1:"$Sreact.fragment" 2:I[9766,[],""] 3:I[8924,[],""] b:I[7150,[],""] :HL["/_next/static/css/339f79e7df8944f0.css","style"] 4:T9b8,{"@context":"https://schema.org","@type":"FAQPage","mainEntity":[{"@type":"Question","name":"Peut-on utiliser l'API d'OpenAI ou d'Anthropic en restant conforme au RGPD ?","acceptedAnswer":{"@type":"Answer","text":"Oui. Ce sont des sous-traitants au sens de l'article 28 : il faut un contrat de sous-traitance (leurs conditions entreprise en tiennent lieu), les inscrire à votre registre, informer vos utilisateurs, et encadrer le transfert hors UE. Le point réellement risqué n'est pas le fournisseur mais le contenu envoyé : minimisez les données personnelles en amont et activez les options de non-conservation et de non-entraînement quand elles existent."}},{"@type":"Question","name":"Faut-il faire une analyse d’impact (AIPD) ?","acceptedAnswer":{"@type":"Answer","text":"Elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes : profilage à grande échelle, données sensibles, décision automatisée produisant des effets juridiques, surveillance systématique. Beaucoup de produits IA grand public y échappent ; un outil de scoring de candidats ou d'analyse de données de santé, non. En cas de doute, la liste publiée par la CNIL des traitements soumis à AIPD est le bon point de départ."}},{"@type":"Question","name":"Mon produit IA est-il « à haut risque » au sens de l’AI Act ?","acceptedAnswer":{"@type":"Answer","text":"Dans la grande majorité des cas, non. Le haut risque vise des usages listés : recrutement et gestion des travailleurs, accès à l'éducation, scoring de crédit, services publics essentiels, biométrie, infrastructures critiques, justice. Un assistant de rédaction, un moteur de recherche interne ou un outil d'analyse documentaire relèvent en principe du risque limité — dont l'obligation principale est la transparence : indiquer à l'utilisateur qu'il interagit avec une IA et signaler les contenus générés."}},{"@type":"Question","name":"Suis-je fournisseur ou déployeur d’IA ?","acceptedAnswer":{"@type":"Answer","text":"Si vous utilisez un modèle existant via une API en construisant votre produit par-dessus, vous êtes déployeur — vos obligations sont nettement plus légères que celles du fournisseur du modèle. Vous devenez fournisseur si vous mettez un système d'IA sur le marché sous votre propre nom, ou si vous modifiez substantiellement un système existant. Cette distinction est la première à trancher, car elle détermine tout le reste."}}]}0:{"P":null,"b":"3GkaWbf252LDZJPdWkRze","p":"","c":["","rgpd-ia-france"],"i":false,"f":[[["",{"children":["rgpd-ia-france",{"children":["__PAGE__",{}]}]},"$undefined","$undefined",true],["",["$","$1","c",{"children":[[["$","link","0",{"rel":"stylesheet","href":"/_next/static/css/339f79e7df8944f0.css","precedence":"next","crossOrigin":"$undefined","nonce":"$undefined"}]],["$","html",null,{"lang":"fr","className":"__variable_64f856 __variable_161195","children":[["$","head",null,{"children":[["$","link",null,{"rel":"preconnect","href":"https://fonts.googleapis.com"}],["$","link",null,{"rel":"preconnect","href":"https://fonts.gstatic.com","crossOrigin":"anonymous"}],["$","link",null,{"href":"https://fonts.googleapis.com/css2?family=Instrument+Serif:ital@0;1&display=swap","rel":"stylesheet"}]]}],["$","body",null,{"children":["$","$L2",null,{"parallelRouterKey":"children","error":"$undefined","errorStyles":"$undefined","errorScripts":"$undefined","template":["$","$L3",null,{}],"templateStyles":"$undefined","templateScripts":"$undefined","notFound":[[["$","title",null,{"children":"404: This page could not be found."}],["$","div",null,{"style":{"fontFamily":"system-ui,\"Segoe UI\",Roboto,Helvetica,Arial,sans-serif,\"Apple Color Emoji\",\"Segoe UI Emoji\"","height":"100vh","textAlign":"center","display":"flex","flexDirection":"column","alignItems":"center","justifyContent":"center"},"children":["$","div",null,{"children":[["$","style",null,{"dangerouslySetInnerHTML":{"__html":"body{color:#000;background:#fff;margin:0}.next-error-h1{border-right:1px solid rgba(0,0,0,.3)}@media (prefers-color-scheme:dark){body{color:#fff;background:#000}.next-error-h1{border-right:1px solid rgba(255,255,255,.3)}}"}}],["$","h1",null,{"className":"next-error-h1","style":{"display":"inline-block","margin":"0 20px 0 0","padding":"0 23px 0 0","fontSize":24,"fontWeight":500,"verticalAlign":"top","lineHeight":"49px"},"children":404}],["$","div",null,{"style":{"display":"inline-block"},"children":["$","h2",null,{"style":{"fontSize":14,"fontWeight":400,"lineHeight":"49px","margin":0},"children":"This page could not be found."}]}]]}]}]],[]],"forbidden":"$undefined","unauthorized":"$undefined"}]}]]}]]}],{"children":["rgpd-ia-france",["$","$1","c",{"children":[null,["$","$L2",null,{"parallelRouterKey":"children","error":"$undefined","errorStyles":"$undefined","errorScripts":"$undefined","template":["$","$L3",null,{}],"templateStyles":"$undefined","templateScripts":"$undefined","notFound":"$undefined","forbidden":"$undefined","unauthorized":"$undefined"}]]}],{"children":["__PAGE__",["$","$1","c",{"children":[[["$","script",null,{"type":"application/ld+json","dangerouslySetInnerHTML":{"__html":"{\"@context\":\"https://schema.org\",\"@type\":\"Article\",\"headline\":\"RGPD et AI Act pour un produit IA : ce qui s’applique vraiment\",\"description\":\"Conformité d'un produit IA en France : base légale, données envoyées aux fournisseurs de modèles, transferts hors UE, AIPD, et le calendrier de l'AI Act. Ce qui concerne réellement une startup.\",\"inLanguage\":\"fr-FR\",\"mainEntityOfPage\":{\"@type\":\"WebPage\",\"@id\":\"https://code-ia.fr/rgpd-ia-france\"},\"author\":{\"@type\":\"Organization\",\"name\":\"Code-IA\",\"url\":\"https://code-ia.fr\"},\"publisher\":{\"@type\":\"Organization\",\"name\":\"Code-IA\",\"url\":\"https://code-ia.fr\"}}"}}],["$","script",null,{"type":"application/ld+json","dangerouslySetInnerHTML":{"__html":"{\"@context\":\"https://schema.org\",\"@type\":\"BreadcrumbList\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Code-IA\",\"item\":\"https://code-ia.fr\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"RGPD & AI Act\",\"item\":\"https://code-ia.fr/rgpd-ia-france\"}]}"}}],["$","script",null,{"type":"application/ld+json","dangerouslySetInnerHTML":{"__html":"$4"}}],"$L5","$L6","$L7","$L8"],null,"$L9"]}],{},null,false]},null,false]},null,false],"$La",false]],"m":"$undefined","G":["$b",[]],"s":false,"S":true} 27:I[2977,["311","static/chunks/app/rgpd-ia-france/page-b2792c99579d1763.js"],"default"] 28:I[4431,[],"OutletBoundary"] 2a:I[5278,[],"AsyncMetadataOutlet"] 2c:I[4431,[],"ViewportBoundary"] 2e:I[4431,[],"MetadataBoundary"] 2f:"$Sreact.suspense" 5:["$","nav",null,{"className":"top","children":["$","div",null,{"className":"wrap row","children":[["$","a",null,{"className":"logo","href":"/","children":[["$","b",null,{"children":"◆ Code-IA"}],["$","span",null,{"children":"/ architecture & production"}]]}],["$","div",null,{"className":"navlinks","children":[["$","a",null,{"href":"/#probleme","children":"Problème"}],["$","a",null,{"href":"/#solution","children":"Approche"}],["$","a",null,{"href":"/#process","children":"Process"}],["$","a",null,{"href":"/#offres","children":"Offres"}],["$","a",null,{"href":"/industrialiser-un-poc-ia","children":"Guides"}],["$","a",null,{"href":"/#faq","children":"FAQ"}]]}],["$","a",null,{"className":"btn","href":"/#contact","children":["Audit 30 min ",["$","span",null,{"className":"arr","children":"→"}]]}]]}]}] 6:["$","main",null,{"children":[["$","article",null,{"className":"article","children":[["$","div",null,{"className":"article-head","children":[["$","a",null,{"className":"back","href":"/","children":"← Code-IA"}],["$","div",null,{"className":"eyebrow","children":"Guide — Conformité"}],["$","h1",null,{"children":["RGPD et AI Act :",["$","br",null,{}],"la part qui vous",["$","br",null,{}],["$","em",null,{"children":"concerne vraiment"}]]}],["$","p",null,{"className":"standfirst","children":"La conformité d’un produit IA n’est ni le cauchemar administratif qu’on décrit, ni la formalité qu’on espère. Voici ce qui s’applique à une startup qui construit sur des modèles existants — et ce qui ne s’applique pas."}],["$","div",null,{"className":"article-meta","children":[["$","span",null,{"children":["Mis à jour ","août 2026"]}],["$","span",null,{"children":"Vincent & Tony · Code-IA"}]]}]]}],["$","nav",null,{"className":"toc","aria-label":"Sommaire","children":[["$","div",null,{"className":"toc-label","children":"Au sommaire"}],["$","ol",null,{"children":[["$","li","perimetre",{"children":["$","a",null,{"href":"#perimetre","children":[["$","span",null,{"className":"n","children":"01"}],"Ce qui vous concerne, et ce qui ne vous concerne pas"]}]}],["$","li","rgpd",{"children":["$","a",null,{"href":"#rgpd","children":[["$","span",null,{"className":"n","children":"02"}],"Les six obligations RGPD d’un produit IA"]}]}],["$","li","fournisseurs",{"children":["$","a",null,{"href":"#fournisseurs","children":[["$","span",null,{"className":"n","children":"03"}],"Envoyer des données à un fournisseur de modèle"]}]}],["$","li","ai-act",{"children":["$","a",null,{"href":"#ai-act","children":[["$","span",null,{"className":"n","children":"04"}],"AI Act : classification et calendrier"]}]}],["$","li","checklist",{"children":["$","a",null,{"href":"#checklist","children":[["$","span",null,{"className":"n","children":"05"}],"La checklist avant la mise en ligne"]}]}]]}]]}],["$","div",null,{"className":"article-body","children":[[["$","div",null,{"className":"callout","children":[["$","div",null,{"className":"callout-label","children":"Avertissement"}],["$","p",null,{"children":"Cette page décrit une pratique d'ingénierie, pas un conseil juridique. Les textes évoluent et leur application dépend de votre cas. Sur les sujets engageants — AIPD, données sensibles, classification AI Act — faites valider par un avocat. Nous travaillons nous-mêmes avec un cabinet spécialisé sur ces points."}]]}],["$","p",null,{"children":"La conformité arrive presque toujours au mauvais moment : à la fin, quand le produit est construit et qu'il faut « ajouter le RGPD ». C'est la source principale des reprises coûteuses, parce que la moitié des exigences sont en réalité des contraintes d'architecture — où sont stockées les données, combien de temps, qui peut les lire, comment les supprimer."}],["$","h2",null,{"id":"perimetre","children":"Ce qui vous concerne, et ce qui ne vous concerne pas"}],["$","p",null,{"children":["Deux textes distincts s'appliquent, et on les confond souvent. Le"," ",["$","b",null,{"children":"RGPD"}]," régit les données personnelles, quelle que soit la technologie. L'",["$","b",null,{"children":"AI Act"}]," (règlement européen sur l'intelligence artificielle) régit les systèmes d'IA, y compris ceux qui ne traitent aucune donnée personnelle."]}],["$","div",null,{"className":"pull","children":"Le RGPD s'applique presque certainement à vous. L'AI Act, beaucoup moins qu'on ne le croit."}],["$","p",null,{"children":["La distinction la plus utile dans l'AI Act est celle entre ",["$","b",null,{"children":"fournisseur"}]," ","et ",["$","b",null,{"children":"déployeur"}],". Si vous construisez un produit au-dessus d'un modèle existant appelé par API, vous êtes déployeur : l'essentiel des obligations lourdes — documentation technique du modèle, évaluation des risques systémiques, données d'entraînement — pèse sur le fournisseur du modèle, pas sur vous."]}],["$","h2",null,{"id":"rgpd","children":"Les six obligations RGPD d'un produit IA"}],["$","h3",null,{"children":"1. Une base légale par traitement"}],"$Lc","$Ld","$Le","$Lf","$L10","$L11","$L12","$L13","$L14","$L15","$L16","$L17","$L18","$L19","$L1a","$L1b","$L1c","$L1d","$L1e","$L1f","$L20","$L21","$L22","$L23"],"$L24"]}]]}],"$L25","$L26"]}] 7:["$","footer",null,{"className":"bot","children":["$","div",null,{"className":"wrap","children":[["$","div",null,{"className":"foot-guides","children":[["$","span",null,{"className":"foot-label","children":"Guides"}],[["$","a","industrialiser-un-poc-ia",{"href":"/industrialiser-un-poc-ia","children":"Industrialiser un POC IA"}],["$","a","prix-developpement-application-ia",{"href":"/prix-developpement-application-ia","children":"Prix & budgets"}],["$","a","cto-fractionne",{"href":"/cto-fractionne","children":"CTO fractionné"}],["$","a","rgpd-ia-france",{"href":"/rgpd-ia-france","children":"RGPD & AI Act"}],["$","a","creer-societe-startup-ia",{"href":"/creer-societe-startup-ia","children":"Créer sa société"}]]]}],["$","div",null,{"className":"row","children":[["$","div",null,{"children":"◆ Code-IA — Vincent & Tony · Architecture & production · SIRET à venir"}],["$","div",null,{"children":[["$","a",null,{"href":"/mentions-legales","children":"Mentions légales"}]," · ",["$","a",null,{"href":"/confidentialite","children":"Confidentialité"}]," · ","Made in France"]}]]}]]}]}] 8:["$","$L27",null,{}] 9:["$","$L28",null,{"children":["$L29",["$","$L2a",null,{"promise":"$@2b"}]]}] a:["$","$1","h",{"children":[null,[["$","$L2c",null,{"children":"$L2d"}],null],["$","$L2e",null,{"children":["$","div",null,{"hidden":true,"children":["$","$2f",null,{"fallback":null,"children":"$L30"}]}]}]]}] c:["$","p",null,{"children":"Chaque usage de données personnelles doit reposer sur un fondement identifié : exécution du contrat, intérêt légitime, obligation légale ou consentement. Pour un SaaS, la base est le plus souvent l'exécution du contrat pour le service lui-même, et le consentement pour tout usage secondaire — dont l'amélioration de vos modèles. Ce dernier point est le plus fréquemment escamoté."}] d:["$","h3",null,{"children":"2. La minimisation, qui est un choix technique"}] e:["$","p",null,{"children":"Vous ne devez traiter que les données nécessaires. Sur un produit IA, cela se traduit très concrètement : filtrer ou pseudonymiser les identifiants avant l'appel au modèle, ne pas conserver les requêtes brutes indéfiniment, ne pas journaliser le contenu utilisateur « au cas où ». Une couche de nettoyage en amont de l'appel règle la majeure partie du sujet, et coûte une journée de travail."}] f:["$","h3",null,{"children":"3. Un registre des traitements"}] 10:["$","p",null,{"children":"Un tableau, pas une cathédrale : pour chaque traitement, la finalité, les données, la base légale, les destinataires, la durée de conservation, les transferts hors UE. Vos fournisseurs de modèles y figurent comme sous-traitants. C'est le premier document demandé en cas de contrôle."}] 11:["$","h3",null,{"children":"4. Des durées de conservation décidées"}] 12:["$","p",null,{"children":"« On garde tout » n'est pas une politique. Fixez une durée par catégorie — conversations, journaux techniques, comptes inactifs — et implémentez la suppression effective. Une purge automatique écrite dès le départ coûte une heure ; rétroactivement, elle suppose de savoir ce qui référence quoi."}] 13:["$","h3",null,{"children":"5. Les droits des personnes, réellement exerçables"}] 14:["$","p",null,{"children":["Accès, rectification, effacement, portabilité, opposition. La question à se poser en conception : ",["$","b",null,{"children":"suis-je capable de supprimer toutes les données d'un utilisateur en une opération ?"}]," Si la réponse suppose une intervention manuelle en base, le produit n'est pas prêt."]}] 15:["$","h3",null,{"children":"6. La décision automatisée"}] 16:["$","p",null,{"children":"Si votre produit prend seul une décision produisant des effets juridiques ou significatifs pour une personne — refus de crédit, tri de candidatures, résiliation — des garanties spécifiques s'appliquent : information, intervention humaine possible, contestation. C'est le point de bascule le plus courant entre un produit IA anodin et un produit réglementé."}] 17:["$","h2",null,{"id":"fournisseurs","children":"Envoyer des données à un fournisseur de modèle"}] 18:["$","p",null,{"children":"C'est la question posée à chaque audit. Elle se traite en quatre points."}] 19:["$","div",null,{"className":"table-scroll","children":["$","table",null,{"className":"data-table","children":[["$","thead",null,{"children":["$","tr",null,{"children":[["$","th",null,{"children":"Point"}],["$","th",null,{"children":"Ce qu'il faut avoir"}]]}]}],["$","tbody",null,{"children":[["$","tr",null,{"children":[["$","td",null,{"children":"Contrat"}],["$","td",null,{"children":"Un accord de sous-traitance (art. 28) avec chaque fournisseur. Les conditions entreprise des grands fournisseurs en tiennent lieu — encore faut-il avoir souscrit la bonne offre."}]]}],["$","tr",null,{"children":[["$","td",null,{"children":"Transfert hors UE"}],["$","td",null,{"children":"Vérifier la région d'hébergement proposée et, à défaut, le mécanisme de transfert invoqué. Plusieurs fournisseurs proposent aujourd'hui un traitement en Europe : c'est l'option par défaut à privilégier."}]]}],["$","tr",null,{"children":[["$","td",null,{"children":"Conservation & entraînement"}],["$","td",null,{"children":"Activer la non-conservation des requêtes et l'exclusion de l'entraînement. Ces options existent sur les offres professionnelles mais ne sont pas toujours actives par défaut."}]]}],["$","tr",null,{"children":[["$","td",null,{"children":"Contenu envoyé"}],["$","td",null,{"children":"Le seul levier entièrement sous votre contrôle : n'envoyer que le nécessaire. Aucune clause contractuelle ne rattrape l'envoi de données de santé en clair."}]]}]]}]]}]}] 1a:["$","div",null,{"className":"callout","children":[["$","div",null,{"className":"callout-label","children":"Souveraineté : la vraie question"}],["$","p",null,{"children":"« Hébergé en France » rassure, mais ne règle rien si vos appels de modèle partent ailleurs. À l'inverse, un produit hébergé en Europe avec un modèle appelé dans une région européenne, sous contrat, avec minimisation en amont, est dans une situation solide. Regardez le trajet réel de la donnée, pas le drapeau sur la page d'accueil de l'hébergeur."}]]}] 1b:["$","h2",null,{"id":"ai-act","children":"AI Act : classification et calendrier"}] 1c:["$","p",null,{"children":"Le règlement européen sur l'IA classe les systèmes par niveau de risque et applique des obligations proportionnées. Pour l'immense majorité des produits de startup, on se situe dans les deux catégories basses."}] 1d:["$","div",null,{"className":"table-scroll","children":["$","table",null,{"className":"data-table","children":[["$","thead",null,{"children":["$","tr",null,{"children":[["$","th",null,{"children":"Niveau"}],["$","th",null,{"children":"Exemples"}],["$","th",null,{"children":"Obligation principale"}]]}]}],["$","tbody",null,{"children":[["$","tr",null,{"children":[["$","td",null,{"children":"Inacceptable"}],["$","td",null,{"children":"Notation sociale, manipulation exploitant une vulnérabilité"}],["$","td",null,{"children":"Interdit"}]]}],["$","tr",null,{"children":[["$","td",null,{"children":"Haut risque"}],["$","td",null,{"children":"Recrutement, éducation, crédit, biométrie, infrastructures critiques, justice"}],["$","td",null,{"children":"Gestion des risques, gouvernance des données, documentation, supervision humaine, enregistrement"}]]}],["$","tr",null,{"children":[["$","td",null,{"children":"Risque limité"}],["$","td",null,{"children":"Agents conversationnels, génération de contenu"}],["$","td",null,{"children":"Transparence : dire que c'est une IA, signaler les contenus générés"}]]}],["$","tr",null,{"children":[["$","td",null,{"children":"Risque minimal"}],["$","td",null,{"children":"Filtres, recommandation, classification interne"}],["$","td",null,{"children":"Aucune obligation spécifique"}]]}]]}]]}]}] 1e:["$","p",null,{"children":"Le règlement est entré en vigueur en août 2024, avec une application par paliers : interdictions et obligation de littératie IA depuis février 2025, obligations relatives aux modèles à usage général depuis août 2025, puis le régime applicable aux systèmes à haut risque listés à l'annexe III, et enfin les systèmes intégrés à des produits réglementés. Ce calendrier a fait l'objet de propositions d'aménagement au niveau européen : si votre produit tombe dans la catégorie haut risque, faites confirmer l'échéance exacte qui vous concerne plutôt que de vous fier à une infographie datée."}] 1f:["$","p",null,{"children":["Une obligation est en revanche transversale et souvent ignorée : la"," ",["$","b",null,{"children":"littératie IA"}]," — vous devez veiller à ce que les personnes qui exploitent vos systèmes disposent d'un niveau de compréhension suffisant. Pour une petite équipe, cela se satisfait d'une note interne et d'une session de formation documentée."]}] 20:["$","div",null,{"className":"inline-cta","children":[["$","div",null,{"className":"txt","children":[["$","b",null,{"children":"Savoir en 30 minutes où vous en êtes"}],["$","span",null,{"children":"On regarde le trajet réel de vos données, votre classification probable et les deux ou trois points à corriger avant la mise en ligne."}]]}],["$","a",null,{"className":"btn","href":"/#contact","children":["Réserver l'audit ",["$","span",null,{"className":"arr","children":"→"}]]}]]}] 21:["$","h2",null,{"id":"checklist","children":"La checklist avant la mise en ligne"}] 22:["$","ul",null,{"children":[["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Registre des traitements rempli, fournisseurs de modèles inclus"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Base légale identifiée pour chaque finalité, consentement distinct pour l'amélioration produit"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Politique de confidentialité et mentions légales publiées et exactes"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Contrats de sous-traitance signés, options de non-conservation activées"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Durées de conservation définies et purge automatique en place"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Suppression complète d'un compte réalisable en une opération"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"Mention « vous interagissez avec une IA » visible si applicable"}]]}],["$","li",null,{"children":[["$","span",null,{"className":"g","children":"+"}],["$","span",null,{"children":"AIPD réalisée si le traitement présente un risque élevé"}]]}]]}] 23:["$","p",null,{"children":["Ces points sont traités dans l'étape 5 de notre méthode d'industrialisation — voir"," ",["$","a",null,{"href":"/industrialiser-un-poc-ia","children":"industrialiser un POC IA"}],". La partie contractuelle et statutaire est couverte dans"," ",["$","a",null,{"href":"/creer-societe-startup-ia","children":"créer sa société pour une startup IA"}],"."]}] 24:[["$","h2",null,{"id":"faq","children":"Questions fréquentes"}],[["$","div","Peut-on utiliser l'API d'OpenAI ou d'Anthropic en restant conforme au RGPD ?",{"children":[["$","h3",null,{"children":"Peut-on utiliser l'API d'OpenAI ou d'Anthropic en restant conforme au RGPD ?"}],["$","p",null,{"children":"Oui. Ce sont des sous-traitants au sens de l'article 28 : il faut un contrat de sous-traitance (leurs conditions entreprise en tiennent lieu), les inscrire à votre registre, informer vos utilisateurs, et encadrer le transfert hors UE. Le point réellement risqué n'est pas le fournisseur mais le contenu envoyé : minimisez les données personnelles en amont et activez les options de non-conservation et de non-entraînement quand elles existent."}]]}],["$","div","Faut-il faire une analyse d’impact (AIPD) ?",{"children":[["$","h3",null,{"children":"Faut-il faire une analyse d’impact (AIPD) ?"}],["$","p",null,{"children":"Elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes : profilage à grande échelle, données sensibles, décision automatisée produisant des effets juridiques, surveillance systématique. Beaucoup de produits IA grand public y échappent ; un outil de scoring de candidats ou d'analyse de données de santé, non. En cas de doute, la liste publiée par la CNIL des traitements soumis à AIPD est le bon point de départ."}]]}],["$","div","Mon produit IA est-il « à haut risque » au sens de l’AI Act ?",{"children":[["$","h3",null,{"children":"Mon produit IA est-il « à haut risque » au sens de l’AI Act ?"}],["$","p",null,{"children":"Dans la grande majorité des cas, non. Le haut risque vise des usages listés : recrutement et gestion des travailleurs, accès à l'éducation, scoring de crédit, services publics essentiels, biométrie, infrastructures critiques, justice. Un assistant de rédaction, un moteur de recherche interne ou un outil d'analyse documentaire relèvent en principe du risque limité — dont l'obligation principale est la transparence : indiquer à l'utilisateur qu'il interagit avec une IA et signaler les contenus générés."}]]}],["$","div","Suis-je fournisseur ou déployeur d’IA ?",{"children":[["$","h3",null,{"children":"Suis-je fournisseur ou déployeur d’IA ?"}],["$","p",null,{"children":"Si vous utilisez un modèle existant via une API en construisant votre produit par-dessus, vous êtes déployeur — vos obligations sont nettement plus légères que celles du fournisseur du modèle. Vous devenez fournisseur si vous mettez un système d'IA sur le marché sous votre propre nom, ou si vous modifiez substantiellement un système existant. Cette distinction est la première à trancher, car elle détermine tout le reste."}]]}]]] 25:["$","section",null,{"className":"final article-final","children":["$","div",null,{"className":"wrap","children":[["$","h2",null,{"children":["On regarde ",["$","em",null,{"children":"votre"}]," cas ?"]}],["$","p",null,{"children":"30 minutes, sans engagement. On vous dit franchement ce qui tient, ce qui ne tient pas, et ce que ça coûte de le réparer. Même si vous ne travaillez pas avec nous ensuite."}],["$","div",null,{"className":"cta-row","children":[["$","a",null,{"className":"btn lg","href":"/#contact","children":["Réserver un audit gratuit ",["$","span",null,{"className":"arr","children":"→"}]]}],["$","a",null,{"className":"btn lg ghost","href":"/#offres","children":"Voir les forfaits"}]]}]]}]}] 26:["$","section",null,{"className":"related","children":["$","div",null,{"className":"wrap","children":[["$","div",null,{"className":"related-label","children":"À lire aussi"}],["$","div",null,{"className":"related-grid","children":[["$","a","creer-societe-startup-ia",{"className":"related-card","href":"/creer-societe-startup-ia","children":[["$","h3",null,{"children":"Créer sa société"}],["$","p",null,{"children":"SAS ou SASU, statut du dirigeant, BSPCE, JEI/CIR, propriété du code : les décisions à prendre avant de voir un comptable."}],["$","span",null,{"className":"go","children":["Lire ",["$","span",null,{"className":"arr","children":"→"}]]}]]}],["$","a","industrialiser-un-poc-ia",{"className":"related-card","href":"/industrialiser-un-poc-ia","children":[["$","h3",null,{"children":"Industrialiser un POC IA"}],["$","p",null,{"children":"Ce qui casse entre le notebook qui marche et le produit que vos clients utilisent — et comment le traiter dans l'ordre."}],["$","span",null,{"className":"go","children":["Lire ",["$","span",null,{"className":"arr","children":"→"}]]}]]}],["$","a","prix-developpement-application-ia",{"className":"related-card","href":"/prix-developpement-application-ia","children":[["$","h3",null,{"children":"Prix & budgets"}],["$","p",null,{"children":"Les fourchettes réelles par type de projet, les coûts récurrents qu'on oublie, et comment lire un devis IA."}],["$","span",null,{"className":"go","children":["Lire ",["$","span",null,{"className":"arr","children":"→"}]]}]]}]]}]]}]}] 2d:[["$","meta","0",{"charSet":"utf-8"}],["$","meta","1",{"name":"viewport","content":"width=device-width, initial-scale=1"}]] 29:null 31:I[622,[],"IconMark"] 2b:{"metadata":[["$","title","0",{"children":"RGPD et AI Act pour un produit IA : ce qui s’applique vraiment — Code-IA"}],["$","meta","1",{"name":"description","content":"Conformité d'un produit IA en France : base légale, données envoyées aux fournisseurs de modèles, transferts hors UE, AIPD, et le calendrier de l'AI Act. Ce qui concerne réellement une startup."}],["$","meta","2",{"name":"robots","content":"index, follow"}],["$","meta","3",{"name":"googlebot","content":"index, follow"}],["$","link","4",{"rel":"canonical","href":"https://code-ia.fr/rgpd-ia-france"}],["$","meta","5",{"property":"og:title","content":"RGPD et AI Act pour un produit IA : ce qui s’applique vraiment"}],["$","meta","6",{"property":"og:description","content":"Conformité d'un produit IA en France : base légale, données envoyées aux fournisseurs de modèles, transferts hors UE, AIPD, et le calendrier de l'AI Act. Ce qui concerne réellement une startup."}],["$","meta","7",{"property":"og:url","content":"https://code-ia.fr/rgpd-ia-france"}],["$","meta","8",{"property":"og:site_name","content":"Code-IA"}],["$","meta","9",{"property":"og:locale","content":"fr_FR"}],["$","meta","10",{"property":"og:image","content":"https://code-ia.fr/og-image.png"}],["$","meta","11",{"property":"og:type","content":"article"}],["$","meta","12",{"name":"twitter:card","content":"summary_large_image"}],["$","meta","13",{"name":"twitter:title","content":"Votre prototype IA mérite une mise en production digne de ce nom"}],["$","meta","14",{"name":"twitter:description","content":"Architecture technique + growth & acquisition. Du prototype au produit déployé."}],["$","meta","15",{"name":"twitter:image","content":"https://code-ia.fr/og-image.png"}],["$","link","16",{"rel":"icon","href":"/icon.svg?012997a7e19f3500","type":"image/svg+xml","sizes":"any"}],["$","$L31","17",{}]],"error":null,"digest":"$undefined"} 30:"$2b:metadata"