Déployer une IA vraiment conforme.

Le RGPD a 8 ans, l'AI Act entre en application le 2 août 2026, et la plupart des entreprises naviguent à vue. Les juristes lisent encore le texte, les CTO déploient sans cadre, et les solutions «conformes» du marché sont souvent du marketing. Pour les ETI régulées (santé, finance, public, RH), c'est un risque opérationnel majeur. Voici les blocages qu'on rencontre.

1. L'AI Act arrive et personne ne sait ce qu'il s'applique vraiment

   Application des obligations majeures au 2 août 2026 sur les systèmes haut risque (Article 15 et suivants). La plupart des entreprises ne savent pas si elles sont concernées, ni à quel niveau d'exigence. Les premiers contrôles arriveront vite, avec des sanctions calquées sur le RGPD.

2. Les outils IA SaaS écrasent vos exigences RGPD

   OpenAI, Anthropic, Microsoft Copilot, Google Gemini ont des conditions de traitement des données opaques ou évolutives. Pour les ETI régulées (santé, finance, RH, secteur public), ça ne passe pas. Et le contrat Enterprise n'est souvent pas suffisant non plus.

3. Personne ne sait tracer une décision IA

   Audit interne, contrôle CNIL, recours utilisateur RGPD. Quand on vous demande «pourquoi votre IA a refusé ce dossier ?», il faut pouvoir répondre. La plupart des architectures déployées aujourd'hui ne le permettent pas. Logs absents, prompts non historisés, sources RAG non citées.

4. Le DPO et le CTO ne se parlent pas

   Le DPO valide ou bloque sans pouvoir évaluer techniquement. Le CTO déploie sans visibilité sur les exigences. Les projets IA sont retardés, freinés ou écartés faute de cadre opérationnel commun. Personne n'est de mauvaise foi, le pont n'existe juste pas.

5. Les solutions clés en main «compliantes» sont du marketing

   «RGPD-friendly» sans preuve, «AI Act ready» sans référentiel. Le mot conformité est devenu un argument commercial vidé de contenu. Au moindre audit, les promesses tombent. Vous restez le responsable du traitement, pas votre fournisseur.

La conformité IA n'est pas un cahier des charges juridique parachuté sur un projet technique. C'est une dimension qui se construit dès l'architecture et qui s'instrumente en continu. Voici notre cadre.

Sur Peps Digital, le chatbot RAG tourne sur des données santé, secteur ultra-sensible RGPD et bientôt MDR. Le projet a été conçu dès le départ avec les contraintes intégrées : architecture sans transfert hors UE, traçabilité des sources sur chaque réponse, escalade humaine par défaut sur les cas sensibles. C'est le niveau d'exigence qu'on porte sur tous nos projets.

Peps Digital · SaaS · Santé (PSDM)

80% du support client digitalisé

Un chatbot IA en RAG intégré à la plateforme Peps Digital, qui répond aux questions des PSDM directement depuis l'interface, 24h/24.

80%

Questions auto-répondues

92%

Taux de satisfaction

1 200+

Questions par mois

Lire l'étude de cas

1. Cartographie réglementaire

   On identifie les frameworks applicables à votre secteur, on classifie vos use cases IA selon le risque AI Act, on liste les obligations RGPD spécifiques. Vous repartez avec une carte exploitable du paysage réglementaire qui vous concerne, indépendamment du projet IA.

2. Audit de l'existant

   On regarde vos déploiements IA en place (chatbots, copilotes internes, agents), on identifie les écarts par rapport aux frameworks. Vous avez une vision claire des risques actuels (juridiques et opérationnels) et des actions priorisées.

3. Architecture cible et référentiel

   Selon vos contraintes, on définit l'architecture (modèles, hébergement, traçabilité, gouvernance). On vous fournit un référentiel technique et un schéma d'architecture validable par DPO et juridique. C'est le document qui survit aux changements d'équipe.

4. Mise en oeuvre et formation

   On déploie le cadre sur un projet pilote et on forme vos équipes. DPO, CTO, équipes produit, équipes data : chacun a son guide d'application. L'objectif : que vous puissiez opérer sans nous au bout de la mission.

Une question avant d'aller plus loin ? On est joignables directement. Réserver un créneau →

• L'AI Act, ça s'applique vraiment à nous ?

  Si vous déployez de l'IA en interne ou dans un produit accessible en UE, oui. Le niveau d'exigence dépend de la classification (inacceptable, haut, limité, minimal). La cartographie réglementaire en début de mission tranche cette question pour chacun de vos use cases.

• RGPD et entraînement de modèle, comment on s'en sort ?

  Si vous fine-tunez un modèle sur des données personnelles, vous devez documenter la base légale, l'information des personnes, la finalité, et permettre l'effacement. Pour les LLMs, ça implique souvent des couches de pseudonymisation et un eval set sans données réelles. C'est gérable mais ça se conçoit dès le départ.

• SecNumCloud, ça vaut le coût pour notre boîte ?

  Pour les services publics, opérateurs d'importance vitale et secteurs régulés (santé, finance), oui. Pour la PME standard, le cloud public avec data residency UE est souvent suffisant. La cartographie réglementaire en début de mission tranche cette question.

• Comment on prouve qu'une IA n'est pas biaisée ?

  Eval set qui inclut des cas de biais (équilibre par classe protégée, dans le respect du RGPD). Mesure de l'écart de performance par classe. Documentation des arbitrages. Si la donnée d'entraînement vient d'un fournisseur, on demande la fiche technique. Pas de magie, du process.

• On utilise OpenAI, est-ce que c'est conforme ?

  Ça dépend du contrat (Enterprise vs API standard) et de l'usage. OpenAI propose un Data Processing Agreement, une option Zero Data Retention, et la résidence UE en option payante. C'est suffisant pour beaucoup de cas, pas pour tous. On vous aide à arbitrer en regardant vos contraintes réelles.

• Combien de temps pour un projet de mise en conformité ?

  Pour une cartographie + audit + architecture cible, compter 6 à 8 semaines. Pour la mise en oeuvre complète sur un déploiement IA existant, 12 à 20 semaines selon la complexité technique et l'étendue du parc.

• Vous remplacez notre cabinet juridique ?

  Non. On travaille avec votre DPO et vos juristes, on apporte la dimension technique et opérationnelle. La validation juridique reste de leur ressort. Notre rôle, c'est de leur fournir une lecture technique exploitable et un cadre concret à valider.