Introduction

Thierry a entendu deux choses au salon : « Avec le RGPD, on n’a plus le droit de rien faire » et « L’AI Act, c’est pour les géants de la tech ». Les deux sont faux.

Le RGPD ne vous interdit pas d’utiliser l’IA. Il vous demande de traiter correctement les données de vos clients et de vos salariés. L’AI Act, lui, concerne surtout ceux qui fabriquent les outils, mais deux de ses règles touchent aussi les entreprises qui s’en servent.

Ce chapitre vous donne ces règles en langage clair. Il ne remplace pas un conseil juridique : il vous aide à poser les bonnes questions.

1. Le RGPD en trois principes utiles

Le RGPD s’applique dès que vous traitez des données personnelles : noms, adresses, téléphones, photos de clients, informations sur vos salariés. Pour une entreprise du BTP qui utilise l’IA, trois principes suffisent pour commencer.

La finalité. Vous utilisez les données d’un client pour son chantier : devis, travaux, facture, garanties. Pas pour autre chose sans raison valable.

La minimisation. Ne traitez que ce qui est nécessaire. C’est exactement le réflexe du chapitre 2.1 : l’IA n’a pas besoin du nom du client pour rédiger un compte rendu.

La sécurité. Protégez les données contre la perte, le vol ou la diffusion : comptes protégés, accès limités, outils fiables. Le chapitre 2.3 y est consacré.

Avec l’IA. Demandez à votre assistant : « Explique les principes de finalité et de minimisation du RGPD avec trois exemples tirés d’une entreprise de rénovation. » Vérifiez ses exemples avec les pages de la CNIL citées en Références.

Exemples :

• Finalité : Maëlle n’utilise pas les téléphones des clients de chantier pour une campagne de publicité sans leur accord.
• Minimisation : Sonia remplace le nom de la cliente avant de demander un compte rendu.
• Sécurité : le fichier clients est rangé dans un espace protégé, pas dans une conversation d’assistant.

2. L’éditeur de l’outil : un sous-traitant à choisir avec soin

Quand vous confiez des données personnelles à un outil pour qu’il les traite pour vous, l’éditeur agit comme sous-traitant au sens du RGPD. Vous restez responsable des données de vos clients.

Concrètement, cela veut dire trois choses :

1. Un contrat doit encadrer ce que l’éditeur fait des données. Les offres professionnelles en prévoient un ; les comptes personnels gratuits, en général non.
2. Le lieu de traitement compte : un éditeur qui traite les données hors de l’Union européenne doit offrir des garanties prévues par le RGPD.
3. Vous devez pouvoir répondre à un client qui demande ce que vous faites de ses données.

D’où la règle du chapitre 2.1 : pour de vraies données de clients, une offre professionnelle avec un contrat. Sinon, des données remplacées.

Artisan seul. Pas besoin d’un service juridique. Notez dans un document simple les outils que vous utilisez, pour quoi faire et avec quelles données. C’est le début de votre registre des traitements, que la CNIL aide à tenir.

Exemples :

• Dorvanne Rénovation choisit une offre d’équipe dont le contrat précise l’usage des données.
• Thierry note dans son registre : « Assistant d’IA, rédaction de devis, données clients remplacées. »
• Un client demande ce que deviennent ses photos de chantier : Maëlle sait lui répondre.

3. L’AI Act : deux règles qui vous concernent

L’AI Act est le règlement européen sur l’intelligence artificielle. La plupart de ses obligations visent les fournisseurs, ceux qui conçoivent les outils. Une entreprise qui utilise un assistant est un déployeur. Deux règles la concernent directement.

La maîtrise de l’IA (article 4). Les entreprises qui utilisent des systèmes d’IA doivent prendre des mesures pour favoriser la maîtrise de l’IA de leurs salariés et des personnes qui les utilisent pour leur compte. Depuis une modification entrée en vigueur le 27 juillet 2026, le texte n’exige pas de garantir un niveau précis pour chaque personne. Former l’équipe, fixer des règles communes et partager les bonnes pratiques répondent à cette attente. Suivre ce parcours en fait partie.

La transparence (article 50). Depuis le 2 août 2026, certains contenus produits par l’IA doivent être signalés. Pour une entreprise du BTP, le cas le plus probable est l’hypertrucage : une image ou une vidéo générée ou retouchée par l’IA qui ressemblerait faussement à une vraie réalisation. Si vous publiez une telle image, indiquez clairement qu’elle a été produite par l’IA. Le chapitre 8.2 y revient.

Les usages à « haut risque » de l’AI Act (recrutement automatisé, notation de personnes) dépassent le cadre de ce parcours. Si vous envisagez un outil qui trie des candidats, renseignez-vous avant.

Avec l’IA. Demandez : « Quelle différence entre fournisseur et déployeur dans l’AI Act ? Réponds en cinq lignes pour un artisan. » Comparez avec notre page sur l’IA Act européen.

Exemples :

• Maîtrise de l’IA : Thierry inscrit Sonia et Maëlle à la formation et fixe trois règles communes.
• Transparence : la vue 3D d’une future terrasse publiée sur les réseaux porte la mention « image générée par IA ».
• Hors champ : un mail rédigé avec l’IA et relu par Maëlle n’a pas à être signalé comme tel.

Pour aller plus loin : l’IA Act européen et les obligations des entreprises.

4. Vos salariés aussi ont des droits

Les règles valent aussi pour les données de l’équipe. Pas d’évaluation d’un salarié, de données de santé ou de sanction disciplinaire dans un assistant grand public.

Si vous voulez mettre en place un outil d’IA qui touche au travail des salariés (suivi d’activité, géolocalisation, analyse de performance), informez-les avant et renseignez-vous : ce sont des sujets encadrés.

Résumé

Le RGPD ne vous interdit pas l’IA. Il vous demande une finalité claire, le minimum de données et une bonne sécurité.

L’éditeur d’un outil qui traite les données de vos clients est un sous-traitant : un contrat doit l’encadrer, d’où l’intérêt des offres professionnelles.

L’AI Act demande aux entreprises utilisatrices de favoriser la maîtrise de l’IA de leurs équipes et de signaler les images trompeuses générées par l’IA.

Questions fréquentes

Dois-je dire à mes clients que j’utilise l’IA ?

Pour un mail ou un devis rédigé avec l’IA et relu par vous, l’AI Act n’impose pas de le signaler. Le RGPD vous demande en revanche d’informer vos clients de l’usage de leurs données personnelles. Une phrase dans vos conditions ou votre politique de confidentialité peut suffire ; faites-la relire.

L’AI Act m’oblige-t-il à former mes salariés ?

Il vous demande de prendre des mesures pour favoriser leur maîtrise de l’IA. Une formation en fait partie, tout comme des règles d’usage et un accompagnement.

Une petite entreprise est-elle concernée par le RGPD ?

Oui, dès qu’elle traite des données personnelles, quelle que soit sa taille. La CNIL propose des outils adaptés aux TPE et PME.

Termes clés

• RGPD : règlement européen sur la protection des données personnelles.
• Sous-traitant : prestataire qui traite des données personnelles pour le compte d’une entreprise.
• AI Act : règlement européen sur l’intelligence artificielle (règlement 2024/1689).
• Déployeur : entreprise ou personne qui utilise un système d’IA dans son activité professionnelle.
• Hypertrucage : image, son ou vidéo générés ou modifiés par l’IA, qui semblent faussement authentiques.

Références

• CNIL — IA : comment être en conformité avec le RGPD (consulté le 08/11/2026)
• CNIL — Utiliser l’IA générative dans les TPE et PME (consulté le 08/11/2026)
• EUR-Lex — Règlement (UE) 2024/1689, version consolidée du 27/07/2026 (consulté le 08/11/2026)
• Commission européenne — Cadre réglementaire de l’IA (mis à jour le 19/10/2026, consulté le 08/11/2026)
• Acadigit — L’IA Act européen : obligations des entreprises

QCM (une seule bonne réponse par question)

Question 1 — Le RGPD :

1. Interdit d’utiliser l’IA dans une entreprise
2. Demande de traiter les données personnelles avec une finalité claire, le minimum nécessaire et une bonne sécurité
3. Ne concerne que les grandes entreprises

Question 2 — Remplacer le nom d’un client avant de demander un compte rendu applique le principe de :

1. Minimisation
2. Portabilité
3. Transparence

Question 3 — L’éditeur d’un outil qui traite les données de vos clients pour vous est :

1. Responsable à votre place
2. Un sous-traitant, encadré par un contrat
3. Sans aucune obligation

Question 4 — Pour une entreprise utilisatrice, l’article 4 de l’AI Act demande :

1. De garantir un niveau certifié en IA pour chaque salarié
2. De prendre des mesures pour favoriser la maîtrise de l’IA de l’équipe
3. De déclarer chaque usage de l’IA à l’administration

Question 5 — Vous publiez une vue réaliste d’une terrasse entièrement générée par l’IA. Vous :

1. La présentez comme une vraie réalisation
2. Indiquez clairement qu’il s’agit d’une image générée par l’IA
3. Ne la publiez jamais, c’est interdit

Question 6 — Une entreprise qui utilise un assistant d’IA est, au sens de l’AI Act :

1. Un fournisseur
2. Un déployeur
3. Un organisme notifié

Voir les réponses et les explications

Réponses : 1→2 · 2→1 · 3→2 · 4→2 · 5→2 · 6→2

Explications.

1. Ce sont les trois principes de la partie 1.
2. On ne traite que ce qui est nécessaire.
3. Vous restez responsable ; le contrat encadre ce que fait l’éditeur.
4. Depuis juillet 2026, c’est une obligation de moyens, sans niveau garanti par personne.
5. L’article 50 impose de signaler les hypertrucages.
6. Le fournisseur conçoit l’outil, le déployeur l’utilise.

Exercices

Exercice — Votre mini-registre (3 min) Listez les outils d’IA utilisés dans votre entreprise. Pour chacun, notez : pour quoi faire, avec quelles données (vertes, orange remplacées, réelles), compte personnel ou offre professionnelle avec contrat.

Corrections des exercices

Exercice — Une ligne cohérente : « Assistant d’IA, offre d’équipe avec contrat : comptes rendus et descriptifs, données clients remplacées. » Une ligne à corriger : « Compte gratuit personnel : devis avec noms et adresses des clients. » Chaque ligne « réelles » doit correspondre à une offre professionnelle avec contrat.

Annexe — Carnet IA chantier, page 5 : mes obligations

Mes outils et leur cadre (personnel ou professionnel, contrat ou non) : ___

Ce que je dis à mes clients sur leurs données : ___

Mes mesures pour la maîtrise de l’IA de l’équipe (formation, règles, référent) : ___

Images générées par l’IA : je les signale toujours ☐

Ce chapitre a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.