Un chatbot sur le site de l'entreprise est-il concerné par le règlement IA ?

Oui, au titre de la transparence : les personnes doivent savoir qu'elles échangent avec une IA. Ces obligations s'appliquent depuis le 02/08/2026 selon la CNIL.

Les obligations « haut risque » s'appliquent-elles déjà ?

Non. Après l'omnibus entré en vigueur le 27/07/2026, celles de l'annexe III s'appliquent à partir du 02/12/2027 et celles de l'annexe I à partir du 02/08/2028.

Le règlement IA remplace-t-il le RGPD ?

Non. La CNIL précise qu'il le complète : le RGPD continue de s'appliquer dès que des données personnelles sont traitées.

Règlement européen sur l'IA : ce qui vise votre assistant

Pour une entreprise qui équipe son équipe ou son site d'un assistant IA, le règlement européen sur l'IA (règlement (UE) 2024/1689, souvent appelé AI Act) pose surtout deux obligations aujourd'hui : informer les personnes qu'elles échangent avec une IA, et prendre des mesures pour que le personnel maîtrise l'outil. Les obligations lourdes « haut risque » ne visent que certains usages, et leur application a été repoussée en 2026.

Cette page résume ce que disent la Commission européenne et la CNIL (Commission nationale de l'informatique et des libertés) au 15/11/2026. Le texte a été modifié en 2026 : pour une lecture juridique, référez-vous à la version consolidée et à votre délégué à la protection des données ou à un avocat.

Le calendrier à jour

Le règlement a été modifié par un règlement dit « omnibus », entré en vigueur le 27/07/2026. Voici les dates publiées par la Commission (page mise à jour le 19/10/2026) et par la CNIL (page mise à jour le 17/08/2026) :

Date	Ce qui s'applique
01/08/2024	Entrée en vigueur du règlement
02/02/2025	Pratiques interdites et obligations de maîtrise de l'IA
02/08/2025	Règles pour les modèles d'IA à usage général (elles visent leurs fournisseurs)
02/08/2026	Application générale ; obligations de transparence pour certains systèmes
02/12/2026	Marquage des contenus générés pour les systèmes mis sur le marché avant le 02/08/2026 ; nouvelle interdiction ajoutée par l'omnibus
02/12/2027	Systèmes à haut risque de l'annexe III (biométrie, éducation, emploi…)
02/08/2028	Systèmes à haut risque intégrés à des produits réglementés (annexe I)

Où se situe un assistant d'équipe

La CNIL rappelle que le règlement classe les systèmes en quatre niveaux :

Risque inacceptable : pratiques interdites (notation sociale, par exemple).
Haut risque : systèmes pouvant porter atteinte à la sécurité ou aux droits fondamentaux, listés aux annexes I et III.
Risque spécifique en matière de transparence : la CNIL cite les chatbots et la génération de contenu.
Risque minimal : pas d'obligation spécifique.

Un assistant qui répond aux questions de l'équipe ou des clients à partir de vos documents relève en général du troisième niveau. Il peut basculer vers le haut risque selon l'usage : la CNIL cite par exemple l'emploi parmi les domaines de l'annexe III. Un assistant qui aiderait à trier des candidatures n'est pas dans la même situation qu'un assistant qui explique la procédure de commande. Vérifiez l'annexe III avec votre conseil avant tout usage RH de ce type.

Obligation 1 : dire qu'on parle à une IA

Selon les questions-réponses de la CNIL sur l'IA générative, les organismes doivent informer les personnes qu'elles interagissent avec une IA, et les contenus générés comme les hypertrucages doivent être signalés au public. Ces obligations de transparence (article 50 du règlement) s'appliquent depuis le 02/08/2026.

En pratique, pour un assistant placé sur votre site :

une mention visible dès l'ouverture de la fenêtre de discussion, du type « Vous échangez avec un assistant IA » ;
un moyen de joindre une personne quand la question l'exige ;
pas de prénom ni de photo qui laissent croire à un conseiller humain.

Pour un assistant interne, la même logique vaut : vos salariés doivent savoir quand une réponse vient de l'IA.

Obligation 2 : la maîtrise de l'IA

Les obligations de maîtrise de l'IA (que la Commission appelle aussi « littératie en IA ») s'appliquent depuis le 02/02/2025. L'idée : les personnes qui utilisent l'outil doivent en comprendre le fonctionnement et les limites. La CNIL va dans le même sens côté RGPD : former les utilisateurs aux usages autorisés, aux limites et à la vérification des réponses. Consultez la rédaction exacte de l'article 4 dans la version consolidée, le règlement ayant été modifié en 2026.

Concrètement :

une courte formation au démarrage : ce que l'assistant sait faire, d'où viennent ses réponses, quand il se trompe ;
une règle simple : on vérifie la source citée avant de transmettre une réponse à un client ;
un référent à qui signaler une réponse fausse.

Ce qui ne vous concerne pas directement

Les règles sur les modèles d'IA à usage général (applicables depuis le 02/08/2025) visent les fournisseurs de ces modèles. Vous pouvez en revanche demander à votre fournisseur quel modèle il utilise et comment son éditeur s'y conforme : voir les questions à poser au fournisseur.

Le RGPD continue de s'appliquer

La CNIL est claire : le règlement IA ne remplace pas le RGPD (règlement général sur la protection des données), il le complète. Un assistant conforme au règlement IA doit toujours respecter les règles sur les données personnelles. L'analyse d'impact du RGPD et la documentation exigée par le règlement IA peuvent d'ailleurs se compléter : voir la page sur l'analyse d'impact.

Trois actions pour ce mois-ci

Ajoutez une mention d'information à l'ouverture de votre assistant, interne comme public.
Prévoyez la formation de prise en main et notez-la (date, participants, contenu).
Listez les usages de l'assistant et écartez, ou faites examiner, ceux qui touchent au recrutement ou à l'évaluation des personnes.