code du travail, article L.2312-8). En juillet 2025, le tribunal judiciaire de Créteil a suspendu des outils d’IA déployés sans cette consultation.
  • Les IA utilisées pour recruter ou évaluer des salariés relèveront des règles du « haut risque » à partir du 2 décembre 2027 (règlement européen sur l’IA, annexe III).

Sources

Vos équipes utilisent déjà l’IA ?

Faisons le point en 30 minutes : ce qui peut rester sur les outils grand public, ce qui doit passer sur une IA européenne ou privée, et les règles à donner à vos équipes.

Prendre contact