Liste de contrôle de la politique de confidentialité pour les entreprises d’IA (2026)

Une politique de confidentialité n’est pas une formalité. Pour les entreprises qui construisent ou déploient des systèmes d’IA, c’est un document de transparence contraignant, que les autorités examinent réellement. Dans des actions récentes, des autorités de protection des données ont prononcé des amendes dépassant 100 millions d’euros pour des avis insuffisants, et les manquements de transparence propres à l’IA deviennent une priorité d’exécution.

Le défi de 2026, c’est que les entreprises d’IA font face à des exigences de transparence qui se superposent, issues de deux règlements majeurs : le RGPD (articles 13-14 et les dispositions sur la prise de décision automatisée à l’article 22) et le règlement sur l’IA (article 50, qui s’applique depuis le 2 août 2026). Satisfaire l’un ne satisfait pas automatiquement l’autre.

Ce guide fournit une liste de contrôle section par section pour construire une politique de confidentialité qui couvre les deux régimes, avec une orientation précise sur l’information relative aux fonctions fondées sur l’IA, à la prise de décision automatisée, aux pratiques d’entraînement, et aux agents conversationnels.

L’essentiel : ce que la politique de confidentialité d’une entreprise d’IA doit contenir

• Tous les éléments obligatoires des articles 13 et 14 du RGPD : identité du responsable du traitement, finalités et bases juridiques, destinataires, durées de conservation, droits des personnes concernées, et coordonnées.
• Une information claire sur quelles fonctions ou quels traitements recourent à l’IA, y compris la logique sous-jacente, l’importance et les conséquences prévues (article 13, paragraphe 2, point f) / article 14, paragraphe 2, point g), du RGPD).
• Les informations de transparence de l’article 50 du règlement sur l’IA : notification lorsqu’une personne interagit avec un système d’IA, lorsque du contenu est généré par l’IA, ou lorsque la reconnaissance des émotions ou la catégorisation biométrique est en cours.
• Une description des pratiques d’entraînement des modèles, quelles données sont collectées, si les données collectées alimentent l’entraînement, et comment s’y opposer.
• Une information sur le droit d’obtenir une intervention humaine pour les décisions automatisées produisant des effets juridiques ou des effets significatifs.
• Des informations distinctes pour les agents conversationnels d’IA, indiquant clairement que la personne interagit avec un système d’IA.
• Un processus de mise à jour documenté : les politiques de confidentialité doivent rester à jour à mesure que les fonctions d’IA évoluent.

Ce que le RGPD exige dans un avis de confidentialité (articles 13-14)

Le RGPD impose des informations précises à fournir aux personnes concernées. L’article 13 s’applique lorsque les données sont collectées directement auprès de la personne ; l’article 14 s’applique lorsque les données sont obtenues d’autres sources (par exemple données moissonnées, API de tiers, jeux achetés).

Éléments obligatoires au titre de l’article 13

Lorsque vous collectez des données à caractère personnel directement auprès de la personne, votre politique de confidentialité doit indiquer :

1. L’identité et les coordonnées du responsable du traitement (et du représentant, le cas échéant).
2. Les coordonnées du délégué à la protection des données (s’il en a été désigné un).
3. Les finalités et la base juridique de chaque activité de traitement.
4. Les intérêts légitimes poursuivis (lorsque l’article 6, paragraphe 1, point f), est la base).
5. Les destinataires ou catégories de destinataires des données.
6. Les détails des transferts internationaux, si les données sont transférées hors de l’EEE et quelles garanties sont en place.
7. La durée de conservation ou les critères pour la déterminer.
8. Les droits des personnes concernées, accès, rectification, effacement, limitation, portabilité, opposition.
9. Le droit de retirer son consentement (lorsque le consentement est la base juridique).
10. Le droit d’introduire une réclamation auprès d’une autorité de contrôle.
11. Si la fourniture des données est une exigence réglementaire ou contractuelle, et les conséquences d’une non-fourniture.
12. La prise de décision automatisée et le profilage, l’existence de décisions automatisées, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues.

Éléments supplémentaires au titre de l’article 14

Lorsque les données ne sont pas collectées auprès de la personne concernée (fréquent pour les données d’entraînement d’IA), vous devez aussi indiquer :

1. Les catégories de données à caractère personnel traitées.
2. La source des données à caractère personnel (y compris si elles proviennent de sources accessibles au public).

La clause IA critique : article 13, paragraphe 2, point f) / 14, paragraphe 2, point g)

C’est la disposition que la plupart des entreprises d’IA sous-informent. Lorsqu’il existe une prise de décision automatisée (y compris un profilage), le responsable du traitement doit fournir :

• L’existence d’une prise de décision automatisée.
• Des informations utiles concernant la logique sous-jacente.
• L’importance et les conséquences prévues pour la personne concernée.

« Informations utiles concernant la logique sous-jacente » n’exige pas de divulguer le code source ni les poids du modèle. Cela veut dire expliquer, dans des termes qu’une personne non experte peut comprendre, quels facteurs le système prend en compte, comment le processus de décision fonctionne à un niveau général, et quel impact il peut avoir sur la personne.

Exigences de transparence du règlement sur l’IA (article 50)

L’article 50 du règlement sur l’IA ajoute des obligations de transparence qui vont au-delà du RGPD :

Ces obligations s’appliquent indépendamment du palier de risque. Même un agent conversationnel à risque minimal doit respecter la règle d’information d’interaction.

Exemple concret : une entreprise de technologies juridiques fournit un assistant d’IA qui rédige des clauses contractuelles. Au titre de l’article 50, l’entreprise doit informer les personnes qu’elles interagissent avec un système d’IA. Au titre de l’article 13, paragraphe 2, point f), du RGPD, si l’IA traite leurs données pour personnaliser les sorties ou prend des décisions les concernant, cela doit aussi figurer dans la politique de confidentialité.

Structure section par section d’une politique de confidentialité pour les entreprises d’IA

Voici une structure en 16 sections. Chaque section indique ce qu’il faut inclure et les écueils courants.

Section 1 : identité du responsable du traitement

Indiquez la dénomination sociale complète, l’adresse du siège, le numéro d’immatriculation, et une adresse électronique de contact. Si vous avez un représentant dans l’Union (exigé pour les entreprises hors UE qui traitent des données de personnes dans l’Union), incluez ses coordonnées.

Section 2 : délégué à la protection des données

Si vous avez désigné un délégué à la protection des données, fournissez son nom (ou son titre) et ses coordonnées. Même lorsqu’un délégué n’est pas obligatoire, indiquer un point de contact pour la protection des données est une bonne pratique.

Section 3 : catégories de données à caractère personnel collectées

Listez toutes les catégories de données à caractère personnel que vous traitez, y compris :

• Données de compte (nom, courriel, numéro de téléphone)
• Données d’usage (adresse IP, identifiants d’appareil, type de navigateur)
• Données de contenu (saisies, fichiers téléversés, messages)
• Données propres à l’IA : entrées vers les fonctions d’IA, sorties générées par l’IA rattachées à des personnes, données inférées ou dérivées (scores, classements, prédictions)
• Données financières (détails de paiement, historique de transactions)
• Catégories particulières de données (le cas échéant : santé, biométrie, opinions politiques, etc.)

Erreur courante : omettre de lister les données dérivées par l’IA (par exemple scores de risque, classements de sentiment, catégories recommandées) comme catégorie de données à caractère personnel. Si ces données sont liées ou liables à une personne, ce sont des données à caractère personnel.

Section 4 : sources des données à caractère personnel

Décrivez d’où vous obtenez les données :

• Directement auprès des personnes (formulaires, création de compte, saisies)
• Collecte automatique (cookies, mesure d’audience, journaux serveur)
• Sources de tiers (API, courtiers en données, bases de données publiques)
• Sources des données d’entraînement d’IA (si votre modèle est entraîné sur des données collectées, des données de partenaires, ou des jeux provenant de sources publiques)

C’est là que l’article 14 s’applique pour les données non collectées auprès de la personne concernée.

Section 5 : finalités et bases juridiques

Pour chaque finalité de traitement, indiquez la base juridique précise :

Erreur courante : invoquer une seule base juridique fourre-tout pour tout le traitement. Chaque finalité distincte exige sa propre évaluation de base juridique.

Section 6 : fonctions fondées sur l’IA et prise de décision automatisée

C’est la section propre à l’IA la plus importante, et celle où la plupart des entreprises échouent. Incluez :

a) Liste des fonctions fondées sur l’IA. Nommez chaque fonction qui recourt à l’IA ou à l’apprentissage automatique, en langage clair :

• « Notre moteur de recommandation recourt à l’apprentissage automatique pour suggérer des contenus pertinents à partir de votre historique de navigation. »
• « Notre système de détection de fraude recourt à l’analyse automatisée des schémas de transaction pour signaler une activité potentiellement frauduleuse. »
• « Notre agent conversationnel d’assistance recourt à un grand modèle de langage pour générer des réponses à vos questions. »

b) Logique sous-jacente. Pour chaque fonction d’IA, expliquez à un niveau général comment elle fonctionne :

• Quelles données d’entrée le système prend en compte.
• Ce que le système produit (type de sortie).
• La méthodologie générale (par exemple « mise en correspondance de schémas avec des données historiques » ou « traitement du langage naturel pour interpréter votre question »).

c) Importance et conséquences. Expliquez ce que la décision d’IA signifie pour la personne :

• « Si notre système de détection de fraude signale votre transaction, elle peut être temporairement retenue pour un examen manuel, ce qui peut retarder le traitement jusqu’à 24 heures. »
• « Le moteur de recommandation influe sur les contenus qui apparaissent en premier dans votre fil, mais ne restreint l’accès à aucun contenu. »

d) Si des décisions pleinement automatisées sont prises. Si des décisions sont exclusivement automatisées et produisent des effets juridiques ou des effets significatifs, dites-le explicitement et décrivez les garanties en place (droit d’obtenir une intervention humaine, droit de contester, droit de faire valoir son point de vue).

Exemple concret (bonne information) :

« Nous recourons à un modèle d’apprentissage automatique pour évaluer l’éligibilité au prêt à partir de votre historique financier, de vos données de revenus et d’informations d’un bureau de crédit. Le modèle produit un score de risque qui détermine si votre demande est acceptée, refusée, ou renvoyée à un examen manuel. Si vous recevez un refus automatisé, vous avez le droit de demander une intervention humaine sur la décision, de faire valoir votre point de vue, et de contester le résultat. Vous pouvez exercer ces droits en contactant notre équipe de protection des données à privacy@example.com. »

Exemple concret (mauvaise information) :

« Nous pouvons recourir à l’IA et à des technologies automatisées pour améliorer nos services. »

Cela n’informe de rien de utile, ni fonctions précises, ni logique, ni conséquences, ni droits.

Section 7 : pratiques d’entraînement des modèles d’IA

Si votre entreprise utilise des données à caractère personnel pour entraîner ou affiner des modèles d’IA, indiquez :

• Quelles données sont utilisées pour l’entraînement (par exemple interactions, contenus téléversés, schémas d’usage).
• Si les données collectées servent à entraîner des modèles, soyez explicite. « Vos saisies dans [nom de la fonction] peuvent servir à améliorer nos modèles d’IA » ou « Vos données ne sont pas utilisées pour l’entraînement de modèles. »
• Comment s’y opposer à ce que des données soient utilisées à des fins d’entraînement.
• Pratiques d’anonymisation et d’agrégation, expliquez si les données sont anonymisées ou agrégées avant l’entraînement.
• Conservation pour l’entraînement, combien de temps les données d’entraînement sont conservées et quand elles sont effacées.

Section 8 : destinataires et partage des données

Listez les catégories de destinataires :

• Sous-traitants et fournisseurs de services (hébergement, mesure d’audience, paiement)
• Fournisseurs de modèles d’IA (si vous utilisez des API d’IA de tiers, OpenAI, Anthropic, Google, etc.)
• Sociétés du groupe
• Autorités légales ou de contrôle
• Partenaires commerciaux ou annonceurs (le cas échéant)

Pour les fournisseurs d’API d’IA de tiers, indiquez que des données peuvent être transmises au fournisseur d’IA pour l’inférence, et si le fournisseur conserve ces données ou les utilise pour l’entraînement de modèles.

Section 9 : transferts internationaux de données

Décrivez :

• Les pays ou régions où les données sont traitées.
• Le mécanisme de transfert utilisé (décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes).
• Comment obtenir une copie des garanties (en général « contactez-nous à… »).
• La mention précise des fournisseurs d’infrastructure d’IA et du lieu où ils traitent les données.

Section 10 : durées de conservation

Fournissez des durées de conservation précises par catégorie de données. Évitez « aussi longtemps que nécessaire » sans plus de précision. Incluez :

• Données de compte : pendant la durée du compte plus [X] années.
• Données d’entraînement d’IA : [période précise] ou « jusqu’au réentraînement du modèle, après quoi les données brutes sont effacées. »
• Sorties générées par l’IA : [période précise].
• Journaux serveur : [période précise].

Section 11 : droits des personnes concernées

Listez tous les droits du RGPD avec une orientation pratique sur la façon de les exercer :

• Droit d’accès (art. 15)
• Droit de rectification (art. 16)
• Droit à l’effacement (art. 17)
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité des données (art. 20)
• Droit d’opposition (art. 21), y compris le droit de s’opposer au profilage
• Droits liés à la prise de décision automatisée (art. 22), y compris le droit d’obtenir une intervention humaine
• Droit de retirer son consentement (art. 7, paragraphe 3)
• Droit d’introduire une réclamation auprès d’une autorité de contrôle

Fournissez un mécanisme clair pour exercer les droits (adresse électronique, formulaire en ligne, ou fonction dans le produit) et indiquez le délai de réponse (un mois, prolongeable de deux mois pour les demandes complexes).

Section 12 : droit à une intervention humaine sur les décisions d’IA

Si votre système d’IA prend des décisions automatisées produisant des effets juridiques ou des effets significatifs, cela mérite une sous-section dédiée :

• Expliquez que la personne a le droit de demander une intervention humaine sur toute décision automatisée.
• Décrivez comment la demander (canal de contact, délai attendu).
• Expliquez ce qu’implique l’examen humain (une personne qualifiée examine la sortie de l’IA et les données sous-jacentes pour prendre une décision indépendante).

Section 13 : information sur l’agent conversationnel et l’IA conversationnelle

Si vous proposez des agents conversationnels ou des assistants virtuels d’IA, incluez une information spécifique :

• Que l’agent conversationnel est un système d’IA, pas un agent humain.
• Quelles données l’agent collecte pendant les conversations (saisies, journaux de conversation).
• Si les conversations sont stockées et pendant combien de temps.
• Si les données de conversation servent à l’entraînement de modèles.
• Comment passer à une personne.

Au titre de l’article 50 du règlement sur l’IA, cette information doit aussi apparaître au point d’interaction (par exemple au début de la session de conversation), pas seulement dans la politique de confidentialité.

Section 14 : cookies et technologies de suivi

Information standard sur les cookies, y compris :

• Catégories de cookies (strictement nécessaires, fonctionnels, mesure d’audience, marketing).
• Cookies de tiers et leurs finalités.
• Lien vers la gestion des préférences relatives aux cookies.

Note : une personnalisation fondée sur l’IA qui s’appuie sur des cookies ou un suivi exige une information ici et dans la section des fonctions d’IA.

Section 15 : données des enfants

Si votre système d’IA pourrait être utilisé par des enfants, décrivez :

• Les mécanismes de vérification de l’âge.
• Les exigences de consentement parental (moins de 16 ans, ou entre 13 et 16 ans selon l’État membre).
• Les limitations du traitement par l’IA des données des enfants.

Section 16 : modifications de la présente politique

• Décrivez comment vous informez les personnes des modifications substantielles.
• Engagez-vous sur un mécanisme de notification précis (courriel, notification dans l’application, bandeau sur le site).
• Tenez un historique des versions avec un journal des modifications daté.

Bonnes et mauvaises informations IA : comparaison

Lacunes courantes dans les politiques de confidentialité des entreprises d’IA

1. Aucune mention de l’IA. La politique se lit comme s’il n’existait aucune fonction d’IA, alors que le produit s’appuie fortement sur l’apprentissage automatique.
2. Opposition à l’entraînement manquante. Les personnes ne trouvent pas comment empêcher que leurs données servent à l’entraînement de modèles, ou l’option n’existe pas.
3. Descriptions de logique vagues. « Nous recourons à l’IA pour améliorer nos services » ne dit rien d’utile sur ce que fait l’IA, quelles données elle utilise, ni comment elle affecte la personne.
4. Pas de garanties de l’article 22. Des décisions automatisées produisant des effets juridiques ou significatifs sont prises, mais la politique ne mentionne ni le droit à une intervention humaine, ni le droit de contester, ni le droit de faire valoir son point de vue.
5. Fournisseurs d’IA de tiers non indiqués. Des données sont envoyées à OpenAI, Google ou d’autres fournisseurs pour l’inférence, sans que cela figure dans la section des destinataires.
6. Contenu généré par l’IA non étiqueté. L’entreprise génère du contenu d’IA (images, texte, audio) sans l’indiquer, en violation de l’article 50 du règlement sur l’IA.
7. Pas d’information d’agent conversationnel. L’agent d’IA commence à répondre sans informer que l’on communique avec un système d’IA.
8. Durées de conservation manquantes pour les données d’IA. Des durées générales sont indiquées, mais les données propres à l’IA (jeux d’entraînement, journaux d’inférence, historiques de conversation) ne sont pas traitées.
9. Politique cookies déconnectée de la personnalisation par l’IA. La personnalisation fondée sur l’IA utilise des données de suivi, mais la politique cookies ne renvoie pas à la section des fonctions d’IA.
10. Pas de mécanisme de mise à jour. Les fonctions d’IA évoluent vite, mais la politique n’a pas de processus de mise à jour en temps utile lorsqu’une nouvelle capacité d’IA est lancée.

Mettre à jour votre politique de confidentialité pour le règlement sur l’IA

Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, pour les agents conversationnels, le contenu généré et les autres systèmes visés, quel que soit le palier de risque. Le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) n’a pas reporté l’article 50. Les devoirs supplémentaires propres au haut risque (notice d’utilisation de l’article 13, obligations du déployeur de l’article 26) s’appliquent à compter du 2 décembre 2027 pour l’annexe III et du 2 août 2028 pour l’annexe I. Les entreprises d’IA devraient :

Étape 1 : auditer vos fonctions d’IA

Cataloguez chaque fonction qui recourt à l’IA, à l’apprentissage automatique ou à la prise de décision automatisée. Pour chacune, consignez : quelles données elle traite, ce qu’elle produit, et quel effet elle a sur les personnes.

Étape 2 : faire correspondre aux exigences réglementaires

Pour chaque fonction d’IA, déterminez :

• L’article 13, paragraphe 2, point f) / 14, paragraphe 2, point g), du RGPD s’applique-t-il ? (information sur la prise de décision automatisée)
• L’article 50 du règlement sur l’IA s’applique-t-il ? (interaction avec une IA, génération de contenu, reconnaissance des émotions, catégorisation biométrique)
• Le système est-il à haut risque au titre du règlement sur l’IA ? (si oui, obligations de transparence supplémentaires pour les déployeurs au titre de l’article 26, aux dates haut risque ci-dessus)

Étape 3 : rédiger les informations

Rédigez des informations précises, en langage clair, pour chaque fonction d’IA, en suivant la structure de sections ci-dessus.

Étape 4 : superposer l’information

Les personnes ne devraient pas avoir à lire une politique de 10 000 mots pour trouver les informations sur l’IA. Adoptez une approche par strates :

• Première strate : information courte au point d’interaction (salutation de l’agent conversationnel, infobulle de la fonction, écran de sortie d’inférence).
• Deuxième strate : tableau récapitulatif des fonctions d’IA dans la politique de confidentialité.
• Troisième strate : information détaillée complète dans des sections dédiées de la politique.

Étape 5 : établir un rythme de revue

Fixez un cycle de revue trimestriel pour votre politique de confidentialité. Chaque fois qu’une nouvelle fonction d’IA est lancée, évaluez si la politique doit être mise à jour avant la mise en service de la fonction.

Exemple concret : une plateforme de recrutement ajoute une fonction d’IA qui classe les candidatures selon l’adéquation prédite au poste. Avant le lancement, l’équipe protection des données met à jour la politique pour indiquer : l’existence de la fonction, les données qu’elle prend en compte (CV, compétences, expérience), la logique générale (mise en correspondance des profils avec les exigences du poste), l’importance (le classement influe sur les candidatures que l’employeur voit en premier, mais ne refuse personne automatiquement), et le droit d’opposition. L’agent conversationnel qui sert les candidatures est aussi mis à jour avec une information d’interaction au titre de l’article 50.

Erreurs courantes en rédigeant une politique de confidentialité pour l’IA

1. Reprendre un modèle générique sans l’adapter à l’IA. Les modèles génériques de politique de confidentialité n’incluent pas de sections propres à l’IA. Ils vous laissent non conforme dès le premier jour.
2. Écrire pour des juristes plutôt que pour les personnes. Le RGPD exige que l’information soit fournie « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » (article 12). Le jargon juridique rate la cible.
3. Mettre à jour la politique sans en informer. Les modifications substantielles exigent une notification. Ajouter l’entraînement de modèles sur des données collectées, par exemple, est une modification substantielle dont les personnes doivent être informées.
4. Ne pas distinguer les informations du fournisseur et du déployeur. Si vous déployez un système d’IA de tiers, vous devez l’indiquer séparément de vos propres fonctions d’IA, y compris l’identité du fournisseur d’IA. Voir obligations du fournisseur et du déployeur.
5. Pas de contrôle de versions. Tenez un journal des modifications avec des dates. Les autorités peuvent demander les versions antérieures lors d’une enquête.
6. Noyer les informations IA dans des sections générales. L’information propre à l’IA devrait figurer dans une section clairement intitulée, facile à trouver, pas cachée dans un paragraphe général « comment nous utilisons vos données ».

Questions fréquentes

Ai-je besoin d’une information IA séparée, ou puis-je l’inclure dans ma politique de confidentialité existante ?

Vous pouvez inclure les informations IA dans votre politique de confidentialité existante, mais elles doivent être clairement identifiables et non noyées dans le texte général. Beaucoup d’entreprises créent une section dédiée « IA et prise de décision automatisée » dans leur politique, plus de courtes informations dans le produit aux points d’interaction avec l’IA (comme l’exige l’article 50 du règlement sur l’IA).

Que recouvrent les « informations utiles concernant la logique sous-jacente » au titre du RGPD ?

Vous n’avez pas à divulguer le code source, les poids du modèle, ni des secrets d’affaires. Vous devez expliquer : quelles catégories de données le système utilise en entrée, la méthodologie générale (par exemple « mise en correspondance de schémas », « modèle de classification », « traitement du langage naturel »), quelle sortie le système produit, et quel effet cette sortie a sur la personne. Le critère est de savoir si une personne non experte raisonnable comprendrait, à un niveau fonctionnel, comment le système fonctionne.

Le règlement sur l’IA m’oblige-t-il à expliquer la prise de décision de mon modèle ?

L’article 50 porte sur l’information d’interaction avec une IA, de génération de contenu et de traitement biométrique, pas sur l’explicabilité du modèle en tant que telle. En revanche, pour les systèmes à haut risque, l’article 13 exige une notice d’utilisation qui permette aux déployeurs d’interpréter les sorties du système. Combiné à l’article 22 du RGPD, cela crée une obligation pratique de rendre les décisions d’IA explicables.

À quelle fréquence dois-je mettre à jour ma politique de confidentialité ?

Revoyez-la chaque trimestre, et mettez-la à jour chaque fois que vous lancez une nouvelle fonction d’IA, changez la façon dont des fonctions d’IA existantes traitent des données, ajoutez de nouveaux fournisseurs d’IA de tiers, ou changez vos pratiques d’entraînement. Les modifications substantielles exigent une notification aux personnes avant de produire leurs effets.

Que faire si j’utilise une API d’IA de tiers (par exemple OpenAI, Anthropic) ?

Indiquez : que des données sont envoyées à un fournisseur d’IA de tiers pour traitement, l’identité du fournisseur, la finalité (inférence, amélioration de modèles), si le fournisseur conserve les données ou les utilise pour son propre entraînement, le mécanisme de transfert si les données quittent l’EEE, et l’accord de traitement des données en place. Vérifiez les conditions du fournisseur, certains conservent par défaut les données d’entrée et de sortie, sauf désactivation dans les réglages de l’API.

Ma politique de confidentialité peut-elle aussi servir d’avis de transparence au titre du règlement sur l’IA ?

En partie. Votre politique de confidentialité peut inclure les informations exigées par le règlement sur l’IA, mais les exigences de notification en contexte de l’article 50 (par exemple indiquer l’interaction avec une IA au début d’une session d’agent conversationnel) doivent se produire au point d’interaction : la politique de confidentialité seule ne suffit pas. Adoptez une approche par strates : avis immédiat en contexte, plus le détail complet dans la politique.

Pour évaluer votre position réglementaire complète au titre du RGPD et du règlement sur l’IA, lancez l’évaluation gratuite au titre du règlement sur l’IA et consultez le guide complet du règlement sur l’IA pour le tableau d’ensemble. Pour un regard plus approfondi sur l’articulation de ces deux règlements, voir règlement sur l’IA et RGPD : différences et recoupements, ou commencez par la liste de contrôle du règlement sur l’IA.

Legalithm est un outil d’accompagnement à la conformité, assisté par l’IA, pas un conseil juridique. Les décisions finales de conformité doivent être revues par un juriste qualifié.