IA et RGPD dans la francophonie : ce que les entreprises doivent savoir en 2026

2026 marque une accélération réglementaire sans précédent en Europe. Le RGPD, en vigueur depuis 2018, est désormais doublé par l'AI Act européen (Règlement UE 2024/1689), dont les premières obligations contraignantes touchent les systèmes d'IA à haut risque à partir du 2 août 2026. Hors UE, la Suisse a refondu sa loi sur la protection des données (nLPD) en septembre 2023, et le Québec applique intégralement sa Loi 25 depuis septembre 2024.

Ce guide parcourt chaque territoire francophone, ses textes applicables, ses autorités et ses obligations concrètes. L'objectif n'est pas de faire du droit, mais d'aider les décideurs à poser les bonnes questions avant de déployer de l'IA.

La catégorie IA et RGPD regroupe toutes les analyses produites sur ce sujet. Voici le cadre de référence.

Le RGPD (Règlement Général sur la Protection des Données) régit le traitement des données personnelles dans les 27 pays de l'UE depuis le 25 mai 2018. Il impose une base légale pour chaque traitement, une information transparente des personnes concernées, et une analyse d'impact (AIPD) pour les traitements à risque élevé. L'IA qui traite des données personnelles — c'est-à-dire presque toute l'IA commerciale — entre pleinement dans ce champ.

L'AI Act (Règlement UE 2024/1689), premier cadre légal mondial sur l'IA selon la Commission européenne, complète le RGPD avec une logique par niveaux de risque. Les pratiques d'IA interdites (notation sociale, manipulation psychologique) ont été prohibées en février 2025. Les obligations sur les modèles d'IA à usage général s'appliquent depuis août 2025. Les systèmes IA classés à haut risque — recrutement, scoring, biométrie, accès aux services essentiels — entrent dans le champ des obligations le 2 août 2026. Les pénalités pour non-conformité atteignent jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel.

Hors UE, la nouvelle Loi sur la protection des données suisse (nLPD), en vigueur depuis septembre 2023, et la Loi 25 québécoise, intégralement applicable depuis septembre 2024, imposent des obligations comparables, avec leurs propres autorités et calendriers.

Trois dates à retenir pour les entreprises qui opèrent en Europe.

• 2 août 2026 : les systèmes d'IA à haut risque doivent être conformes à l'AI Act. Cela implique une Évaluation de l'Impact sur les Droits Fondamentaux (FRIA), distincte de l'AIPD du RGPD mais complémentaire. Les systèmes concernés incluent les outils RH d'aide à l'embauche, les systèmes de scoring crédit, et tout outil biométrique.
• 2 décembre 2026 : les fournisseurs d'IA générative devront filigraner (watermark) les contenus générés par IA pour les rendre traçables.
• 2 décembre 2027 : les systèmes d'IA autonomes à haut risque devront être conformes.

Pour les entreprises qui opèrent au Québec, le 5 juin 2026 est la date limite pour les organismes publics de se conformer à la directive sur l'IA. Le secteur privé applique intégralement la Loi 25 depuis septembre 2024.

Ces trois pays appliquent le même socle légal — RGPD + AI Act — avec des autorités nationales qui ont chacune pris des positions distinctes sur l'IA.

En France, la CNIL a été officiellement désignée autorité nationale de supervision de l'AI Act par voie d'amendement gouvernemental en février 2026. Elle a annoncé ses thèmes de contrôle prioritaires pour 2026 : le recrutement par IA arrive en tête, devant le registre électoral et les fédérations sportives. Les entreprises qui utilisent des outils d'IA pour trier des CVs, scorer des candidats ou conduire des entretiens automatisés sont directement exposées. La CNIL a également lancé avec l'ANSSI le projet PANAME, conçu pour évaluer si un modèle d'IA traite des données personnelles. Les obligations spécifiques à la France sont détaillées dans l'article IA et RGPD en France.

En Belgique, l'Autorité de protection des données (APD) a publié une brochure officielle dédiée aux systèmes d'IA et au RGPD, et a signé en septembre 2025 la déclaration de la Global Privacy Assembly pour une gouvernance fiable des données en IA. Elle est actuellement saisie de plaintes contre des chatbots commerciaux, dont l'instruction est en cours. Le détail des obligations belges est dans l'article IA et RGPD en Belgique.

Au Luxembourg, la Commission nationale pour la protection des données (CNPD) a été positionnée comme « grande coordinatrice de l'IA » (Paperjam, 2025), avec un mandat élargi pour accompagner l'application de l'AI Act, notamment dans le secteur financier. Les obligations spécifiques au Grand-Duché sont dans l'article IA et RGPD au Luxembourg.

Pour une vue d'ensemble du cadre UE — la relation entre RGPD et AI Act, les analyses d'impact croisées, les pénalités — voir l'article IA et RGPD dans l'Union européenne.

En Suisse, la nouvelle Loi sur la protection des données (nLPD) est entrée en vigueur en septembre 2023. Elle s'aligne sur les grandes lignes du RGPD — minimisation des données, transparence, droits des personnes — mais sans lui être identique. Les entreprises suisses ne sont pas soumises à l'AI Act, sauf si leurs systèmes d'IA produisent des effets touchant des résidents de l'Union européenne. Dans ce cas, le règlement européen s'applique par extraterritorialité. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité de référence. L'article IA et protection des données en Suisse détaille les différences pratiques entre nLPD et RGPD.

Au Québec, la Loi 25 est intégralement en vigueur depuis septembre 2024. Elle impose une Évaluation des facteurs relatifs à la vie privée (EFVP) avant tout déploiement d'un système impliquant des renseignements personnels — l'équivalent fonctionnel de l'AIPD française. Le secteur public est soumis en plus à une directive IA dont la conformité est attendue pour le 5 juin 2026. Un projet de loi sur les deepfakes (PL24) est en discussion à l'Assemblée nationale, et le projet de loi fédéral C-27 sur l'IA est toujours en cours d'examen au Parlement canadien. Toutes ces obligations sont détaillées dans l'article IA et Loi 25 au Québec.

Les contrôles de la CNIL, les enquêtes de l'APD et les audits internes révèlent régulièrement les mêmes points de défaillance.

• 1. Choisir la base légale après le déploiement. La CNIL est explicite : la base légale doit être identifiée avant que le traitement commence. Changer de base légale en cours de route est en général impossible. Une IA déployée sans base légale claire expose l'entreprise à une mise en demeure.
• 2. Ignorer la FRIA (AI Act) en ne réalisant que la DPIA (RGPD). Pour les systèmes IA à haut risque, l'AI Act exige une Fundamental Rights Impact Assessment (FRIA). Elle ne remplace pas l'AIPD du RGPD — les deux sont requises, avec des méthodologies qui se recoupent mais des périmètres distincts.
• 3. Ne pas vérifier la provenance des données d'entraînement. Utiliser un modèle entraîné sur des données dont la collecte n'était pas conforme au RGPD engage la responsabilité du déployeur, pas seulement celle du fournisseur. La CNIL l'a précisé dans ses recommandations sur les Large Language Models.
• 4. Omettre la documentation des décisions automatisées. L'article 22 du RGPD encadre les décisions individuelles automatisées. Tout système d'IA qui produit des effets significatifs sur une personne (refus de crédit, rejet de candidature) doit être documenté et révisable.
• 5. Oublier l'extraterritorialité de l'AI Act. Une entreprise suisse ou québécoise qui déploie une IA dont les effets touchent des résidents de l'UE est soumise à l'AI Act, exactement comme au RGPD. Le critère n'est pas l'établissement géographique, mais l'effet sur les personnes.

Comprendre la réglementation est un point de départ. Savoir quels outils IA de votre stack sont exposés, et comment structurer la conformité sans ralentir votre marketing — c'est là que ça se joue.

L'Agence Blue Sky accompagne les équipes marketing dans l'audit de leurs systèmes IA, la mise en place des bases légales adaptées et la structuration des processus de documentation. Voir comment nous structurons l'accompagnement IA Marketing et l'automatisation des workflows marketing conformes.