Ce que le RGPD et l’AI Act changent pour vos pistes.
Une piste peut être rentable et illégale. Ça n’arrive pas souvent, mais quand ça arrive, il vaut mieux le savoir avant d’avoir payé le développement. Le cadre réglementaire est donc posé pendant l’audit, pas après, et il entre dans la notation de la grille.
- Chaque piste est classée
- Pour chacune, le document dit quelles données personnelles elle touche, à quel titre elles sont traitées et où elles partent. Une piste qui envoie des CV ou des dossiers de salariés dans un outil hébergé hors Union européenne n’est pas notée comme une piste qui reformule des comptes rendus de chantier.
- Le niveau de risque au sens de l’AI Act
- La plupart des cas d’usage qu’on trouve en PME relèvent du risque minimal ou limité, avec une simple obligation d’information des personnes. Ceux qui touchent au recrutement, à l’évaluation des salariés ou à l’accès à un service basculent en risque élevé, avec des obligations lourdes. La différence est écrite dans la fiche, pas laissée au hasard.
- Vos outils en lecture seule
- Pendant l’audit, rien n’est modifié chez vous. On observe, on ouvre, on relève des formats et des volumes. Aucune donnée n’est extraite de vos systèmes pour être traitée ailleurs, et aucun compte n’est créé sur un outil tiers.
- Où tournera le modèle, quand ça compte
- Quand la contrainte l’exige, la piste est chiffrée avec un modèle qui tourne sur votre infrastructure plutôt que chez un éditeur. C’est plus cher et c’est écrit comme tel dans le chiffrage, avec l’écart de coût, pour que l’arbitrage vous revienne.
Ce qu’on ne vous promettra pas : une certification. À ce jour aucun organisme ne certifie un système d’IA au titre du règlement européen, et un prestataire qui vous en vend une vend autre chose. Ce que l’audit produit, c’est la classification de chaque piste et la liste des obligations qu’elle déclenche, dans un format que votre conseil juridique peut reprendre.