ChatGPT et IA dans ma TPE à Bordeaux : quelles obligations légales en 2026 (règlement IA, RGPD) ?

<cite index="42-3,42-4">Pour un usage courant de l'IA (rédaction, synthèse, aide à la prospection), le règlement européen sur l'IA ne prévoit en principe aucune obligation spécifique pour les systèmes à risque minimal, qui sont la grande majorité de ceux utilisés dans l'UE.</cite> Vos obligations viennent surtout du RGPD dès que vous saisissez des données de clients ou de salariés dans un outil. Elles viennent aussi des règles de transparence applicables depuis le 2 août 2026 à certains contenus publiés. Situation au 18 octobre 2026.

Ce que le calendrier prévoit

• <cite index="1-4">Une version amendée du règlement a été adoptée le 24 juillet 2026 et est entrée en vigueur le 27 juillet 2026 (« omnibus IA »).</cite>
• <cite index="1-5">Le 2 août 2026, des obligations de transparence sont entrées en application pour certains systèmes d'IA.</cite>
• <cite index="1-6,1-7">Le 2 décembre 2026, une interdiction vise les systèmes d'IA générant des contenus pédocriminels et des hypertrucages sexuels. Le marquage des contenus générés par IA devient aussi obligatoire pour les systèmes déjà sur le marché avant le 2 août 2026.</cite>
• <cite index="6-5">Pour les systèmes à haut risque de l'annexe III, selon une présentation de l'ACPR de juillet 2026, les règles s'appliqueront à partir du 2 décembre 2027.</cite>

Ce qui vous concerne si vous publiez des contenus

<cite index="37-10">Le marquage des contenus générés (image, texte, audio, vidéo) pèse sur les fournisseurs d'outils d'IA générative</cite>, pas sur vous. En tant qu'utilisateur professionnel, deux règles vous concernent :

• <cite index="37-12">Les utilisateurs professionnels d'outils d'IA doivent étiqueter par une icône les hypertrucages (deepfakes).</cite>
• <cite index="41-21">Un texte destiné à informer le public sur des questions d'intérêt public, généré par l'IA sans examen humain ni contrôle éditorial, doit l'indiquer clairement.</cite>

Le RGPD s'applique à votre usage

<cite index="31-10">Un utilisateur d'un système d'IA qui traite des données personnelles en sera le plus souvent responsable au titre du RGPD.</cite> La CNIL recommande plusieurs réflexes :

• <cite index="15-9">Encadrer l'usage de l'IA générative par une charte interne qui définit les usages autorisés et interdits.</cite>
• <cite index="15-5,15-6">Avec un outil accessible par API, le fournisseur maîtrise presque tout le système. La CNIL conseille d'éviter autant que possible d'y saisir des données personnelles.</cite>
• <cite index="15-18">Interroger le fournisseur sur la conformité de son système au RGPD.</cite>
• <cite index="15-16">Ne jamais partager d'informations confidentielles, comme des données personnelles ou des données de l'entreprise.</cite>

Attention aux usages sensibles

<cite index="24-7">Les systèmes à haut risque de l'annexe III couvrent notamment le domaine de l'emploi.</cite> Si vous envisagez un outil qui trie des CV ou note des candidats, demandez à l'éditeur dans quelle catégorie il se classe et à quelle date il sera conforme.

Former les personnes qui utilisent l'IA

Un guide de la HAS publié sur le site de la CNIL en février 2026 rappelle que, <cite index="35-9">en vertu de l'article 4 du règlement, fournisseurs et déployeurs doivent garantir un niveau de maîtrise de l'IA, quel que soit le niveau de risque du système.</cite> Ce guide date d'avant l'omnibus. Je n'ai pas pu vérifier dans une source officielle si l'omnibus a modifié cet article. Consultez le texte consolidé sur EUR-Lex avant de fixer votre démarche de formation.

Par où commencer

1. Listez les outils d'IA utilisés dans votre structure (y compris ceux que vos salariés utilisent seuls) et ce que vous y saisissez.
2. Rédigez une charte d'une page : usages permis, interdits, données qui ne doivent jamais être saisies.
3. Posez au fournisseur de chaque outil la question RGPD de la CNIL (réutilisation des données, hébergement, contrat), et gardez sa réponse.
4. Si vous publiez des images, vidéos ou textes d'information du public générés par IA, vérifiez les règles d'étiquetage. Pour un doute précis, écrivez à la CNIL ou à un professionnel du droit.

Les membres répondent