RGPD et AI Act 2026 : ce que les CGP doivent faire avant le 2 août

RGPD et AI Act forment désormais un seul sujet pour les CGP : dès qu’un outil d’IA touche une donnée client, les deux règlements s’appliquent en même temps. Et l’échéance est proche : le 2 août 2026, les obligations de l’AI Act sur les systèmes à haut risque et la transparence entrent en vigueur. Moins de 30 % des entreprises européennes ont entamé leur mise en conformité.

Ce qui suit est un état des lieux informatif, pas un avis juridique : faites valider votre situation par votre DPO ou un avocat spécialisé.

Pourquoi le secteur doit se sentir concerné

Les amendes CNIL sont passées de 55,2 M€ en 2024 à 486,8 M€ en 2025. Le secteur financier est le troisième secteur le plus sanctionné, avec 12 % des violations notifiées. Les sanctions de début 2026 (27 M€ et 15 M€ pour Free, 5 M€ pour France Travail) confirment la ligne : le volume de données exposées aggrave la sanction, et la bonne foi ne protège plus en cas d’« ignorance délibérée des règles ».

Le point RGPD : ce qui est déjà obligatoire

Dès que Claude, ChatGPT ou Mistral traite une donnée personnelle de vos clients, l’outil devient votre sous-traitant au sens de l’article 28 : un DPA (contrat de traitement des données) est obligatoire. Sans DPA, la transmission est illégale, même pseudonymisée.

C’est la confusion la plus coûteuse : pseudonymiser n’est pas anonymiser. Remplacer « Jean Dupont » par « Client A » en gardant la date de naissance, le contrat et les montants exacts laisse la donnée dans le champ du RGPD, car elle reste réidentifiable. L’anonymisation véritable exige trois critères cumulatifs (individualisation, corrélation et inférence impossibles). En pratique : âge approximatif, montants arrondis, catégories génériques, aucun identifiant direct ni nom de contrat.

S’ajoutent trois obligations souvent oubliées : le registre des traitements (première pièce demandée en contrôle CNIL), la mention explicite de l’usage d’IA dans vos CGV et notices d’information, et une analyse d’impact (AIPD) si le traitement présente un risque élevé.

Le point AI Act : ce qui change le 2 août 2026

L’AI Act s’applique par paliers depuis 2024. Le palier du 2 août 2026 est celui qui touche la finance :

• Sont classés à haut risque les systèmes d’IA utilisés pour l’évaluation de solvabilité, le scoring crédit, la détection de fraude conditionnant l’accès aux services financiers et l’évaluation des risques en assurance. Si un outil note vos prospects ou filtre des clients, vous êtes concerné : documentation technique, qualité des données démontrable, supervision humaine traçable et enregistrement dans la base UE.
• N’est pas à haut risque l’usage courant en cabinet : générer des reportings, rédiger des propositions, préparer des rendez-vous, à condition que la décision finale reste humaine et traçable. C’est exactement le principe de conception défendu dans l’IA décide-t-elle à la place du conseiller ?
• Pour tout le monde : l’obligation de transparence (article 50). Tout chatbot ou assistant qui interagit avec vos clients doit leur dire qu’ils parlent à une IA.

Les sanctions montent jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial.

Quatre niveaux de conformité selon votre structure

1. Anonymisation manuelle (petit cabinet, usage ponctuel) : coût nul, immédiat, mais repose sur la rigueur humaine. Non défendable en usage intensif.
2. Claude Team/Enterprise avec DPA Anthropic : protection élevée, données non utilisées pour l’entraînement. Limite résiduelle : le Cloud Act américain, que certaines obligations ACPR peuvent exclure.
3. Mistral API avec DPA : société française, serveurs européens, hors Cloud Act. L’option la plus solide sous contraintes ACPR/AMF.
4. Modèle open source en local : zéro donnée qui sort de l’infrastructure. Le niveau exigé par les family offices et structures aux données ultra-sensibles ; nécessite un prestataire technique.

Le choix du niveau dépend de votre volume, de votre régulateur et de votre clientèle, pas de la mode.

Ce que la CNIL regarde en priorité dans la finance

Quatre points ressortent des contrôles : la sécurisation des données (article 32), les transmissions sans base légale (article 6, directement applicable à l’envoi de données clients vers une IA sans DPA), le défaut de transparence envers les clients (articles 13-14), et l’absence de registre des traitements (article 30).

À noter : le chantier de conformité rejoint le chantier de données. Une donnée consolidée, tracée et sourcée (voir centraliser les données clients d’un cabinet) rend le registre des traitements et les réponses à un contrôle beaucoup plus simples.

Par où commencer cette semaine

• Choisir votre niveau de conformité et signer le DPA correspondant.
• Mettre à jour CGV et registre des traitements pour y intégrer les usages IA.
• Cartographier vos usages IA et les classer : haut risque, limité, minimal.
• Vérifier que toute décision assistée par IA reste supervisable et outrepassable par un humain, avec traçabilité.

Le guide complet (lexique réglementaire, tableaux détaillés autorisé/interdit, calendrier AI Act et checklist de conformité) est disponible sur demande : ajoutez Thomas Higadère sur LinkedIn et demandez le guide RGPD & AI Act.