Notice d'information IA : comment la rédiger et quand elle est obligatoire
Une notice d'information IA est le document public qui explique comment vos systèmes d'intelligence artificielle traitent les données personnelles. Elle répond au RGPD, pas à l'article 50 de l'AI Act, qui impose un signalement au moment de l'interaction. Les deux sont nécessaires, et les confondre est l'erreur la plus fréquente en 2026.
Depuis le 2 août 2026, les obligations de transparence du règlement UE 2024/1689 s'appliquent pleinement. Beaucoup d'entreprises pensent s'en acquitter en ajoutant un paragraphe à leur politique de confidentialité. Ce n'est pas suffisant, et la Commission européenne l'a précisé noir sur blanc dans ses lignes directrices publiées le 20 juillet 2026. Pour situer les deux textes l'un par rapport à l'autre, notre guide de conformité AI Act pour PME et associations pose le cadre général. Cet article se concentre sur la rédaction concrète.
Deux obligations distinctes qu'il ne faut pas confondre
La notice RGPD et le signalement de transparence de l'AI Act ne visent ni les mêmes personnes, ni le même moment, ni le même contenu.
La notice d'information au sens du RGPD s'adresse aux personnes dont vous traitez les données personnelles. Elle est écrite, publiée, consultable à tout moment. La CNIL emploie précisément le terme de notice d'information générale dans ses fiches pratiques IA : c'est le dispositif à utiliser lorsque l'information individuelle est impossible ou exigerait des efforts disproportionnés, au sens de l'article 14.5.b du RGPD.
Le signalement de l'article 50, lui, s'adresse aux personnes exposées à un système d'IA, qu'il y ait ou non des données personnelles en jeu. Il intervient au moment de l'interaction ou de l'exposition au contenu. Un visiteur qui ouvre votre chatbot IA doit savoir qu'il parle à une machine avant de taper son premier message. Aucune notice enfouie dans un pied de page ne remplit cette fonction.
En pratique, une PME qui déploie un assistant conversationnel sur son site a besoin des deux dispositifs. Le détail des différences de logique entre les deux régimes est traité dans notre comparatif AI Act et RGPD pour les PME.
Quand la notice d'information IA devient obligatoire
Dès que vous traitez des données personnelles avec un système d'IA et que vous ne pouvez pas informer chaque personne individuellement.
Le tableau ci-dessous couvre les cas les plus courants rencontrés en PME.
| Cas d'usage | Notice RGPD publiée | Signalement AI Act article 50 |
|---|---|---|
| Chatbot de support client sur le site | Oui, mentions article 13 dans le formulaire ou la fenêtre | Oui, dès la première interaction |
| Tri automatisé de CV | Oui, information des candidats à la collecte | Non au titre de l'article 50, mais régime haut risque à vérifier |
| Visuels marketing générés par IA | Selon les données traitées | Marquage machine par le fournisseur, mention visible si le rendu ressemble à une personne réelle |
| Transcription automatique de réunions | Oui, information des participants avant l'enregistrement | Non, sauf reconnaissance d'émotions |
| Analyse de sentiment sur les appels clients | Oui | Oui, obligation d'information des personnes exposées |
| Base d'entraînement constituée par moissonnage | Oui, notice générale avec indication des sources | Non |
Deux remarques utiles. D'abord, l'obligation RGPD existe depuis 2018 : elle n'a pas attendu l'AI Act. Ensuite, si vos systèmes relèvent des pratiques interdites de l'article 5, aucune notice ne les rendra licites. La reconnaissance d'émotions sur les salariés, par exemple, est interdite sur le lieu de travail, pas simplement soumise à information.
Ce que l'article 50 exige réellement depuis le 2 août 2026
Quatre obligations distinctes, réparties entre fournisseurs et déployeurs, et aucune ne prend la forme d'un document à publier.
Pour les fournisseurs, c'est-à-dire ceux qui développent ou font développer un système sous leur nom : informer les personnes qu'elles interagissent avec une IA, sauf si c'est évident, et marquer les contenus générés dans un format lisible par machine. Les lignes directrices de la Commission précisent que l'exception du caractère évident doit s'interpréter de façon restrictive, en se référant à une personne moyenne raisonnablement informée et attentive.
Pour les déployeurs, c'est-à-dire la très grande majorité des PME qui utilisent des outils du marché : informer les personnes exposées à un système de reconnaissance d'émotions ou de catégorisation biométrique, et signaler clairement les hypertrucages ainsi que les textes publiés pour informer le public sur des sujets d'intérêt public.
Trois points souvent mal compris, tous confirmés par la FAQ officielle de la Commission mise à jour le 24 juillet 2026 :
- Le marquage machine posé par le fournisseur ne suffit pas au déployeur. Un hypertrucage doit être signalé de façon perceptible par un être humain, sans outil technique.
- Le texte relu par une personne compétente, avec une responsabilité éditoriale assumée, échappe à l'obligation d'étiquetage. Une simple correction orthographique ne constitue pas une relecture au sens du règlement.
- Le délai de grâce du 2 décembre 2026 ne concerne que le marquage machine des systèmes mis sur le marché avant le 2 août 2026. Ce n'est pas un report général de la transparence. Le calendrier complet de l'AI Act détaille toutes les échéances.
Les sanctions relèvent des autorités nationales de surveillance du marché et peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial, avec une proportionnalité prévue pour les PME. Le détail figure dans notre article sur les sanctions AI Act.
Ce que la notice doit contenir au titre du RGPD
Les mentions des articles 13 et 14 du RGPD, complétées par une explication compréhensible du fonctionnement du système.
La CNIL est explicite sur ce point : la complexité technique d'un système d'IA ne justifie pas une information incompréhensible. Elle recommande une information à plusieurs niveaux, avec au premier niveau l'identité du responsable de traitement, les finalités et les droits des personnes, et une information complète accessible en second niveau.
Les blocs attendus :
- L'identité et les coordonnées du responsable de traitement, ainsi que le moyen de contacter le délégué à la protection des données lorsqu'il existe.
- La finalité et la base légale du traitement, avec le détail de l'intérêt légitime poursuivi si c'est la base retenue.
- Les catégories de données traitées, et en cas de collecte indirecte, une indication précise des sources.
- Les destinataires ou catégories de destinataires, et les transferts hors Union européenne le cas échéant.
- La durée de conservation, ou à défaut les critères qui permettent de la déterminer.
- Les droits des personnes : accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement.
- Le droit d'introduire une réclamation auprès de la CNIL.
Deux ajouts spécifiques à l'IA. Si vous ne pouvez pas identifier les personnes présentes dans votre base, il faut l'indiquer au titre de l'article 11 du RGPD, et préciser quelles informations complémentaires elles peuvent fournir pour permettre leur identification. Et si votre modèle a mémorisé des données d'entraînement, la CNIL recommande d'expliquer le risque de restitution de ces données et les mesures prises pour le limiter.
Un modèle de notice commenté, bloc par bloc
Six blocs suffisent, à condition que chacun soit rempli avec vos éléments réels et non avec des formules génériques.
Bloc 1, qui traite et pourquoi. Nommez l'entité, donnez une adresse de contact réelle, décrivez la finalité en une phrase qu'un client comprend. Exemple : notre assistant conversationnel répond aux questions sur nos horaires, nos tarifs et le suivi de commande.
Bloc 2, quelles données et d'où elles viennent. Distinguez ce que la personne saisit elle-même de ce que vous récupérez ailleurs. En cas de collecte indirecte, la CNIL admet une information par catégories de sources lorsque celles-ci sont nombreuses, en citant les principales.
Bloc 3, comment l'IA intervient. C'est le bloc le plus souvent bâclé. Expliquez si le système décide, propose ou se contente de reformuler. Précisez s'il y a une intervention humaine, à quel moment, et ce qu'elle change concrètement pour la personne.
Bloc 4, combien de temps et pour aller où. Durée de conservation des conversations, des enregistrements, des données d'entraînement. Sous-traitants et hébergeurs, localisation des serveurs.
Bloc 5, vos droits et comment les exercer. Une adresse, un délai de réponse, et le cas échéant la mention de l'impossibilité d'identification.
Bloc 6, la version et la date. Une notice sans date de mise à jour perd sa valeur probatoire dès le premier contrôle.
Les erreurs qui reviennent le plus souvent
Cinq écueils reviennent dans la quasi-totalité des notices que nous relisons en audit.
- Noyer les mentions IA dans les conditions générales d'utilisation. La CNIL demande de distinguer clairement l'information sur la protection des données du reste des mentions légales.
- Copier une notice trouvée en ligne. Une notice qui décrit un traitement que vous ne réalisez pas est une déclaration inexacte, et les informations inexactes fournies aux autorités constituent un motif de sanction autonome dans le règlement.
- Croire que la notice remplit l'obligation de l'article 50. Elle ne le fait pas. Le signalement doit intervenir dans l'interface, au moment de l'interaction.
- Oublier les salariés. L'IA déployée en interne, sur le recrutement, la planification ou l'évaluation, concerne des personnes qui ont exactement les mêmes droits que vos clients.
- Ne jamais mettre à jour. Un changement d'outil, de fournisseur ou de finalité rend la notice fausse. Prévoyez une revue à chaque évolution du parc d'outils.
Où publier la notice et comment la maintenir
Une page dédiée, accessible en deux clics depuis toute page du site, et une revue au moins semestrielle.
Une page distincte de la politique de confidentialité générale n'est pas obligatoire, mais elle facilite la démonstration de conformité et la lecture. Si vous choisissez de tout regrouper, ajoutez une section clairement identifiée sur les traitements liés à l'IA, avec un sommaire cliquable.
Côté maintenance, le point de départ est toujours le même : savoir ce que vous utilisez. Un inventaire à jour des outils d'IA en service, avec pour chacun le fournisseur, la finalité, les données traitées et le statut au regard de l'AI Act, est la condition d'une notice qui reste vraie. C'est aussi le premier livrable de tout audit IA sérieux. Sur le périmètre exact des obligations selon votre rôle, notre article AI Act : qui est concerné précise la distinction entre fournisseur et déployeur, qui commande tout le reste.
Questions fréquentes
Une notice d'information IA est-elle obligatoire pour toutes les entreprises ?
Non. Elle devient obligatoire dès que vous traitez des données personnelles au moyen d'un système d'IA sans pouvoir informer chaque personne individuellement. Une entreprise qui utilise l'IA générative uniquement en interne, sur des documents sans données personnelles, n'a pas de notice à publier, mais reste soumise aux autres obligations du règlement.
Quelle différence entre une notice d'information et une politique IA interne ?
La notice s'adresse à l'extérieur : clients, candidats, usagers, personnes dont les données sont traitées. La politique IA interne s'adresse aux collaborateurs et fixe les règles d'usage des outils. Les deux documents se nourrissent l'un l'autre mais ne se substituent pas.
Faut-il informer les personnes rétroactivement pour les contenus générés avant août 2026 ?
Non. La Commission indique que les contenus générés avant le 2 août 2026 n'ont pas à être étiquetés rétroactivement. Elle encourage toutefois les déployeurs à le faire lorsque c'est possible.
Un chatbot doit-il annoncer qu'il est une IA même si c'est évident ?
L'obligation tombe lorsque le caractère artificiel est évident pour une personne moyenne raisonnablement informée. Les lignes directrices de juillet 2026 demandent une interprétation restrictive de cette exception. En pratique, pour une PME, mieux vaut afficher la mention : le coût est nul, le risque de contestation disparaît.
Qui contrôle et que risque-t-on concrètement ?
Les autorités nationales de surveillance du marché. Les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les manquements aux obligations de transparence, avec une prise en compte de la proportionnalité pour les PME et les entreprises de taille intermédiaire.
Le code de bonnes pratiques sur la transparence des contenus générés est-il obligatoire ?
Non, l'adhésion est volontaire. Elle offre en revanche une présomption de sérieux et une prévisibilité juridique. Les fournisseurs et déployeurs qui n'y adhèrent pas devront démontrer leur conformité par d'autres moyens et s'exposent à davantage de demandes d'information.
Nos équipes doivent-elles être formées pour rédiger cette notice ?
La rédaction relève du juridique et du DPO, mais elle suppose de savoir ce que fait réellement chaque outil. C'est là que le sujet devient opérationnel. Notre article sur l'article 4 de l'AI Act et la formation IA fait le point sur ce qui est encore exigé après l'allègement de 2026.
Comment GrowthPerf accompagne les PME sur ce sujet
Nous intervenons sur la partie qui bloque le plus : établir la liste réelle des systèmes d'IA en service, qualifier le rôle de l'entreprise pour chacun, puis produire les deux dispositifs de transparence attendus. En pratique, cela prend la forme d'un inventaire commenté, d'une notice rédigée à partir de vos traitements réels et d'une check-list de signalements à intégrer dans vos interfaces.
Le cadrage se fait en amont, avec vos équipes, parce qu'une notice écrite sans les personnes qui utilisent les outils décrit rarement la réalité. Nos formations IA en entreprise intègrent ce volet conformité pour que les équipes sachent quand un usage déclenche une obligation.
Si vous voulez savoir où vous en êtes, l'audit gratuit de 30 minutes permet de dresser la cartographie de départ et d'identifier les écarts prioritaires. Pour la vision d'ensemble des obligations qui s'appliquent à votre structure, reprenez le guide de conformité AI Act pour PME et associations.
Réservez votre audit gratuit sur cal.com/growthperf/audit-gratuit.