🔄 Mise à jour octobre 2026 : article révisé après le règlement (UE) 2026/1744 (Digital Omnibus IA), qui modifie l'article 4 de l'AI Act et reporte les obligations sur l'IA à haut risque au 2 décembre 2027 et au 2 août 2028. Les chiffres qui n'avaient pas de source vérifiable ont été retirés.
Depuis l'arrivée de ChatGPT en novembre 2022, l'Intelligence Artificielle s'est imposée dans les entreprises à une vitesse fulgurante, souvent plus vite que les règles internes qui devraient en encadrer l'usage.
Cette absence de sensibilisation expose les organisations à des risques majeurs : fuites de données sensibles, violations du RGPD, deepfakes sophistiqués et manquements à l'AI Act, dont l'article 4 demande depuis le 2 février 2025 de favoriser la maîtrise de l'IA du personnel.
Bonne nouvelle : sensibiliser vos équipes à l'IA n'est ni long ni compliqué. En suivant les 5 bonnes pratiques de ce guide, vous transformerez vos collaborateurs en première ligne de défense contre les risques IA, tout en maximisant les bénéfices de ces technologies.
Sensibilisation IA : l'essentiel en 2026
Ce que disent les textes :
- AI Act, article 4 : depuis le 2 février 2025, tout fournisseur et tout déployeur de systèmes d'IA prend des mesures pour favoriser la maîtrise de l'IA de son personnel. Depuis le règlement (UE) 2026/1744, c'est une obligation de moyens : aucun niveau précis n'est exigé par personne.
- IA à haut risque : obligations applicables à partir du 2 décembre 2027 pour les systèmes de l'annexe III (recrutement, crédit, biométrie...) et du 2 août 2028 pour ceux de l'annexe I (produits réglementés), dates fixées par le règlement (UE) 2026/1744.
- RGPD : une analyse d'impact (AIPD, article 35) est requise lorsqu'un traitement, IA comprise, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
Ce que montrent les incidents :
- 4,44 millions de dollars : coût moyen d'une violation de données dans le monde en 2025 (source : IBM Cost of a Data Breach Report 2025).
- Environ 25 millions de dollars (200 millions de dollars de Hong Kong) versés en 15 virements par un salarié d'Arup à Hong Kong, début 2024, après une visioconférence dont tous les autres participants étaient des deepfakes.
1- Qu'est-ce que l' IA (intelligence artificielle) ?
Le Parlement européen a donné une définition de l'intelligence artificielle. L'IA représente l'ensemble des outils utilisés par une machine afin de « reproduire des comportements liés aux humains, tels que le raisonnement, la planification et la créativité ». De ce fait, peuvent être qualifiés d'intelligence artificielle tous les systèmes qui mettent en oeuvre des mécanismes proches de ceux du raisonnement humain.
On parle alors d' IA générative. L'intelligence artificielle générative est une sous-section de l'intelligence artificielle. Ces systèmes ont la capacité de créer des oeuvres inédites, de manière pleinement autonome.
Les systèmes d'intelligence artificielle reposent sur l'exploitation de données personnelles pour entraîner le modèle (ou l'algorithme) à se développer et à imiter une tâche humaine.
L'IA générative a permis au plus grand nombre d'accéder à cette technologie quand elle était auparavant réservée à des spécialistes. L'outil ChatGPT en est l'exemple le plus flagrant puisque cette IA conversationnelle est désormais utilisable par le grand public. Tout le monde peut mener une conversation avec l'IA d'Open AI en créant très simplement un compte.
Plus précisément, l'IA générative recoupe les algorithmes de l'intelligence artificielle et le machine learning. Le Machine Learning permet aux algorithmes d'apprendre à partir de l'expérience et d'adapter leur comportement en fonction des nouvelles données. Concrètement, l'IA et le machine learning utilisent des contenus existants pour leur apprentissage, de manière à en générer de nouveaux. Le fonctionnement de cette technologie repose sur les modèles stockés dans une base de données qui lui permettent de créer un modèle similaire.
Or, l'émergence de l'intelligence artificielle au quotidien, notamment en entreprise, génère un bouleversement majeur.
Ces technologies viennent notamment se heurter aux règles en matière de protection des données personnelles, et plus particulièrement aux grands principes du RGPD (règlement général sur la protection des données).
Voyons en quoi l' IA présente des risques pour les personnes et les entreprises.
2- Quels sont les risques de l'intelligence artificielle pour les données personnelles ?
Comme toute technologie, les outils développés avec l'intelligence artificielle sont sujets à des défaillances. Ensuite, face à leur développement, nous n'avons pas encore le recul nécessaire pour mesurer les conséquences qu'ils pourraient avoir sur les personnes et la société dans son ensemble.
Les différents types de risques liés à l'IA
Si les systèmes d'IA présentent de nombreux avantages, il est important d'en connaître les risques afin de s'en prémunir. Et notamment les risques sur les données car comme nous l'avons vu, la source principale d'alimentation et de développement de l'IA sont les données, dont des données à caractère personnel.
Le risque de biais
Les outils d'IA ne sont pas exempts du risque d'erreur lié à une défaillance ou à une discrimination intégrée dans l'outil. Le risque de biais est réel, induisant un vrai risque sur la vie des personnes concernées en cas de décision individuelle automatisée et de profilage.
Or, l'article 22 du RGPD précise que : "La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé [...] produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire".
De ce fait, parmi les droits des personnes concernées, s'impose celui de s'opposer à certains traitements automatisés, lorsque ceux-ci n'intègrent pas une intervention humaine dans le processus de décision.
🔎 Par exemple, il est possible d'utiliser un système d'IA pour rendre une décision concernant un candidat à l'embauche, à condition qu'un être humain soit intervenu dans ce processus de recrutement.
Les erreurs liées aux données
Les erreurs peuvent être engendrées par les conditions d'utilisation du système d'IA, et notamment une mauvaise qualité des données. C'est de la qualité des données fournies au système pour l'entraîner que dépend sa performance.
Prenons l'exemple de ChatGPT. L'outil est entraîné avec des volumes faramineux d'informations. Parmi elles, il y a de vraies informations mais aussi des données inexactes voire complètement fausses. Pire certaines, relèvent de la "fake news", c'est-à-dire sciemment inventées. Le robot conversationnel ne peut absolument pas faire la différence.
Or, un traitement de données inexactes constitue une violation au principe d'exactitude des données posé par l'article 5 du RGPD.
Un traitement de données personnelles sans base légale
La collecte et le traitement des données personnelles n'est autorisé que s'ils reposent sur l'une des 6 bases légales édictées par l'article 6 du RGPD : consentement, contrat, intérêt légitime, etc.
Reprenons l'exemple de ChatGPT. L'outil collecte des données personnelles pour son entraînement. Or, il ne se fonde sur aucune base légale pour justifier ce traitement de données personnelles. La société Open AI estime poursuivre des intérêts légitimes avec son outil de chatbot. Cependant, pour que cet argument soit justifié, l'intérêt légitime doit contrebalancer l'atteinte à la vie privée des personnes. Ce n'est pas le cas car cette IA générative utilise des quantités gigantesques de données dont certaines sont des données sensibles. Le risque pour les personnes concernées est trop important au regard de l'intérêt légitime avancé par Open AI.
Pour être licite, l'utilisation de ces données pourrait faire l'objet d'un consentement.
Cependant, d'une part, le consentement des utilisateurs de ChatGPT au traitement de leurs données n'est jamais demandé.
D'autre part, il est impossible d'identifier les données personnelles pour les retirer des modèles. Et sans doute encore plus compliqué d'identifier leurs propriétaires pour leur demander leur consentement à l'utilisation de ces données pour l'entraînement de l'IA. Les sociétés d'IA achètent des quantités massives de données pour entraîner leurs modèles et ils ne connaissent généralement pas leur origine.
Un manque d'information des personnes concernées
Les articles 12, 13 et 14 du RGPD imposent aux organismes de délivrer une information concise, transparente, compréhensible et accessible aux personnes dont les données sont collectées.
Continuons avec notre exemple de ChatGPT. Dans son communiqué du 31 mars 2023, l'autorité de contrôle italienne a relevé un défaut d'information des utilisateurs concernant le traitement réservé à leurs données personnelles.
Les conversations qu'ont les utilisateurs avec ChatGPT sont enregistrées pour nourrir l'algorithme et entraîner le modèle de langage. Or, on ne trouve aucune mention de ce fait lorsque l'on utilise le chatbot. Cependant, il est désormais possible de désactiver l'enregistrement.
Vous ne trouverez pas non plus de politique de confidentialité sur le site web et il n'est n'indiqué clairement les finalités d'utilisation des données personnelles des utilisateurs.
L'AI Act 2026 : encadrer le développement de l'IA en fonction du risque
Depuis le 1er août 2024, l'AI Act (Règlement européen 2024/1689) encadre le développement et l'utilisation de l'IA en Europe. C'est le premier cadre juridique mondial sur l'intelligence artificielle.
Dates clés : l'AI Act s'applique par étapes. Les pratiques interdites et l'article 4 (maîtrise de l'IA) s'appliquent depuis le 2 février 2025, les obligations des modèles d'IA à usage général depuis le 2 août 2025. Le règlement (UE) 2026/1744 (Digital Omnibus IA), publié au Journal officiel de l'UE le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a reporté les obligations sur l'IA à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
Maîtrise de l'IA (article 4) : une obligation de moyens
Depuis le règlement (UE) 2026/1744, le paragraphe 1 de l'article 4 de l'AI Act se lit ainsi :
« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d'IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l'égard desquels les systèmes d'IA sont destinés à être utilisés. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. »
Autrement dit, si vos collaborateurs utilisent des outils d'IA (ChatGPT, outils de recrutement, scoring...), votre entreprise est un déployeur et doit prendre des mesures adaptées à leurs usages : formation, charte d'usage, sensibilisation. Le texte n'exige pas un niveau précis par personne, mais il vaut pour tout système d'IA, quel que soit son niveau de risque. Et une obligation de moyens se prouve : gardez une trace datée des actions menées (équipes ciblées, contenus, participation, résultats).
Les 4 niveaux de risque AI Act
L'AI Act classe les systèmes d'IA selon leur niveau de risque :
- Inacceptable : Scoring social, manipulation cognitive - ⛔ Interdit
- Haut risque : Tri de CV, notation crédit, biométrie - Marquage CE, documentation, contrôle humain confié à des personnes formées (à partir du 2 décembre 2027 pour l'annexe III, du 2 août 2028 pour l'annexe I)
- Risque limité : Chatbots, deepfakes artistiques - Transparence (mention "IA")
- Risque minimal : Anti-spam, correcteurs orthographiques - Pas d'obligation
ChatGPT : Quel niveau de risque ?
ChatGPT est un modèle GPAI (IA à usage général).
Obligations pour OpenAI : Documentation technique, politique droit d'auteur (✅ En vigueur depuis août 2025)
Pour vous (utilisateur) :
- Usage basique (rédaction emails, brainstorming) → Risque minimal → Sensibilisation recommandée
- Usage RH (tri de CV, évaluation des salariés) → Haut risque (annexe III) → obligations du déployeur à partir du 2 décembre 2027
⚠️ Attention : si vous utilisez une IA pour trier des CV ou évaluer les performances de salariés, cet usage relève des cas de l'annexe III (emploi). À partir du 2 décembre 2027, l'article 26 de l'AI Act vous impose notamment d'utiliser le système conformément à sa notice et de confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires. D'ici là, le RGPD s'applique déjà, dont l'article 22 sur les décisions automatisées.
Autorités de contrôle en France
Le schéma présenté par le gouvernement en septembre 2025 répartit le contrôle entre plusieurs autorités, en particulier :
- CNIL : Biométrie, catégorisation, scoring, émotions
- DGCCRF : Manipulation, transparence, protection consommateurs
- Arcom : Contenus générés IA, deepfakes médiatiques
Des autorités sectorielles interviennent aussi, comme l'ACPR pour les systèmes d'IA à haut risque du secteur financier. Le détail est dans notre guide sur les autorités compétentes de l'AI Act en France.
3- Les risques concrets pour l'entreprise
Avant de détailler les bonnes pratiques, voici ce que disent les données vérifiables sur les risques liés à l'IA en entreprise.
Une adoption plus rapide que la gouvernance
Le rapport Cost of a Data Breach 2025 d'IBM, mené par l'institut Ponemon auprès de 600 organisations victimes d'une violation de données, relève que :
- 63 % n'avaient aucune politique de gouvernance de l'IA pour en encadrer l'usage ou empêcher le shadow AI (des outils d'IA utilisés sans validation) ;
- 13 % ont subi une attaque visant leurs modèles ou leurs applications d'IA ;
- 97 % de celles qui ont connu un incident de sécurité lié à l'IA n'avaient pas de contrôle d'accès adapté à l'IA.
Les risques réels
Les fuites de données :
- 670 000 dollars : surcoût moyen d'une violation de données pour les organisations où le shadow AI est élevé (IBM, Cost of a Data Breach Report 2025)
- Exemple : Salarié copie-colle contrat client dans ChatGPT → Données exposées
Les sanctions :
- AI Act : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour les manquements aux obligations des opérateurs, dont celles des déployeurs d'IA à haut risque (article 99)
- RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83)
👉🏾 Leto vous accompagne dans la formation de vos équipes sur les sujets de l'IA
4- Sensibilisation IA : comment former les utilisateurs aux risques de l'intelligence artificielle ?
L'Intelligence Artificielle (IA) générative s'impose comme un outil indispensable afin d'automatiser certaines tâches, de réduire les coûts de production et d'améliorer la productivité.
Toutefois, comme nous venons de le voir, l'utilisation de l'intelligence artificielle n'est pas dénuée de risques. Pour les limiter, il devient indispensable de dispenser des formations aux collaborateurs afin de les sensibiliser à l' intelligence artificielle.
Voici 5 bonnes pratiques pour une campagne de sensibilisation réussie :
1- Identifier les collaborateurs qui utilisent et/ou pourraient utiliser l'IA
Il s'agit d'identifier les salariés qui utilisent déjà l'intelligence artificielle dans leur travail ainsi que ceux qui ne le font pas mais qui y gagneraient.
Pour initier une campagne de sensibilisation à l'intelligence artificielle efficace, ciblez les équipes dont l'IA peut améliorer le quotidien. Si certaines équipes ne l'utilisent pas encore, une formation pourrait les aider à intégrer l'intelligence artificielle dans leur quotidien.
Il ne sert à rien de lancer une campagne de formation globale dans toute l'entreprise, embarquant des personnes non concernées et qui ne sont pas exposées à des risques liés à l'IA.
De même, les campagnes de sensibilisation doivent être personnalisées. En effet, les différents services n'utilisent pas l'IA de la même manière et les données traitées ne sont pas les mêmes. Ainsi, les risques encourus diffèrent d'une équipe à l'autre. La formation doit donc être adaptée au métier, au secteur d'activité et aux enjeux.
La cartographie des besoins des utilisateurs et futurs utilisateurs est la première étape pour une formation efficace.
2- Rassurer les équipes concernant l'intelligence artificielle
La formation à l'intelligence artificielle doit avoir pour objectifs :
- de comprendre comment tirer profit de l'IA sans mettre en danger les données sensibles et confidentielles ;
- de rassurer quant à l'usage de l'IA dans l'entreprise car si pour certains il s'agit d'un outil formidable, pour d'autres, c'est une source de craintes, notamment celle que l'IA entraîne la suppression de leur poste.
Pour cela, la formation doit :
- présenter clairement les outils et les fonctionnalités de l'IA générative utilisées dans l'entreprise ;
- expliquer comment leur utilisation peut faciliter le quotidien et réduire la charge de travail ;
- indiquer les limites de l'intelligence artificielle ;
- identifier les bonnes pratiques.
3- Inciter les utilisateurs à prendre des précautions dans le partage de données
Les utilisateurs des IA ne sont généralement pas assez informés des risques.
Par exemple, ChatGPT ne mentionne aucune information concernant la collecte et le traitement des données personnelles. Il est alors essentiel d'attirer l'attention des utilisateurs sur les conséquences d'un partage de données personnelles et/ou sensibles ainsi que des données de l'entreprise.
🔎 Exemple, un salarié partage des données à une IA générative dans le but de résoudre un cas pratique. Certaines informations peuvent être confidentielles. Or, ces données sont réutilisées par l'IA pour s'entraîner.
Les précautions élémentaires de sécurité doivent être rappelées aux utilisateurs quant au partage des données.
4- Prendre garde aux deepfakes
Si les utilisateurs doivent avoir conscience que les IA ne sont pas infaillibles et peuvent générer des réponses erronées, il est également nécessaire de les sensibiliser au risque de deepfake.
Le deepfake est une technologie avancée d'intelligence artificielle permettant de générer des contenus vidéos ou audios ultra réalistes. Ils peuvent :
- imiter des voix : voice cloning,
- imiter des expressions faciales de véritables personnes : face swap.
Le deepfake est utilisé par des pirates informatiques pour créer des arnaques et pratiquer le phishing. Les vidéos et les enregistrements sont modifiés pour manipuler les victimes et les inciter à adopter le comportement voulu : divulgation d'informations, réalisation de transactions, etc.
L'évolution rapide de cette technologie grâce aux progrès continus des algorithmes de deep learning, rend difficilement identifiables ces deepfakes. Il est fondamental d'alerter les utilisateurs sur cette technique qui a déjà fait des victimes.
🔎 Exemple : nous avons tous en tête l'histoire de ce salarié de Hong Kong qui a fait perdre 25 millions à son entreprise à cause d'un deepfake. Il pensait assister à une réunion à distance avec ses collègues. En réalité, les participants avaient été créés par IA dans une visio-conférence deep fake imitant à la fois leurs voix et leurs visages. Le salarié a ainsi transféré l'argent, croyant répondre à la demande de son supérieur.
Techniques de deepfake 2025 : Nouvelles menaces
- Voice cloning ultra-réaliste : quelques secondes d'audio suffisent. Dès janvier 2023, le modèle de recherche VALL-E de Microsoft imitait une voix à partir d'un enregistrement de 3 secondes.
- Live deepfake : manipulation vidéo en temps réel (Zoom, Teams). Difficile à repérer à l'oeil : la parade la plus sûre est de vérifier la demande par un autre canal, ou de poser une question que seul le vrai interlocuteur connaît.
- Deepfake multimodal : Imite voix + visage + style d'écriture (emails, Slack)
Vous voyez que ces techniques de phishing sophistiquées exposent les entreprises à de très sérieuses menaces en matière de sécurité.
5- S'équiper d'un outil de sensibilisation à l'intelligence artificielle
Pour sensibiliser les collaborateurs aux défis de sécurité posés par l'utilisation de l'IA, il devient essentiel de mettre en place des programmes de formation dédiés.
Objectif : augmenter le niveau de vigilance des collaborateurs face aux risques de l'intelligence artificielle et développer une culture de la cybersécurité.
Vous n'êtes pas seuls ! Il existe des outils de sensibilisation à l'IA pour vous aider dans cette mission. Vos collaborateurs deviendront ainsi la meilleure protection de l'entreprise contre les problématiques liées à l'IA.
Pour une plus grande efficacité, l'outil de formation doit être adapté à votre secteur et à vos enjeux en la matière !
C'est pourquoi, Leto propose un module de sensibilisation à l'IA avec :
- Des formations ultra-personnalisées et ultra-engageantes pour les collaborateurs ;
- Des mises en situation concrètes et actionnables avec plus de 500 questions ;
- Une évaluation avec un score de maturité pour faire grandir vos équipes sur les sujets liés à l'IA ;
- Un webinar pour comprendre les grands enjeux et opportunités de l'IA Act.
Le module de sensibilisation de LETO est un outil complet. Il se présente sous la forme de campagnes de questions-réponses ultra ludiques.
Cet outil permet aux participants de monter en compétences régulièrement, tout en n'y consacrant que quelques minutes par session.
Le micro-learning IA : le silver bullet pour ancrer les bons réflexes
Les formations IA d'une journée produisent rarement un changement de comportement durable. La courbe de l'oubli, décrite par Hermann Ebbinghaus en 1885, montre qu'un contenu appris s'efface vite sans révision. Le micro-learning - des modules courts de 5 à 10 minutes, déployés sur plusieurs semaines - inverse cette logique grâce à la répétition espacée.
Trois cas d'usage IA risqués à traiter en priorité
Pour rester concret et opérationnel, une sensibilisation efficace part de situations réelles rencontrées par vos équipes :
- ChatGPT et données clients : un commercial colle un contrat en cours dans un prompt pour obtenir un résumé. Les données peuvent être intégrées à l'entraînement du modèle. Risque : violation de l'article 28 RGPD (sous-traitance non encadrée par un DPA).
- Voice cloning : quelques secondes d'audio suffisent désormais pour imiter la voix d'un dirigeant. Scénario type : un appel du « DG » qui demande un virement urgent et confidentiel. La règle à enseigner : toute demande de ce type se confirme par un autre canal.
- Phishing par IA : les e-mails générés par LLM ne contiennent plus de fautes d'orthographe. La sensibilisation doit intégrer de nouveaux critères : ton d'urgence inhabituel, demandes hors process, vérification hors canal.
Format recommandé : 3 modules de 7 minutes sur 3 semaines
Un parcours minimal efficace couvre :
- Module 1 - Comprendre l'IA et ses risques RGPD (IA générative, transferts hors UE, opacité des modèles)
- Module 2 - Identifier les usages risqués dans son métier (exemples sectoriels : RH, finance, commercial, DSI)
- Module 3 - Appliquer les bons réflexes au quotidien (quoi anonymiser, comment valider un prestataire IA, que faire en cas d'incident)
Ce format répond directement à l'article 4 de l'AI Act, qui demande à tout fournisseur et tout déployeur de systèmes d'IA de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel. C'est une obligation de moyens, applicable depuis le 2 février 2025 et reformulée par le règlement (UE) 2026/1744 : des campagnes datées, avec participation et résultats suivis, sont la trace des mesures prises.
C'est précisément ce format que le module de sensibilisation IA de Leto implémente : campagnes courtes, répétition espacée, mises en situation concrètes adaptées à votre secteur.
Questions fréquemment posées
La formation des salariés à l'IA est-elle obligatoire ?
L'article 4 du règlement (UE) 2024/1689 (AI Act), applicable depuis le 2 février 2025, vise tout fournisseur et tout déployeur de systèmes d'IA. Depuis le règlement (UE) 2026/1744 (Digital Omnibus IA), il leur impose de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans exiger un niveau déterminé. C'est une obligation de moyens : l'entreprise doit pouvoir montrer ce qu'elle a mis en place (formation, charte, sensibilisation).
Comment prouver les mesures prises ?
En gardant une trace datée de chaque action : outils concernés, équipes ciblées, contenus, dates, participation et résultats. La même trace sert pour l'article 4 de l'AI Act et pour le principe de responsabilité du RGPD (articles 5.2 et 24).
Le DPO doit-il piloter la sensibilisation à l'IA ?
L'article 39.1.b du RGPD confie au DPO la sensibilisation et la formation du personnel qui participe aux opérations de traitement. L'AI Act ne désigne aucun pilote pour la maîtrise de l'IA : en pratique, le DPO travaille avec la DSI et les RH.
Un salarié peut-il saisir des données clients dans un outil d'IA générative ?
C'est un traitement de données personnelles, qui demande une base légale (article 6 du RGPD), l'information des personnes concernées (articles 13 et 14), un contrat de sous-traitance avec l'éditeur de l'outil (article 28) et un encadrement des transferts hors de l'Union européenne (chapitre V). Une version grand public utilisée sans contrat d'entreprise ne remplit pas ces conditions, et la charte d'usage de l'IA doit l'exclure.
Peut-on confier une décision de recrutement à une IA ?
L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé et garantit le droit d'obtenir une intervention humaine. Le tri de candidatures relève par ailleurs de l'annexe III de l'AI Act (systèmes à haut risque), dont les obligations s'appliquent à partir du 2 décembre 2027 depuis le Digital Omnibus IA.
Comment préparer les équipes aux fraudes par deepfake ?
En posant une règle simple : toute demande urgente, en particulier de virement, se confirme par un autre canal. Le cas d'école est l'affaire Arup, à Hong Kong en 2024 : environ 25 millions de dollars versés après une visioconférence truquée. L'article 50 de l'AI Act impose de signaler un deepfake, mais un fraudeur ne le fera pas.
Quel format de formation choisir ?
Des sessions courtes et répétées, par exemple 3 modules sur 3 semaines, qui partent de situations réelles rencontrées par les équipes.
