Déployer des agents IA n'est pas qu'un sujet technique. C'est aussi un sujet de conformité et de dialogue social. Voici les obligations qui comptent vraiment aujourd'hui, les échéances à tenir, et ce que nous intégrons dès la conception.
Quatre corps de règles se combinent : le règlement européen sur l'IA (AI Act), le RGPD, le droit du travail (consultation du CSE) et votre gouvernance interne (charte IA). Naviguez par thème.
Deux idées reçues à écarter. La conformité IA ne concerne pas que les grands groupes : la transparence et la formation s'imposent à toute organisation qui utilise l'IA, sans seuil de taille. Et ce n'est pas qu'une affaire d'échéance lointaine : plusieurs obligations sont déjà applicables et sanctionnables.
L'AI Act classe les usages par niveau de risque. La plupart des entreprises sont d'abord concernées par deux obligations transverses : la transparence et la formation. Le haut risque ne vise que certains systèmes, quelle que soit la taille de l'entreprise.
Toute organisation qui utilise l'IA au travail doit garantir un niveau suffisant de maîtrise chez les personnes concernées.
Signaler qu'une personne interagit avec une IA, et marquer les contenus générés ou modifiés par IA (texte, image, audio, vidéo).
Certains usages sont prohibés depuis le 2 février 2025, sans report possible.
Usages sensibles soumis à des obligations renforcées, applicables au 2 décembre 2027.
La décision concernant une personne reste humaine. L'IA prépare ou structure, sous validation renforcée. C'est écrit noir sur blanc dans la charte, et vérifiable dans les traces d'exécution.
Textes officiels
L'IA ne crée pas un régime dérogatoire au RGPD : dès qu'un traitement porte sur des données personnelles, le règlement s'applique pleinement. Le risque principal vient des outils grand public dans lesquels des données sensibles sont collées sans encadrement.
Consentement, intérêt légitime, exécution d'un contrat, obligation légale : chaque usage de l'IA sur des données personnelles doit reposer sur une base juridique identifiée et documentée.
Limiter les données transmises à l'IA au strict besoin, privilégier l'anonymisation ou la pseudonymisation, et proscrire l'envoi de données sensibles vers des services non maîtrisés.
Les personnes concernées doivent être informées d'un traitement par IA, de sa finalité, et de leurs droits (accès, rectification, opposition). Une décision entièrement automatisée est strictement encadrée.
Un traitement susceptible d'engendrer un risque élevé pour les droits des personnes impose une analyse d'impact relative à la protection des données, avant sa mise en oeuvre.
Vérifier où sont hébergées et traitées les données, encadrer les transferts hors Union européenne, et contractualiser les responsabilités avec chaque fournisseur d'IA.
Associer le délégué à la protection des données dès le cadrage d'un projet IA, tenir le registre des traitements à jour, et documenter les mesures de sécurité mises en place.
Textes officiels
Déployer un outil d'IA générative auprès des salariés peut constituer l'introduction d'une technologie nouvelle au sens de l'article L2312-8 du Code du travail, ce qui impose une information-consultation préalable du comité social et économique.
La Cour a suspendu l'usage de ChatGPT et d'un assistant interne faute de consultation du CSE, sous astreinte de 1 000 € par jour, avec dommages-intérêts provisionnels (RG 25/13232 et 25/13234).
Le tribunal judiciaire de Nanterre (29 janvier 2026) a confirmé qu'une expérimentation intégrant de l'IA reste un projet important. Lancer un test sur une équipe relève déjà de la consultation.
Ce qui est sanctionné, c'est l'absence de dialogue social autour du déploiement. Vous gardez la main sur le choix des outils : c'est la méthode d'introduction qui est encadrée.
Le CSE dispose d'un délai d'examen et doit recevoir une information écrite précise. Mieux vaut prévoir ce délai dès le cadrage plutôt que de le découvrir en référé, au milieu du déploiement.
Textes officiels
Aucune loi n'impose nommément une charte IA, mais c'est le moyen le plus simple de traduire l'AI Act et le RGPD en règles concrètes pour le quotidien des équipes. Elle réduit le risque et accélère l'adoption : un cadre clair lève l'incertitude.
Une grille d'usage lisible en trois couleurs
Ce qu'une charte utile contient
À qui s'adresse la charte, les outils visés, et les engagements directeurs : protection des données, validation humaine, transparence, respect du cadre légal.
La liste des solutions homologuées, la procédure pour en ajouter, les catégories de données autorisées et la règle d'or sur les données sensibles.
Un référent IA nommé, un canal pour poser une question, et une relecture au moins annuelle, car les outils et les usages évoluent vite.
Chez Lynakor, ces exigences ne sont pas un supplément juridique ajouté après coup. Elles structurent la façon dont nous construisons et opérons vos agents : infrastructure souveraine, supervision humaine, traçabilité et cadrage des usages avec vos équipes.