AI Act, RGPD et données d'accompagnement : que devez-vous vérifier avant d'utiliser une IA ?

Cette fiche prolonge le chapitre IA générative et formation : ce qui change pour un accompagnant de notre guide Comment innover dans vos projets de formation digitale en 2026 ?. Là-bas, nous disions où l'IA aide. Ici, nous disons à quelles conditions.

Le calendrier de l'AI Act, expliqué à un cabinet de cinq consultants

Le règlement 2024/1689 est entré en vigueur le 1er août 2024 et s'applique par paliers, selon la page de la Commission européenne mise à jour le 3 août 2026 : pratiques interdites et « maîtrise de l'IA » (article 4) depuis le 2 février 2025 ; application générale et transparence de l'article 50 depuis le 2 août 2026 ; systèmes à haut risque de l'annexe III, éducation et emploi compris, reportés au 2 décembre 2027 par le règlement 2026/1744, en vigueur depuis le 27 juillet 2026 d'après le suivi de donneespersonnelles.fr.

Vous êtes « déployeur », pas fournisseur, sauf si vous faites développer votre propre outil. Un assistant de compte rendu n'est pas à haut risque. Un système qui trierait seul des candidats en outplacement pourrait l'être ; la décision reste donc humaine et tracée.

« Maîtrise de l'IA » (article 4) : ce que cela implique pour votre équipe

L'article 4 est une obligation de moyens. Dans sa version remaniée, les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel », sans garantir « un niveau spécifique » (texte français publié par Springlex). Une règle écrite d'une page, un registre des outils et un temps de formation daté suffisent.

Le besoin existe. Le baromètre Cegos du 21 avril 2026 compte 64 % de salariés qui utilisent l'IA générative à titre professionnel, 32 % seulement formés par leur entreprise. Un cabinet d'outplacement de six consultants à Lille a écrit sa règle en quatre lignes : les outils autorisés, ce qu'on ne colle jamais, qui relit, comment on le dit au candidat. C'est court, et c'est opposable.

RGPD : notes de séance, synthèses de bilan et données de santé qui s'invitent

Une note de séance est une donnée personnelle. Elle devient souvent une donnée de santé : un burn-out évoqué, un arrêt maladie. Ces catégories particulières (article 9 du RGPD) n'entrent jamais dans un outil qui n'est pas sous contrat avec vous. EMCC France le dit dans son guide de septembre 2025 : « Ne copiez jamais les notes nominatives d'un client. Anonymisez systématiquement. »

Pour le bilan de compétences, le Code du travail ajoute une contrainte. L'article R6313-7, dans sa version en vigueur depuis le 31 décembre 2023, impose au prestataire de détruire les documents élaborés pour le bilan « dès le terme de l'action » ; l'obligation est levée pendant trois ans pour le document de synthèse et pour les documents faisant l'objet d'un accord écrit du bénéficiaire « fondé sur la nécessité d'un suivi de sa situation ». Une transcription conservée six mois après le bilan, sans cet accord écrit, est donc une faute. Voir aussi logiciel de coaching et RGPD : six points à vérifier.

En outplacement, la convention tripartite dit ce qui remonte au client RH ; en incubateur, les données des fondateurs restent personnelles.

Et en Belgique ? Mêmes textes, autre guichet

Le RGPD et le règlement sur l'IA sont des règlements européens : ils s'appliquent tels quels en Belgique, et l'autorité de contrôle est l'Autorité de protection des données. Ce qui change, ce sont les règles sectorielles : pas de Qualiopi, pas d'article R6313-7, mais un outplacement encadré en heures et en phases. Un cabinet transfrontalier écrit une seule règle IA et deux durées de conservation.

La checklist en dix points avant d'activer une IA

ICF France avait publié dès juin 2021 ses questions à poser avant de rejoindre une plateforme de coaching ; cette grille les prolonge côté IA. Si une case reste vide, l'outil attend.

Comment nous nous y prenons chez Teasio

Nous avons passé notre propre outil à la grille ci-dessus ; voici ce qu'elle donne.