La réponse en trente secondes
Utiliser un assistant génératif au travail est parfaitement légal et n’est pas un usage à haut risque. Vos obligations tiennent en deux lignes : prendre des mesures raisonnables pour que vos équipes sachent s’en servir, et signaler l’IA quand elle parle à quelqu’un ou quand elle produit un contenu publié. Le reste — confidentialité, qualité, droit d’auteur — n’est pas imposé par l’AI Act, mais c’est là que se trouvent les vrais risques pour une entreprise.
La formation : ce qui a changé, et que presque personne n’a écrit
Beaucoup d’articles français annoncent encore 15 millions d’euros d’amende, depuis le 2 août 2026, pour une entreprise dont les salariés ne seraient pas formés à l’IA. C’est faux.
Le Digital Omnibus, entré en vigueur le 27 juillet 2026, a réécrit l’article 4. Il dit désormais que fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » de leurs équipes, en tenant compte de leurs connaissances et du contexte — et il ajoute, noir sur blanc, que « cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». On est passé d’une obligation de résultat à une obligation de moyens.
Précision honnête, parce qu’elle compte : l’article 4 ne figure pas dans la liste des manquements sanctionnés par l’article 99, mais deux voies indirectes existent — les sanctions que chaque État prévoit pour toute violation du règlement, et une compétence nouvelle du Bureau de l’IA. Autrement dit : ce n’est pas la catastrophe annoncée, ce n’est pas non plus rien.
La politique interne, en une page
Le document le plus utile que vous puissiez écrire tient sur une feuille et répond à cinq questions :
- Quels outils sont autorisés, et lesquels ne le sont pas.
- Ce qu’on n’y met jamais : données personnelles de clients ou de salariés, données de santé, secrets d’affaires, code source propriétaire, pièces d’un dossier en cours.
- Ce qui doit être relu par un humain avant de sortir de l’entreprise — et par qui.
- Ce qui doit être signalé comme généré par IA, et sous quelle forme.
- Qui appeler en cas de doute. Un nom.
Cette page, diffusée et expliquée en une réunion de trente minutes, constitue à elle seule une part sérieuse des « mesures » attendues par l’article 4.
Trois risques que l’AI Act ne couvre pas, et qui coûtent plus cher
La confidentialité. Ce que vous collez dans un outil grand public peut, selon les réglages, servir à entraîner un modèle. Les offres professionnelles des éditeurs prévoient généralement l’inverse : vérifiez le réglage plutôt que de l’espérer.
Les données personnelles. Là, c’est le RGPD qui s’applique, immédiatement et sans période de transition : coller un fichier clients dans un outil génératif est un transfert de données qui doit avoir une base légale.
La qualité. Un texte généré est plausible avant d’être exact. Sur un chiffre, une date, une référence juridique ou un nom, la vérification n’est pas une précaution : c’est la seule chose qui vous protège.
Ce que vous pouvez faire dès demain
- Écrire la page de règles internes, même imparfaite.
- Vérifier les réglages de confidentialité des comptes utilisés dans l’entreprise.
- Décider une fois pour toutes ce qui ne sort jamais de la maison.
Votre prochaine action
Confrontez cette fiche à votre usage réel puis posez votre question à la communauté si un point reste incertain.
Interroger la communauté →Sources de référence
Pour aller plus loin
Fiche rédigée à partir du texte consolidé du règlement (UE) 2024/1689 dans sa version du 27 juillet 2026. Vérifiée le 26 août 2026. Information générale : elle ne constitue pas un conseil juridique individualisé.