Fiche pratique IA et obligations légales

Vos obligations légales pour 36 usages de l'IA en entreprise ou dans votre association

Associations et PME : pour chaque usage courant de l’intelligence artificielle, ce que dit la loi et ce qu’il faut faire concrètement. Le règlement européen sur l’IA (AI Act) classe les usages selon leur risque ; le RGPD et le droit du travail s’appliquent en parallèle.

À jour au , calendrier modifié par le règlement (UE) 2026/1744 compris.

Points clés

Légende des niveaux

  • Risque faible pas d’obligation IA particulière
  • Mention IA informer que l’IA est utilisée
  • Vigilance RGPD ou droit du travail à cadrer
  • Haut risque obligations lourdes, dès décembre 2027
  • Interdit pratique prohibée
Usages de l’IA et obligations
Usage Description Pour Niveau Ce que dit la loi Ce qu’il faut faire
Contenus et communicationTextes, images et échanges avec le public
Balises SEO et textes des images L’IA rédige les titres, les descriptions pour les moteurs de recherche et les textes alternatifs des images du site. AssoPME Risque faible Pas de mention IA obligatoire. Les textes des images servent à l’accessibilité, et les promesses affichées (prix, délais, labels) engagent votre structure. Faire relire les textes des images et les affirmations commerciales. Laisser vide le texte des images purement décoratives.
Pages web relues avant publication L’IA rédige des pages du site, qui sont relues et validées par une personne avant leur mise en ligne. AssoPME Risque faible Pas de mention IA obligatoire, à condition qu’une personne relise réellement le texte et en assume le contenu. Désigner qui valide les contenus, garder une trace de la relecture, vérifier les faits, les chiffres et les citations.
Pages web publiées sans relecture L’IA rédige des pages qui sont mises en ligne directement, sans relecture humaine. AssoPME Mention IA Mention « contenu généré par IA » obligatoire sur les pages d’actualité ou d’intérêt public. Votre structure reste responsable de tout le contenu publié. Déconseillé. Faire relire avant publication. À défaut, afficher la mention sur les pages concernées.
Posts réseaux sociaux et newsletters L’IA rédige des publications pour les réseaux sociaux ou le contenu de lettres d’information. AssoPME Risque faible Mêmes règles que les pages web : mention IA si le sujet est d’intérêt public et que le texte n’est pas relu, et si une image réaliste générée est utilisée. Relire avant envoi ou publication. Signaler les visuels réalistes générés par IA.
Illustration non réaliste Création d’une image d’illustration de style graphique (dessin, image conceptuelle) pour un article ou un post. AssoPME Risque faible Pas de mention obligatoire. Une image générée n’est en principe pas protégée par le droit d’auteur : vous ne pourrez pas empêcher sa réutilisation. Vérifier que l’outil autorise l’usage commercial. Ne pas imiter une œuvre, un personnage, une marque ou une personne réelle.
Image réaliste générée Création d’une image qui pourrait passer pour une vraie photo : personnes, lieux, bénéficiaires, événements. AssoPME Mention IA Mention « image générée par IA » obligatoire : c’est un hypertrucage au sens de l’AI Act. Afficher la mention près de l’image, ne jamais la présenter comme une vraie photo, conserver les métadonnées du fichier.
Traduction de contenus L’IA traduit des pages web, des documents ou des supports de communication. AssoPME Risque faible Pas de mention IA obligatoire en règle générale. Faire relire les traductions publiées, en priorité les textes qui engagent (conditions, consignes, informations pratiques).
Simplification de textes (langage clair, FALC) L’IA reformule un texte pour le rendre plus simple ou plus accessible. AssoPME Risque faible Pas d’obligation IA. Le logo européen « Facile à lire et à comprendre » suppose une relecture par des personnes concernées. Vérifier que le sens n’a pas changé. N’utiliser le logo FALC qu’après relecture par des personnes concernées.
Chatbot sur le site Assistant conversationnel qui répond aux visiteurs : questions fréquentes, adhésion, don, service client. AssoPME Mention IA Le visiteur doit savoir qu’il échange avec une IA, dès le premier message. Le RGPD s’applique aux données collectées dans la conversation. Afficher la mention IA, proposer un contact humain, limiter les données demandées, ne pas lui faire donner d’avis juridique ou médical.
Organisation interneRéunions, documents, messagerie
Compte rendu automatique de réunions L’IA transcrit une réunion en visio et en rédige le compte rendu. AssoPME Vigilance Pas d’obligation AI Act particulière. L’enregistrement relève du RGPD : les participants doivent être informés avant et pouvoir s’y opposer. Prévenir en début de réunion, utiliser un outil professionnel, éviter les réunions sensibles (RH, CSE, situations individuelles).
Rapports d’activité et synthèses L’IA rédige un rapport, une note de synthèse ou un résumé de documents. AssoPME Risque faible Pas d’obligation particulière. Mention IA seulement si le texte est publié sur un sujet d’intérêt public sans relecture. Vérifier les chiffres et les citations, ne pas transmettre à l’outil de données personnelles inutiles.
Assistant documentaire interne Assistant qui répond aux questions des équipes à partir des documents internes ou de l’intranet. AssoPME Risque faible Indiquer que l’assistant est une IA, si ce n’est pas évident. Former les utilisateurs. Vérifier que l’assistant respecte les droits d’accès : un document RH ou confidentiel ne doit pas devenir visible par tous.
Analyse de contrats et documents juridiques L’IA résume un contrat, repère des clauses ou compare des versions. AssoPME Vigilance Pas d’obligation AI Act. Les documents sont confidentiels, et l’IA ne remplace pas un avis juridique. Utiliser un outil professionnel sans réutilisation des données. Faire valider par un juriste avant toute décision.
Analyse et comparaison de devis L’IA compare des offres de prestataires ou de fournisseurs. AssoPME Risque faible Pas d’obligation AI Act. Les offres sont confidentielles et contiennent souvent des CV ou des noms (RGPD). Vérifier les montants sur les documents d’origine, garder la décision humaine. En marché public, motiver le choix sans s’appuyer sur la seule IA.
Tri et classement des mails reçus L’IA classe les messages entrants par thème, urgence ou service destinataire. AssoPME Risque faible Pas d’obligation AI Act. Les mails contiennent souvent des données sensibles : santé, situation sociale ou familiale. Outil professionnel sous contrat, accès limité aux boîtes utiles, validation humaine avant toute action automatique.
Réponse automatique aux mails L’IA rédige et envoie des réponses sans relecture humaine. AssoPME Mention IA La personne doit être informée que la réponse a été produite par une IA. Ajouter une mention dans la réponse et indiquer comment joindre une personne.
Données clients et donateursAnalyse et enrichissement de vos fichiers
Analyse d’une base clients L’IA segmente ou analyse un fichier de clients ou de contacts professionnels. PME Vigilance Pas d’obligation AI Act particulière. Le RGPD s’applique pleinement : les données professionnelles sont des données personnelles. Outil professionnel sous contrat, envoyer le minimum de données, informer les personnes, respecter leur droit d’opposition.
Analyse d’une base donateurs L’IA segmente ou analyse un fichier de donateurs. Asso Vigilance RGPD renforcé : un don peut révéler une conviction (religieuse, militante), ce qui en fait une donnée sensible. Un classement selon les montants est un profilage. Pseudonymiser avant analyse, mentionner l’analyse dans la politique de confidentialité, prévoir une analyse d’impact.
Enrichissement d’une base clients par des données publiques L’IA collecte sur le web des informations publiques pour compléter un fichier de contacts. PME Vigilance « Public » ne veut pas dire « libre d’utilisation » : le RGPD s’applique. Collecter des photos de visages pour une base de reconnaissance faciale est interdit. À cadrer avant tout lancement : sources autorisées, minimum de données, information des personnes dans le mois. Alternative : un fournisseur de données B2B qui garantit sa conformité.
Enrichissement d’une base donateurs par des données publiques L’IA recherche sur le web des informations sur des donateurs (patrimoine, profession, réseaux). Asso Vigilance Risque élevé : rechercher la fortune ou la vie privée de particuliers dépasse ce qu’ils peuvent raisonnablement attendre. Déconseillé, sauf recherche ciblée de grands donateurs, documentée, avec information des personnes et analyse d’impact.
Analyse d’enquêtes et de verbatims L’IA synthétise les réponses à une enquête de satisfaction ou à un questionnaire. AssoPME Risque faible Pas d’obligation AI Act. Les réponses libres peuvent permettre d’identifier des personnes. Pseudonymiser les réponses, ne pas citer de verbatim qui permette de reconnaître quelqu’un.
Prévision des besoins L’IA anticipe une fréquentation, des stocks, une activité ou des ventes. AssoPME Risque faible Pas d’obligation particulière. Travailler sur des données agrégées ou anonymisées.
Prospection et collecte de donsCampagnes, relances, sollicitations
Envois commerciaux automatisés Emails, SMS ou relances rédigés ou ciblés par IA auprès de clients ou prospects. PME Vigilance Consentement préalable des particuliers, sauf clients existants pour des produits similaires. Entre professionnels, désinscription simple. Appels vers des particuliers : consentement préalable depuis le 11 août 2026. Vérifier les consentements avant chaque campagne, mettre un lien de désinscription dans chaque message.
Agent IA conversationnel ou vocal Un agent IA échange avec des prospects ou des donateurs par chat, mail ou téléphone. AssoPME Mention IA Annoncer qu’il s’agit d’une IA. Une voix clonée doit être signalée. Pour la prospection commerciale par téléphone, consentement préalable des particuliers. Annoncer l’IA dès le début de l’échange, proposer un interlocuteur humain.
Prix ou offres personnalisés par algorithme Le prix ou l’offre proposée varie selon le profil du client, calculé automatiquement. PME Mention IA Le consommateur doit être informé que le prix a été personnalisé par une décision automatisée. Afficher l’information clairement près du prix.
Scoring et prédiction d’attrition des donateurs L’IA estime la probabilité qu’un donateur donne davantage ou arrête de donner. Asso Vigilance Pas de haut risque au sens de l’AI Act, mais c’est un profilage au sens du RGPD. Informer les donateurs, respecter leur droit d’opposition, ne pas déduire de données sensibles, prévoir une analyse d’impact.
Personnalisation des appels aux dons L’IA adapte le message, le montant suggéré ou le moment de la sollicitation à chaque donateur. Asso Vigilance Exploiter l’âge, le handicap ou la précarité d’une personne pour la pousser à donner, au point de lui nuire, est interdit. Les choix de contact du donateur s’imposent. Pas de pression ciblée sur les publics fragiles, respect des consentements et des préférences de contact.
Ressources humaines, bénévoles et formationRecrutement, suivi des équipes, évaluation
Rédaction d’offres d’emploi L’IA rédige le texte d’une annonce de recrutement. AssoPME Risque faible Pas d’obligation IA pour la rédaction. L’annonce ne doit contenir aucun critère discriminatoire. Si l’IA choisit à qui diffuser l’annonce, l’usage devient à haut risque. Relire pour repérer les biais (âge, genre, formulation). Ne pas confier le ciblage de la diffusion à l’IA sans cadrage.
Résumé de CV, sans tri ni note L’IA résume des candidatures ou les reporte dans une grille, sans les classer. AssoPME Vigilance Exception possible au régime « haut risque », à évaluer et documenter par écrit. Les candidats doivent être informés des méthodes utilisées. Informer les candidats, garder la lecture et la décision humaines.
Tri ou classement de candidatures L’IA note, classe ou écarte des candidatures avant lecture humaine. AssoPME Haut risque Usage à haut risque, avec des obligations lourdes dès décembre 2027. Dès maintenant : information des candidats et du CSE, non-discrimination, aucune décision uniquement automatisée. À éviter avec un outil généraliste. Préférer un outil RH conforme, faire relire toutes les candidatures, y compris celles écartées.
Analyse des émotions en entretien ou en visio L’IA analyse le visage ou la voix d’un candidat ou d’un salarié pour mesurer ses émotions ou son engagement. AssoPME Interdit Interdit au travail, sauf raisons médicales ou de sécurité. Ne pas utiliser. Vérifier que vos outils de visio ou de recrutement n’activent pas cette fonction.
Évaluation et suivi des salariés L’IA évalue la performance, propose des promotions ou répartit le travail selon le comportement des salariés. AssoPME Haut risque Usage à haut risque, obligations dès décembre 2027. Dès maintenant : information des salariés, consultation du CSE, mesures proportionnées. Garder la décision humaine, informer et consulter avant tout déploiement.
Analyse des mails des salariés L’IA analyse les échanges des salariés, par exemple pour suivre leur activité. AssoPME Vigilance Surveillance encadrée par le Code du travail et le RGPD. Les mails personnels sont protégés. Informer les salariés, consulter le CSE, ne jamais analyser les mails personnels.
Planification des équipes et des bénévoles L’IA établit un planning ou affecte des missions selon les disponibilités. AssoPME Risque faible Planning selon les disponibilités : pas d’obligation particulière. Si l’IA répartit le travail des salariés selon leur comportement ou leur performance, l’usage devient à haut risque. Garder la validation humaine du planning, limiter les données personnelles utilisées.
Évaluation des acquis en formation L’IA corrige, note ou valide les acquis de stagiaires ou d’apprenants. AssoPME Haut risque La formation professionnelle est un domaine à haut risque : obligations dès décembre 2027. Une aide à la rédaction d’un retour relu par le formateur peut en être exclue. Informer les apprenants, faire valider les résultats par le formateur.
Finance et risquesÉvaluation des clients
Évaluation de la solvabilité de clients particuliers L’IA calcule un score de crédit ou de risque de paiement pour un particulier. PME Haut risque Usage à haut risque, sauf pour la détection de fraude. RGPD : pas de décision uniquement automatisée, droit à une explication. Décision humaine, information et recours pour le client. L’évaluation d’autres entreprises n’est pas concernée.

Les obligations « haut risque » s’appliquent à partir du 2 décembre 2027. Les interdictions s’appliquent depuis février 2025, les mentions IA depuis le 2 août 2026. Les règles du RGPD et du Code du travail s’appliquent dès maintenant.