RGPD + AI Act : guide de conformité IA pour les métiers réglementés (droit, santé, RH)

RGPD et AI Act ne sont pas deux règlements alternatifs — ils s'appliquent simultanément et en cumul. Pour les métiers réglementés (avocats, médecins, notaires, DRH, experts-comptables), la double exposition est particulièrement critique : au secret professionnel et aux règles déontologiques s'ajoutent désormais les exigences de deux cadres réglementaires européens. Les sanctions possibles sont lourdes au titre de chacun des deux règlements. Ce guide détaille les obligations concrètes par profession.

RGPD vs AI Act : ce qui se chevauche, ce qui est différent

La confusion entre les deux règlements est fréquente. Voici les distinctions clés :

• RGPD (depuis 2018) — Régit le traitement des données personnelles. S'applique dès qu'une personne physique identifiable est impliquée. Obligations : base légale, droits des personnes, minimisation, encadrement des transferts hors Union européenne, registre des traitements.
• AI Act (depuis 2024-2027) — Régit les systèmes d'IA en fonction de leur niveau de risque. S'applique même si aucune donnée personnelle n'est traitée. Obligations : classification du risque, traçabilité, transparence, formation du personnel, absence de pratiques interdites.

Points communs imposant les deux en parallèle : le Privacy by Design (minimisation des données envoyées au LLM), l'encadrement des transferts hors UE, et l'obligation de traçabilité et documentation des traitements.

Différence clé souvent ignorée : l'AI Act s'applique même si votre LLM ne traite pas de données personnelles. Un système de génération de code, un outil d'aide à la rédaction de contrats types, un assistant de recherche bibliographique — ils ne manipulent pas de données personnelles, mais ils sont soumis à l'AI Act (obligation de formation Art.4, interdictions Art.5, vérification haut risque).

Droit et cabinets d'avocats : triple obligation

Les avocats font face à une triple obligation : secret professionnel (Code pénal + déontologie), RGPD (données clients), et AI Act (systèmes IA utilisés). L'interaction entre ces trois cadres est particulièrement exigeante.

Ce que le secret professionnel interdit

L'Article 226-13 du Code pénal punit d'un an d'emprisonnement et 15 000 € d'amende la révélation d'informations à caractère secret par une personne dépositaire. L'envoi d'informations identifiables sur un client à un service IA tiers peut constituer une violation du secret professionnel : l'appréciation relève de la déontologie de chaque profession, à valider avec votre ordre ou votre conseil. Les données concernées : noms des parties, numéros de dossiers, nature de l'affaire, pièces jointes, correspondances protégées.

Ce que le RGPD impose en cabinet

Les données clients d'un avocat sont des données personnelles. L'envoi d'un dossier vers un LLM dont le traitement a lieu aux États-Unis (ChatGPT, Claude, Gemini, selon l'offre) constitue un transfert international soumis au Chapitre V du RGPD : décision d'adéquation, clauses contractuelles types ou autre garantie doivent être mobilisées. La CNIL publie des ressources sur l'IA et le RGPD, à consulter sur son site.

Ce que l'AI Act ajoute

La catégorie "administration de la justice" (Annexe III point 8) vise les systèmes destinés à assister une autorité judiciaire dans la recherche et l'interprétation des faits et du droit : l'usage d'un LLM par un cabinet pour préparer ses dossiers n'en relève pas en principe. L'AI Act impose en revanche au cabinet, comme à tout déployeur, la formation de ses équipes (Art.4) et la vigilance sur les pratiques interdites (Art.5).

Une approche prudente

Une approche en deux temps : masquage systématique des données client avant tout envoi à un LLM externe, et examen des garanties contractuelles du service utilisé (localisation du traitement, conservation, usage des données). Concrètement, "Jean Dupont ([email protected], IBAN FR76…), affaire de licenciement" devient "[PERSON_1] ([EMAIL_1], [IBAN_1]), affaire de licenciement" — le LLM reçoit un contexte suffisant pour travailler et ne voit que des jetons pour les données repérées. Ce qui n'est pas repéré (un numéro de dossier interne, par exemple) part tel quel, sauf motif personnalisé ajouté au compte.

Notre article dédié IA et secret professionnel : avocats, notaires, médecins face aux LLM détaille les cas pratiques et les jurisprudences applicables.

Santé et établissements médicaux : la catégorie la plus sensible

Les données de santé constituent la catégorie la plus protégée du RGPD (Art.9 — données sensibles) et les systèmes d'aide au diagnostic figurent parmi les usages les plus encadrés (les dispositifs médicaux relèvent du régime haut risque de l'AI Act via la réglementation sectorielle).

RGPD : base légale et hébergement de données de santé

Le traitement de données de santé n'est autorisé que sur des bases légales strictes : consentement explicite, nécessité pour la prise en charge médicale, intérêt public dans le domaine de la santé. L'hébergement de données de santé recueillies à l'occasion d'activités de prévention, de diagnostic ou de soins doit en principe être confié à un hébergeur certifié HDS (Article L.1111-8 du Code de la santé publique). À vérifier pour chaque flux, y compris lorsque le LLM n'est qu'une brique dans un traitement plus large.

AI Act : haut risque pour l'aide au diagnostic

Les logiciels qui constituent un dispositif médical relèvent de la réglementation sectorielle et, via l'Annexe I de l'AI Act, du régime haut risque (échéance initialement prévue en août 2027 ; vérifiez le calendrier en vigueur). Si votre établissement utilise un LLM pour synthétiser des comptes-rendus d'imagerie, suggérer un diagnostic différentiel, ou orienter un patient, ce régime peut s'appliquer, avec notamment :

• Documentation technique complète du système
• Évaluation de la conformité avant déploiement
• Supervision médicale obligatoire — le LLM ne peut pas prendre de décision clinique finale
• Journaux d'audit conservés (au moins six mois pour les journaux détenus par le déployeur)
• Information des patients sur l'utilisation d'une aide IA

Ce qui est permis sans encadrement haut risque

Recherche bibliographique médicale, génération de courriers administratifs standards, aide à la rédaction de protocoles génériques, synthèse de littérature scientifique publiée (sans données patient) — ces usages ne sont pas haut risque. Le niveau de vigilance monte d'un cran dès que des données patient individuelles entrent dans la boucle ou que la sortie du LLM influence directement une décision clinique : la qualification juridique doit alors être faite au cas par cas.

La responsabilité du praticien reste entière même en cas d'assistance par IA : consultez les recommandations de votre ordre et de la CNIL.

Ressources Humaines : le recrutement IA sous surveillance renforcée

La fonction RH est l'une des plus exposées à la double conformité RGPD + AI Act. Le recrutement assisté par IA cumule les obligations des deux règlements.

AI Act : recrutement = haut risque (Annexe III point 4)

Sont classés haut risque les systèmes IA utilisés pour :

• Le recrutement et la sélection de personnes (notamment le tri et l'évaluation de candidats)
• Les décisions relatives à la promotion, la résiliation ou l'évaluation des performances
• Le suivi et l'évaluation des performances et du comportement des salariés

Cette classification s'applique dès qu'un LLM est utilisé pour scorer des CV, analyser des lettres de motivation, générer des évaluations de candidats, ou recommander des candidats à un recruteur. L'obligation de supervision humaine est centrale : un recruteur ne peut pas déléguer la décision finale à l'IA.

RGPD Art.22 : droit à ne pas faire l'objet d'une décision automatisée

L'Article 22 du RGPD donne aux personnes le droit de ne pas faire l'objet d'une décision reposant exclusivement sur un traitement automatisé et produisant des effets juridiques significatifs. Pour le recrutement : rejeter automatiquement un candidat sur la seule base d'un score IA est en principe interdit, sauf exceptions encadrées et garanties (intervention humaine, possibilité de contestation).

Les obligations concrètes pour un DRH utilisant un LLM dans le recrutement :

• Informer les candidats qu'un système IA est utilisé dans le processus (RGPD Art.13-14 ; AI Act Art.26 pour les systèmes haut risque)
• Garantir une intervention humaine effective avant toute décision finale
• Permettre au candidat de contester la décision et d'obtenir une explication
• Tester le système pour les biais discriminatoires (genre, origine, âge) — attendu pour les systèmes haut risque
• Documenter les critères de sélection utilisés par le LLM

Les données RH et le RGPD

Les données traitées en RH — CV, lettres de motivation, résultats d'entretiens, évaluations de performance — sont toutes des données personnelles. Certaines sont sensibles : données de santé (arrêts maladie, handicap), données syndicales, données relatives à des condamnations pénales (casier judiciaire). L'envoi de ces données à un LLM externe sans masquage préalable crée une exposition RGPD directe.

Notaires et experts-comptables

Notaires : secret professionnel notarial

Le secret professionnel notarial s'impose au notaire. Il couvre l'ensemble des informations confiées au notaire dans le cadre de son ministère. Les actes notariaux contiennent systématiquement des données personnelles sensibles : état civil, données patrimoniales, données familiales, parfois données médicales (successions, curatelles).

Les usages à moindre risque : aide à la rédaction d'actes standards, recherche de jurisprudence notariale, synthèse de textes législatifs. Les usages à risque : analyse d'actes comportant des données client réelles sans masquage préalable. Rapprochez-vous du Conseil supérieur du notariat pour ses recommandations.

Notre page routtx pour les notaires présente l'usage en office notarial.

Experts-comptables : données financières et haut risque potentiel

Les données comptables contiennent souvent des données personnelles (dirigeants, associés, employés, clients). Si un cabinet utilise un LLM pour évaluer la solvabilité ou le risque de crédit d'entreprises clientes, la qualification dépend de l'usage : l'évaluation de la solvabilité de personnes physiques relève de l'Annexe III point 5 (accès aux services essentiels) — haut risque — alors que l'évaluation d'entreprises n'en relève pas nécessairement. Dans le premier cas, les obligations incluent notamment la documentation, la maîtrise des biais et la supervision humaine.

Dans tous les cas, un inventaire des usages IA du cabinet est le point de départ d'une mise en conformité progressive.

Check-list double conformité RGPD + AI Act pour les métiers réglementés

• ☐ Cartographier tous les usages LLM du cabinet/établissement — qui utilise quoi, pour quels dossiers, avec quelles données
• ☐ Qualifier chaque usage — haut risque AI Act ou non (Annexe III) ; données personnelles RGPD ou non
• ☐ Vérifier la compatibilité avec le secret professionnel — service tiers, hébergement, politique de rétention
• ☐ Mettre en place le masquage automatique des données personnelles avant envoi au LLM pour tout dossier client
• ☐ Localisation du traitement et transferts hors UE — hébergeur HDS certifié pour les données de santé lorsque la loi l'impose
• ☐ Former le personnel (Art.4 AI Act) — programme documenté, adapté au rôle, daté
• ☐ Mettre à jour le registre des traitements RGPD — chaque usage LLM impliquant des données personnelles doit y figurer
• ☐ Rédiger et diffuser la politique IA interne — ce qui est autorisé, ce qui est interdit, comment signaler un incident
• ☐ Informer les clients/patients/candidats — si un LLM est impliqué dans leur dossier (RGPD Art.13-14 ; AI Act Art.26 pour le haut risque)
• ☐ Garantir la supervision humaine — pour tout usage haut risque, documenter la décision humaine finale
• ☐ Mettre en place les logs d'audit — horodatés, conservés selon une durée fixée et justifiée
• ☐ Prévoir un processus de réponse aux réclamations liées à l'IA (droit d'accès, droit à l'explication, droit d'opposition)

Les amendes : une double exposition à ne pas sous-estimer

Pour les métiers réglementés, la sanction potentielle est triple :

• Sanctions déontologiques — Suspension, radiation par l'ordre professionnel en cas de violation grave du secret professionnel
• Amendes RGPD — Jusqu'à 20 millions € ou 4% du CA mondial (CNIL)
• Amendes AI Act — Jusqu'à 15 millions € ou 3% du CA mondial pour non-respect de la plupart des obligations, dont celles des systèmes haut risque ; jusqu'à 35 millions € ou 7% pour violations des interdictions

Le contrôle de l'AI Act est confié à des autorités nationales dont l'organisation varie selon les États membres, et les deux régimes de sanctions peuvent s'appliquer à un même traitement. Les professions réglementées manipulent des données sensibles : la prudence s'impose.

L'approche technique : une couche de masquage en proxy

Pour les métiers réglementés, une solution technique utile est une couche de masquage en proxy placée entre les collaborateurs et le LLM. Elle contribue à :

• Secret professionnel — les données repérées ne sont pas transmises au service tiers
• RGPD minimisation — seules les données nécessaires au traitement parviennent au LLM, sous forme pseudonymisée
• AI Act traçabilité — chaque échange est consigné (qui, quel modèle, quand)

routtx repère notamment les noms, emails, téléphones, adresses, NIR, IBAN, SIRET/SIREN, numéros de TVA, pièces d'identité, références cadastrales, lots de copropriété ainsi que les numéros CRPCEN et de minute ; des motifs personnalisés peuvent être ajoutés par compte, et les catégories sont désactivables. Ce qui n'est pas repéré part tel quel. Voir la page sécurité.

Pour comprendre les obligations techniques détaillées (structure des logs, filtrage des inputs/outputs, architecture recommandée), consultez notre article AI Act : comment logger, filtrer et tracer vos requêtes LLM. Pour les obligations générales applicables à toutes les entreprises : EU AI Act — obligations concrètes si vous utilisez un LLM.

Conclusion

Les métiers réglementés ne peuvent pas se permettre d'attendre les dates butoirs pour agir. Le secret professionnel s'applique dès aujourd'hui — chaque envoi de données client non masquées vers un LLM est une violation potentielle du Code pénal et des règles déontologiques. Le RGPD s'applique depuis 2018. L'AI Act ajoute une couche supplémentaire avec des obligations qui s'étoffent progressivement jusqu'en 2027.

La bonne nouvelle : pour les usages courants (aide à la rédaction, recherche documentaire, synthèses), deux mesures concrètes constituent un socle : le masquage automatique des données client avant envoi au LLM, et des logs d'audit. Elles ne remplacent ni la formation, ni la politique d'usage, ni l'analyse de chaque cas d'usage.

Questions fréquentes

Un avocat peut-il utiliser ChatGPT pour analyser un dossier client ?

Pas sans précautions. Envoyer des informations identifiables sur un client dans ChatGPT peut constituer une violation du secret professionnel (article 226-13 du Code pénal) et soulève des questions au regard du RGPD (base légale, transfert hors UE). Une piste : utiliser un proxy qui masque par des jetons les données personnelles repérées (noms, emails, IBAN…) avant l'envoi au LLM, puis restitue les valeurs dans la réponse. Ce qui n'est pas repéré part tel quel, et l'avocat reste tenu à ses obligations déontologiques : rapprochez-vous de votre ordre.

L'AI Act classifie-t-il le recrutement assisté par IA comme système haut risque ?

En principe, oui. L'Annexe III point 4 de l'AI Act classe comme haut risque les systèmes IA utilisés pour le recrutement et la sélection (y compris le tri de candidatures et l'évaluation de candidats), ainsi que pour les décisions de promotion ou de résiliation de contrat et le suivi des performances et du comportement. Les obligations incluent notamment la documentation technique et l'évaluation de conformité (côté fournisseur), la supervision humaine et l'information des personnes concernées (côté déployeur).

Quelle est la différence entre RGPD et AI Act pour un médecin qui utilise un LLM ?

Le RGPD encadre le traitement des données de santé (catégorie particulière, article 9) : base légale et exception strictes, hébergement par un hébergeur certifié HDS dans les cas prévus par le Code de la santé publique (article L.1111-8), droits des patients. L'AI Act encadre le système IA lui-même : un logiciel qui constitue un dispositif médical, ou un composant de sécurité d'un tel dispositif, relève du régime haut risque via la réglementation sur les dispositifs médicaux (Annexe I) ; d'autres usages en santé peuvent aussi être concernés. Les deux règlements peuvent s'appliquer cumulativement.

Les experts-comptables sont-ils concernés par l'AI Act ?

Oui, au moins comme déployeurs de LLM (article 4 sur la formation, journalisation, politique d'usage). Un usage plus sensible, comme l'évaluation de la solvabilité de personnes physiques, relève de l'Annexe III point 5 (accès aux services essentiels, scoring de crédit) ; l'évaluation d'entreprises clientes n'en relève pas nécessairement. Par ailleurs, les données comptables contiennent souvent des données personnelles (dirigeants, associés, employés) soumises au RGPD. Les deux règlements peuvent donc s'appliquer.