Encadrement juridique de l'intelligence artificielle : ce que les entreprises doivent anticiper
Un responsable technique qui déploie un outil d'intelligence artificielle sans avoir cartographié ses obligations légales s'expose à des sanctions administratives, à un risque de contrefaçon et à la remise en cause des droits sur les résultats produits. Ce n'est pas une hypothèse d'école.
L'encadrement juridique de l'intelligence artificielle repose aujourd'hui sur deux piliers convergents : le règlement européen sur l'intelligence artificielle (dit AI Act), dont les premières obligations sont entrées en application de façon progressive, et le cadre existant – Règlement général sur la protection des données (RGPD), droit de la propriété intellectuelle, droit des contrats – que les systèmes d'IA mobilisent ou bouleversent. Les entreprises qui traitent des données personnelles, produisent des contenus générés automatiquement ou s'appuient sur des modèles tiers sont directement concernées, quelle que soit leur taille.
Cette note fait le point sur ce qui change concrètement, sur les obligations nouvelles et sur les actions de préparation que direction et DSI doivent engager dès maintenant.
Pourquoi l'encadrement juridique de l'intelligence artificielle concerne-t-il votre entreprise dès aujourd'hui ?
L'AI Act désigne le règlement (UE) 2024/1689 du Parlement européen et du Conseil, publié au Journal officiel de l'Union européenne et applicable progressivement à compter de l'entrée en vigueur du texte. Il s'adresse à tout opérateur – fournisseur, déployeur, importateur ou distributeur – qui met sur le marché ou utilise un système d'IA dans l'Union européenne. La distinction entre ces qualités n'est pas seulement nominale : elle détermine le périmètre des obligations et la responsabilité applicable.
Dans notre pratique des dossiers de transformation numérique, nous observons que la majorité des entreprises se trouvent simultanément dans la position de déployeur (elles utilisent des modèles tiers) et, pour certaines, de fournisseur (elles développent ou adaptent un modèle pour le proposer à d'autres). Cette double qualification appelle une analyse distincte pour chaque usage identifié.
Le texte classe les systèmes d'IA selon un niveau de risque : risque inacceptable (pratiques interdites), risque élevé (obligations renforcées), risque limité (obligations de transparence) et risque minimal. Un outil de recrutement automatisé ou un système d'évaluation de solvabilité entrent, à titre d'exemple, dans la catégorie à risque élevé. La qualification commande toute la stratégie de conformité.
Les dispositions relatives aux pratiques interdites s'appliquent depuis le début de la période d'application, tandis que les obligations pesant sur les systèmes à risque élevé suivent un calendrier échelonné. Attendre que toutes les échéances soient connues pour commencer l'audit est une erreur de temporalité : les délais de mise en conformité courent souvent à partir de dates antérieures à la pleine effectivité des sanctions.
Vous identifiez un usage d'IA dans votre entreprise et ne savez pas dans quelle catégorie il se classe ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des autorités de contrôle compétentes. Pour une première analyse de qualification, écrivez-nous à contact@vernaylestang.com.
Quelles obligations nouvelles l'AI Act impose-t-il concrètement aux déployeurs ?
Un déployeur d'un système à risque élevé est tenu de mettre en place une surveillance humaine effective, de tenir une documentation technique du système utilisé, d'informer les personnes concernées lorsque le système les affecte et, dans certains cas, d'effectuer une évaluation de l'impact avant déploiement.
Ces obligations se superposent à celles que le RGPD fait déjà peser sur le traitement de données personnelles. Le RGPD – dont les obligations en matière de protection des données désignent un corps de règles issu du règlement (UE) 2016/679 – impose, entre autres, une base légale pour tout traitement, une durée de conservation proportionnée et, lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, la réalisation d'une analyse d'impact relative à la protection des données (AIPD). Or un système d'IA alimenté par des données personnelles déclenche presque systématiquement cette obligation. Nous accompagnons régulièrement des équipes informatiques qui ignoraient que l'entraînement ou l'utilisation fine d'un modèle sur leurs propres données clients constituait un traitement à part entière, soumis à l'ensemble du régime.
La CNIL – autorité de contrôle nationale – a précisé sa doctrine sur les interactions entre IA et protection des données. Elle a notamment insisté sur la nécessité d'identifier précisément le responsable de traitement lorsque plusieurs acteurs (fournisseur du modèle et déployeur) interviennent dans la chaîne. La mise en place d'accords de coresponsabilité ou de clauses contractuelles adaptées est, dans ce contexte, incontournable.
Pour les obligations RGPD et la mise en conformité des traitements de données, le point de départ est l'inventaire : registre des activités de traitement mis à jour, base légale vérifiée pour chaque usage IA, AIPD conduite ou actualisée pour les traitements à risque élevé.
Intelligence artificielle et propriété intellectuelle : qui est titulaire des résultats générés ?
La question de la titularité des œuvres ou résultats produits par un système d'IA est l'une des plus vives du droit de la propriété intellectuelle actuel. En droit français, les dispositions du Code de la propriété intellectuelle subordonnent la protection par le droit d'auteur à l'existence d'une création originale reflétant la personnalité de son auteur, qui ne peut être qu'une personne physique. Un texte, une image ou un code généré de façon entièrement automatisée ne bénéficie donc pas, en l'état du droit positif, d'une protection par le droit d'auteur au profit de l'entreprise qui a activé le système.
Cette limite est opérationnellement significative. Plusieurs conséquences pratiques en découlent :
- Un contenu entièrement généré par IA et publié sans intervention créative humaine identifiable appartient, en droit français, au domaine public dès sa création – tout concurrent peut le reproduire librement.
- La contrefaçon peut être caractérisée en sens inverse : si le modèle a été entraîné sur des œuvres protégées sans autorisation des titulaires, l'entreprise déployeuse s'expose à une action en contrefaçon devant les juridictions civiles ou pénales compétentes.
- Les clauses de cession ou de licence des conditions générales du fournisseur du modèle déterminent ce que l'entreprise peut faire des résultats générés. Une lecture attentive de ces clauses est indispensable avant tout usage commercial.
Dans notre pratique de la protection des actifs immatériels, nous observons une tendance des contrats de fournisseur à revendiquer une licence large sur les données transmises à l'occasion des requêtes. Cette clause peut affecter la confidentialité de données sensibles, voire transférer des droits sur des éléments qui constituent le cœur de métier de l'entreprise utilisatrice.
Illustration pratique
Au cours d'une mission conduite pour une entreprise de services aux entreprises (Région Île-de-France, printemps 2025), nous avons analysé les conditions générales du fournisseur d'un outil de génération de contenus marketing. L'audit a mis en évidence une clause accordant au fournisseur une licence mondiale sur l'ensemble des données transmises via l'interface, incluant les briefs clients. La renégociation contractuelle a permis de circonscrire cette cession à ce qui était strictement nécessaire à la fourniture du service.
Quels risques la non-conformité fait-elle peser sur la direction et la DSI ?
Le non-respect des obligations posées par l'AI Act expose les opérateurs à des sanctions administratives dont le niveau est, selon les catégories d'infraction, significativement plus élevé que les seuils connus en matière de protection des données. Les autorités de surveillance nationales désignées pour l'AI Act disposeront de pouvoirs d'enquête et d'injonction.
Sur le terrain du RGPD, la CNIL peut prononcer des sanctions pécuniaires et ordonner la cessation d'un traitement. Les sanctions de la CNIL pour non-respect des obligations de protection des données sont définies par les dispositions du RGPD et de la loi Informatique et Libertés : les montants maximaux sont calculés en pourcentage du chiffre d'affaires mondial de l'entité – un paramètre à intégrer dans l'analyse de risque de toute direction financière.
Au-delà des sanctions administratives, la direction personnelle et la DSI sont exposées à plusieurs types de risques :
- Responsabilité civile en cas de préjudice causé à un tiers du fait d'un traitement automatisé non conforme.
- Risque réputationnel et contractuel : certains donneurs d'ordre ou partenaires exigent désormais une attestation de conformité IA dans leurs appels d'offres.
- Action en contrefaçon initiée par un titulaire de droits dont les œuvres auraient servi à l'entraînement ou à la génération, sans autorisation.
Nous accompagnons régulièrement des équipes juridiques qui découvrent, lors d'un audit préalable à une opération de fusion-acquisition, que des pratiques d'IA non documentées créent un passif de conformité susceptible d'affecter la valorisation ou les conditions de la transaction.
Une démarche antérieure n'a pas produit le résultat attendu ou un audit a révélé des lacunes ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner l'application de l'AI Act et du RGPD à vos traitements, contactez-nous à contact@vernaylestang.com.
Comment qualifier et cartographier les systèmes d'IA présents dans l'entreprise ?
La cartographie des usages est le préalable indispensable à toute démarche de conformité : sans inventaire fiable des systèmes déployés, aucune qualification de risque n'est possible. Cette étape relève d'une coopération entre la DSI, la direction juridique et les métiers utilisateurs.
La qualification d'un système au regard de l'AI Act requiert d'examiner, pour chaque outil : sa définition fonctionnelle (génère-t-il des sorties – textes, images, recommandations, décisions – à partir d'objectifs définis ?), l'usage concret dans l'entreprise, l'identité du fournisseur et la qualité de l'entreprise (fournisseur, déployeur, ou les deux), et l'existence d'une interaction avec des données personnelles.
Pour orienter l'analyse :
- Situation A : outil d'IA générative utilisé uniquement sur des données internes anonymisées, sans interaction avec des tiers → risque limité ; obligation principale : information des utilisateurs internes et vérification des conditions contractuelles du fournisseur.
- Situation B : système d'aide à la décision RH (recrutement, évaluation, gestion des temps) ou de scoring commercial utilisant des données personnelles → risque élevé probable ; obligations : documentation technique, AIPD, surveillance humaine, information des personnes concernées.
- Situation C : modèle développé ou finement paramétré en interne et mis à disposition d'autres entités du groupe → qualification de fournisseur possible ; obligations les plus lourdes, incluant la conformité technique avant mise sur le marché interne.
Les secrets d'affaires et la protection des informations transmises aux modèles rejoignent ici la question de la protection des secrets d'affaires, qui mérite une attention particulière dans la rédaction des contrats avec les fournisseurs d'IA.
Quelles actions de préparation engager en priorité ?
Préparer la conformité à l'encadrement juridique de l'intelligence artificielle ne requiert pas d'attendre la pleine effectivité de toutes les dispositions de l'AI Act : les bases du RGPD, de la propriété intellectuelle et du droit des contrats s'appliquent dès aujourd'hui et plusieurs vecteurs de risque sont immédiatement actifs.
Check-list « ce qu'il faut préparer »
- Inventaire des systèmes d'IA déployés ou en cours de déploiement, avec qualification par niveau de risque.
- Mise à jour du registre des activités de traitement (RGPD) pour y intégrer les traitements liés à l'IA, avec identification de la base légale et vérification de la nécessité d'une AIPD.
- Audit des contrats fournisseurs : clauses de cession de données, de propriété des résultats générés et de confidentialité.
- Définition d'une politique interne d'usage de l'IA, précisant les usages autorisés, les données pouvant être transmises à des systèmes tiers et les procédures de validation humaine pour les décisions à impact.
- Formation des équipes concernées (DSI, RH, direction commerciale, direction juridique) aux obligations et aux réflexes de signalement.
Illustration pratique
Dans le cadre d'un accompagnement récent (Lyon, automne 2025), nous avons assisté une ETI du secteur de la santé dans la mise en place d'une politique interne d'usage de l'IA et dans la révision de ses contrats fournisseurs. La démarche a permis d'identifier deux outils présentant des caractéristiques de systèmes à risque élevé au sens de l'AI Act, dont l'un nécessitait la réalisation d'une AIPD spécifique et la mise en place d'une supervision humaine formalisée avant poursuite du déploiement.
Idée reçue : « l'AI Act ne s'applique qu'aux grandes entreprises ou aux fournisseurs de technologie »
Cette idée reçue est l'une des plus répandues parmi les dirigeants d'ETI et de PME. Elle est inexacte sur deux points essentiels.
D'abord, l'AI Act s'applique à toute entreprise qui déploie un système d'IA pour son propre compte dans l'Union européenne, quel que soit son secteur d'activité ou sa taille. Les PME bénéficient de certains allègements procéduraux, notamment en matière de documentation, mais elles ne sont pas exonérées des obligations de fond lorsqu'elles utilisent des systèmes à risque élevé.
Ensuite, le RGPD – en vigueur depuis 2018 – et les règles de propriété intellectuelle s'appliquent sans seuil de taille. Une TPE qui utilise un outil de génération automatique de textes pour traiter des données personnelles de ses clients est soumise aux mêmes obligations de base légale, d'information et d'AIPD qu'un groupe international.
La spécificité des PME est ailleurs : la probabilité d'un contrôle est certes statistiquement différente, mais les risques de contrefaçon, de perte de confidentialité et de remise en cause des droits sur les productions sont identiques. Dans notre pratique, la prise de conscience de ces enjeux intervient souvent à l'occasion d'un litige ou d'une due diligence (diligence raisonnable), c'est-à-dire trop tard pour éviter le préjudice.
La conformité au programme Sapin II et aux obligations de conformité générale peut utilement s'articuler avec la gouvernance IA. Le guide pratique sur la mise en place d'un programme de conformité détaille les méthodes transposables.
Domaines liés
- Mise en conformité RGPD – audit des traitements, AIPD et accompagnement à la conformité données
- Protection des secrets d'affaires – sécurisation des informations sensibles transmises à des outils tiers
FAQ – Encadrement juridique de l'intelligence artificielle
1. Quels documents ou process mettre à jour ?
Les documents prioritaires sont le registre des activités de traitement (RGPD), les AIPD pour les traitements à risque élevé impliquant un système d'IA, les contrats fournisseurs (clauses de cession de données et de propriété des résultats), la politique interne d'usage de l'IA et les formulaires d'information destinés aux personnes concernées. Ces mises à jour relèvent des dispositions du RGPD et de l'AI Act, qui exigent une documentation proportionnée au niveau de risque du système.
2. Qui est concerné par encadrement juridique de l'intelligence artificielle ?
Toute entreprise qui déploie ou utilise un système d'intelligence artificielle dans l'Union européenne est concernée par l'AI Act, quels que soient sa taille et son secteur. Les fournisseurs de modèles, les déployeurs et les distributeurs sont visés, chacun avec des obligations spécifiques. Les entreprises qui traitent des données personnelles via un système d'IA sont également soumises aux obligations du RGPD, sans seuil de taille ni de chiffre d'affaires.
3. Quelles nouvelles obligations cela implique-t-il ?
L'AI Act impose, pour les systèmes à risque élevé, une documentation technique, une surveillance humaine effective, une évaluation préalable au déploiement et l'information des personnes affectées. Le RGPD ajoute, pour tout traitement de données personnelles par un système d'IA, l'obligation d'identifier une base légale, de réaliser une AIPD si le risque est élevé et de conclure des accords adaptés avec les co-responsables de traitement. Le droit de la propriété intellectuelle exige, pour chaque usage commercial de contenus générés par IA, une vérification des droits sur les données d'entraînement et des conditions contractuelles du fournisseur.
4. Quelles sanctions en cas de non-conformité ?
Le non-respect des obligations de l'AI Act expose à des sanctions administratives dont le niveau varie selon la gravité de l'infraction et la catégorie concernée – les infractions les plus graves, comme l'utilisation de pratiques interdites, entraînent les sanctions les plus élevées. La CNIL peut, sur le fondement du RGPD et de la loi Informatique et Libertés, prononcer des amendes dont le montant maximal est calculé en pourcentage du chiffre d'affaires mondial de l'entreprise. Une action en contrefaçon initiée par un titulaire de droits peut en outre conduire à des dommages et intérêts et à l'interdiction de l'usage litigieux.
5. L'encadrement juridique de l'IA affecte-t-il les relations contractuelles avec les clients et partenaires ?
L'encadrement juridique de l'IA affecte directement les contrats commerciaux à plusieurs égards : les clauses de propriété intellectuelle sur les livrables générés automatiquement doivent être réexaminées, les accords de confidentialité doivent couvrir les données transmises à des outils tiers, et certains donneurs d'ordre intègrent désormais des exigences de conformité IA dans leurs conditions d'achat. Les dispositions du Code de commerce et du Code civil relatives aux obligations contractuelles s'appliquent, sans préjudice des régimes sectoriels spécifiques.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang intervient en droit de la propriété intellectuelle, numérique et des données, en droit des sociétés et des opérations ainsi qu'en contentieux commercial. Nous accompagnons les directions juridiques et les DSI dans la qualification des usages d'IA, l'audit de conformité RGPD et la révision des contrats fournisseurs de technologie. Notre approche est fondée sur l'analyse documentaire, la connaissance des pratiques des autorités de contrôle et la sécurisation contractuelle des actifs immatériels.
Pour une analyse de votre situation au regard de l'encadrement juridique de l'intelligence artificielle, écrivez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron
Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social et de restructurations sociales. Elle contribue également aux travaux du cabinet en conformité numérique et en gestion des actifs immatériels des entreprises en transformation.
Voir le profil · Publié le 15 juin 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.