AI Act, RGPD et droit d'auteur : le cadre juridique

Utiliser ou intégrer l'IA générative engage trois corps de règles. Le règlement européen sur l'intelligence artificielle, l'AI Act, encadre les systèmes d'IA selon le niveau de risque qu'ils présentent pour les personnes. Le RGPD s'applique dès qu'un prompt, un document ou une réponse contient des données personnelles. Le droit d'auteur concerne à la fois les données d'entraînement et les contenus produits. Ce chapitre te donne ce qu'un technicien doit savoir pour conseiller son entreprise et traiter une question juridique à l'E7 ; le cours Droit du numérique et RGPD détaille le règlement article par article.

Le règlement européen sur l'IA

Le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, distingue deux rôles :

• le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son nom ;
• le déployeur utilise un système d'IA dans le cadre de son activité professionnelle.

Une entreprise qui utilise un assistant du commerce est déployeur. Une entreprise qui construit sa propre application autour d'un modèle, comme l'assistant de Sorbier appelé par API, et la met en service sous son nom, devient fournisseur de ce système, même si le modèle vient d'ailleurs.

Le règlement classe les systèmes selon leur risque :

Les modèles d'IA à usage général, ceux sur lesquels reposent les assistants, ont leurs propres obligations, à la charge de leurs éditeurs : documentation technique, politique de respect du droit d'auteur, résumé des contenus d'entraînement, et obligations renforcées pour les plus puissants.

La maîtrise de l'IA. L'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel et les personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances et du contexte d'usage. Le règlement modificatif de 2026 a assoupli la formulation : il ne s'agit plus de garantir un niveau donné. Concrètement, une entreprise forme ses salariés aux outils qu'elle leur confie : une charte et une formation courte en font partie (chapitre 12).

Le calendrier

Le règlement s'applique par étapes. Le règlement « omnibus numérique » (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, a reporté les obligations relatives aux systèmes à haut risque :

Les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite.

RGPD : les données personnelles dans les prompts

Une donnée personnelle est toute information qui se rapporte à une personne identifiée ou identifiable, directement ou non (RGPD : définitions). Dans le quotidien d'un service informatique, les prompts en contiennent souvent sans qu'on y pense : un nom dans un ticket, une adresse électronique dans un journal, un identifiant de connexion, le contenu d'un courriel. Envoyer ces données à un modèle est un traitement : le RGPD s'applique.

Ce que cela impose :

• Une finalité et une base légale pour l'usage : résumer les tickets pour accélérer le support, par exemple, sur la base de l'intérêt légitime, à documenter.
• La minimisation : n'envoyer que ce qui est nécessaire. Pour expliquer une erreur, le message d'erreur suffit ; les noms des utilisateurs concernés, non. Remplace les noms et les adresses par des valeurs fictives avant de coller un texte : c'est une pseudonymisation, utile mais qui laisse les données personnelles au sens du RGPD si on peut faire le lien.
• Un contrat avec le fournisseur, qui agit comme sous-traitant : contrat de l'article 28, conditions de conservation, engagement de ne pas entraîner les modèles sur les données (sous-traitants).
• Un cadre pour les transferts si le fournisseur traite les données hors de l'Union européenne (transferts hors de l'Union).
• Une analyse d'impact si le traitement présente un risque élevé pour les personnes (AIPD).
• Pas de décision entièrement automatisée produisant des effets importants sur une personne sans garanties ni intervention humaine réelle (article 22).
• Le registre des traitements mentionne l'usage, et les personnes concernées en sont informées.

La CNIL a publié en juillet 2024 ses premières recommandations pour déployer une IA générative dans un organisme : partir d'un besoin concret, encadrer les usages autorisés et interdits (ne pas fournir de données personnelles au système, ne pas lui déléguer de décisions), ne pas occulter les limites des systèmes, privilégier des systèmes locaux, sécurisés et spécialisés, ou à défaut vérifier comment le fournisseur réutilise les données, former les utilisateurs, et mettre en place une gouvernance avec le délégué à la protection des données et le responsable de la sécurité.

Le droit d'auteur

À l'entraînement. Les modèles apprennent sur des textes, des images et du code protégés. En droit européen et français, la fouille de textes et de données est permise sur des contenus accessibles de façon licite, sauf si l'auteur s'y est opposé de manière appropriée (article L122-5-3 du Code de la propriété intellectuelle, issu de la directive européenne de 2019 sur le droit d'auteur). Les éditeurs de modèles à usage général doivent, en vertu de l'AI Act, respecter ces oppositions dans leur politique de droit d'auteur et publier un résumé des contenus utilisés. Plusieurs procès opposent aujourd'hui des auteurs, des éditeurs de presse et des maisons de disques à des fournisseurs de modèles : le sujet bouge.

Les contenus produits. En droit français, une œuvre n'est protégée que si elle est originale, c'est-à-dire si elle porte l'empreinte de la personnalité d'un auteur humain. Un texte ou une image produits entièrement par une IA, sans choix créatifs humains, ne sont en principe pas protégés (droit d'auteur et logiciel). Plus ton apport est important (structure, sélection, réécriture, assemblage), plus le résultat a de chances d'être protégé. Les conditions d'utilisation de chaque outil précisent aussi qui peut exploiter les résultats.

La contrefaçon. Un contenu généré peut reproduire une œuvre existante : un logo très proche d'une marque, un extrait de code sous licence. Celui qui l'utilise en répond, pas l'outil. Pour le code, une reprise d'un extrait sous licence GPL dans un logiciel propriétaire pose un problème de licence.

Le code des salariés. Les droits patrimoniaux sur un logiciel créé par un salarié dans l'exercice de ses fonctions appartiennent à l'employeur (article L113-9 du Code de la propriété intellectuelle), que le salarié ait été aidé par une IA ou non. Un stagiaire n'est pas salarié : une cession écrite reste nécessaire.

La responsabilité

« C'est l'IA qui l'a écrit » ne protège personne. L'entreprise qui met en ligne un code généré répond de ses failles ; le salarié qui envoie un courriel rédigé par un assistant en répond comme s'il l'avait écrit ; l'organisation qui fonde une décision sur une réponse fausse en porte les conséquences. Le droit tire la même conclusion que la technique : un humain vérifie, et un humain décide.

Exercices

Exercice 1 sur 3 Classer les usages de Sorbier Réussi À revoir

Pour chaque projet de Sorbier Logistique, indique le niveau de risque au sens de l'AI Act, le rôle de Sorbier (fournisseur ou déployeur) et l'obligation principale, avec sa date d'application.

1. L'agent conversationnel du site public, construit par l'équipe de Chloé avec l'API d'un fournisseur, qui répond aux clients sur leurs livraisons.
2. Un logiciel acheté qui classe automatiquement les candidatures aux postes de chauffeur.
3. Des caméras qui analysent l'expression du visage des préparateurs pour mesurer leur fatigue et leur humeur.
4. L'assistant de code utilisé par les développeurs.

Voir la réponseMasquer la réponse de l'exercice 1

1. Transparence. Sorbier a construit le système et le met en service sous son nom : elle en est fournisseur. Elle doit informer les clients qu'ils échangent avec une IA, sauf si c'est évident ; obligation applicable depuis le 2 août 2026. Le RGPD s'applique aussi aux échanges (numéros de commande, adresses).
2. Haut risque (emploi, recrutement) : un tri biaisé, par exemple appris sur des recrutements passés presque tous masculins, écarterait des candidates, ce qui est une discrimination interdite (article L1132-1 du Code du travail). Sorbier est déployeur : utilisation conforme à la notice, contrôle humain confié à des personnes compétentes, surveillance, conservation des journaux, information des candidats et des représentants du personnel. Obligations applicables au 2 décembre 2027 ; le RGPD (information, AIPD, article 22) s'applique déjà.
3. Pratique interdite : reconnaissance des émotions sur le lieu de travail, hors raisons médicales ou de sécurité, depuis le 2 février 2025. Mesurer la fatigue pour la sécurité pourrait relever de l'exception, mais « l'humeur » n'en relève pas : le projet est à abandonner sous cette forme.
4. Risque minimal : pas d'obligation propre. Sorbier, déployeur, forme ses développeurs à l'outil (maîtrise de l'IA, article 4) et encadre les données qui y passent.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Un ticket dans un assistant public Réussi À revoir

Moussa colle dans un assistant grand public, avec son compte personnel gratuit, le texte complet d'un ticket : « Mme Julie Lefèvre, comptabilité, poste PC-0001, ne reçoit plus les courriels de son conseiller à la banque ; elle a transféré le dernier relevé de son compte personnel au support pour qu'on voie le problème. » Il demande comment résoudre le problème. Analyse la situation au regard du RGPD et propose une meilleure façon de faire.

Voir la réponseMasquer la réponse de l'exercice 2

Les données : le nom, le service et le poste de la salariée sont des données personnelles ; la mention d'un relevé bancaire personnel touche à sa vie privée et à sa situation financière.

Les problèmes :

• aucun contrat ne lie Sorbier au fournisseur de ce compte personnel : pas de sous-traitance encadrée, conservation et réutilisation pour l'entraînement inconnues, transfert possible hors de l'Union ;
• la minimisation n'est pas respectée : pour résoudre un problème de réception de courriels, ni le nom, ni le relevé ne sont utiles ;
• Moussa sort des données de l'entreprise vers un outil non validé, sans doute contre la charte.

Une meilleure façon de faire : poser une question générale sans données réelles (« Un poste sous Outlook ne reçoit plus les courriels d'un expéditeur externe précis, quelles causes vérifier ? »), dans l'outil validé par l'entreprise ; consulter les journaux de la messagerie et les règles anti-spam. Le relevé bancaire n'avait rien à faire dans le ticket : Moussa demande à la salariée s'il doit être supprimé de l'outil de tickets.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 À qui appartient le résultat ? Réussi À revoir

1. Chloé, salariée de Sorbier, écrit avec un assistant de code un module de planification des tournées, dans le cadre de son travail. À qui appartiennent les droits sur ce module ?
2. Le service communication génère un logo avec un outil d'images, sans retouche. Sorbier peut-elle s'opposer à ce qu'un concurrent utilise le même logo ?
3. L'assistant de code reproduit une fonction de 40 lignes identique à celle d'une bibliothèque sous licence GPL. Chloé l'intègre dans un logiciel que Sorbier vend. Quel est le risque ?

Voir la réponseMasquer la réponse de l'exercice 3

1. À Sorbier. Les droits patrimoniaux sur un logiciel créé par un salarié dans l'exercice de ses fonctions sont dévolus à l'employeur (article L113-9 du CPI). L'aide d'une IA ne change pas ce principe ; la part que Chloé a conçue et choisie est ce qui fait l'originalité du module.
2. Difficilement par le droit d'auteur : un logo produit entièrement par une IA, sans choix créatifs humains, n'est en principe pas protégé. Sorbier peut en revanche le déposer comme marque auprès de l'INPI, une protection qui ne repose pas sur l'originalité, à condition que le signe soit disponible et distinctif. Sorbier vérifie aussi qu'il ne reproduit pas une marque existante.
3. Un risque de contrefaçon : reprendre du code sous GPL sans respecter la licence porte atteinte aux droits de son auteur. La GPL impose que le logiciel qui l'intègre soit distribué sous une licence compatible, avec son code source. Sorbier doit retirer ou réécrire la fonction, ou se conformer à la licence. C'est Sorbier qui en répond, pas l'outil.

Tu avais trouvé ?

Oui, j'avais bonPas encore