Intelligence artificielle et cadre juridique des entreprises : risques et leviers
Le déploiement d'outils d'intelligence artificielle au sein des entreprises françaises soulève des questions juridiques que ni la direction générale ni la DSI ne peuvent écarter. Le règlement européen sur l'intelligence artificielle – dit AI Act – est entré en application de manière progressive depuis 2024, et ses premières obligations pèsent déjà sur les entreprises qui développent ou déploient des systèmes à risque élevé. En parallèle, le droit des données personnelles, la propriété intellectuelle, la responsabilité civile et le droit du travail forment un cadre composite qui exige une lecture transversale.
Ce dossier examine les risques principaux, les leviers de sécurisation et les points de vigilance pour les directions opérationnelles. Il couvre : le cadre normatif applicable, les enjeux de gouvernance des données, la titularité des créations générées par IA, la responsabilité en cas de dommage, les implications sociales et la démarche d'audit préalable.
Pourquoi l'intelligence artificielle et le cadre juridique des entreprises forment-ils désormais un enjeu incontournable ?
L'intelligence artificielle désigne, dans la terminologie du droit européen, tout système fondé sur des techniques d'apprentissage automatique ou de logique symbolique qui génère des résultats – recommandations, décisions, contenus – pouvant affecter des personnes physiques ou des personnes morales. Le règlement européen sur l'IA, adopté en 2024, constitue le premier texte de droit primaire à encadrer spécifiquement ces systèmes au sein du marché intérieur. Il s'applique à toute entreprise qui place un système sur le marché européen ou l'utilise, quelle que soit sa nationalité.
L'enjeu économique est réel. Les directions qui ignorent le cadre applicable s'exposent à des sanctions administratives, à des contentieux civils et, le cas échéant, à des mises en cause pénales. Dans notre pratique, nous observons que la majorité des directions juridiques n'ont pas encore réalisé un inventaire systématique des systèmes d'IA actifs dans leur entreprise. Cette lacune est le premier facteur de risque.
Le calendrier est structurant. Les interdictions absolues – manipulation cognitive, notation sociale généralisée – s'appliquent depuis le début de l'année 2025. Les obligations relatives aux systèmes à risque élevé, qui concernent notamment les outils de recrutement automatisé, de scoring de crédit ou de contrôle de performance au travail, entrent en vigueur de façon progressive. Les entreprises qui n'ont pas encore qualifié leurs outils n'ont pas encore identifié leur niveau de conformité requis.
Identifier vos systèmes d'IA et leur niveau de risque au regard du règlement européen est la première étape indispensable. Si votre DSI ou votre équipe juridique n'a pas encore réalisé cet inventaire, les sections suivantes vous indiquent la méthode. Pour une analyse de votre situation au regard du cadre juridique de l'intelligence artificielle, écrivez-nous à contact@vernaylestang.com.
Quel est le cadre normatif applicable à l'IA en France et en Europe ?
Le droit applicable aux systèmes d'intelligence artificielle en entreprise résulte de l'articulation de plusieurs branches : le règlement européen sur l'IA (texte de droit public économique), le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés pour les traitements de données personnelles, le Code de la propriété intellectuelle pour les créations générées ou assistées par IA, le Code civil pour la responsabilité extracontractuelle, et le Code du travail pour les dispositifs automatisés de gestion du personnel.
Le règlement européen sur l'IA introduit une classification par niveau de risque. Les systèmes interdits sont listés exhaustivement. Les systèmes à risque élevé sont soumis à des obligations de transparence, de documentation technique, de surveillance humaine et d'enregistrement dans une base de données européenne. Les systèmes à risque limité font l'objet d'obligations d'information. Les systèmes à risque minimal restent soumis aux seules exigences générales du droit commun.
Le RGPD, de son côté, encadre toute décision automatisée susceptible d'affecter significativement une personne physique. Les dispositions du Code civil relatives à la responsabilité du fait des produits et des activités dangereuses sont également mobilisables. Une proposition de directive européenne sur la responsabilité en matière d'IA est en cours d'examen, ce qui signifie que le droit de la responsabilité applicable aux systèmes d'IA se trouve dans une phase de transition.
La analyse approfondie du cadre juridique applicable à l'IA en entreprise détaille les articulations entre ces textes et les obligations concrètes qui en résultent.
Quels risques juridiques l'IA fait-elle peser sur la direction et la DSI ?
Les risques juridiques liés à l'intelligence artificielle se répartissent en quatre catégories pour une direction et une DSI : risques de conformité réglementaire, risques liés aux données personnelles, risques de propriété intellectuelle et risques contractuels.
Sur la conformité réglementaire, l'absence de qualification des systèmes déployés constitue un risque immédiat. Une entreprise qui utilise un outil de recrutement automatisé sans avoir vérifié s'il relève de la catégorie à risque élevé définie par le règlement européen s'expose à des mesures de mise en conformité et, en cas de manquement persistant, à des sanctions administratives. La CNIL a compétence pour contrôler le respect des règles relatives aux traitements de données personnelles intégrés dans ces systèmes.
Sur les données personnelles, tout système d'IA alimenté par des données de salariés, de clients ou de prospects constitue un traitement au sens du RGPD. L'entreprise doit disposer d'une base légale, avoir réalisé une analyse d'impact si le traitement présente un risque élevé, et informer les personnes concernées. La CNIL dispose d'un pouvoir de contrôle et peut prononcer des sanctions dont l'assiette est calculée sur le chiffre d'affaires mondial. Ces sanctions peuvent être significatives.
Sur la propriété intellectuelle, deux questions se posent. Première question : qui est titulaire des créations générées par un système d'IA ? Le Code de la propriété intellectuelle, tel qu'interprété par la jurisprudence constante de la Cour de cassation, réserve la protection du droit d'auteur aux œuvres de l'esprit résultant d'un effort créatif humain. Une œuvre entièrement générée par un algorithme ne bénéficie pas de la protection automatique du droit d'auteur. Deuxième question : l'entraînement d'un modèle sur des données tierces peut-il constituer une violation de droits existants ? La réponse dépend de la nature des données et des licences applicables. Ces deux questions doivent être tranchées avant tout déploiement commercial d'un outil génératif.
Sur les risques contractuels, les contrats informatiques conclus avant l'essor de l'IA générative ne prévoient généralement pas de disposition relative aux données d'entraînement, à la propriété des sorties ou à la responsabilité en cas d'erreur du système. Cette lacune doit être corrigée lors de chaque nouveau contrat ou renouvellement.
Dans notre pratique, nous avons accompagné, au printemps 2025, une direction juridique d'un groupe de services basé à Lyon qui avait intégré un outil d'analyse automatisée des CV dans son processus de recrutement. La qualification de cet outil comme système à risque élevé au sens du règlement européen sur l'IA n'avait pas été réalisée. Nous avons conduit l'inventaire, établi la documentation technique requise et révisé les mentions d'information destinées aux candidats.
Comment l'IA affecte-t-elle la gouvernance des données personnelles ?
L'intelligence artificielle et la protection des données personnelles sont indissociables dès lors que les systèmes déployés traitent des informations relatives à des personnes physiques, qu'il s'agisse de salariés, de clients ou de tiers. Les dispositions du Règlement général sur la protection des données et de la loi Informatique et Libertés s'appliquent pleinement à ces traitements.
La première difficulté pratique réside dans la qualification de la base légale. L'intérêt légitime, le consentement et l'exécution d'un contrat sont les bases les plus fréquemment invoquées. Mais l'automatisation de décisions individuelles – licenciement, scoring, sélection – impose des contraintes spécifiques : le droit à l'intervention humaine, le droit à l'explication et le droit d'opposition ne peuvent être contractuellement écartés.
La deuxième difficulté concerne les transferts de données. Lorsqu'un système d'IA est hébergé ou entraîné par un prestataire établi hors de l'Union européenne, les données personnelles qu'il traite font l'objet d'un transfert international soumis aux garanties appropriées requises par le RGPD. Les clauses contractuelles types approuvées par la Commission européenne restent l'instrument le plus courant, mais leur mise en œuvre suppose une analyse des pratiques locales de surveillance du prestataire.
Nous accompagnons régulièrement des DSI dans la mise à jour de leur registre des traitements pour y intégrer les outils d'IA déployés par les métiers, souvent sans intervention préalable de la direction juridique. Cet angle mort est l'une des sources de risque les plus fréquentes que nous observons.
Si une démarche de conformité RGPD a déjà été conduite mais ne couvre pas encore les systèmes d'IA, un audit ciblé permet d'identifier les traitements non déclarés et de corriger les lacunes. Pour examiner l'application des exigences de gouvernance des données à vos outils d'IA, contactez-nous à contact@vernaylestang.com.
Quelle est la portée des enjeux de propriété intellectuelle liés à l'IA ?
La question de la protection et de la titularité des actifs immatériels devient centrale dès lors qu'une entreprise utilise un outil d'intelligence artificielle pour créer du contenu, développer du code, concevoir des produits ou produire des analyses. Le cadre juridique applicable repose sur les dispositions du Code de la propriété intellectuelle, telles qu'interprétées par la jurisprudence constante des juridictions françaises et européennes.
Trois situations méritent une attention particulière.
Première situation : l'entreprise utilise un outil d'IA tiers pour générer du contenu. Dans ce cas, la convention avec le fournisseur détermine qui détient les droits sur les sorties. Certains contrats attribuent les droits à l'utilisateur, d'autres les conservent au fournisseur ou restent muets. Une clause contractuelle mal rédigée peut priver l'entreprise de la capacité d'exploiter commercialement les contenus générés.
Deuxième situation : l'entreprise développe son propre modèle. Les données d'entraînement constituent un actif en elles-mêmes. Si ces données incluent des œuvres protégées par le droit d'auteur ou des bases de données protégées par le droit sui generis, leur utilisation sans autorisation expose l'entreprise à des actions en contrefaçon. L'exception de fouille de textes et de données introduite par la directive sur le droit d'auteur dans le marché numérique s'applique sous conditions, et son périmètre est encore l'objet d'interprétations divergentes.
Troisième situation : un salarié utilise un outil d'IA pour produire des livrables dans le cadre de ses fonctions. La question de la titularité des droits sur ces livrables n'est pas automatiquement résolue par le Code du travail, qui confère à l'employeur les droits sur les logiciels créés par ses salariés dans l'exercice de leurs fonctions, mais ne couvre pas de la même manière toutes les créations assistées par IA.
Quelles implications sociales le déploiement de l'IA entraîne-t-il pour l'employeur ?
Le déploiement de systèmes d'intelligence artificielle dans la gestion du personnel déclenche des obligations spécifiques au titre du Code du travail et des accords collectifs applicables. La consultation du comité social et économique (CSE) est requise lorsqu'un outil de surveillance ou d'évaluation automatisée des salariés est introduit, dès lors qu'il affecte les conditions de travail ou la situation de l'emploi.
Cette obligation de consultation n'est pas une formalité. Dans notre pratique, nous observons que des employeurs ayant déployé des outils d'analyse de productivité ou de scoring comportemental sans consultation préalable ont fait face à des recours en annulation des délibérations concernées et à des demandes de suspension de l'outil. Le tribunal judiciaire peut ordonner la suspension à titre conservatoire.
Par ailleurs, le règlement européen sur l'IA prévoit des dispositions spécifiques pour les systèmes utilisés dans le contexte de l'emploi – recrutement, évaluation de la performance, promotion, licenciement –, qui sont classés en risque élevé. L'employeur qui déploie ces outils doit assurer une surveillance humaine effective, tenir une documentation technique et garantir la possibilité d'un recours.
La négociation d'un accord d'entreprise sur l'usage de l'IA est une démarche que certaines directions des ressources humaines ont d'ores et déjà engagée. Elle présente l'avantage de sécuriser le déploiement et de définir un cadre de confiance avec les représentants du personnel, réduisant ainsi le risque de contentieux ultérieur.
À l'automne 2025, nous avons assisté une entreprise de la région parisienne dans la préparation de la consultation de son CSE préalablement au déploiement d'un outil d'évaluation continue des performances commerciales fondé sur un modèle d'apprentissage automatique. La préparation du dossier de présentation, l'identification des risques et la rédaction des réponses aux questions du comité ont permis d'aboutir à un avis favorable dans les délais légaux.
Quels leviers juridiques permettent de sécuriser le déploiement de l'IA ?
Face aux risques identifiés, plusieurs leviers juridiques permettent de structurer un déploiement sécurisé des systèmes d'intelligence artificielle au sein d'une entreprise.
Le premier levier est l'inventaire et la qualification des systèmes. Recenser tous les outils d'IA actifs – qu'ils soient développés en interne, acquis auprès de tiers ou utilisés en mode SaaS – et les qualifier selon la grille de risque du règlement européen est la condition préalable à toute démarche de conformité. Sans cet inventaire, aucune décision de gouvernance n'est fondée.
Le deuxième levier est la révision des contrats informatiques. Les contrats avec les fournisseurs de systèmes d'IA doivent prévoir explicitement : la propriété des données d'entrée et des sorties, les conditions d'utilisation des données à des fins d'entraînement, les garanties de confidentialité, les obligations de documentation technique et la répartition de la responsabilité en cas de dommage causé par le système. Un cadre contractuel adapté est un actif de gouvernance, pas seulement une formalité administrative.
Le troisième levier est la mise à jour de la politique de protection des données. Le registre des traitements doit intégrer tous les systèmes d'IA traitant des données personnelles. Les analyses d'impact doivent être réalisées pour les traitements à risque élevé. Les mentions d'information doivent être mises à jour.
Le quatrième levier est la formation des équipes. La direction, la DSI et les fonctions qui déploient ou supervisent des outils d'IA doivent comprendre les obligations qui leur incombent. Une politique d'usage interne de l'IA – définissant les usages autorisés, les données qui peuvent être saisies dans un système tiers et les procédures de signalement en cas d'anomalie – réduit significativement le risque d'exposition.
Le cinquième levier est la veille réglementaire. Le droit applicable à l'IA est en cours de consolidation. Le calendrier d'application du règlement européen sur l'IA impose des jalons progressifs. La directive sur la responsabilité liée à l'IA n'est pas encore adoptée. Les lignes directrices de la CNIL et des autorités homologues évoluent. Une veille structurée est indispensable.
Pour les entreprises dont l'activité implique des enjeux de droit de la concurrence liés à l'utilisation de l'IA – par exemple, l'utilisation d'algorithmes de tarification dynamique ou d'analyse des comportements concurrentiels –, les dispositions du droit de la concurrence s'appliquent également. Une analyse au regard du droit de la concurrence peut être nécessaire.
Matrice de décision et check-list opérationnelle
La situation d'une entreprise au regard du cadre juridique de l'IA se lit à travers quelques axes structurants :
Situation A – L'entreprise utilise un système d'IA tiers en mode SaaS, sans traitement de données personnelles sensibles ni décision automatisée affectant des personnes : risque limité – révision contractuelle ciblée, mise à jour du registre des traitements, information des personnes concernées.
Situation B – L'entreprise déploie un outil de recrutement, d'évaluation ou de scoring des salariés : risque élevé au sens du règlement européen sur l'IA – documentation technique obligatoire, surveillance humaine, consultation du CSE, analyse d'impact RGPD, enregistrement dans la base de données européenne à terme.
Situation C – L'entreprise développe un modèle propriétaire entraîné sur des données clients ou des corpus tiers : risque élevé ou intermédiaire selon l'usage – audit des droits sur les données d'entraînement, qualification des sorties au regard du droit d'auteur, révision des conditions générales.
Situation D – L'entreprise utilise un outil d'IA générative pour produire du contenu commercialisé : risque intermédiaire à élevé selon le secteur – analyse de la titularité des sorties, vérification des licences du fournisseur, information des destinataires si requis par la réglementation sectorielle.
Ce qu'il faut préparer – check-list opérationnelle :
- Inventaire complet des systèmes d'IA actifs dans l'entreprise (développés, acquis ou utilisés en SaaS), avec qualification du niveau de risque selon le règlement européen sur l'IA.
- Mise à jour du registre des traitements RGPD pour intégrer tous les traitements de données personnelles opérés via des outils d'IA, avec identification de la base légale.
- Audit des contrats informatiques en cours : identification des lacunes sur la propriété des sorties, les données d'entraînement et la répartition de responsabilité.
- Préparation ou mise à jour de la politique d'usage interne de l'IA, avec procédure de signalement des anomalies.
- Plan de consultation du CSE pour les outils affectant les conditions de travail ou les décisions relatives au personnel.
Domaines liés
- Protection et dépôt de marque – sécuriser les actifs immatériels dans un environnement numérique
- Cadre juridique de l'IA en entreprise – analyse approfondie – approfondissement des règles et obligations applicables
- Conseil en droit de la concurrence – implications concurrentielles des algorithmes et de l'IA
FAQ – Intelligence artificielle et cadre juridique des entreprises
1. Intelligence artificielle et cadre juridique des entreprises : quelles évolutions récentes connaître ?
Le règlement européen sur l'IA, entré en application progressive depuis 2024, constitue l'évolution réglementaire la plus structurante pour les entreprises françaises. Les interdictions absolues portant sur les systèmes de manipulation cognitive et de notation sociale généralisée sont applicables depuis début 2025. Les obligations relatives aux systèmes à risque élevé – documentation technique, surveillance humaine, enregistrement – s'appliqueront selon un calendrier échelonné que chaque entreprise doit suivre au regard de ses propres outils. En parallèle, la CNIL a publié des lignes directrices relatives à l'utilisation des systèmes d'IA dans le traitement des données personnelles, et la jurisprudence française commence à se prononcer sur la titularité des créations générées par IA au regard du Code de la propriété intellectuelle.
2. Quelles entreprises sont concernées par le cadre juridique de l'IA ?
Toute entreprise qui développe, commercialise, importe ou utilise un système d'intelligence artificielle sur le territoire de l'Union européenne est concernée par le règlement européen sur l'IA, sans considération de taille ou de secteur. Les PME et les ETI qui utilisent des outils de gestion automatisée des ressources humaines, de scoring commercial ou de génération de contenu sont donc soumises aux mêmes exigences que les grands groupes. Les obligations varient selon le niveau de risque du système : les entreprises utilisant uniquement des systèmes à risque minimal – filtres de spam, recommandations de contenu non personnalisé – font face à des obligations réduites. Celles qui déploient des systèmes classés à risque élevé doivent satisfaire des exigences substantielles de conformité.
3. Comment anticiper ces enjeux en pratique ?
Anticiper les enjeux juridiques liés à l'intelligence artificielle suppose de conduire, en premier lieu, un inventaire exhaustif des systèmes d'IA actifs au sein de l'entreprise, puis de les qualifier selon la grille de risque du règlement européen sur l'IA. Cette qualification détermine les obligations applicables. Dans un deuxième temps, les contrats informatiques et les politiques internes doivent être mis à jour pour couvrir la propriété des sorties, la gouvernance des données et la répartition de responsabilité. Enfin, une analyse d'impact RGPD doit être réalisée pour chaque traitement de données personnelles présentant un risque élevé. Ces étapes peuvent être conduites dans le cadre d'un audit structuré, mené conjointement par la direction juridique, la DSI et, le cas échéant, un conseil externe.
4. Quels sont les principaux risques liés à la propriété intellectuelle et à l'IA ?
Les principaux risques de propriété intellectuelle liés à l'IA sont au nombre de trois. Premièrement, l'incertitude sur la titularité des créations générées par un outil d'IA : en droit français, le Code de la propriété intellectuelle réserve la protection du droit d'auteur aux œuvres résultant d'un effort créatif humain, ce qui peut exclure les contenus entièrement générés par un algorithme. Deuxièmement, le risque de contrefaçon lors de l'entraînement d'un modèle sur des données protégées par des droits existants. Troisièmement, le risque contractuel lié à des conventions avec des fournisseurs d'IA qui n'attribuent pas clairement à l'utilisateur la propriété des sorties. Ces trois risques nécessitent une analyse juridique préalable au déploiement de tout outil d'IA à finalité commerciale.
5. L'analyse juridique IA relève-t-elle du seul droit du numérique ou d'une approche transversale ?
L'analyse juridique des systèmes d'intelligence artificielle est nécessairement transversale : elle mobilise simultanément le droit européen de la réglementation technologique (règlement IA), le droit des données personnelles (RGPD, loi Informatique et Libertés), le Code de la propriété intellectuelle, le Code du travail pour les implications sociales, le Code civil pour la responsabilité extracontractuelle, et, selon les secteurs, les dispositions du droit de la concurrence. Un avocat numérique Paris peut coordonner cette analyse, mais elle suppose une lecture croisée de plusieurs branches du droit. Dans notre pratique, nous structurons cette analyse autour d'un audit de qualification initial qui permet d'identifier les branches pertinentes pour chaque outil déployé.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang est un cabinet d'avocats d'affaires indépendant, établi à Paris, qui conseille les directions générales, les DSI, les directeurs juridiques et les investisseurs sur les enjeux juridiques du numérique, de la propriété intellectuelle et de la conformité. Nous intervenons sur la qualification réglementaire des systèmes d'IA, la gouvernance des données, la révision des contrats informatiques et l'accompagnement des projets numériques sensibles. Nos honoraires sont définis après analyse du dossier. Pour un premier avis sur votre dossier de conformité IA, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron – Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de droit social et de restructurations sociales, notamment dans les contextes de transformation numérique et de déploiement de systèmes d'intelligence artificielle affectant les conditions de travail.
Voir le profil
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.