RGPD et AI Act 2026 : ce que les CGP doivent faire avant le 2 août

Mise à jour du 9 octobre 2026. Le règlement (UE) 2026/1744, adopté en juillet 2026, a reporté au 2 décembre 2027 les obligations des systèmes « à haut risque » de l’annexe III de l’AI Act. Les obligations de transparence s’appliquent bien depuis le 2 août 2026. Le conseil en investissement ne figure pas parmi les systèmes à haut risque. Le cadre à jour : l’IA en gestion de patrimoine en 2026.

RGPD et AI Act forment désormais un seul sujet pour les CGP : dès qu’un outil d’IA touche une donnée client, les deux règlements s’appliquent en même temps. Et l’échéance est proche : le 2 août 2026, les obligations de l’AI Act sur les systèmes à haut risque et la transparence entrent en vigueur.

Ce qui suit est un état des lieux informatif, pas un avis juridique : faites valider votre situation par votre DPO ou un avocat spécialisé.

Pourquoi le secteur doit se sentir concerné

Les amendes de la CNIL sont passées de 55,2 M€ en 2024 à 486,8 M€ en 2025, selon ses bilans annuels. Les sanctions de début 2026 (27 M€ et 15 M€ pour Free, 5 M€ pour France Travail) confirment la ligne : le volume de données exposées aggrave la sanction, et la bonne foi ne protège plus en cas d’« ignorance délibérée des règles ».

Le point RGPD : ce qui est déjà obligatoire

Dès que Claude, ChatGPT ou Mistral traite une donnée personnelle de vos clients, l’éditeur devient votre sous-traitant au sens de l’article 28 : un contrat de sous-traitance est obligatoire. Sans ce contrat, l’envoi est irrégulier, même pseudonymisé.

C’est la confusion la plus coûteuse : pseudonymiser n’est pas anonymiser. Remplacer « Jean Dupont » par « Client A » en gardant la date de naissance, le contrat et les montants exacts laisse la donnée dans le champ du RGPD, car elle reste réidentifiable. L’anonymisation véritable exige trois critères cumulatifs (individualisation, corrélation et inférence impossibles). En pratique : âge approximatif, montants arrondis, catégories génériques, aucun identifiant direct ni nom de contrat.

S’ajoutent trois obligations souvent oubliées : le registre des traitements (première pièce demandée en contrôle CNIL), la mention explicite de l’usage de l’IA dans l’information RGPD remise à vos clients, et une analyse d’impact (AIPD) si le traitement présente un risque élevé.

Le point AI Act : ce qui change le 2 août 2026

L’AI Act s’applique par paliers depuis 2024. Le palier du 2 août 2026 est celui qui touche la finance :

• Sont classés à haut risque les systèmes d’IA utilisés pour évaluer la solvabilité ou le score de crédit des particuliers (la détection de fraude en est expressément exclue), et pour l’évaluation des risques et la tarification en assurance vie et santé. Si un outil évalue la solvabilité d’un client ou tarife un contrat d’assurance vie ou santé, vous êtes concerné : documentation technique, qualité des données démontrable, supervision humaine traçable et enregistrement dans la base UE.
• N’est pas à haut risque l’usage courant en cabinet : générer des reportings, rédiger des propositions, préparer des rendez-vous, à condition que la décision finale reste humaine et traçable. C’est exactement le principe de conception défendu dans l’IA décide-t-elle à la place du conseiller ?.
• Pour tout le monde : l’obligation de transparence (article 50). Tout chatbot ou assistant qui interagit avec vos clients doit leur dire qu’ils parlent à une IA.

Les sanctions montent jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et jusqu’à 15 M€ ou 3 % pour les autres manquements.

Quatre niveaux de conformité selon votre structure

1. Anonymisation manuelle (petit cabinet, usage ponctuel) : coût nul, immédiat, mais repose sur la rigueur humaine. Non défendable en usage intensif.
2. Claude Team ou Enterprise, avec le contrat de sous-traitance d’Anthropic : protection élevée, données non utilisées pour l’entraînement. Limite : l’éditeur reste soumis au droit américain (Cloud Act).
3. Mistral, offre professionnelle, avec contrat de sous-traitance : société française, serveurs européens, hors du Cloud Act. Une option solide pour un cabinet sous le regard de l’ACPR ou de l’AMF.
4. Modèle ouvert installé sur vos propres serveurs : aucune donnée ne sort du cabinet. Le niveau que recherchent certains family offices et structures aux données très sensibles ; il demande un prestataire technique.

Le choix du niveau dépend de votre volume, de votre régulateur et de votre clientèle, pas de la mode. C’est le niveau 3 que suit Charlie, l’agent IA de votre cabinet : sous-traitant au sens de l’article 28, serveur dédié en France, et seul un modèle d’IA français, hébergé en France, traite la donnée client.

Ce que la CNIL regarde en priorité dans la finance

Quatre points ressortent des contrôles : la sécurité des données (article 32), les traitements sans base légale (article 6) ou confiés à un sous-traitant sans contrat (article 28), ce qui vise directement l’envoi de données clients vers une IA, le défaut d’information des clients (articles 13 et 14), et l’absence de registre des traitements (article 30).

À noter : le chantier de conformité rejoint le chantier de données. Une donnée consolidée, tracée et sourcée (voir centraliser les données clients d’un cabinet) rend le registre des traitements et les réponses à un contrôle beaucoup plus simples.

Par où commencer cette semaine

• Choisir votre niveau de conformité et signer le contrat de sous-traitance correspondant.
• Mettre à jour l’information RGPD remise aux clients et le registre des traitements pour y intégrer les usages de l’IA.
• Cartographier vos usages IA et les classer : haut risque, limité, minimal.
• Vérifier que toute décision assistée par l’IA reste sous le contrôle d’un humain, qui peut la corriger, avec une trace.

Le guide complet (lexique réglementaire, tableaux de ce qui est autorisé ou interdit, calendrier de l’AI Act et liste de contrôle) est disponible sur demande : ajoutez Thomas Higadère sur LinkedIn et demandez le guide RGPD & AI Act.